Splunk_TA_microsoft-IISがインストールされているとCPU使用率が高くなるユニバーサルフォワーダ

適用性

説明

調査

識別方法：

a.ユニバーサルフォワーダには、次のアプリケーションがあります。

-OS名Microsoft Windows Server 2008 R2 Enterprise
– バージョン6.1.7601 Service Pack 1ビルド7601
- Splunk Universal Forwarder 7.2.0
-Splunk_TA_Windows 5.0.0
-Splunk_TA_microsoft-IIS 1.0.1

b. Splunk_TA_microsoft-IISの設定は次のとおりです。

[monitor://C:\inetpub\logs\LogFiles\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis[monitor://D:\inetpub\logs\LogFiles\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis[monitor://D:\inetpub\logs\logfiles\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis[monitor://D:\IISLogs\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis

c.上記の設定でSplunk_TA_microsoft-IISアドオンを有効にすると、CPU使用率が70 %になります。

d. 2点と3点を同じ位置に入力します。唯一の違いは、Windowsで無視されるパスの大文字と小文字の区別です。



 

解決方法

修正方法：

フォルダトラバーサル「。..」はCPUリソースの束を盗むことでよく知られています。

Splunk_TA_microsoft-IISアドオンの公式ドキュメントでは、次の単一入力エントリを推奨しています。
コンフィギュレーションファイルを使用して入力を設定する

この問題を解決するには、4つの入力すべてを単一入力へのフォルダトラバーサルに置き換えます（暗黙的な再帰がtrueに等しい）。

[monitor://C:\inetpub\logs\LogFiles]
whitelist = \.log$|\.LOG$
disabled = false
sourcetype = ms:iis:auto

$HOME_SPLUNK/etc/apps/Splunk_TA_microsoft-IIS/local/inputs.confを変更してSplunkを再起動すると、CPU使用率は通常（10 %以下）のままになります。


 

関連リンク

コンフィギュレーションファイルを使用して入力を設定する