Evénements acheminés directement vers l'espace de stockage

Explication

Pour empêcher la saturation des files d'attente et la suppression d'événements par le système, le système de collecte d'événements (ECS) achemine des données vers l'espace de stockage. Les événements et les flux entrants ne sont pas classés par catégorie. Toutefois, les données d'événements bruts et de flux sont collectées et consultables.

Réponse utilisateur

Effectuez les vérifications suivantes :

• Vérifiez les débits d'événements et de flux entrants. Si le pipeline d'événements place les événements en file d'attente, étoffez votre licence pour héberger plus de données. Pour déterminer à quel point vous êtes proche de votre limite de licence EPS/FPM, surveillez le graphique Débit d'événements (Evénements par seconde brut) sur le tableau de bord Surveillance système. Le graphique affiche le débit de données en cours. Comparez le débit de données à la configuration de licence par dispositif dans votre déploiement.

  Pour plus d'informations sur les limites de licence EPS/FPM, voir QRadar: About EPS & FPM Limits (https://www.ibm.com/support/pages/qradar-about-eps-fpm-limits).

• Examinez les modifications récentes apportées à la politique d'administration ou aux propriétés personnalisées. Ces modifications peuvent entraîner des fluctuations soudaines de vos débits d'événements ou de flux. Elles peuvent affecter les performances du système ou entraîner l'acheminement d'événements vers un espace de stockage.
• Des problèmes d'analyse DSM peuvent entraîner l'acheminement des données d'événements vers un espace de stockage. Pour vérifier si la source de journal est officiellement prise en charge, voir DSM -Guide de configuration.
• Les notifications SAR peuvent indiquer que les événements et les flux mis en file d'attente résident dans le pipeline d'événements.
• Ajustez le système pour réduire le volume d'événements et de flux accédant au pipeline d'événements. Les événements doivent être réglés à la source, et non dans le produit. Vous pouvez activer la coalescence et configurer vos compartiments de conservation pour limiter le nombre d'événements stockés. La régulation des licences surveille le nombre d'événements entrants dans le système pour gérer les files d'attente d'entrée et les licences. Pour plus d'informations sur les compartiments de conservation, voir le Guide d'administration.