L'origine dati VMware vCenter interrompe l'analisi e i registri ASP del destinatario mostrano errori PCRE_ERROR_MATCHLIMIT

Articoli tecnici ID: KB96433
Ultima modifica: 12/07/2023

Ambiente

SIEM Enterprise Security Manager 11.x
SIEM Event Receiver (Ricevitore) 11.x

Problema

Il seguente errore viene visualizzato in asp.log.xx sul ricevitore:

Mar 28 02:28:30 L_WARN 21673|pcre_exec failed with: [-8][PCRE_ERROR_MATCHLIMIT] Mar 28 02:28:30 L_WARN 21673|rule with sid:1025462, 1 : (?:(?P<severity1>\w+)\s+\x27(?:.*\x2f)?([^\s\x27]+).*?\x27|(?P<application>\S+)\x3a\s+(?P<severity2>\w+)\s+.*?sub\x3d(?P<sub>[^\x5d\s]+)).*?\x5d\s+.*?Failed\s+to\s+get\s+data\s+ring Mar 28 02:29:12 L_WARN 21679|pcre_exec failed with: [-8][PCRE_ERROR_MATCHLIMIT] Mar 28 02:29:12 L_WARN 21679|rule with sid:1017264, 1 : (?:(?P<severity1>\w+)\s+\x27(?:.*\x2f)?([^\s\x27]+).*?\x27|(?P<application>\S+)\x3a\s+(?P<severity2>\w+)\s+.*?sub\x3d(?P<sub>[^\x5d\s]+)).*?\x5d\s+.*?Create\s+worker\s+thread\s+completed\s+succesfully

L'errore precedente mostra gli ID firma 1025462 e 1017264, che sono parser VMware predefiniti. Nei tuoi casi, potresti anche vedere che i parser identificati nel messaggio di errore sono già impostati per disabilitare nell'editor dei criteri.

Causa

VMware invia eventi 'vpxd-profiler' che sono eccessivamente grandi. Il ricevitore deve applicare il regex di ogni VMware parser a ciascuno di quei registri e alla fine raggiunge il timeout del limite di corrispondenza.

Soluzione

Per evitare che ASP debba analizzare i log vpxd-profiler, è consigliabile stabilire una regola di filtro all'interno dell'editor dei criteri che eliminerà questi log.

Per ulteriori informazioni, vedere KB74834 - Come creare regole di filtro personalizzate per filtrare gli eventi innocui.

Soluzione alternativa

Mantieni l'origine dati VMware disabilitata fino a quando non avrai implementato la soluzione descritta sopra.

Dichiarazione di non responsabilità

Il contenuto di questo articolo è stato scritto in inglese. In caso di differenze tra il contenuto in inglese e la traduzione, fare sempre riferimento al contenuto in iglese. Parte del contenuto è stata tradotta con gli strumenti di traduzione automatica di Microsoft.

Prodotti interessati

Lingue:

Questo articolo è disponibile nelle seguenti lingue:

Knowledge Center

L'origine dati VMware vCenter interrompe l'analisi e i registri ASP del destinatario mostrano errori PCRE_ERROR_MATCHLIMIT

Ambiente

Problema

Causa

Soluzione

Soluzione alternativa

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Title

Title

Knowledge Center

L'origine dati VMware vCenter interrompe l'analisi e i registri ASP del destinatario mostrano errori PCRE_ERROR_MATCHLIMIT

Ambiente

Problema

Causa

Soluzione

Soluzione alternativa

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Scegli la regione

Title

Title