イベント処理のパフォーマンス

IBM® QRadar® 構成は、イベント処理パイプラインに影響を与える可能性があります。

イベント処理は、DSM 拡張、カスタム・プロパティー、ルール・テスト、およびグローバル・ビューによって影響を受ける可能性があります。 イベント構文解析およびカスタム・ルール・エンジンは、除去されたイベントを自動で検出して、自己モニタリング診断を実行し、どの DSM 拡張、ルール、およびプロパティーが低速になっているかを報告します。

最適化されていないカスタム・プロパティー

カスタム・プロパティーは、 QRadar ルールまたは検索とフィルタリングに定期的に使用される場合に、最適化済みとしてマークされます。

最適化されていないカスタム・プロパティーはシステムによって構文解析されます。これは、検索速度および Web ブラウザーのロード率に影響します。

パフォーマンスに影響するルール・テスト

イベント・ペイロード内の正規表現をテストするルールは、ペイロード全体を検索するため、 QRadar のパフォーマンスに影響します。

ルール・フィルターを使用してイベントの数を減らしてから、ルールにペイロード・テストを追加してください。 例えば、アクティブ・ディレクトリー・ログ内の特定のメッセージを検索する際、以下のフィルターをルールに適用します。
  • ログ・ソース・タイプのフィルター
  • ログ・ソース・グループまたは特定のログ・ソースのフィルター
  • オプションの送信元 IP アドレスのフィルター

「ポートが開いているホスト (Host with port open)」 テストは、パッシブ・ポートとアクティブ・ポートを、 QRadarが受信するイベントおよびフローと比較するため、パフォーマンスに影響を与える可能性があります。 双方向チェックを行ってホストが通信要求に応答していることを確認してから、このテストを使用してください。

グローバル・ビュー

複数フィールドによってグループ化された保存済み検索は、多数の固有エントリーを持つグローバル・ビューを生成します。 データ量の増加に伴い、ディスク使用量、処理時間、および検索パフォーマンスは影響を受ける可能性があります。

データ量の増加を防ぐには、検索を必要なフィールドにのみ集約します。 検索基準にフィルターを追加することで、アキュムレーターに対する影響を削減できます。