デフォルト設定に基づいて、Now Platform インスタンスは IBM QRadar サーバーから新しい違反と更新された違反を 5 分ごとにプルします。違反が検出され、インシデント生成のフィルター条件が一致すると、セキュリティインシデントが作成されます。最新のデータを取得するための取り込みポーリングのオーバーヘッドのバランスを取るため、デフォルト設定は 5 分です。ただし、この値は必要に応じて 1 分程度に変更できます。

ここで指定した時刻に最初の取り込みが行われます。後続の取り込みは、[ポーリングインクリメント (分)] フィールドで定義されたスケジュールに基づきます。

初期違反の取り込み時刻をスケジュールする例として、現地時間の午前 4 時に 1 日 1 回実行される日次 IBM QRadar セキュリティチェックがある場合、Now Platform インスタンスで対応する違反プロファイルを現地時間午前 4 時 5 分に実行するように設定して、セキュリティ障害をすぐにキャプチャし、セキュリティインシデントを作成できます。

[初期違反の取り込み] フィールドに「<日付> 04 05 00」と入力します。[ポーリングインクリメント (分)] フィールドに「<日付> 1440 (24 時間)」と入力して、初期違反の取り込みから 24 時間後に次の違反の取り込みをスケジュールします。初期違反の取り込み時刻と次の違反の取り込み時刻の両方がフィールドに表示されます。

初期違反は午前 4 時 5 分に行われます。後続の取り込みは、ポーリング間隔に基づきます。この場合、ポーリングインクリメントは 24 時間であるため、次の取り込みは翌日の午前 4 時 5 分に行われます。

1 回限りのプルで履歴違反を取り込む場合は、この設定を使用します。

この設定を構成すると、日付範囲に基づく履歴イベントから違反を取得するためにプロファイルが 1 回使用されます。[開始日] フィールドの右側にあるカレンダーアイコンをクリックします。表示されるカレンダーで、違反のプルを開始する日付を選択します。[開始日] の値から、現在の日付までの違反が取得されます。現在の日付から 7 日間さかのぼって注目イベントを取得できることに注意してください。この機能は、アーカイブ上の理由により IBM QRadar から大量の履歴違反を取得することを意図したものではなく、プロファイルのアクティブ化時にアクティブに作業されている最小限の実行中のイベントを取得します。