Ce playbook décrit les étapes pour résoudre un problème lorsque le nombre d'Événements générés par votre Compte approche la Limite sous licence.
Présentation
Cato XOps prédit quand votre Compte est susceptible de dépasser la Limite du quota d'Événements, vous permettant de prendre des mesures proactives avant que des Événements ne soient supprimés ou que la visibilité ne soit impactée. Ce playbook vous aide à identifier les principales Sources de génération d'Événements et à réduire les Événements inutiles pour rester dans le quota.
Utilisez ce playbook lorsque vous recevez une histoire Volume d'Événements Approchant la Limite du Quota de XOps.
Étape 1 - Examiner les Détails de l'Incident
Dans la page drill-down de l'histoire XOps, examinez les sections Détails et Prévision:
Passez en revue le graphe des Prévisions pour comprendre quand le quota devrait être atteint
Notez les sous-types pertinents et le délai pour l'augmentation
Examinez le graphique de prévision et confirmez que le nombre d'événements prévus approche le seuil de quota.
Cette information vous aide à concentrer votre investigation sur la fenêtre temporelle pertinente et les types d'Événements.
Étape 2 - Identifier les principales sources d'événements
Utilisez la page Événements pour identifier quelles politiques ou règles génèrent le plus grand nombre d'Événements.
Dans le menu de navigation, sélectionnez Accueil > Evénements.
Définissez la plage de temps pour correspondre à la période de l'histoire.
Analysez la distribution des Événements :
Développez le champ Règle pour identifier les règles générant le plus d'événements.
Développez d'autres champs pertinents (par exemple, Sous-type, Adresse IP source) pour identifier les motifs.
Voici quelques exemples d'éléments sur lesquels vous pourriez vouloir vous concentrer :
Règles de pare-feu avec un volume élevé d'événements.
IPS ou d'autres moteurs de sécurité générant des événements répétitifs.
Modèles de trafic déclenchant une journalisation excessive.
Étape 3 - Optimiser la génération d'événements
Si vous identifiez des règles ou politiques générant un excès d'Événements, examinez si le suivi d'Événement est nécessaire.
Voici quelques exemples d'optimisations possibles :
Désactivez les paramètres Suivi > Événement inutiles pour les règles à fort volume.
Réduisez la journalisation pour le trafic attendu ou répétitif.
Ajustez les politiques qui génèrent des événements excessifs sans valeur opérationnelle.
Pour des cas d'utilisation d'une réduction de la génération d'événements, voir Quota dépassé dans Cato.
Étape 4 - Examiner la capacité de quota d'événements
Les quotas d'Événements dépendent de votre accord DPA. Vous pouvez consulter votre version DPA dans la page Compte > Licence. Pour plus de détails sur les limites d'Événements pour chaque version DPA, voir Seuils et Limites de Cato Cloud.
Si vous avez besoin d'augmenter votre capacité, contactez votre représentant Cato pour l'octroi de licences pour des unités de données supplémentaires.
Lever des cas vers le Support Cato
Si ce guide n’a pas résolu un problème, soumettez un ticket de support. Pour obtenir la réponse la plus utile à une demande, un administrateur doit fournir les résultats des étapes de dépannage suivies.