Этот план действий описывает шаги для решения проблемы, когда количество событий, генерируемых вашей учетной записью, может приближаться к лицензионному лимиту.
Обзор
Cato XOps прогнозирует, когда ваша учетная запись, вероятно, превысит лимит квоты событий, позволяя вам предпринять проактивные шаги до того, как события будут отброшены или видимость будет затронута. Этот план действий поможет вам определить основные источники генерации событий и сократить ненужные события, чтобы оставаться в пределах квоты.
Используйте этот план действий, когда вы получаете Уведомление о приближении объема событий к пределу квоты от XOps.
Шаг 1 - Изучите Подробности истории
На странице рассмотрения истории XOps, просмотрите разделы Подробности и Прогноз:
Просмотрите график прогноза, чтобы понять, когда квота, вероятно, будет достигнута
Отметьте соответствующие подтипы и временные рамки увеличения
Изучите график прогноза и подтвердите, что прогнозируемое количество событий приближается к пороговому значению
Эта информация помогает вам сосредоточить ваше расследование на соответствующем временном окне и типах событий.
Шаг 2 - Определите основные источники событий
Используйте страницу События, чтобы определить, какие политики или правила генерируют наибольшее количество событий.
На панели навигации выберите Домашняя > События.
Установите диапазон времени, чтобы соответствовать временным рамкам из истории.
Анализируйте распределение событий:
Разверните поле Правило, чтобы выявить правила, генерирующие наибольшее количество событий
Расширьте другие соответствующие поля (например, Подтип, IP-адрес источника), чтобы выявить закономерности
Вот некоторые примеры элементов, на которые стоит обратить внимание:
Правила брандмауэра с высоким объемом событий
IPS или другие механизмы безопасности, генерирующие повторяющиеся события
Закономерности трафика, вызывающие чрезмерное ведение журнала
Шаг 3 - Оптимизация генерации событий
Если вы определили правила или политики, генерирующие избыточные события, рассмотрите необходимость отслеживания событий.
Вот некоторые примеры возможных оптимизаций:
Отключите ненужные настройки Отслеживание > Событие для правил с высоким объемом
Сократить ведение журнала для ожидаемого или повторяющегося трафика
Настройте политики, которые генерируют избыточные события, не имеющие операционной ценности
Примеры случаев сокращения генерации событий см. в статье Превышение квоты в Cato.
Шаг 4 - Просмотр емкости квоты событий
Квоты на события зависят от вашего соглашения DPA. Вы можете просмотреть свою версию DPA на странице Учетная запись > Лицензия. Для получения дополнительной информации о лимитах событий для каждой версии DPA см. Пороги и лимиты облака Cato.
Если вам нужно увеличить емкость, свяжитесь с представителем Cato относительно лицензирования дополнительных единиц данных.
Создание заявок в Поддержку Cato
Если следование этому плейбуку не решило проблему, отправьте тикет в Поддержку. Чтобы получить максимально полезный ответ на запрос, администратор должен предоставить результаты предпринятых шагов для устранения неполадок.