[ACC] タブの情報が、カスタム レポートで収集されたデータと異なる
4425
Created On 03/27/24 23:57 PM - Last Modified 05/07/24 13:57 PM
Symptom
[ACC] タブに、クエリの異なる期間で予期されるデータが表示されない
Environment
すべてのPANOS
すべてのプラットフォーム
Cause
FWでは、4つのレベルのサマリーロールアップがあります。
- ログ受信側デーモンは、毎時の 15 分、30 分、45 分、および 60 分に、トラフィック、スレッド、および URL の 15 分間の要約ログを生成します。 ローエンド プラットフォームでは、要約ログは 100K に制限されます。 ハイエンド プラットフォームは 600K ログをサポートできます。 15 分ごとに最大 5 回のフラッシュが許可されます。
- 時間の初めに、過去1時間の15分間の要約ログに基づいて毎時の要約ログが生成され、ログの同じ制限で、4対1の要約があり、フラッシュプロセス中にデータ損失が発生する可能性があります
- 1 日の初めに、前日の 1 時間ごとのサマリー ログに基づいて日次サマリー ログが生成され、ログの同じ制限があり、24 対 1 のサマリーがあります。
- 日曜日の初めに、週次サマリー ログは、ログの同じ制限を持つ前の週次サマリー ログに基づいて生成され、7 対 1 のサマリーがあります。
サマリー ログに基づいてレポートを生成する場合 (ほとんどの ACC レポートはサマリー ログに基づいています)、バックエンドはレポート期間をカバーする最大のサマリー ログを使用しようとします。 たとえば、30 日間のレポートでは、バックエンドはレポート期間内の週のサマリー ログを使用し、残りの期間を毎日、次に毎時、最後に残りの 2 つのエンドに 15 分間のサマリー (サマリー ログと呼びます) を使用しようとします。
これを行う目的は、レポートの生成を高速化することですが、副作用は、特に 7 日間のレポートと 30 日間のレポートなど、異なるレポート期間の結果を比較すると、レポートが正確でなくなることです。または 7 日間のレポートから 7 暦日のレポートへ
Resolution
より正確なデータを取得するには、トラフィック、脅威、URLなどの詳細なログを使用してカスタムレポートを作成する必要があります。