Sucesos direccionados directamente al almacenamiento

38750088 -Performance degradation has been detected in the event pipeline. Event(s) were routed directly to storage.

Explicación

Para evitar que las colas se llenen, y para evitar que el sistema descarte sucesos, el sistema de recopilación de sucesos (ECS) direcciona datos al almacenamiento. Los sucesos y flujos entrantes no están categorizados. Sin embargo, los datos en bruto de sucesos y flujos se recopilan y se pueden efectuar búsquedas en los mismos.

Respuesta del usuario

Revise las opciones siguientes:

  • Verifique la velocidad de sucesos y flujos entrantes. Si el conducto de sucesos está colocando sucesos en cola, amplíe la licencia para retener más datos. Para determinar la proximidad al límite de la licencia de EPS/FPM, supervise el gráfico Velocidad de sucesos (sucesos por segundo en bruto) del panel de control Supervisión del sistema. El gráfico muestra la velocidad de datos actual. Compare la velocidad de datos con la configuración de la licencia por dispositivo del despliegue.

    Para obtener más información sobre los límites de licencia de EPS/FPM, consulte QRadar: About EPS & FPM Limits (https://www.ibm.com/support/pages/qradar-about-eps-fpm-limits).

  • Revise cambios recientes en reglas o propiedades personalizadas. Los cambios en reglas o propiedades personalizadas podrían ocasionar cambios súbitos en la velocidad de sucesos o flujos. Los cambios podrían afectar al rendimiento o provocar que el sistema redireccione los sucesos al almacenamiento.
  • Los problemas de análisis de DSM pueden provocar que los datos de sucesos se redireccionen al almacenamiento. Para verificar si el origen de registro está soportado oficialmente, consulte la publicación DSM Guía de configuración.
  • Las notificaciones SAR podrían indicar que los sucesos y flujos puestos en cola están en el conducto de sucesos.
  • Ajuste el sistema para reducir el volumen de sucesos y flujos que entran en el conducto de sucesos. Los sucesos deben ajustarse en el origen, no en el producto. Puede activar la fusión y configurar los depósitos de retención para limitar el número de sucesos almacenados. La limitación de licencias supervisa el número de sucesos entrantes en el sistema para gestionar las colas de entrada y las licencias. Para obtener más información sobre los grupos de retención, consulte la Guía de administración.