Fragen und Sensorschwellenwerte verwalten

Übersicht über Fragen und Sensorschwellenwerte

Die Zeit, die ein Tanium Client benötigt, um eine Frage auszuführen, variiert stark, je nachdem welche und wie viele Sensoren die Frage aufruft. Um die Auswirkungen der Ausführung von Tanium-Fragen auf Endpunktressourcen zu bewerten, können Sie die Frage und die Sensor-Laufzeitschwellenwerte anpassen, die Indikatorsymbole in der Tanium Console auslösen.

Ihr Benutzerkonto erfordert die reservierte Administratorrolle, um die Seiten Configuration (Konfiguration) > Sensor Thresholds (Sensorschwellenwerte) zu sehen und zu verwenden.

Der Tanium Client verfolgt die Laufzeit für jeden Sensor, wenn eine Frage ihn ausführt, berechnet den Durchschnitt aller vergangenen Laufzeiten für diesen Sensor und sendet die aktualisierten Laufzeitinformationen alle drei Stunden an den Tanium Server. Der Tanium Server berechnet die durchschnittliche Laufzeit basierend auf den neuesten Updates aller Endpunkte, die Laufzeiten für den Sensor gemeldet haben.

Die folgenden Tabellenlisten beschreiben die Schwellenwertsymbole und ihre Standardbeschriftungen und -werte.

Tabelle 1:   Symbole für Frage und Sensor-Laufzeitschwellenwert
Schwellenwertsymbol Description
Nicht ausgeführt Der Tanium Server hat noch keine Laufzeitinformationen von Endpunkten für diesen Sensor erhalten.

Dieses Symbol wird auch für integrierte Sensoren angezeigt, unabhängig von ihren Laufzeiten. Der Tanium Server zeichnet keine Laufzeitstatistiken für integrierte Sensoren auf und berücksichtigt diese Sensoren nicht bei der Berechnung von Laufzeiten für Fragen, die sie verwenden. Zu den integrierten Sensoren gehören:

  • Aktionsstatus
  • Status herunterladen
  • Computername
  • Computer-ID
  • Manuelle Gruppenmitgliedschaft
  • IP Address
Unter jedem Schwellenwert Der Laufzeitdurchschnitt für eine Frage oder einen Sensor überschreitet keinen Schwellenwert.
Niedrig Der Laufzeitdurchschnitt überschreitet den niedrigen Schwellenwert, aber nicht den mittleren Schwellenwert. Standardmäßig ist der niedrige Schwellenwert 100 ms für einen Sensor und 1.000 ms für eine Frage. Sie können den Schwellenwert und die Beschriftung anpassen.
Mittel Der Laufzeitdurchschnitt überschreitet den mittleren Schwellenwert, aber nicht den hohen Schwellenwert. Standardmäßig ist der mittlere Schwellenwert 500 ms für einen Sensor und 5.000 ms für eine Frage. Sie können den Schwellenwert und die Beschriftung anpassen.
Hoch Der Laufzeitdurchschnitt überschreitet den hohen Schwellenwert, der standardmäßig 1.000 ms für einen Sensor und 10.000 ms für eine Frage ist. Sie können den Schwellenwert und die Beschriftung anpassen.

Beachten Sie beim Anzeigen von Schwellenwertindikatoren die folgenden Vorsichtsmaßnahmen:

  • Der Tanium Server verwendet beim Berechnen von Laufzeitdurchschnitts keine zwischengespeicherten Antworten auf Fragen.
  • Sensoren, die ein Datensampling erfordern, überschreiten häufiger höhere Laufzeitschwellenwerte. Die längeren Laufzeiten, die für das Sampling erforderlich sind, weisen allerdings nicht unbedingt auf eine hohe Ressourcennutzung hin, wenn Endpunkte diese Sensoren ausführen. Weitere Informationen erhalten Sie von Ihrem technischen Account Manager. Die betroffenen Sensoren beinhalten:
    • CPU nach Prozess
    • CPU-Verbrauch
    • Festplatten-IOPS
    • Hoher CPU-Verbrauch
    • Hohe CPU-Prozesse
    • Netzwerkdurchsatz eingehend
    • Netzwerkdurchsatz ausgehend
    • SQL Server CPU-Verbrauch
    • Tanium Client-CPU

