Utilizzo elevato della CPU nel server di inoltro universale
Applicabilità
Splunk EnterpriseDescrizione
È stata osservata un'attività imprevista di un processo host Windows che gestisce le operazioni di I/O degli eventi Windows che mantiene costantemente l'utilizzo della CPU tra il 10% e il 30%. Gli utenti hanno lamentato un peggioramento dell'esperienza utente degli endpoint.
Si noti che il processo splunk-PowerShell scrive costantemente nella pipeline di PowerShell aperta.
Indagine
Il verificarsi di questi eventi:Event 4103CommandInvocation(Out-Null): "Out-Null"CommandInvocation(Out-Null): "Out-Null"
Event 4103CommandInvocation(Start-Sleep): "Start-Sleep"ParameterBinding(Start-Sleep): name="Milliseconds"; value="200"
La sospensione costante di 200 ms e la registrazione degli eventi fanno sì che il servizio EventLog utilizzi una CPU elevata.
Risoluzione
Modificato il codice Splunk padre PS1 $SPLUNK_HOME\bin\splunk-powershell.ps1 in alcuni computer sostituendo il seguente codice:
if($disposedNow -eq 0){start-sleep -m 200}
Con un valore superiore, nel nostro test: 250.000 ms ( ~4 min)
In seguito, la CPU è rimasta stabile.
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
28-Sep-2026
|
Versione iniziale |
Feedback