スピルオーバー・メモリーおよびディスク使用量の設定の変更

TLS を TCP 経由でログメッセージの送信に使用している IBM QRadar場合、設定されたメモリとディスク領域 IBM Disconnected Log Collector を使用してログメッセージをバッファリングします。 使用しているハードウェアのストレージ要件を満たすように、これらの値を変更できます。

Disconnected Log Collector は、構成された 1 秒当たりのイベント数 (EPS) レートを超えるイベントがある場合、または Disconnected Log Collector がオフラインである場合に、イベントをバッファーに入れます。 イベントはメモリーにバッファーされ、最大数に達すると、ハード・ディスク上のスピルオーバー・ファイルに保存されます。

spilloverqueue.properties ファイルでは、以下のプロパティーでメモリー設定を指定します。

  • ecs-dlc_dlc_TCP_TO_QRADAR.capacity.in.mem
  • ecs-dlc_dlc_TCP_TO_QRADAR.total.memory.size.mb
注: ecs-dlc_dlc_TCP_TO_QRADAR.capacity.in.mem に指定された値は、 /opt/ibm/si/services/dlc/<version>.master.#####/eventgnosis/config ファイル内の以下の行によってオーバーライドされます。
<parameter type="Number">50000</parameter>  		<!-- qMemCapacity -->

スピル・ファイルの設定は、以下のプロパティーで定義されます。

  • ecs-dlc_dlc_TCP_TO_QRADAR.max.files
  • ecs-dlc_dlc_TCP_TO_QRADAR.max.file.size.mb

デフォルト値では 477 個の 100 MB のファイルが使用されます。

手順

  1. Disconnected Log Collector コンピューターまたは VM に root ユーザーとしてログインします。
  2. テキスト・エディターで /opt/ibm/si/services/dlc/conf/spilloverqueue.properties ファイルを開きます。
  3. 以下の値を変更して、メモリー内バッファーを設定します。
    ecs-dlc_dlc_TCP_TO_QRADAR.capacity.in.mem=50000
ecs-dlc_dlc_TCP_TO_QRADAR.total.memory.size.mb=1000
  4. 以下の値を変更して、スピル・ファイル設定を指定します。
    ecs-dlc_dlc_TCP_TO_QRADAR.max.file.size.mb=100
ecs-dlc_dlc_TCP_TO_QRADAR.max.files=477
  5. ファイルを保存して閉じます。
  6. 次のコマンドを入力して、 Disconnected Log Collector を再始動します。
    systemctl restart dlc