Cambios que afectan a la recopilación de sucesos
Los sucesos entran en QRadar a través del servicio de recopilación de sucesos de ecs-ec-ingress. A partir de QRadar V7.3.1, el servicio se gestiona por separado de otros QRadar servicios. Para minimizar las interrupciones en la recopilación de datos de sucesos, el servicio no se reinicia automáticamente cuando se reinicia el servicio de hostcontext.
- Arrancar un dispositivo que recopila sucesos.
- Añadir un host gestionado de alta disponibilidad.
- Durante una migración tras error de alta disponibilidad.
- Restaurar una copia de seguridad de la configuración.
- Añadir o eliminar una conexión de origen externo
- Siempre que una partición de uso de disco supera el umbral máximo.
Cuando implemente cambios después de restaurar una copia de seguridad de configuración, puede reiniciar el servicio de recopilación de sucesos en ese momento o más adelante. Cuando elige reiniciar el servicio más tarde, QRadar despliega todos los cambios que no dependen del servicio de recopilación de sucesos y continúa recopilando sucesos mientras se reinician los otros servicios. El banner de despliegue continúa mostrando los cambios no desplegados y elEvent collection service must be restartedse muestra cuando visualiza los detalles.