ESM 3004 ve sorgu hataları: alarm yükünü veritabanı arızasından ayırmak

SIEM sorgusunda hata kodu görmek, olay verisinin kaybolduğu veya veritabanının bozulduğu sonucunu tek başına vermez. Sorgu yükü, çalışan görevler ve eşlik eden native hata kayıtları birlikte değerlendirilmelidir. Özellikle erişim ihlali gibi ek belirtiler normal bir “sonuç yok” durumundan ayrı ele alınır.

1. Hata zincirini sakla
2. Sorgu yükünü çıkar
3. Kaynakları ölç
4. Sorunlu işi daralt
5. Destekli düzeltmeyi uygula
6. Alarmları kademeli aç

Kodun çevresindeki hata zincirini kaydedin

Hata zamanı, ilgili alarm veya rapor, sorgu aralığı ve ürün build bilgisi saklanır. Sadece son satırın ekran görüntüsü yerine önceki ve sonraki olaylar birlikte incelenir. Kuruma ait alanlar destek paylaşımında uygun biçimde sınırlandırılır.

3004 gibi bir kod bütün sürümlerde tek kök nedeni kanıtlamaz. Eski bir vaka için yapılmış performans tahminini yeni olayın kesin sonucu gibi kullanmayın. Crash veya erişim ihlali varsa üretici destek incelemesi gerekebilir.

Çalışan sorguları ve zaman penceresini inceleyin

Task Manager üzerinden uzun süren rapor, görünüm, watchlist ve alarm sorguları değerlendirilir. Üreticinin izin verdiği kullanıcı sorguları kontrollü kapatılabilir; sistem sorgularına rastgele müdahale edilmez.

Çok sık çalışan ve geniş zaman aralığını tarayan alarmlar üst üste binebilir. Sıklığı veya pencereyi azaltırken tespit gereksinimini koruyun. Bütün alarmları aynı sabit aralığa çekmek her kullanım senaryosu için doğru değildir.

Kaynak baskısını ölçün

Disk ve inode doluluğu, bellek, swap ve yük ortalaması kontrol edilir. Veri bölümleri ile işletim sistemi alanı ayrı incelenmelidir. Bir partition doluluğu uygulama genelinde farklı hatalar üretebilir.

df -h
df -i
free -m
uptime

Appliance üzerinde standart Linux komutlarının erişilebilirliği sürüme bağlıdır. Üretici destek kapsamı dışındaki paket veya onarım araçlarını kurmayın.

Değişikliği kontrollü ve geri alınabilir tutun

Sorunlu alarm veya sorgu dar kapsamda durdurularak sistem davranışı gözlenir. Servis restart’ı gerekiyorsa bakım ve veri alım etkisi planlanır. HA veya çok düğümlü yapıda sıra üretici prosedürüne göre belirlenir.

Veritabanı dosyası silme, index rebuild veya metadata düzeltmesi destek yönlendirmesi olmadan uygulanmamalıdır. Destek paketi, build ve tekrar üretim adımları hazırlanır. Hotfix kararı tam sürüm ve resmî sürüm notuyla eşleştirilir.

Alarmları kademeli geri alın

Tek bir sorguyla başlayıp süre ve kaynak etkisini ölçün. Ardından diğer görevler kontrollü açılır. Sorgu başarısı kadar log alımının ve kritik alarm kapsamının sürdüğü de doğrulanmalıdır.

• Hata zinciri ve build kayıtlı.
• Sorgu yükü ölçüldü.
• Disk ve bellek durumu değerlendirildi.
• Destek dışı DB müdahalesi yapılmadı.
• Alarm kapsamı ve performans birlikte doğrulandı.

İlgili çalışma notları

• IPsec üzerinden yedek aktarımı yavaş: bant genişliği, MTU ve TCP ayrımı
• SIEM session lock ve ELM sağlık sorunları: kilidi silmeden önce ne incelenmeli?
• Windows yavaşlığını ölçmek: başlangıç, bellek, disk ve arka plan işleri

Nasıl yapılır: ayrıntılı uygulama

Ortam ve ön koşullar: Yazıda belirtilen ürün ve desteklenen pilot ortam — Yetkili izole pilot, belirtilen sürüm/model desteği, mevcut durum kaydı ve değişiklik gerekiyorsa tutarlı yedek/geri erişim gerekir.

1. Hata kodunu ve sorgu kapsamını kaydedin
2. Sağlık görünümünü desteklenen yerden okuyun
3. Sorguyu daraltarak sınayın
4. Rapor/alarm eşzamanlılığını inceleyin
5. Destek paketi ve geri dönüşü yönetin

1. Hata kodunu ve sorgu kapsamını kaydedin

ESM 3004 tek başına veritabanı bozulması teşhisi değildir. Rapor/sorgu ID, zaman aralığı, filtreler, Receiver/ELM kapsamı ve aynı zamandaki alarm yükünü ayırın.

2. Sağlık görünümünü desteklenen yerden okuyun

System Properties ve ilgili ESM/Receiver/ELM health/status alanlarında disk, işlem ve bağlantı uyarılarını kaydedin. Bu appliance üzerinde genel Linux temizleme/DB repair komutu önerilmez.

3. Sorguyu daraltarak sınayın

Aynı veri kaynağında kısa zaman aralığı ve az alanla başlayın; sonra filtre ve aralığı tek tek artırın. Küçük sorgu çalışırken geniş sorgunun zaman aşımı olması kapasite/planlama belirtisi olabilir; veri bütünlüğü kanıtı değildir.

4. Rapor/alarm eşzamanlılığını inceleyin

Aynı anda çalışan raporlar, yüksek maliyetli korelasyon ve toplu tarih sorgularını kaydedin. Yalnız yeni pilot görevin sıklığını/yükünü daraltın; güvenlik alarmını genel olarak kapatmayın.

5. Destek paketi ve geri dönüşü yönetin

Sürüm/build, hata zamanı ve yeniden üretim adımlarıyla üreticinin desteklenen tanılama paketini yetkili kanaldan hazırlayın; paket özel veri içerebilir. Geçici sorgu/görev değişikliğini önceki sürüme döndürün. Session/DB dosyalarını elle silmeyin.

Beklenen sonuç: Sorgu hatası ölçülmüş kapsam/yük/sağlık kanıtına ayrılır; veritabanı arızası varsayılmaz.

Sonuç farklıysa: Başarısız aşamada durun; ilgili kayıt/ürün sürümü/ön koşulu inceleyin. Farklı katmanı genel olarak sıfırlamak yerine tek nedeni ayırın.

Geri dönüş: Yalnız bu işlemde değişen öğeyi önceki uyumlu sürüm veya açıkça belirtilen yedek/restore planıyla geri alın; geri alınamaz veri/disk işlemlerini ayar geri dönüşü sanmayın.