不完全なレポート結果
IBM® QRadar® レポートを構成して実行した後に、予期しない結果が発生することがあります。 必要なすべてのデータがレポートに表示されていないと感じることがあります。
検索のデータ集計が開始されるのは、その検索がスケジュールされたレポートに追加されたときのみです。 例えば、水曜日に作成され、毎週月曜日に実行するようにスケジュールされたレポートには 1 週間のデータが表示されません。 ただし、次のレポートには 1 週間のデータが含まれます。
以下の解決策のいずれかを実行します。
- 検索を再実行する。
- 「ネットワーク」タブ、「アクティビティー」タブ、または「ログ・アクティビティー」タブを使用して、検索を再実行します。 その結果を生成済みレポートと比較できます。
- 「レポート」タブで通知メッセージを確認する。
- 「レポート」タブには、データが不完全である場合に通知メッセージが表示されます。
- 最初の期間の Raw data に対してレポートを実行する。
- 最初の期間の Raw data に対してレポートを実行して、すべてのレポート・データがキャプチャーされていることを確認してください。 詳しくは、「 IBM QRadar ユーザー・ガイド」を参照してください。
不完全なレポートは、システムが 60 秒の間隔内にデータの集計をできなかったときにも発生します。 QRadar は、集約された検索ごとに 1 分ごとにデータ集約を作成します。 検索の数および検索内の固有値が多すぎる場合、集計の処理に必要な時間が 60 秒を超える可能性があります。 集計が 60 秒内に終了できないとき、その集計間隔は除去されます。 問題が発生したときの期間の列が、時系列グラフおよびレポートから欠落する可能性があります。 詳しくは、 アキュムレーターが集約データのビュー定義を読み取ることができないを参照してください。