Ereignisse direkt an Speicher weitergeleitet

38750088 -Performance degradation has been detected in the event pipeline. Event(s) were routed directly to storage.

Erläuterung

Um zu verhindern, dass Warteschlangen voll werden und das System Ereignisse verwirft, leitet das Ereignisaufzeichnungssystem Daten an den Speicher weiter. Eingehende Ereignisse und Datenflüsse werden nicht kategorisiert. Es werden jedoch Rohdaten und Datenflussdaten erfasst, die durchsuchbar sind.

Benutzeraktion

Prüfen Sie folgende Optionen:

  • Überprüfen Sie die Raten eingehender Ereignisse und Datenflüsse. Wenn Ereignisse aus der Ereignispipeline in Warteschlangen eingereiht werden, erweitern Sie Ihre Lizenz, um mehr Daten halten zu können. Anhand des Diagramms Ereignisrate (Ereignisse pro unaufbereitete Sekunde) auf dem Dashboard Systemüberwachung können Sie feststellen, wie nahe Sie Ihrem EPS/FPM-Lizenzlimit gekommen sind. Das Diagramm zeigt die aktuelle Datenrate an. Vergleichen Sie die Datenrate mit der Lizenzkonfiguration pro Appliance in Ihrer Implementierung.

    Weitere Informationen zu den EPS/FPM-Lizenzgrenzwerten finden Sie unter QRadar: Informationen zu EPS- & FPM-Grenzwerten (https://www.ibm.com/support/pages/qradar-about-eps-fpm-limits).

  • Überprüfen Sie die letzten Änderungen von Regeln oder angepassten Eigenschaften. Änderungen einer Regel oder angepassten Eigenschaft können plötzliche Änderungen der Ereignis- oder Datenflussraten verursachen. Änderungen können die Leistung beeinträchtigen oder das System veranlassen, Ereignisse an den Speicher weiterzuleiten.
  • DSM-Parsingprobleme können dazu führen, dass die Ereignisdaten an den Speicher weitergeleitet werden. Informationen dazu, ob die Protokollquelle offiziell unterstützt wird, finden Sie im DSM -Konfigurationshandbuch.
  • SAR-Benachrichtigungen können darauf hinweisen, dass sich eingereihte Ereignisse und Datenflüsse in der Ereignispipeline befinden.
  • Optimieren Sie das System, um das Volumen an Ereignissen und Datenflüssen in der Ereignispipeline zu verringern. Ereignisse müssen an der Quelle optimiert werden, nicht im Produkt. Sie können das Verbinden aktivieren und für Ihre Aufbewahrungsbuckets einen Grenzwert für die Anzahl der gespeicherten Ereignisse konfigurieren. Mit der Regulierung von Lizenzen wird die Anzahl der auf dem System eingehenden Ereignisse überwacht, um Eingabewarteschlange und die Lizenzierung zu verwalten. Weitere Informationen zu Aufbewahrungsbuckets finden Sie im Administratorhandbuch.