Retención de delitos

El estado de un delito determina cuánto tiempo IBM QRadar mantiene el delito en el sistema. El periodo de retención de delitos determina cuánto tiempo se conservan los delitos inactivos y cerrados antes de que se eliminen de la consola de QRadar .

El periodo de retención de delitos predeterminado es de 30 días. Una vez caducado el periodo de retención de delitos, los delitos cerrados e inactivos se eliminan del sistema. Los delitos que no están cerrados o inactivos se conservan indefinidamente. El periodo de retención de delitos no se aplica a los delitos activos o inactivos.

Importante: El rendimiento del sistema se ve afectado negativamente cuando el sistema retiene muchos delitos inactivos y cerrados. Para obtener un rendimiento óptimo, establezca el periodo de retención durante el menor tiempo posible. El periodo de retención sugerido es de 3 días.

Delitos activos: Cuando una regla desencadena un delito, el delito está activo. En este estado, QRadar está a la espera de evaluar nuevos sucesos o flujos en la prueba de regla de delito. Cuando se evalúan sucesos nuevos, el reloj del delito se restablece para mantener el delito activo durante otros 30 minutos.
Delitos latentes: Un delito pasa a estar inactivo si no se añaden nuevos sucesos o flujos al delito en un plazo de 30 minutos, o si QRadar no ha procesado ningún suceso en un plazo de 4 horas. Un delito permanece en estado latente durante 5 días. Si se añade un suceso mientras un delito está latente, se restablece el contador de cinco días.
Delitos inactivos: Un delito pasa a estar inactivo después de 5 días de permanecer en estado latente. En el estado inactivo, los sucesos nuevos desencadenantes de la prueba de regla de delito no contribuyen al delito inactivo. Se añaden a un delito nuevo.
Los delitos inactivos se eliminan una vez transcurrido el periodo de retención del delito.
Delitos cerrados: Los delitos cerrados se eliminan una vez transcurrido el periodo de retención del delito. Si se producen más sucesos para un delito que está cerrado, se crea un nuevo delito.
Si incluye delitos cerrados en una búsqueda y el delito no se ha eliminado de la consola de QRadar , el delito se muestra en los resultados de la búsqueda.

Para evitar que se elimine un delito del sistema, puede protegerlo. Antes de proteger los delitos, considere el impacto en el rendimiento que podría tener. Algunos delitos afectan el rendimiento del sistema más que otros. Por ejemplo, los delitos con un gran número de sucesos y flujos tienen un mayor impacto en el rendimiento. Los delitos que tienen muchos objetivos y destinos afectan al rendimiento más que un delito que solo tiene un único objetivo o destino.

Si necesita volver a crear un delito después de que se elimine del sistema, ejecute un trabajo de correlación histórica para analizar los datos históricos. Para obtener más información, consulte Correlación histórica.