Mudando as configurações de memória excedente e uso de disco

Se você estiver usando TLS em vez de TCP para enviar mensagens de log para IBM QRadar, IBM Disconnected Log Collector usará a memória e o espaço em disco configurados para armazenar as mensagens de log em buffer. É possível mudar esses valores para atender aos requisitos de armazenamento para o hardware que você está usando.

Disconnected Log Collector buffers eventos se houver mais eventos do que a taxa de eventos configurados por segundo (EPS) ou se Disconnected Log Collector estiver offline. Os eventos são armazenados em buffer na memória e, quando o máximo for atingido, os eventos serão salvos em arquivos excedentes em seu disco rígido.

O arquivo spilloverqueue.properties especifica as configurações de memória nas propriedades a seguir:

ecs-dlc_dlc_TCP_TO_QRADAR.capacity.in.mem
ecs-dlc_dlc_TCP_TO_QRADAR.total.memory.size.mb

Nota: O valor que é especificado para ecs-dlc_dlc_TCP_TO_QRADAR.capacity.in.mem é substituído pela linha a seguir no arquivo /opt/ibm/si/services/dlc/<version>.master.#####/eventgnosis/config :

<parameter type="Number">50000</parameter>  		<!-- qMemCapacity -->

As configurações do arquivo auxiliar são definidas pelas propriedades a seguir:

ecs-dlc_dlc_TCP_TO_QRADAR.max.files
ecs-dlc_dlc_TCP_TO_QRADAR.max.file.size.mb

Os valores padrão usam 477 arquivos de 100 MB.

Procedimento

Faça login no computador Disconnected Log Collector ou em VM como usuário root.
Abra o arquivo /opt/ibm/si/services/dlc/conf/spilloverqueue.properties em um editor de texto.

Mude os valores a seguir para configurar o armazenamento em buffer de memória:

ecs-dlc_dlc_TCP_TO_QRADAR.capacity.in.mem=50000
ecs-dlc_dlc_TCP_TO_QRADAR.total.memory.size.mb=1000

Mude os valores a seguir para definir as configurações do arquivo auxiliar:

ecs-dlc_dlc_TCP_TO_QRADAR.max.file.size.mb=100
ecs-dlc_dlc_TCP_TO_QRADAR.max.files=477

Salve o arquivo e feche-o.
Reiniciar Disconnected Log Collector digitando o seguinte comando:
```
systemctl restart dlc
```