أمان مؤسسة Splunk - يتم عرض أحداث بارزة في مراجعة الحدث مرتين/مكرر. تقوم الأحداث الموجودة في Splunk Server بإنشاء عدد نتائج غير متناسق.

قابلية التطبيق

أمان المؤسسات Splunk Enterprise Splunk

الوصف

تم الإبلاغ عن هذه المشكلة بشكل مستقل على بيئات خادم Splunk Server الموزعة/التي تدعم ميزة "أمان المؤسسات" (غالبا) (وليس خادم Splunk Server المستقل).

على أمان المؤسسات

تكرارات لوحة معلومات مراجعة الحدث: وظهرت أحداث بارزة في حالة وقوع عدد أكبر من الحوادث الجديدة المتعلقة بأمن المؤسسات في وقت قصير، أي وقوع عدة آلاف من الحوادث خلال 24 ساعة.
يحدث الخطأ أيضا لعمليات البحث عن الارتباط الأخرى.

على خادم Splunk (الموزع أو المجمع)

يمكن أن يحدث عدد النتائج غير المتناسق على خادم Splunk عند إستخدام الأحداث.
يبدو أن هذا السلوك مرتبط ببيئة خادم Splunk (بحث عن بعد) في شكل طبقات/موزعة/مجمعة ولا يمكن إعادة إصداره باستخدام مثيل مستقل مختلف.

 

إستجلاء

على أمان المؤسسات

ستظهر رسائل الخطأ المماثلة لما يلي على "رأس البحث" في الملف splunkd.log.
 

11-28-2018 14:45:15.958 +0100 WARN TcpOutputProc - Possible duplication of events with channel=source::/opt/splunk/var/log/splunk/splunkd_ui_access.log
|host::splsearchhead.company.corp|splunkd_ui_access|640056, streamId=0, offset=0 on host=10.0.66.200:999

على خادم Splunk (الموزع أو المجمع)

مثال:

index=foo filter” returns 6 resultsindex=foo <filter> | eventstats count(host)” 2 results.

مراجعة سجل البحث عن عمليات الإعدام دون الحاجة وإلى | أحداث، تظهر الرسالة التالية:
 

10-23-2018 10:42:52.343 ERROR Timeliner - Ignored 4 events because they were after the commit time (1540283798).

 

قرار

دقة السيناريوهين المستقلين (أمان المؤسسات وخادم Splunk) هي نفسها.

وتبين أنه خطأ معروف:

يمكن أن تقوم أحداث SPL-160881 في بحث عن حدث بإنشاء أحداث مكررة في بعض السيناريوهات

الحل البديل للإعداد:
 

phased_execution_mode=singlethreaded

في limit.conf سيمكن الأحداث من الإعلام بشكل صحيح. يجب إستخدام الحل البديل حتى يتم إصدار حزمة تصحيح لخادم Splunk 7.1.x و 7.2.x.

تمت كتابة إصلاح ويخضع حاليا للاختبار الذي يجب أن يكون متوفرا في حزمة مستقبلية.

لإصدارات خادم Splunk:  7.2.0 و 7.2.1 و 7.2.2 و 7.2.3، سوف تواجه خطأ معروفا مع تخطيط (مثل المخططات الدائرية).

يتسبب SPL-165363 Phase_execution_mode = singleThreaded" في حدوث مشاكل مع طلب الحقول

تم إصلاح هذا في Splunk Server 7.2.4 وأعلى.  لا يؤثر على Splunk Server 7.1.x.

 

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	28-Sep-2026	الإصدار الأولي