오펜스 보존

오펜스의 상태는 IBM QRadar 가 시스템에서 오펜스를 보존하는 기간을 판별합니다. 오펜스 보존 기간은 QRadar 콘솔에서 제거되기 전에 비활성 및 닫힌 오펜스가 보존되는 기간을 판별합니다.

활성 오펜스

룰이 오펜스를 트리거하면 오펜스가 활성화됩니다. 이 상태에서 QRadar 는 오펜스 룰 테스트에 대해 새 이벤트 또는 플로우를 평가하기 위해 대기 중입니다. 새 이벤트가 평가되면 오펜스를 다음 30분 동안 활성 상태로 유지하기 위해 오펜스 시계가 재설정됩니다.

유휴 오펜스

새 이벤트 또는 플로우가 30분 내에 오펜스에 추가되지 않거나 QRadar 가 4시간내에 이벤트를 처리하지 않은 경우 오펜스가 휴면 상태가 됩니다. 오펜스는 5일 동안 유휴 상태로 유지됩니다. 오펜스가 유휴 상태일 때 이벤트가 추가되면 5일 카운터가 재설정됩니다.

비활성 오펜스

유휴 상태로 5일이 지나면 오펜스가 비활성화됩니다. 비활성 상태에서는 오펜스 룰 테스트를 트리거하는 새 이벤트가 비활성 오펜스에 기여하지 않습니다. 이러한 이벤트는 새 오펜스에 추가됩니다.

비활성 오펜스는 오펜스 보존 기간이 경과하면 제거됩니다.

닫힌 오펜스

닫힌 오펜스는 오펜스 보존 기간이 경과하면 제거됩니다. 닫힌 오펜스에 대해 추가 이벤트가 발생하는 경우 새 오펜스가 작성됩니다.

닫힌 오펜스를 검색에 포함시키고 QRadar 콘솔에서 해당 오펜스가 제거되지 않은 경우 검색 결과에 해당 오펜스가 표시됩니다.

오펜스가 시스템에서 제거되지 않도록 방지하기 위해, 이를 보호할 수 있습니다. 오펜스를 보호하기 전에, 이의 성능에 미치는 영향을 고려하십시오. 일부 오펜스는 다른 오펜스보다 시스템 성능에 더 많은 영향을 줍니다. 예를 들어, 많은 수의 이벤트와 플로우가 있는 오펜스는 성능에 더 많은 영향을 줍니다. 많은 대상과 목적지가 있는 오펜스는 단일한 대상 또는 목적지만 있는 오펜스보다 성능에 더 많은 영향을 줍니다.

시스템에서 오펜스가 제거된 후 이를 다시 작성해야 하는 경우, 히스토리 상관 작업을 실행하여 히스토리 데이터를 분석하십시오. 자세한 정보는 히스토리 상관을 참조하십시오.