フロー・タイム・スタンプの修正

Netflow V9 がオーバーフローしたシステム・アップタイム値でレコードの送信を開始するときに、新フロー・タイム・スタンプが処理される方法を指定できます。

このタスクについて

Netflow V9 がオーバーフローしたシステム・アップタイム値でレコードの送信を開始するときに、新しい 2 つの構成設定により、フロー・タイム・スタンプが処理される方法に対する制御を強化できます。 これらの新しい設定により、最初と最後の切り替え時刻をリセットする必要がなくなります。

新しい構成オプションとデフォルト値は次のとおりです。
  • NORMALISE_OVERFLOWED_UPTIMES=YES
  • UPTIME_OVERFLOW_THRESHOLD_MSEC=86400000

システム・アップタイム値が、最初と最後の切り替えパケット時刻より小さいときは、UPTIME_OVERFLOW_THRESHOLD_MSEC 構成で指定された値より大きい値でタイム・スタンプが修正されます。 システム・アップタイムが最大 32 ビット値をラップアラウンドしたという想定に基づいて、タイム・スタンプが修正されます。

手順

  1. これらの設定を変更するには、 /store/configservices/staging/globalconfig/nva.conf ファイルに設定を追加します。
  2. 設定を微調整するには、 UPTIME_OVERFLOW_THRESHOLD_MSEC 設定に別の時間間隔を指定します。
  3. この機能を無効にするには、 NORMALISE_OVERFLOWED_UPTIMES を NOに設定します。

    この機能が無効になっている場合、 QRadar は、この条件を満たす NetFlow v9 タイム・スタンプを変更しません。

  4. 構成設定を変更したら、システムをデプロイする必要があります。