Les partitions de système de fichiers atteignent 95% lorsque les paramètres de durée de conservation des données sont trop élevés ou que le stockage disponible est insuffisant pour le débit auquel IBM®
QRadar® reçoit les données. Si vous reconfigurez vos paramètres de stockage de compartiment de conservation, le stockage sur l'ensemble de votre déploiement QRadar est affecté.
Procédure
- Identifiez et supprimez les anciens fichiers de débogage ou de correctif dans le système de fichiers / .
- Réduisez l'utilisation du disque sur le système de fichiers /store .
- Choisissez l'une des options suivantes :
- Supprimez les données les plus anciennes du système de fichiers /store/ariel/events.
- Réduisez la période de conservation des données en ajustant les paramètres de conservation par défaut du stockage en compartiment. Pour plus d'informations, voir le manuel IBM
QRadar -Guide d'administration.
- Si le fichier /store est complet, identifiez les sources de journal que vous pouvez conserver pendant des périodes plus courtes. Utilisez les compartiments de conservation pour gérer les sources de journal. Pour plus d'informations, voir le manuel IBM
QRadar -Guide d'administration.
- Envisagez d'utiliser une solution de stockage externe, comme iSCSI ou Fibre Channel. Pour plus d'informations, consultez le manuel Offboard
Storage Guide.
- Si le système de fichiers /var/log atteint une capacité de 100%, QRadar ne s'arrête pas. Vos fichiers journaux peuvent grossir plus vite que prévu en raison d'autres problèmes.