Resultados de informe incompletos
Después de configurar y ejecutar informes de IBM® QRadar® , es posible que vea resultados inesperados. Puede parecer que un informe no muestra todos los datos que se necesitan.
La acumulación de datos para una búsqueda sólo se inicia cuando la búsqueda se añade a un informe planificado. Por ejemplo, un informe que se ha creado el miércoles y está planificado para ejecutarse cada lunes no muestra datos durante una semana entera. Sin embargo, en el siguiente informe contiene datos de la semana entera.
- Vuelva a realizar la búsqueda.
- Utilice la pestaña Red, Actividad o Actividad de registro para ejecutar la búsqueda de nuevo. Puede comparar los resultados con el informe generado.
- Revise el mensaje de notificación en el separador Informes.
- La pestaña Informes muestra un mensaje de notificación cuando los datos están incompletos.
- Ejecute el informe con los datos en bruto desde el periodo de tiempo inicial.
- Asegúrese de capturar todos los datos del informe ejecutando el informe con los datos en bruto desde el periodo de tiempo inicial. Para obtener más información, consulte la publicación IBM QRadar Guía del usuario.
También se generan informes incompletos cuando el sistema no puede acumular agregaciones de datos en un intervalo de 60 segundos. Cada minuto, QRadar crea agregaciones de datos para cada búsqueda agregada. Si los recuentos de búsqueda y los valores exclusivos en las búsquedas son demasiado grandes, el tiempo que se necesita para procesar las agregaciones puede superar los 60 segundos. Cuando la acumulación no puede finalizar en 60 segundos, el intervalo de acumulación se descarta. Es posible que en los gráficos de series temporales y los informes falten columnas del periodo de tiempo en el que se ha producido el problema. Para obtener más información, consulte Accumulator no puede leer la definición de vista para datos agregados.