Tutti gli eventi di orchestrazione ePolicy non riescono a analizzare e alla fine vengono bloccati nella cartella eventi

Articoli tecnici ID: KB86011
Ultima modifica: 2022-07-12 19:34:50 Etc/GMT

Ambiente

McAfee ePolicy Orchestrator (ePO) 5.x

Problema

Tutti gli eventi ePO non vengono analizzati e alla fine vengono bloccati nella Events cartella.

Errori di EventParser.log registrazione:

E #08888 EPOEVENTS epoevents_dao.cpp(776): COM Error 0x80040E31, source=Microsoft OLE DB Provider for SQL Server, desc=Query timeout expired, msg=IDispatch error #3121
E #08888 EPOEVENTS epoevents.cpp(50): COM Error 0x80040E31, source=Microsoft OLE DB Provider for SQL Server, desc=Query timeout expired, msg=IDispatch error #3121

Quando si Visualizza il Monitoraggio attività SQL in SQL Server Management Studio, è possibile che venga trovato un query simile a quello riportato di seguito. Il query mostra che sta bloccando molte altre query, incluse le query di inserimento degli eventi:

select count(*) as 'count' datepart( YEAR dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ) ) as 'EPOEvents.DetectedUTC.year' datediff(week dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) + 1 + case when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 < 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 >= 7 then 1 when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 >= 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 < 7 then -1 else 0 end as 'EPOEvents.DetectedUTC.week' datepart( YEAR dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ) ) as 'EPOEvents.DetectedUTC.year' datediff(week dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) + 1 + case when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 < 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 >= 7 then 1 when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 >= 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 < 7 then -1 else 0 end as 'EPOEvents.DetectedUTC.week' from [EPOEvents] where ( ( [EPOEvents].[Analyzer] is null or ( [EPOEvents].[Analyzer] <> N'DATALOSS2000' )) and ( ( [EPOEvents].[Analyzer] is null or ( [EPOEvents].[Analyzer] <> N'DATALOSS2000' )) and ( ( [EPOEvents].[Analyzer] is null or ( [EPOEvents].[Analyzer] <> N'DATALOSS2000' )) and ( ( [EPOEvents].[Analyzer] is null or ( [EPOEvents].[Analyzer] <> N'DATALOSS2000' )) and ( ( [EPOEvents].[Analyzer] is null or ( [EPOEvents].[Analyzer] <> N'DATALOSS2000' )) and ( ( [EPOEvents].[Analyzer] is null or ( [EPOEvents].[Analyzer] <> N'DATALOSS2000' )) and ( EPOEvents.AgentGUID IN ( SELECT lnd.AgentGUID FROM EPOLeafNode lnd inner join EPOBranchNode bnd on bnd.AutoID = lnd.ParentID inner join EPONodePermissions npr on npr.NodeID = bnd.AutoID WHERE lnd.AgentGUID IS NOT NULL and npr.GroupID in (5 6) ) and ( [EPOEvents].[ThreatCategory] LIKE 'av%' and ( [EPOEvents].[DetectedUTC] between '2015-07-23T20:10:16.288' and '2015-10-22T20:10:16.288' ) ) ) ) ) ) ) ) ) group by datepart( YEAR dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ) ) datediff(week dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) + 1 + case when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 < 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 >= 7 then 1 when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 >= 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 < 7 then -1 else 0 end order by datepart( YEAR dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ) ) asc datediff(week dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) + 1 + case when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 < 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 >= 7 then 1 when datepart(weekday dateadd(year datediff(year 0 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] )) 0) + @@datefirst - 7) - 1 >= 7 and datepart(weekday dateadd(day @@datefirst - 7 dateadd( MILLISECOND -18000000 [EPOEvents].[DetectedUTC] ))) - 1 < 7 then -1 else 0 end asc

Per ulteriori informazioni sull'apertura di SQL Activity Monitor, consultare il seguente articolo di Microsoft: https://msdn.Microsoft.com/en-us/library/ms175518.aspx#SSMSProcedure.

Causa

Questo problema può peggiorare quando sono EPOEvents presenti molti eventi nella tabella. Quando un evento query viene eseguito tramite un account di amministratore non globale, ePO deve eseguire i controlli delle autorizzazioni rispetto all'account utente. Questa azione è necessaria per verificare che l'utente disponga dell'accesso a gruppi e prodotti per ciascuno degli eventi sottoporre a query. Questo processo è a elevato utilizzo di risorse all'interno di SQL e può utilizzare grandi quantità di I/O del disco, memoria e risorse della CPU.
Se si verificano milioni di eventi quando ePO esegue questo tipo di query, può causare la query a:

Richiedere molto tempo.
Impedisce a ePO di accedere alla tabella eventi quando tenta di inserire eventi.

