La source de données VMware vCenter arrête l'analyse et les journaux de Receiver ASP affichent les erreurs PCRE_ERROR_MATCHLIMIT

Articles techniques ID: KB96433
Date de la dernière modification : 12/07/2023

Environnement

SIEM Enterprise Security Manager 11.x
Récepteur d'événements SIEM (récepteur) 11.x

Problème

L'erreur suivante s'affiche dans asp.log.xx sur votre récepteur :

Mar 28 02:28:30 L_WARN 21673|pcre_exec failed with: [-8][PCRE_ERROR_MATCHLIMIT] Mar 28 02:28:30 L_WARN 21673|rule with sid:1025462, 1 : (?:(?P<severity1>\w+)\s+\x27(?:.*\x2f)?([^\s\x27]+).*?\x27|(?P<application>\S+)\x3a\s+(?P<severity2>\w+)\s+.*?sub\x3d(?P<sub>[^\x5d\s]+)).*?\x5d\s+.*?Failed\s+to\s+get\s+data\s+ring Mar 28 02:29:12 L_WARN 21679|pcre_exec failed with: [-8][PCRE_ERROR_MATCHLIMIT] Mar 28 02:29:12 L_WARN 21679|rule with sid:1017264, 1 : (?:(?P<severity1>\w+)\s+\x27(?:.*\x2f)?([^\s\x27]+).*?\x27|(?P<application>\S+)\x3a\s+(?P<severity2>\w+)\s+.*?sub\x3d(?P<sub>[^\x5d\s]+)).*?\x5d\s+.*?Create\s+worker\s+thread\s+completed\s+succesfully

L'erreur ci-dessus indique les ID de signature 1025462 et 1017264, qui sont des analyseurs VMware par défaut. Dans vos cas, vous pouvez également voir que les analyseurs identifiés dans le message d'erreur sont déjà définis pour être désactivés dans l'éditeur de stratégie.

Cause

VMware envoie des événements 'vpxd-profiler' qui sont excessivement volumineux. Le récepteur doit appliquer le regex de chaque analyseur VMware à chacun de ces journaux et finit par atteindre le délai d'expiration de la limite de correspondance.

Solution

Pour empêcher ASP d'avoir à analyser vpxd-profiler les journaux, il est conseillé d'établir une règle de filtrage dans l'éditeur de stratégie qui supprimera ces journaux.

Pour plus d'informations, voir KB74834 - Comment créer des règles de filtrage personnalisées pour filtrer les événements anodins.

Résolution

Laissez la source de données VMware désactivée jusqu'à ce que vous ayez implémenté la solution décrite ci-dessus.

Clause d'exclusion de responsabilité

Le contenu du présent article a été rédigé en anglais. En cas de divergences entre la version anglaise et sa traduction, la version en anglais prévaut. Certaines parties de ce contenu ont été traduites par le moteur de traduction automatique de Microsoft.

Produits affectés

Langues :

Cet article est disponible dans les langues suivantes :

Knowledge Center

La source de données VMware vCenter arrête l'analyse et les journaux de Receiver ASP affichent les erreurs PCRE_ERROR_MATCHLIMIT

Environnement

Problème

Cause

Solution

Résolution

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Title

Title

Knowledge Center

La source de données VMware vCenter arrête l'analyse et les journaux de Receiver ASP affichent les erreurs PCRE_ERROR_MATCHLIMIT

Environnement

Problème

Cause

Solution

Résolution

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Choisissez votre région

Title

Title