Performances du traitement des événements

Votre configuration IBM® QRadar® peut avoir un impact sur le pipeline de traitement d'événement.

Le traitement des événements peut être affecté par les extensions du module de prise en charge de périphérique, les propriétés personnalisées, les tests de règle et les vues globales. L'analyse syntaxique des événements et le moteur de règles personnalisées détectent automatiquement les événements supprimés, exécutent des diagnostics d'auto-surveillance et signalent les extensions de DSM, les règles et les propriétés qui sont lentes.

Propriétés personnalisées non optimisées

Les propriétés personnalisées sont marquées comme étant optimisées lorsqu'elles sont régulièrement utilisées pour les règles QRadar ou pour la recherche et le filtrage.

Les propriétés personnalisées non optimisées sont analysées par le système, ce qui affecte les vitesses de recherche et le taux de chargement du navigateur web.

Tests de règle ayant un impact sur les performances

Les règles qui testent les expressions régulières dans une charge d'événement affectent les performances de QRadar car elles recherchent la totalité de la charge.

Avant d'ajouter un test de contenu à une règle, utilisez les filtres de règle pour réduire le nombre d'événements. Par exemple, lorsque vous cherchez un message spécifique dans les journaux Active Directory, appliquez les filtres ci-dessous à la règle :
  • Filtre de type de source de journal
  • Filtre de groupe de sources de journal ou de source de journal spécifique
  • Filtre d'adresses IP source facultatif

Le test Hôte avec port ouvert peut avoir un impact sur les performances car il compare les ports passifs et actifs avec les événements et les flux reçus par QRadar. Avant d'utiliser le test, effectuez une vérification bidirectionnelle pour vous assurer que l'hôte répond à la demande de communication.

Vues globales

Une recherche sauvegardée groupée selon différentes zones génère une vue globale comportant de nombreuses entrées uniques. L'augmentation du volume de données peut avoir un impact sur l'utilisation du disque, les délais de traitement et les performances de recherche.

Pour empêcher le volume de données d'augmenter, n'agrégez que les recherches sur les zones nécessaires. Vous pouvez réduire l'impact sur l'accumulateur en ajoutant un filtre à vos critères de recherche.