この図には、受信レートと挿入レートという 2 つのメトリックを時間の経過とともに追跡するグラフが表示されています。これら 2 つのレートは、FortiAnalyzer でのログ処理の動作を理解する上で非常に重要です。
受信レートと挿入レートを理解する:
受信速度: これは、FortiAnalyzer が接続されたデバイスからログを受信する速度です。
挿入レート: これは、FortiAnalyzer が保存および分析のためにログをデータベースにインデックス (挿入) するレートです。
21:20のデータポイント:
21:20 には、挿入レート ラインが受信レート ラインより上にあり、FortiAnalyzer がログを受信するよりも速い速度でデータベースにログを挿入していることを示しています。この状況は、FortiAnalyzer が受信ログに対応できており、バックログまたは一時的に受信したログを新しいログの受信よりも速く処理している可能性があることを示しています。
オプション分析:
オプション A - FortiAnalyzer がログの受信よりも速くログをインデックス化しています: これは、挿入レートが受信レートを超えている 21:20 のシナリオを正確に表しています。これは、FortiAnalyzer がその時点でログを効率的に処理しており、処理のバックログがないことを示しています。
オプション B - fortilogd デーモンはインデックス作成で 1 ログ先を行っています: データは fortilogd デーモンのログ数に関する具体的な情報ではなく、レートのみを提供します。このオプションは正しくありません。
オプション C - SQL データベースの再構築が必要: 受信ラグが大きいということは、受信ログとインデックス ログのバックログが発生していることを意味します。これは通常、受信レートが挿入レートを大幅に上回っている場合に発生しますが、この場合は当てはまりません。
オプション D - FortiAnalyzer は、古いログを最初にインデックスするためにログを一時的にバッファリングしています。このシナリオでは、バッファリングの兆候はありません。バッファリングは通常、受信レートが挿入レートよりも高い場合に発生し、インデックス作成の遅れのために FortiAnalyzer がログを一時的に保存していることを示します。
結論：
正解: A. FortiAnalyzer は、ログの受信よりも速くログをインデックス化しています。
21:20 のグラフでは、受信レートよりも挿入レートが高く、FortiAnalyzer によるログ処理が効率的であることがわかります。
参照：
ログ処理メトリック、受信レート、挿入レート インジケーターに関する FortiAnalyzer 7.4.1 ドキュメント。