イベント収集に影響する変更

イベントは、ecs-ec-ingress イベント収集サービスを介して QRadar に到着します。 QRadar 。 V7.3.1 から、このサービスは他の QRadar サービスとは別に管理される。 イベント・データ収集の中断を最小限にするために、hostcontext サービスの再始動時、上記サービスは自動的に再始動しません。

以下の状態では、イベント収集の中断が発生する可能性があります。
  • イベントを収集するアプライアンスのリブート。
  • HA 管理対象ホストの追加。
  • HA フェイルオーバー時。
  • 構成バックアップのリストア。
  • オフサイト・ソース接続の追加または削除
  • パーティションのディスク使用量が最大しきい値を超えた場合。

構成バックアップをリストアした後に変更をデプロイした場合、イベント収集サービスを今すぐまたは後で再始動できます。 後でサービスを再始動することを選択すると、 QRadar は、イベント収集サービスに依存しないすべての変更をデプロイし、他のサービスの再始動中にイベントの収集を続行します。 デプロイメント・バナーには、引き続きデプロイされていない変更が表示されます。Event collection service must be restarted詳細を表示すると、メッセージが表示されます。