As tabelas de eventos estendidos são grandes e os eventos de eliminação não reduzem o número de linhas

Artigos técnicos ID: KB93761
Última modificação: 18/07/2022

Ambiente

ePolicy Orchestrator (ePO) 5.10.x

Resumo

Várias seções deste artigo fazem referência a execução de um script. Para obter orientação sobre como executar um script de SQL, consulte KB67591-como executar uma script de SQL fornecida pelo suporte técnico contra o banco de dados do EPolicy Orchestrator.

Problema 1

O RowCount valor em uma ou mais das tabelas listadas abaixo é extremamente grande e o valor não é reduzido depois que os RowCount eventos são eliminados.

ATD_Events
EPCertEventMT
EPExtendedEventMT
HIP8_EventInfo
HIP8_IPSEventParameter
JTIClientEventInfo
VSECustomEvent
WP_EventInfoMT

O acima é especialmente verdadeiro se o RowCount de qualquer uma das tabelas acima exceder a contagem real de linhas da EPOEvents tabela.

Para verificar o problema:
Você pode usar a consulta a seguir para determinar o RowCount de uma tabela. Obtido substituindo o <table_name> pelo nome da tabela que você deseja inspecionar:

select count(*) as 'RowCount' from <tablename> (nolock)

Problema 2

Eventos órfãos
Se os resultados da consulta abaixo aparecerem diferentes de zero, o que indica que você tem eventos órfãos:

select count(R.AutoID) as 'OrphanCount'
from EPOEventsReference R (nolock)
left join EPOEvents E (nolock)
on R.AutoID = E.AutoID
where E.AutoID is null

Eventos órfãos significam que uma referência ao evento está presente na EPOEventsReference tabela do banco de dados principal do ePO. No entanto, esse mesmo autoIDnão está presente na EPOEvents tabela do banco de dados de eventos do ePO.

As tarefas de manutenção padrão não removem esses eventos. Geralmente, esse evento ocorre se você estiver limpando eventos de ameaça diretamente do SQL usando uma consulta de limpeza escrita para o ePO 5.9.1 ou anterior.

Esse problema também pode acontecer se você restaurar o banco de dados de eventos do ePO. Visto quando você não restaura o banco de dados principal do ePO usando um backup que foi criado ao mesmo tempo.

Problema 3

Inverter eventos órfãos
Se os resultados da consulta a seguir aparecerem non-zero , isso indica que você está com eventos órfãos invertidos:

select count(E.AutoID) as 'ReverseOrphanCount'
from EPOEvents E (nolock)
left join EPOEventsReference R (nolock)
on E.AutoID = R.AutoID
where R.AutoID is null

Como o nome já diz, os eventos órfãos invertidos são os opostos de eventos órfãos. Um evento órfão invertido é um evento que está presente na EPOEvents tabela no banco de dados de eventos do ePO. No entanto, o mesmo AutoIDnão está presente na EPOEventsReference tabela do banco de dados do ePO primário.

Uma tarefa de manutenção padrão não remove esses eventos. Esse problema normalmente ocorre após a restauração do banco de dados principal do ePO, mas não restaura o banco de dados de eventos usando um backup feito ao mesmo tempo.

Problema 4

Os erros a seguir são registrados no Eventparser.log arquivo:

EPOEVENT epoevents.cpp(66): COM Error 0x80040E2F, source=Microsoft SQL Server Native Client 11.0, desc=Violation of PRIMARY KEY constraint 'PK_EPOEventsReference'. Cannot insert duplicate key in object 'dbo.EPOEventsReference'. The duplicate key value is (86387414)

Causa

O esquema do banco de dados do ePO 5.10 é diferente do esquema usado no ePO 5.9.1 e em versões anteriores. Os scripts SQL mais antigos usados para eliminar dados de eventos não funcionam corretamente no ePO 5.10.

Por exemplo:

Os eventos de ameaça do ePO 5.10 agora são gravados em um banco de dados diferente. No entanto, os dados do evento estendidos permanecem no banco do dados do ePO primário.
As tabelas de eventos estendidos no banco de dados primário são todas desativadas fora da ePOEventReference tabela com uma exclusão em cascata. Portanto, se você eliminar linhas diretamente do ePOEvents banco de dados, mas não eliminar as EPOEventReference linhas correspondentes da tabela, as linhas das tabelas de eventos estendidos permanecerão.

