Perdita di memoria in WecSvc.exe del collettore WEF e problema di configurazione

Question

Perdita di memoria in WecSvc.exe del collettore WEF e problema di configurazione

Lucaro Mano 40

avviato il collettore WEF centrale che elabora 50.000 eventi/sec e notato gravi perdite di memoria in WecSvc.exe e continua a forzare i riavvii del servizio e ho bisogno di sapere come configurare il batching degli eventi e i worker thread e i limiti di throttling della memoria

0 commenti

Risposta accettata dall'autore della domanda

HLBui 13,180 Consulente indipendente

Ciao Lucaro Mano

Quando il servizio WecSvc.exe inizia a consumare troppa memoria con un carico di 50.000 eventi/sec, di solito è segno che il batching e i thread non sono configurati in modo ottimale. La prima cosa da fare è controllare le impostazioni di Event Batching e ridurre la dimensione dei batch, così il servizio non accumula troppi eventi in memoria prima di scriverli. Puoi anche regolare il numero di Worker Thread con PowerShell (wecutil qc e parametri avanzati) per bilanciare meglio il carico. Per quanto riguarda il Memory Throttling, conviene impostare limiti più bassi così il servizio scarica più spesso gli eventi e non cresce senza controllo. Un’altra buona pratica è distribuire la raccolta su più subscription, in modo che ogni thread gestisca un volume più piccolo. Dopo aver applicato queste modifiche, tieni d’occhio i log di sistema e il consumo di memoria per verificare che WecSvc.exe rimanga stabile.

Lucaro Mano 40 Punti di reputazione

2026-09-18T17:08:35.12+00:00

Puoi guidarmi su come suddividere il processo di raccolta dei dati per diverse subscription?
HLBui 13,180 Punti di reputazione Consulente indipendente

2026-09-18T17:28:32.55+00:00

Ciao Lucaro Mano

Il primo passo è creare più subscription con filtri diversi: ad esempio una dedicata agli eventi di sicurezza ad alta priorità, una per gli eventi applicativi e una per i log di sistema meno urgenti. In questo modo ogni subscription gestisce un flusso più omogeneo e il batching risulta molto più efficiente. Puoi anche assegnare diversi collector endpoint o diversi gruppi di server a ciascuna subscription, così il carico non si concentra tutto sullo stesso WEC. Infine, ricordati che ogni subscription ha parametri indipendenti per batching, worker thread e throttling: suddividere il carico ti permette di ottimizzare questi valori in modo mirato invece di cercare un’unica configurazione “perfetta” per tutto.

1 risposta aggiuntiva

Risposta

Lucaro Mano 40 Punti di reputazione

2026-09-18T17:08:35.12+00:00

Puoi guidarmi su come suddividere il processo di raccolta dei dati per diverse subscription?
HLBui 13,180 Punti di reputazione Consulente indipendente

2026-09-18T17:28:32.55+00:00

Ciao Lucaro Mano

Il primo passo è creare più subscription con filtri diversi: ad esempio una dedicata agli eventi di sicurezza ad alta priorità, una per gli eventi applicativi e una per i log di sistema meno urgenti. In questo modo ogni subscription gestisce un flusso più omogeneo e il batching risulta molto più efficiente. Puoi anche assegnare diversi collector endpoint o diversi gruppi di server a ciascuna subscription, così il carico non si concentra tutto sullo stesso WEC. Infine, ricordati che ogni subscription ha parametri indipendenti per batching, worker thread e throttling: suddividere il carico ti permette di ottimizzare questi valori in modo mirato invece di cercare un’unica configurazione “perfetta” per tutto.

Answer 1

HLBui 13,180 Consulente indipendente

Se trovi utile questa risposta, ti invitiamo a fare clic su “Accept Answer”, così anche gli altri membri della community che stanno affrontando un problema simile potranno trovare più facilmente la soluzione. Il tuo contributo è molto apprezzato. Grazie!

0 commenti