ルールのルーティング・オプション

「バイパス相関」オプションには、QRadar® Data Store のライセンスは不要です。 「相関をバイパス」では、バッチで受信したイベントがリアルタイム・ルールをバイパスすることを許可します。 分析アプリケーション、およびヒストリカル相関の実行にイベントを使用できます。 ヒストリカル相関の実行では、イベントがリアルタイムで受信されたかのようにイベントが再生されます。

「ログのみ」オプションには、QRadar Data Store のライセンスが必要です。 このライセンスを購入し、「ログのみ」オプションを選択すると、ルーティング・ルールに一致するイベントがディスクに保管され、表示や検索に使用できるようになります。 これらのイベントは、カスタム・ルール・エンジンをバイパスし、リアルタイムの相関や分析は実行されません。 イベントはオフェンスに反映されず、ヒストリカル相関の実行時に無視されます。 一部のアプリケーションも「ログのみ」イベントを無視します (https://www-ibm.com/support/docview.wss?uid=swg22009471)。