Bevor Sie beginnen

Arbeiten Sie mit Ihrem technischen Account Manager (TAM) zusammen, um die Laufzeitschwellenwerte zu bestimmen, von denen Sie erwarten, dass sie die Entscheidungen des Administrators darüber beeinflussen, ob eine Frage ausgeführt werden soll, wie oft sie ausgeführt werden soll und welche Sensoren in die Frage einbezogen werden sollen. Das Ziel ist es, Fragen auf eine Art und Weise zu planen, die keine anderen, wichtigeren Aufgaben, die Endpunkten ausführen, beeinträchtigen. Die Faktoren, die berücksichtigt werden müssen, umfassen:

  • Die Laufzeit für jede Frage ist die kumulative Summe der durchschnittlichen Laufzeiten aller darin enthaltenen Sensoren. Daher ist die beste Vorgehensweise, Fragenschwellenwerte höher als die Sensorschwellenwerte einzustellen.
  • Die beste Vorgehensweise ist die Festlegung von Schwellenwerten, die die Entscheidungen widerspiegeln, die Tanium-Administratoren basierend auf den Richtlinien der Endpunktverwaltung Ihres Unternehmens treffen müssen. So können beispielsweise Richtlinien vorgeben, dass Administratoren niemals eine Frage ausführen dürfen, die länger als 10 Sekunden dauert, während Spitzenzeiten des Datenverkehrs an Endpunkten die Aufgaben mit einer höheren Priorität als die Beantwortung von Fragen ausführen.

Frage und Sensorschwellenwerte konfigurieren

Die Tanium Console zeigt standardmäßig Schwellenwertindikatoren an. Sie können die Standardschwellenwerte jedoch wie folgt ändern.

  1. Gehen Sie zu Configuration (Konfiguration) > Common (Häufig) > Sensor Thresholds (Sensorschwellenwerte).
  2. Wählen Sie aus, ob die Tanium-Konsole Display thresholds to (Schwellenwerte anzeigen für) nur die Benutzer von Tanium mit vordefinierten administrativen Rollen (Administrator) oder für alle Benutzer, die Fragen und Sensoren sehen dürfen (Administrator und Benutzer) anzeigen soll.
  3. Geben Sie für jeden Schwellenwert eine Beschriftung ein oder akzeptieren Sie die Standardwerte: Hoch, Mittel und Niedrig.
  4. Stellen Sie die durchschnittliche Laufzeit (in Millisekunden) für jeden Schwellenwert ein oder akzeptieren Sie die Standardwerte.
  5. Speichern Sie Ihre Änderungen.

Frage und Sensorschwellenwerte überprüfen

Die Schwellenwert-Indikatorsymbole werden angezeigt, wo immer Sie Fragen oder Sensoren in der Tanium Console anzeigen und auswählen. Überprüfen Sie nach dem Ändern von Schwellenwerten, ob der Tanium Server Ihre Änderungen übernommen hat.

Die Seite Content (Inhalt) > Sensors (Sensoren) zeigt die Laufzeitstatistik für alle Sensoren an.

  1. Gehen Sie zu Interact (Interact).
  2. Im Feld Ask a Question (Frage stellen) geben Sie eine Frage ein, die einen Sensor verwendet, von dem erwartet wird, dass er eine kurze Laufzeit hat, wie z. B. Computername, und einen Sensor, von dem erwartet wird, dass er eine lange Laufzeit hat, wie z. B. die Ausführung von Prozessen des Benutzers. Zum Beispiel: Computernamen und Ausführung von Prozessen des Benutzers[admin] von allen Maschinen abrufen. Drücken Sie die Eingabetaste, um eine Liste der vorgeschlagenen Fragen anzuzeigen.
  3. Stellen Sie sicher, dass die Liste der vorgeschlagenen Fragen die erwarteten Schwellenwertsymbole anzeigt. Wenn Sie unerwartete Indikatoren sehen, überprüfen Sie die Symbolbeschreibungen und Vorsichtsmaßnahmen, die in Übersicht über Fragen und Sensorschwellenwerte beschrieben wurden.
  4. Bewegen Sie die Maus über das Symbol der vorgeschlagenen Frage, und stellen Sie sicher, dass das Popup-Fenster die erwartete Laufzeit (in Millisekunden) für die Frage und die erwarteten Schwellenwertsymbole für die einzelnen Sensoren anzeigt.