Da mesma forma, se você restaurar o banco de dados principal do ePO, mas não restaurar o banco de dados de eventos do ePO usando um backup feito ao mesmo tempo, você terminará com as entradas no EPOEvents banco de dados que não são referenciadas na EPOEventReference tabela no banco de dados primário. Além disso, a tarefa de manutenção padrão não remove essas entradas.

Solução 1

Se você tiver um ou mais eventos órfãos, download os scripts SQL anexados e execute o script chamado PurgeOrphanedEvents. SQL contra o banco de dados principal do ePO.

Nota: Os serviços do ePO não precisam ser interrompidos para que a execução deste script seja executada.

IMPORTANTE: antes de iniciar o processo explicado neste artigo, você deverá fazer o backup do servidor ePO. Consulte os seguintes artigos da base de conhecimento para obter mais informações:

Solução 2

Se você tiver um ou mais eventos órfãos invertidos, download os scripts SQL anexados e execute o script nomeado PurgeReverseOrphanedEvents.SQL com base no banco de dados do ePO primário.

Nota: Os serviços do ePO não precisam ser interrompidos para que a execução deste script seja executada.

IMPORTANTE: antes de iniciar o processo explicado neste artigo, você deverá fazer o backup do servidor ePO. Consulte os seguintes artigos da base de conhecimento para obter mais informações:

Solução 3

Quando o servidor ePO tiver sido atualizado de versão 5.3.x para 5.9.1 ou 5.10 :

Se as soluções acima não ajudarem, é possível que o esquema do banco de dados não tenha sido atualizado corretamente.

Esse evento pode fazer com que algumas chaves estrangeiras em tabelas de eventos estendidas estejam ausentes. Quando você limpa eventos usando as script corretas, as linhas correspondentes não são removidas das tabelas de eventos estendidos.

Para verificar se esse problema é o caso, download os scripts SQL anexados. Em seguida, execute o script nomeado CheckBigIntMigration.sql com o banco de dados do ePO primário.
IMPORTANTE: antes de iniciar o processo explicado neste artigo, você deverá fazer o backup do servidor ePO. Consulte os seguintes artigos da base de conhecimento para obter mais informações:
- KB87976 - Visão geral do recurso de instantâneo de recuperação de desastres do ePolicy Orchestrator 5.x
- KB66616 - Procedimento de recuperação de desastres e backup do servidor ePolicy Orchestrator
Exiba a guia mensagens na janela consulta do SQL Review Studio e procure por quaisquer erros registrados.
Se algum erro for encontrado:
1. Entre em contato com o Suporte técnico e crie uma solicitação de serviço. Faça referência a este artigo ao criar a solicitação de serviço.
2. Verifique se você fornecerá a saída do script para que o CheckBigIntMigration.sql suporte técnico seja revisado.

Para criar uma solicitação de serviço, Entre no ServicePortal:

Se você for um usuário registrado, digite sua ID de usuário e senha e, em seguida, clique em efetuar login.
Se você não for um usuário registrado, clique em registrar e preencha os campos. Sua senha e suas instruções são enviadas por e-mail para você.

Anexo

EventsSQLScripts_V2.zip
4K • < 1 minute @ broadband

Aviso de isenção de responsabilidade

O conteúdo original deste artigo foi redigido em inglês. Se houver diferenças entre o conteúdo em inglês e sua tradução, o conteúdo em inglês será o mais exato. Parte deste conteúdo foi criado por meio de tradução automática da Microsoft.

Produtos afetados

ePolicy Orchestrator 5.10.x

Idiomas:

Este artigo está disponível nos seguintes idiomas:

Knowledge Center

As tabelas de eventos estendidos são grandes e os eventos de eliminação não reduzem o número de linhas

Ambiente

Resumo

Problema 1

Problema 2

Problema 3

Problema 4

Causa

Solução 1

Solução 2

Solução 3

Anexo

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

As tabelas de eventos estendidos são grandes e os eventos de eliminação não reduzem o número de linhas

Ambiente

Resumo

Problema 1

Problema 2

Problema 3

Problema 4

Causa

Solução 1

Solução 2

Solução 3

Anexo

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title