Por defecto, la hora del evento se define en la hora del gestor de recopiladores. La hora ideal es la hora del dispositivo. Por lo tanto, es mejor definir la hora del evento en la hora del dispositivo si está disponible, es precisa y el recopilador la ha analizado adecuadamente.

Los eventos se ordenan en intervalos de 30 segundos para poder verlos en las Vistas activas. Por defecto, los eventos que tienen una marca horaria dentro de un intervalo de 5 minutos a partir de la hora del servidor (en el pasado o futuro) se procesan con normalidad. Los eventos que tienen marcas horarias de más de 5 minutos en el futuro no se muestran en las Vistas activas, pero se ingresan en el almacén de eventos Los eventos que tienen marcas horarias de más de 5 minutos y menos de 24 horas en el pasado siguen mostrándose en los diagramas, pero no se muestran en los datos de eventos de dicho diagrama. Es necesaria una operación en profundidad para recuperar esos eventos del almacén de eventos.

En el caso de que la hora del evento sea más de 30 segundos anterior a la hora del servidor, el motor de correlación no procesará los eventos.

Si la hora del evento es más de 5 minutos anterior a la hora del gestor de recopiladores (la hora correcta), los eventos se encaminan directamente al almacén de eventos.