Conservation des infractions

L'état d'une infraction détermine la durée pendant laquelle IBM QRadar conserve l'infraction dans le système. La durée de conservation des infractions détermine la durée pendant laquelle les infractions inactives et fermées sont conservées avant d'être supprimées de la console QRadar .

La période de conservation des infractions par défaut est de 30 jours. Lorsque la période de conservation d'une infraction expire, les infractions fermées et inactives sont supprimées du système. Les infractions qui ne sont pas inactives ou fermées sont conservées indéfiniment. La durée de conservation des infractions ne s'applique pas aux infractions actives ou dormantes.

Important: Les performances du système sont affectées de manière négative lorsque le système conserve un grand nombre d'infractions inactives et fermées. Pour des performances optimales, définissez la période de rétention sur la durée la plus courte possible. La période de rétention suggérée est de 3 jours.

Infractions actives: Lorsqu'une règle déclenche une infraction, l'infraction est active. Dans cet état, QRadar attend d'évaluer de nouveaux événements ou flux par rapport au test de la règle d'infraction. Lorsque de nouveaux éléments sont évalués, l'horloge de l'infraction est réinitialisée pour conserver l'infraction active pendant 30 minutes supplémentaires.
Infractions à l'état de veille: Une infraction devient inactive si de nouveaux événements ou flux ne sont pas ajoutés à l'infraction dans un délai de 30 minutes ou si QRadar n'a pas traité d'événements dans un délai de 4 heures. Une infraction reste à l'état de veille pendant 5 jours. Si un événement est ajouté alors qu'une infraction se trouve à l'état de veille, le compteur de 5 jours est réinitialisé.
Infractions inactives: Une infraction devient inactive après une période de 5 jours passée à l'état de veille. Dans un état inactif, les nouveaux événements qui déclenchent le test de la règle d'infraction ne contribuent pas à l'infraction inactive. Ils sont ajoutés à une nouvelle infraction.
Les infractions inactives sont supprimées lorsque la période de conservation des infractions est écoulée.
Infractions fermées: Les infractions fermées sont supprimées lorsque la période de conservation des infractions est écoulée. Si de nouveaux événements se produisent pour une infraction fermée, une nouvelle infraction est créée.
Si vous incluez des infractions fermées dans une recherche et que l'infraction n'a pas été supprimée de la console QRadar , elle s'affiche dans les résultats de la recherche.

Pour éviter qu'une infraction ne soit supprimée du système, vous pouvez la protéger. Avant de protéger les infractions, tenez compte de l'impact potentiel sur les performances. Certaines infractions ont plus d'impact sur les performances système que d'autres. Par exemple, les infractions avec un grand nombre d'événements et de flux ont un impact plus important sur les performances. Les infractions qui ont de nombreuses cibles et destinations ont plus d'impact sur les performances qu'une infraction qui n'a qu'une seule cible ou destination.

Si vous devez recréer une infraction après sa suppression du système, exécutez un travail de corrélation d'historique pour analyser les données historiques. Pour plus d'informations, voir Corrélation d'historique.