高負荷の DSM 拡張が見つかった

38750143 -Performance degradation was detected in the event pipeline. Expensive DSM extensions were found.

説明

ログ・ソース拡張とは、イベント・ペイロードからのイベントを識別し分類するために必要な正規表現パターンをすべて格納している XML ファイルです。ログ・ソース拡張は、エラー・ログや一部のシステム通知では、デバイス拡張と呼ばれる場合があります。

通常の処理では、ログ・ソース拡張はイベント・パイプライン内で実行されます。これらの値はただちにカスタム・ルール・エンジン (CRE) で使用可能になり、ディスクに保管されます。

形式の正しくない正規表現 (regex) は、イベントが直接ストレージに経路指定される原因になることがあります。

ユーザーの対応

次のオプションのいずれかを選択します。

最近インストールされたすべての DSM 拡張を無効にします。
通知のペイロードを確認して、パフォーマンスに影響を及ぼしているパイプライン内の高負荷の DSM 拡張を判別します。可能な場合は、デバイス拡張に関連付けられている regex ステートメントを改良します。
例えば、次のペイロードは、パイプラインがチェックポイント DSM によってブロックされたことを報告します。
```
Oct 23 12:32:53 ::ffff:10.1.2.4 [ecs-ec] 
[Timer-57] com.q1labs.semsources.filters.normalize.DSMFilter: [WARN]  
[NOT:0080014100][10.1.2.4/- -][-/- -]Expensive Log Source or Log Source 
Extensions Based On Average Throughput in the last 60 seconds 
(most to least expensive) - Checkpoint=0.0eps, CatOS=86.0eps, Apache=2500.0eps,
Endpointprotection=2905.0eps
```
ログ・ソース拡張が正しいログ・ソースにのみ適用されていることを確認します。
「管理」タブで、「システム構成」 > データ・ソース > 「ログ・ソース」をクリックします。各ログ・ソースを選択し、「編集」をクリックして、ログ・ソースの詳細を確認します。
プロトコル・ベースのログ・ソースで作業している場合は、イベント・スロットルを削減して、イベントがディスクのバッファーに入れられないようにします。イベント・スロットル設定は、ログ・ソースに対するプロトコル構成の一部です。
ログ・ソースのログ・ソース・パーサーを、イベントの送信数が最も多いパーサーから最も少ないパーサーの順序に並べ替えて、使用していないパーサーを無効にしてください。
コンソールに最新の DSM バージョンがインストールされていることを確認してください。
ご使用の環境内にないデバイスに対してログ・ソースが作成された場合は、次のコマンドを使用してそのログ・ソースを削除してください。
/opt/qradar/bin/tatoggle.pl

複数のイベント・プロセッサーがある場合は、 /opt/qradar/conf/TrafficAnalysisConfig.xml ファイルを /store/configservices/staging/globalconfig/ ディレクトリーにコピーします。「管理」タブで、すべての管理対象ホストに対して「すべての構成のデプロイ」をクリックして、構成ファイルを取得します。