Splunk_TA_microsoft-IIS가 설치된 경우 CPU 사용률이 높은 Universal Forwarder

적용 가능성

설명

조사

식별 방법:

a. 유니버설 전달자는 다음 앱을 가지고 있습니다.

-OS 이름 Microsoft Windows Server 2008 R2 Enterprise
-버전 6.1.7601 서비스 팩 1 빌드 7601
-Splunk Universal Forwarder 7.2.0
-Splunk_TA_windows 5.0.0
-Splunk_TA_microsoft-IIS 1.0.1

b. Splunk_TA_microsoft-IIS의 구성은 다음과 같습니다.

[monitor://C:\inetpub\logs\LogFiles\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis[monitor://D:\inetpub\logs\LogFiles\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis[monitor://D:\inetpub\logs\logfiles\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis[monitor://D:\IISLogs\...\*.log]
disabled = false
sourcetype = ms:iis:auto
index = iis

c. 위의 컨피그레이션으로 Splunk_TA_microsoft-IIS 추가 기능을 활성화하면 CPU 사용량이 70%가 됩니다.

d. 두 점과 세 점을 같은 위치에 입력하면 Windows에서 무시된 경로에 대한 대/소문자 구분만 달라집니다.



 

해결

해결 방법:

폴더 트래버스 "..." 많은 CPU 리소스를 훔치는 것으로 잘 알려져 있습니다.

Splunk_TA_microsoft-IIS 추가 기능 공식 문서에서는 단일 입력 항목을 권장합니다.
컨피그레이션 파일을 사용하여 입력 구성

이 문제를 해결하려면 4개 입력 모두를 단일 입력(암시적 재귀 = true)에 대한 폴더 통과로 바꾸십시오.

[monitor://C:\inetpub\logs\LogFiles]
whitelist = \.log$|\.LOG$
disabled = false
sourcetype = ms:iis:auto

$HOME_SPLUNK/etc/apps/Splunk_TA_microsoft-IIS/local/inputs.conf을 수정하고 Splunk를 다시 시작하면 CPU 사용량이 정상(~10%)으로 유지됩니다.


 

관련 링크

컨피그레이션 파일을 사용하여 입력 구성