DSM および最適化されたカスタム・プロパティーの問題を特定する

パフォーマンス低下のトラブルシューティングに役立つように、最近インストールされた DSM 拡張や最近有効になったカスタム・プロパティーの問題を特定します。

このタスクについて

DSM 拡張は、正規表現のパターン・マッチングを使用してカスタムの構文解析方式を作成することで、サポート対象外のログ・ソースまたは不完全なログ・ソースからイベント・データを抽出します。 最適化されたカスタム・プロパティーは、イベントの構文解析時に、正規表現パターンを使用してイベントからデータを抽出します。

DSM 拡張または最適化されたカスタム・プロパティーで使用される正規表現パターンは、 IBM® QRadar®でのイベント処理に影響を与える可能性があります。 非効率な正規表現は、誤ってデータをストレージに直接ルーティングし、 QRadar のパフォーマンスを低下させ、イベント処理に影響を与える可能性があります。

DSM および最適化されたカスタム・プロパティーの問題は、以下のシステム通知の原因になることがあります。

イベント・パイプラインでパフォーマンスの低下が検出されました。 
イベントは直接ストレージに経路指定されました。

手順

  1. 最近インストールされたか有効になった DSM 拡張またはカスタム・プロパティーを無効にします。
  2. 次のオプションのいずれかを選択してください。
    • QRadar がイベントのドロップを停止し、システム通知を受け取った場合は、DSM 拡張またはカスタム・プロパティーを確認して、非効率な正規表現パターンを特定し、改善してください。
    • QRadar が引き続きイベントをドロップする場合は、複数の DSM 拡張またはカスタム・プロパティーが原因でイベント・パイプラインに問題が発生している可能性があります。
  3. SSH を使用して、イベントを除去している QRadar イベント・プロセッサー にログインし、次のコマンドを入力します。
    /opt/qradar/support/threadTop.sh –p 7777

    このコマンドにより、データ処理エンジンのアクティビティーが表示されます。 出力内の各列の説明を次の表に示します。

    表 1. データ処理エンジンの列
    列 説明
    サーバー ポートまたはプロセス。
    ID プロセス ID。
    MSecs CPU 時間。
    名前 プロセス名。
  4. パーサー・スレッドが 1500 ミリ秒より長く実行されている場合は、次のコマンドを入力することで、Java スレッド・スタックを確認します。
    /opt/qradar/support/threadTop.sh -p 7777 -s -e ".*Event Parser.*" | less

次に実行するタスク

Java スレッド・スタックに java.util.regex.Pattern$Curly.match が含まれている場合、パフォーマンスの低下は、高負荷の DSM 拡張またはカスタム・プロパティーによって発生している可能性があります。 詳しくは、「 Expensive DSM extensions were found 」または「 Expensive custom properties found」を参照してください。

Java スレッド・スタックに高負荷の正規表現がない場合、DSM 拡張またはカスタム・プロパティーに構文解析上の問題が存在する可能性があります。 詳しくは、「 IBM QRadar Log Sources User Guide」の構文解析の問題に関するトピックを参照してください。