Falsche Informationen auf der Registerkarte "ACC" im Vergleich zu Daten, die in benutzerdefinierten Berichten gesammelt wurden
Symptom
Die Registerkarte "ACC" zeigt die erwarteten Daten in verschiedenen Abfragezeiträumen nicht an
Environment
Alle PANOS
Alle Plattformen
Cause
In der Firmware gibt es 4 Ebenen des zusammenfassenden Rollups:
- Der Protokollempfänger-Daemon generiert die 15-Minuten-Zusammenfassungsprotokolle für Datenverkehr, Thread und URL nach 15, 30, 45 und 60 Minuten der Stunde. Auf Low-End-Plattformen sind die Zusammenfassungsprotokolle auf 100 KB begrenzt. High-End-Plattformen können 600K-Protokolle unterstützen. Wir erlauben bis zu 5 Blitze pro 15 Minuten.
- Zu Beginn der Stunde werden stündliche Zusammenfassungsprotokolle basierend auf den 15-Minuten-Zusammenfassungsprotokollen der letzten Stunde generiert, mit dem gleichen Grenzwert für Protokolle, es gibt eine 4-zu-1-Zusammenfassung, Datenverluste können während des Flash-Prozesses auftreten
- Zu Beginn des Tages werden tägliche Zusammenfassungsprotokolle basierend auf den stündlichen Zusammenfassungsprotokollen des vergangenen Tages mit dem gleichen Grenzwert für Protokolle generiert, es gibt eine 24-zu-1-Zusammenfassung.
- Zu Beginn des Sonntags werden wöchentliche Zusammenfassungsprotokolle basierend auf den täglichen Zusammenfassungsprotokollen der letzten Woche mit dem gleichen Limit für die Protokolle generiert, es gibt eine 7-zu-1-Zusammenfassung.
Wenn wir Berichte auf der Grundlage von Zusammenfassungsprotokollen generieren (die meisten ACC-Berichte basieren auf Zusammenfassungsprotokollen), versucht das Backend, die größten Zusammenfassungsprotokolle zu verwenden, die den Berichtszeitraum abdecken. Bei einem 30-Tage-Bericht versucht das Back-End beispielsweise, die wöchentlichen Zusammenfassungsprotokolle für die Woche innerhalb des Berichtszeitraums zu verwenden, dann täglich für den verbleibenden Zeitraum, dann stündlich und schließlich die 15-Minuten-Zusammenfassung (wir nennen es Zusammenfassungsprotokoll) für die beiden verbleibenden Enden.
Der Zweck besteht darin, die Berichterstellung zu beschleunigen, der Nebeneffekt ist, dass der Bericht nicht genau ist, insbesondere wenn wir das Ergebnis für den verschiedenen Berichtszeitraum vergleichen, z. B. 7-Tage-Bericht mit 30-Tage-Bericht. oder 7-Tage-Bericht zu 7-Kalender-Tage-Bericht
Resolution
Um genauere Daten zu erhalten, sollte der Kunde einen benutzerdefinierten Bericht mit detaillierten Protokollen wie Datenverkehr, Bedrohung, URL usw. erstellen.