DSM 및 최적화된 사용자 정의 특성 문제 식별

성능 저하를 해결하는 데 도움이 되도록 최근에 설치된 DSM 확장 및 최근에 사용으로 설정된 사용자 정의 특성의 문제를 식별하십시오.

이 태스크에 대한 정보

DSM 확장은 지원되지 않거나 불완전한 로그 소스로부터 이벤트 데이터를 추출하기 위해 일치하는 정규 표현식 패턴을 사용하여 사용자 정의 구문 분석 메소드를 작성합니다. 최적화된 사용자 정의 특성은 정규식 패턴을 사용하여 구문 분석 시 이벤트에서 데이터를 추출합니다.

DSM 확장 또는 최적화된 사용자 정의 특성에서 사용되는 정규식 패턴은 IBM® QRadar®의 이벤트 처리에 영향을 줄 수 있습니다. 비효율적인 정규식은 데이터를 스토리지로 직접 잘못 라우팅하고 QRadar 성능을 저하시키며 이벤트 처리에 영향을 줄 수 있습니다.

DSM 및 최적화된 사용자 정의 특성 문제는 다음 시스템 알림을 유발할 수 있습니다.

이벤트 파이프라인에서 성능 저하가 발견되었습니다. 
이벤트가 스토리지로 직접 라우팅되었습니다.

프로시저

최근에 설치되었거나 사용으로 설정된 DSM 확장 또는 사용자 정의 특성을 사용 안함으로 설정하십시오.
다음 옵션 중 하나를 선택하십시오.
- QRadar 가 이벤트 삭제를 중지하고 시스템 알림을 수신하면 DSM 확장 또는 사용자 정의 특성을 검토하여 비효율적인 정규 표현식 패턴을 식별하고 개선하십시오.
- QRadar 가 계속해서 이벤트를 삭제하는 경우 여러 DSM 확장 또는 사용자 정의 특성으로 인해 이벤트 파이프라인에 문제가 발생할 수 있습니다.
SSH를 사용하여 이벤트를 삭제하는 QRadar 이벤트 프로세서 에 로그인하고 다음 명령을 입력하십시오.
```
/opt/qradar/support/threadTop.sh –p 7777
```
이 명령은 데이터 처리 엔진 활동을 표시합니다. 다음 표는 출력의 컬럼에 대해 설명합니다.

표 1. 데이터 처리 엔진 컬럼

컬럼 설명

서버 포트 또는 프로세스

ID 프로세스 ID

MSec CPU 시간

이름 프로세스 이름
구문 분석기 스레드가 1500밀리초보다 더 오래 실행되는 경우 다음 명령을 입력하여 Java 스레드 스택을 검토하십시오.
```
/opt/qradar/support/threadTop.sh -p 7777 -s -e ".*Event Parser.*" | less
```

표 1. 데이터 처리 엔진 컬럼
컬럼	설명
서버	포트 또는 프로세스
ID	프로세스 ID
MSec	CPU 시간
이름	프로세스 이름

다음에 수행할 작업

Java 스레드 스택에 java.util.regex.Pattern$Curly.match가 포함된 경우 비용 효율성이 낮은 DSM 확장 또는 사용자 정의 특성으로 인해 성능 저하가 발생할 수 있습니다. 자세한 정보는 비용 DSM 확장이 발견됨 또는 비용 사용자 정의 특성이 발견됨을 참조하십시오.

Java 스레드 스택에 비용 효율성이 낮은 정규식이 없는 경우 DSM 확장 또는 사용자 정의 특성에 구문 분석 문제가 있을 수 있습니다. 자세한 정보는 IBM QRadar 로그 소스 사용자 안내서의 구문 분석 문제 주제를 참조하십시오.