이벤트 처리 성능
IBM® QRadar® 구성은 이벤트 처리 파이프라인에 영향을 줄 수 있습니다.
이벤트 처리는 DSM 확장, 사용자 정의 특성, 룰 테스트 및 글로벌 보기의 영향을 받을 수 있습니다. 이벤트 구문 분석 및 사용자 정의 룰 엔진은 삭제된 이벤트를 자동으로 발견하고 자체 모니터링 진단을 실행하며 느린 DSM 확장, 룰 및 특성을 보고합니다.
비최적화된 사용자 정의 특성
사용자 정의 특성은 QRadar 규칙 또는 검색 및 필터링에 정기적으로 사용되는 경우 최적화됨으로 표시됩니다.
비최적화된 사용자 정의 특성이 웹 브라우저의 검색 속도 및 로딩 속도에 영향을 미치는 시스템에 의해 구문 분석됩니다.
성능에 영햔을 미치는 룰 테스트
이벤트 페이로드에서 정규식을 테스트하는 규칙은 전체 페이로드를 검색하므로 QRadar 성능에 영향을 줍니다.
룰에 페이로드 테스트를 추가하기 전에 룰 필터를 사용하여 이벤트의 수를 줄이십시오. 예를 들어,
활성 디렉토리 로그에서 특정 메시지를 검색하는 경우
다음 필터를 룰에 적용하십시오.
- 로그 소스 유형 필터
- 로그 소스 그룹 또는 특정 로그 소스 필터
- 선택적 소스 IP 주소 필터
포트가 열려 있는 호스트 테스트는 수동 및 활성 포트를 QRadar에서 수신되는 이벤트 및 플로우와 비교하므로 성능에 영향을 줄 수 있습니다. 테스트를 사용하기 전에, 양방향 검사를 수행하여 호스트가 통신 요청에 응답하는지 확인하십시오.
글로벌 보기
여러 필드에서 그룹화된 저장된 검색이 고유한 항목이 많은 글로벌 보기를 생성합니다. 데이터의 볼륨이 증가하면 디스크 사용량, 처리 시간 및 검색 성능이 영향을 받을 수 있습니다.
데이터의 볼륨을 늘리지 않으려면 필수 필드에서 검색만 집계하십시오. 검색 기준에 필터를 추가하여 누산기에 대한 영향을 줄일 수 있습니다.