Versionshinweise › Bekannte Probleme › Ereigniskorrelation › Zeitfelder werden in Korrelationsregeltests unterschiedlich behandelt

Zeitfelder werden in Korrelationsregeltests unterschiedlich behandelt

Symptom:

Unter gewissen beschränkten Umständen erhalten Sie beim Test von Korrelationsregeln Ergebnisse, die nicht mit denen der Live-Korrelation übereinstimmen. Dies tritt unter den folgenden Bedingungen auf:

• Die Regelfilter enthalten ein abgeleitetes Zeitfeld wie "event_time_hour".
• Das Ereignis stammt nicht aus der Zeitzone des CA Enterprise Log Manager-Ereignisprotokollspeichers.
• Das Ereignis umfasst ein Feld "event_timezone", das die Zeitzone des Ursprungs festlegt.

In diesem Fall leitet der Regeltestservice die Ereigniszeitfelder mittels der Zeitzone des Ereignisprotokollspeichers ab, und nicht die ursprüngliche Zeitzone des Ereignisses. Dies kann dazu führen, dass in der getesteten Regel nicht korrekt erkannt wird, ob das Ereignis mit den Regelqualifikationen übereinstimmt.

Lösung:

Dazu kommt es nur beim Testen von Regeln. Bei einer Live-Korrelation verwendet der Service korrekterweise die ursprüngliche Zeitzone des Ereignisses, wenn Zeitfelder abgeleitet werden.