Para desativar as regras de eventos de alto valor de contagem de eventos baixos:

Muitas origens de dados enviam vários logs, alguns dos quais são mais importantes do que outros. Os registros que são de baixa importância, mas com alto volume, reduzem a capacidade geral do evento por segundo receptor.

Se um determinado tipo de evento tiver um alto número de eventos por segundo e os logs não forem importantes para o usuário, as regras responsáveis por esses eventos poderão ser desativadas. Essa ação não impede que o receptor colete e envie esses eventos para o ESM, impedindo que os eventos o façam com os dashboards do ESM.

As alterações têm baixo impacto sobre o desempenho, mas podem ajudar a reduzir a quantidade de dados que o ESM precisa para fazer a varredura.

1. No dashboard, selecione o nome da regra ou o tipo de evento que você deseja desativar.
2. No menu Pancake, escolha Mostrar regra.
   O sistema abre o editor de políticas dessa origem de dados e encontra a ASP ou a regra de origem de dados responsável por esses eventos.
   
3. Com essa regra selecionada, clique na lista suspensa da seção Ativar/desativar e escolha desativar.
4. Clique no menu suspenso de operações na parte superior e clique em política de distribuição.

Para evitar o uso de análise como syslog genérico nas propriedades de origem de dados:

Cada origem de dados ASP contém uma seção em Propriedades para o tratamento de eventos que não correspondem a nenhuma regra. Essa opção pode ser definida como não fazer nada, efetuar logon como desconhecidaou ser analisada como syslog genérico.

Essas opções podem ser úteis para a solução de problemas, mas recomendamos que você desative a configuração do syslog genérico. O motivo é que ele tem uma penalidade de desempenho considerável. Ele é destinado a uma solução de curto prazo ao configurar uma nova origem de dados que não tem os arquivos de regra necessários para todos os eventos. Basicamente, ele executa o evento após a origem de dados original e ASP regras uma segunda vez, mas adiciona em milhares de regras genéricas de syslog genérico. Como ele adiciona tantas regras extras a cada evento processado, há um grande impacto no desempenho. Ter apenas algumas dessas configurações de regras genéricas ativadas pode retardar todo o receptor.

1. Selecione a origem de dados e as propriedadesabertas.
2. Role para baixo até a seção desconhecida .
3. Escolha não fazer nada ou registrar como desconhecido.
4. Clique em OK e, se solicitado, grave as configurações da origem de dados e as políticas de registro.

Para fazer o pedido de regras de ASP para garantir que as mais altas regras de contagem de eventos sejam executadas primeiro (consulte KB90611-Filter e informações sobre pedidos de regras do analisador de syslog avançado para obter mais informações):

Cada evento que se origina em uma origem de dados deve ser verificado em cada regra para aquela origem de dados até que uma correspondência seja encontrada. Quanto mais regras forem verificadas antes de uma correspondência, o desempenho da análise será mais lento. Ao alterar a ordem em que as regras são usadas para verificar cada evento, podemos reduzir o impacto sobre o desempenho na análise. A idéia é fazê-lo de forma que os eventos mais comuns tenham maior probabilidade de disparar suas regras de correspondência primeiro.

Por exemplo, há 1.000 regras para uma origem de dados, e o evento mais comum é o tipo 51. Coloque as verificações de pedido de regra para o tipo 51 em vez de atrás das outras regras de 999.

1. No console do ESM, clique em Editor de políticas. No painel tipos de regras , clique em receptor, analisador de syslog avançado.
2. No menu operações , clique em ordem ASP regras. Na lista suspensa tipo de origem de dados , selecione uma origem de dados.
3. No painel esquerdo, selecione as regras a serem adicionadas e defina-as na ordem apropriada no painel direito.
4. Selecione a guia Regras padrão ou Regras personalizadas.
   
   Nota: Por padrão, as regras de filtro de pedido, não há regras listadas.
   
5. Use as setas para mover uma regra do painel esquerdo para o painel da direita acima das regras sem ordem.
6. Use as setas para cima e para baixo para colocar as regras na ordem correta.
7. Clique em OK e salve as alterações.
8. Envie a política por push para os dispositivos apropriados.

Para usar as regras de filtro para remover completamente um tipo de evento da análise e do pipeline de evento (consulte KB74834-como criar regras de filtro personalizadas para filtrar eventos inofensivos ou KB87331-como melhorar o desempenho do ASP filtrando registros que não correspondem a nenhuma regra para obter detalhes):

As regras de filtro são semelhantes à desativação das regras de análise, com a exceção de que você bloqueia a coleta do evento original todos juntos. Os eventos coletados pelo receptor seguem essas regras de filtro e, se houver um evento que corresponda a um filtro, ele será removido no lado da coleção. Essa remoção significa que os eventos nunca são enviados para o pipeline de análise ou o ESM, e oferece o maior ganho de desempenho. Se um evento específico de baixo valor disparar em contagens mais altas do que eventos mais importantes, e não houver necessidade de rastrear esses eventos no ESM dashboard, uma regra de filtro faz sentido empregar. É importante observar que, enquanto uma regra de filtro remove eventos do receptor e do processamento do ESM, os registros são enviados para o ELM para fins de conformidade. Portanto, mesmo se um evento for filtrado receptor e do ESM, ele ainda poderá ser encontrado com uma pesquisa do ELM.

As regras de filtragem são um tópico avançado e exigem que o usuário esteja familiarizado com a criação de expressões regulares de PCRE.