Рекомендации по настройке Kaspersky CyberTrace

В этой статье приведены рекомендации по расчету значений параметров Kaspersky CyberTrace, связанных с обработкой данных, обеспечивающих повышение производительности Kaspersky CyberTrace. В зависимости от режима обработки (TCP или API) Kaspersky CyberTrace обрабатывает поступающие данные следующим образом:

• В режиме обработки событий на основе TCP каждое входящее TCP-соединение обрабатывается как отдельная очередь. Для каждой очереди выделяется определенное количество потоков исполнения.
• В режиме обработки индикаторов на основе API все входящие API-запросы обрабатываются в единой очереди. Для обработки этой очереди и извлечения индикаторов выделяется определенное количество потоков исполнения.

Рекомендации для режима обработки событий на основе TCP

Для режима обработки событий на основе TCP в конфигурационном файле необходимо настроить следующие параметры, влияющие на EPS:

• ScannersCount – максимальное количество сканеров, осуществляющих обработку, равное или большее по отношению к количеству входящих TCP-соединений.
• ScanningThreadsPerScanner – максимальное количество потоков исполнения для каждого сканера.

Рекомендуется также оставить не менее двух ядер (или не менее четырех логических процессоров) свободными для выполнения фоновых задач.

Если ретроспективное сканирование отключено, количество сканеров и потоков исполнения на сканер должно удовлетворять следующим двум условиям:

• Значение ScanningThreadsPerScanner должно быть меньше, чем <количество логических процессоров> / ScannersCount.
• Значение ScannersCount × ScanningThreadsPerScanner + ScannersCount должно быть меньше, чем <количество логических процессоров>.

Если ретроспективное сканирование включено, необходимо также выделить часть потоков исполнения для считывания и анализа данных ретроспективного сканирования. В этом случае количество сканеров и потоков на сканер должно удовлетворять следующему условию:

<количество логических процессоров> = ScannersCount × ScanningThreadsPerScanner + ScannersCount + retroscan_task_threads_for_reading + retroscan_task_threads_for_analysis + <количество свободных логических процессоров>

Рекомендации для режима обработки индикаторов на основе API

Для режима обработки индикаторов на основе API в конфигурационном файле необходимо настроить следующие параметры, влияющие на IPS:

• InFlightRequestLimit – максимальное количество одновременно обрабатываемых API-запросов с данными индикаторов (при превышении этого количества возникает ошибка).

  Этот параметр не влияет на IPS, но влияет на время отклика: чем меньше запросов, тем быстрее отклик.

• WorkerThreadsCount – общее количество потоков исполнения для обработки всех API-индикаторов.
• DispatcherThreadsCount – общее количество потоков исполнения, извлекающих индикаторы из событий и отправляющих их в очередь на обработку.

  По умолчанию количество потоков диспетчера равно 1. Для высоконагруженных систем с 16 или 32 процессорными ядрами рекомендуется установить значение 2 или более.

Рекомендуется также оставить не менее двух ядер (или не менее четырех логических процессоров) свободными для выполнения фоновых задач.

Если ретроспективное сканирование отключено, количество потоков исполнения должно удовлетворять следующим двум условиям:

• Значение WorkerThreadsCount + DispatcherThreadsCount должно быть меньше, чем <количество логических процессоров>.
• WorkerThreadsCount = <количество логических процессоров> - DispatcherThreadsCount - <количество свободных логических процессоров>.

Если ретроспективное сканирование включено, необходимо также выделить часть потоков исполнения для считывания и анализа данных ретроспективного сканирования: retroscan_task_threads_for_reading и retroscan_task_threads_for_analysis. В этом случае количество потоков исполнения должно удовлетворять следующему условию:

<количество логических процессоров> = WorkerThreadsCount + DispatcherThreadsCount + retroscan_task_threads_for_reading + retroscan_task_threads_for_analysis + <количество свободных логических процессоров>

Примеры расчетов

В таблице ниже приведены примеры расчета значений параметров в зависимости от режима обработки Kaspersky CyberTrace и количества логических процессоров. В каждом расчете для фоновых задач выделяется не менее четырех логических процессоров.

Примеры расчетов