Rendimiento del proceso de sucesos
La configuración de IBM® QRadar® puede afectar a la interconexión del proceso de sucesos.
El proceso de sucesos pueden verse afectados por las extensiones DSM, las propiedades personalizadas, las pruebas de reglas y las vistas globales. El análisis de sucesos y el motor de reglas personalizadas detectan automáticamente los sucesos descartados, ejecutan los diagnósticos de autosupervisión e informan qué extensiones DSM, reglas y propiedades son lentos.
Propiedades personalizadas no optimizadas
Las propiedades personalizadas se marcan como optimizadas cuando se utilizan regularmente para reglas de QRadar o para buscar y filtrar.
Las propiedades personalizadas no optimizadas se analizan por el sistema, lo que afecta a las velocidades de búsqueda y la tarifa de carga del navegador web.
Pruebas de reglas que afectan al rendimiento
Las reglas que prueban expresiones regulares en una carga útil de suceso afectan al rendimiento de QRadar porque buscan toda la carga útil.
- Filtro de tipo de origen de registro
- Filtro de origen de registro específico o de grupo de origen de registro
- Un filtro de dirección IP de origen opcional
La prueba Host con puerto abierto puede afectar al rendimiento porque compara los puertos pasivos y activos con los sucesos y flujos recibidos por QRadar. Antes de utilizar la prueba, realice una comprobación bidireccional para asegurarse de que el host responde a la solicitud de comunicación.
Vistas globales
Una búsqueda guardada agrupada por varios campos genera una vista global que tiene muchas entradas exclusivas. A medida que el volumen de datos aumenta, el uso de disco, los tiempos de proceso y el rendimiento de búsqueda puede verse afectados.
Para impedir que aumente el volumen de datos, agregue sólo búsquedas en campos necesarios. Puede reducir el impacto en el acumulador añadiendo un filtro a los criterios de búsqueda.