Résultats de rapport incomplets
Une fois que vous avez configuré et exécuté les rapports IBM® QRadar® , vous pouvez voir des résultats inattendus. Un rapport peut sembler ne pas afficher toutes les données dont vous avez besoin.
Le cumul des données pour une recherche ne commence que lorsque la recherche est ajoutée à un rapport planifié. Par exemple, un rapport créé le mercredi, dont l'exécution est planifiée tous les lundis, n'affiche pas les données pour une semaine complète. En revanche, le rapport suivant contient les données d'une semaine complète.
- Réexécutez la recherche.
- Utilisez l'onglet Réseau, Activité ou Activité du journal pour réexécuter la recherche. Vous pouvez comparer les résultats au rapport généré.
- Examinez le message de notification sous l'onglet Rapports.
- L'onglet Rapports affiche un message de notification lorsque vos données sont incomplètes.
- Exécutez votre rapport sur des données brutes de la période initiale.
- Assurez-vous d'avoir saisi toutes les données de rapport en exécutant votre rapport sur les donnés brutes de la période initiale. Pour plus d'informations, voir IBM QRadar -Guide d'utilisation.
Des rapports incomplets sont également générés lorsque le système ne peut pas cumuler des agrégations de données dans un intervalle de 60 secondes. Toutes les minutes, QRadar crée des agrégations de données pour chaque recherche agrégée. Si le nombre de recherches et les valeurs unique des recherches sont trop importants, le délai nécessaire au traitement des agrégations peut dépasser 60 secondes. Lorsque le cumul ne peut pas être terminé en 60 secondes, l'intervalle de cumul est supprimé. Des colonnes peuvent être manquantes dans les graphiques et les rapports de série temporelle pour la période à laquelle s'est produit le problème. Pour plus d'informations, voir Accumulator ne peut pas lire la définition de vue pour les données d'agrégat.