스토리지에 직접 라우팅된 이벤트

38750088 -Performance degradation has been detected in the event pipeline. Event(s) were routed directly to storage.

설명

큐를 채우지 않고 시스템이 이벤트를 제거하지 않도록 하기 위해 이벤트 콜렉션 서버(ECS)가 데이터를 스토리지에 라우팅합니다. 수신되는 이벤트와 플로우를 분류하지 않습니다. 그러나 원시 이벤트와 플로우 데이터가 수집되고 검색 가능해집니다.

사용자 응답

다음 옵션을 검토하십시오.

수신 이벤트 및 플로우 비율을 확인하십시오. 이벤트 파이프라인이 이벤트를 큐에 대기시키고 있는 경우, 라이센스를 확장하여 더 많은 데이터를 저장하십시오. EPS/FPM 라이센스 한계에 얼마나 가까운지 판별하려면 시스템 모니터링 대시보드의 이벤트 속도(원시 초당 이벤트 수) 그래프를 모니터하십시오. 이 그래프는 현재 데이터 속도를 보여줍니다. 이 데이터 속도를 배치의 어플라이언스당 라이센스 구성과 비교하십시오.
EPS/FPM 라이센스 한계에 대한 자세한 정보는 QRadar: EPS, FPM 한계에 대한 정보(https: //www.ibm.com/support/pages/qradar-about-eps-fpm-limit)를 참조하십시오.
룰 또는 사용자 정의 특성에 대한 최신 변경사항을 검토하십시오. 룰이나 사용자 정의 특성 변경으로 인해 이벤트 또는 플로우 비율이 갑자기 변경될 수 있습니다. 변경사항으로 인해 성능이 저하되거나 시스템이 이벤트를 스토리지에 라우팅할 수 있습니다.
DSM 구문 분석 문제가 발생하면 이벤트 데이터를 스토리지에 라우팅할 수 있습니다. 로그 소스가 공식적으로 지원되는지 확인하려면 DSM 구성 안내서를 참조하십시오.
SAR 알림이 큐에 대기된 이벤트 및 플로우가 이벤트 파이프라인에 있음을 표시할 수 있습니다.
시스템을 튜닝하여 이벤트 파이프라인에 들어가는 이벤트 및 플로우 볼륨을 줄이십시오. 이벤트는 제품이 아니라 소스에서 조정해야 합니다. 통합을 사용으로 설정하고 저장되는 이벤트의 수를 제한하도록 보존 버킷을 구성할 수 있습니다. 라이센스 제한을 통해 시스템으로 들어오는 이벤트의 수를 모니터하여 입력 큐와 라이센싱을 관리합니다. 보존 버킷에 대한 자세한 정보는 관리 안내서를 참조하십시오.