IBM Support

QRadar: 保存が有効になっている場合の時間毎のデータ・ファイルの数を確認する方法

How To


Summary

管理者は、ストレージの問題を監査したり、実際にストレージの問題が発生した場合、store ディレクトリー内の毎時の ariel ファイルの数を確認したいと考えるかもしれません。保存バケットが構成されている場合、ディレクトリーには 60 以上のファイルを格納することができます。本技術資料では、ユーザーがディレクトリーの概要を表示し、保存バケット・データを視覚化するために使用できるコマンドについてご案内します。

Objective

特定の日付の保存バケットによってグループ化されたファイルの数を確認する方法

/store/ariel にある保存バケット内のファイル数を日付毎に確認するには、次の手順を実行します。
  1. SSH を使用して、root ユーザーとして QRadar コンソールにログインします。
  2. イベント・プロセッサーまたはデータ・ノードなど、イベント・データを保存しているアプライアンスへの SSH セッションを開きます。
  3. 特定の保存バケット内の日付毎にグループ化されたファイルの数を表示するには、次のように入力します。 
    ls /store/ariel/events/payloads/YYYY/MM/DD/HH | grep -oP '~\d+$' | sort | uniq -c

1 カ月間の保存バケットによってグループ化されたファイルの数を確認する方法

/store/ariel にある保存バケット内のファイル数を月毎に確認するには、次の手順を実行します。
  1. SSH を使用して、root ユーザーとして QRadar コンソールにログインします。
  2. イベント・プロセッサーまたはデータ・ノードなど、イベント・データを保存しているアプライアンスへの SSH セッションを開きます。
  3. 特定の保存バケット内の日付毎にグループ化されたファイルの数を表示するには、次のように入力します。 
    ​ls /store/ariel/events/payloads/YYYY/MM/*/* | grep -oP '~\d+$' | sort | uniq -c

     

Additional Information

Document Location

Worldwide

[{"Type":"MASTER","Line of Business":{"code":"LOB24","label":"Security Software"},"Business Unit":{"code":"BU059","label":"IBM Software w\/o TPS"},"Product":{"code":"SSBQAC","label":"IBM Security QRadar SIEM"},"ARM Category":[{"code":"a8m0z000000cwt8AAA","label":"Ariel"}],"ARM Case Number":"","Platform":[{"code":"PF025","label":"Platform Independent"}],"Version":"All Versions"}]

Document Information

Modified date:
26 October 2022

UID

ibm16570873

Page Feedback