Zeitmarken von Datenflüssen korrigieren

Sie können festlegen, wie Datenflusszeitmarken verarbeitet werden, wenn Netflow V9 mit der Übertragung von Datensätzen mit übergelaufenen Systembetriebszeitwerten beginnt.

Informationen zu dieser Task

Zwei neue Konfigurationseinstellungen bieten mehr Kontrolle über die Verarbeitung der Datenflusszeitmarken, wenn Netflow V9 mit der Übertragung von Datensätzen mit übergelaufenen Systembetriebszeitwerten beginnt. Durch die neuen Einstellungen müssen die zuerst und zuletzt gewechselten Zeiten nicht mehr zurückgesetzt werden.

Die neuen Konfigurationsoptionen und die Standardwerte werden hier gezeigt:
  • NORMALISE_OVERFLOWED_UPTIMES= JA
  • UPTIME_OVERFLOW_THRESHOLD_MSEC=86400000

Die Zeitmarken werden korrigiert, wenn der Wert der Systembetriebszeit kleiner als die erste und letzte vermittelte Paketzeit ist und von diesen Zeiten um mehr als den durch UPTIME_OVERFLOW_THRESHOLD_MSEC angegebenen Wert abweicht. Die Zeitmarken werden auf der Basis der Annahme korrigiert, dass die Systembetriebszeit den maximalen 32-Bit-Wert umlaufen hat.

Vorgehensweise

  1. Um diese Einstellungen zu ändern, fügen Sie die Einstellungen zur Datei /store/configservices/staging/globalconfig/nva.conf hinzu.
  2. Um die Einstellungen zu optimieren, geben Sie ein anderes Zeitintervall für die Einstellung UPTIME_OVERFLOW_THRESHOLD_MSEC an.
  3. Zum Inaktivieren dieses Features setzen Sie NORMALISE_OVERFLOWED_UPTIMES auf NO.

    Wenn diese Funktion inaktiviert ist, ändert QRadar die Zeitmarken von NetFlow v9 , die diese Bedingung erfüllen, nicht.

  4. Nach der Änderung der Konfigurationseinstellungen müssen Sie das System implementieren.