Limites de la capacité de flux
Les limites de capacité de flux garantissent que le processus QFlow dans IBM QRadar n'est pas surchargé.
Lorsque le processus QFlow reçoit plus de trafic qu'il ne peut en traiter, un enregistrement de dépassement est créé pour chaque protocole observé dans le trafic excédentaire. Ces enregistrements sont facilement identifiés car ils ont une adresse IP source 127.0.0.4 et une adresse IP de destination 127.0.0.5.
Par exemple, QRadar détermine que la limite de capacité de flux de votre Collecteur de flux est de 100 000 flux. Pendant une période de pointe, le dispositif capture 120 000 flux toutes les minutes. Les 20 000 flux excédentaires ne sont pas analysés mais, un enregistrement des dépassements est créé à la place pour chaque protocole détecté dans les 20 000 flux. L'enregistrement des dépassements inclut des compteurs d'octets et de paquets. Cependant, certaines informations, comme les adresses IP source ou de destination, les ports et la capture de contenu, ne sont pas collectées et stockées.
Limites de la capacité de flux
- Limite de flux de déploiement
- Cette limite de flux est basée sur la somme de toutes les licences de flux de votre déploiement.
- Limite de flux matérielle
- La limite de flux matérielle correspond au nombre recommandé de flux calculé en fonction de la mémoire et des ressources d'unité centrale disponibles.
- Limite de flux d'utilisateurs
- Vous pouvez définir le nombre maximal de flux que QRadar doit traiter simultanément.
Si une limite de flux d'utilisateurs est définie, elle est prioritaire sur la limite de flux de déploiement et la limite matérielle.
Si aucune limite d'utilisateurs n'est définie, la limite matérielle minimale ou la limite de déploiement minimale est utilisée.