Questo problema può verificarsi anche se nel SQL Server sono presenti risorse limitate, tra cui:

Memoria insufficiente installata sul SQL Server o memoria insufficiente assegnata a SQL
Scarse prestazioni di I/O del disco.
Utilizzo elevato della CPU sul SQL Server.
Frammentazione del database.

Soluzione

Sono consigliate le seguenti procedure consigliate per risolvere i problemi quando esistono molti eventi e sono presenti risorse limitate sul SQL Server.

Eliminare gli eventi non necessari dalla EPOEvents tabella. Eseguire questa attività utilizzando un'attività di eliminazione di ePO o manualmente tramite SQL Server Management Studio.
Per informazioni dettagliate, consultare KB68961 - Come trovare i primi 10 eventi di minaccia ed eliminare gli eventi.
Aggiungere memoria al SQL Server * o consultare l'articolo Microsoft all'indirizzo https://msdn.Microsoft.com/en-us/library/ms178067.aspx. In questo articolo vengono fornite istruzioni su come assegnare più memoria per l'utilizzo di SQL.
Ottimizzate la configurazione dell'hardware SQL per l'ambiente, compresi lo spazio su disco rigido, le risorse della CPU e la memoria. Consultare i relativi Guida alle Best practice di ePolicy Orchestrar per istruzioni.
Per gli ambienti con più di 10.000 nodi, verificare che SQL sia installato su un server fisico. Per importanti consigli di dimensionamento per ePolicy Orchestrator, consultare la sezione Guida all'installazione di ePO 5.10.
Se necessario, cercare la frammentazione dell'indice del database e ricostruire gli indici.
Per il piano di manutenzione consigliato per i database ePO, consultare l'articolo kb67184 -piano di manutenzione consigliato per i database di ePolicy Orchestrator utilizzando SQL Server Management Studio.
Nota: Il contenuto a cui si fa riferimento è disponibile solo per gli utenti che hanno effettuato l'accesso a ServicePortal. Per visualizzare il contenuto, fare clic sul collegamento e accedere quando richiesto.

Soluzione alternativa

Per trovare le query di blocco all'interno di monitoraggio attività SQL:

Espandi il Processi riquadro e trova la colonna contrassegnata Blocco testine. Le etichette delle colonne vengono troncate. È possibile osservare il nome completo di mouse sul nome della colonna o sull'espansione delle dimensioni della colonna.
Fare clic sulla freccia a discesa sulla colonna di blocco della testa e selezionare 1. Questa azione elenca il query di blocco. Se non è presente alcun numero 1e solo la parola Tutti è elencato, non è presente alcun processo di blocco. Inoltre, non viene visualizzato il problema a cui si fa riferimento in questo articolo.
Fare clic con il pulsante destro del mouse sul comando, elencato nella Comando colonna e selezionare Dettagli per visualizzare l'intero query.

Se viene visualizzato un query simile a quello sopra che sta bloccando, è possibile tentare di uccidere il query. Fare clic con il pulsante destro del mouse sul query e selezionare uccidere.
Verificare se questa azione consente di iniziare l'analisi degli eventi. Se l'uccisione del query risolve temporaneamente il problema, cercare Orion log un'istanza del query trovata nel monitoraggio attività SQL.

Per assistenza, consultare KB52369 -come attivare la registrazione di debug nel file Orion. log

Se si trova un'istanza del query nel registro di Orion, è possibile identificare la generazione di questa query. Questo tipo di query è spesso il risultato di un query eseguito da un utente dashboard all'interno di ePO. In tal caso, è possibile provare a chiudere tutte le console di ePO aperte per tutti gli utenti, per verificare se questa azione risolve temporaneamente anche il problema.

Informazioni correlate

Per i documenti del prodotto, accedere al portale della documentazione del prodotto.

Dichiarazione di non responsabilità

Il contenuto di questo articolo è stato scritto in inglese. In caso di differenze tra il contenuto in inglese e la traduzione, fare sempre riferimento al contenuto in iglese. Parte del contenuto è stata tradotta con gli strumenti di traduzione automatica di Microsoft.

Prodotti interessati

Lingue:

Questo articolo è disponibile nelle seguenti lingue:

Knowledge Center

Tutti gli eventi di orchestrazione ePolicy non riescono a analizzare e alla fine vengono bloccati nella cartella eventi

Ambiente

Problema

Causa

Soluzione

Soluzione alternativa

Informazioni correlate

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Title

Title

Knowledge Center

Tutti gli eventi di orchestrazione ePolicy non riescono a analizzare e alla fine vengono bloccati nella cartella eventi

Ambiente

Problema

Causa

Soluzione

Soluzione alternativa

Informazioni correlate

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Scegli la regione

Title

Title