Thread Info
  • State Not Answered
  • Replies 24 replies
  • Subscribers 0 subscribers
  • Views 12185 views
  • Users 0 members are here
Options
Suggested

[7.460][BUG][FIXED] High Memory Usage of snort

Billybob
Just installed the new package and noticed that my memory usage is pretty high. I think the problem is snort. If you look at the rules that are available compared to the ones that are enabled, its almost the same number. There were a lot of rules that were disabled before.

Memory is 896mb ( I am a cheap a$$) and it is a dual processor machine with no load and only 3 users.
Parents
  • 0
    Hi Guys, thanks for the feedback on this issue.  We will be setting this in the backend to now do some intelligent checks on load for number of Snort processes run per system.

    Basically in order to ensure best performance on systems with 1GB of RAM only 1 process will be allowed to run.  Systems with 2GB or more will be configured to run the multiple instances for greater performance if they have multi core cpus however will only allow up to number of CPU - 1 process so there will always be at least one processor independent of snort for better overall performance of other processes.
  • 0 in reply to CameronB
    Basically in order to ensure best performance on systems with 1GB of RAM only 1 process will be allowed to run.  Systems with 2GB or more will be configured to run the multiple instances for greater performance if they have multi core cpus however will only allow up to number of CPU - 1 process so there will always be at least one processor independent of snort for better overall performance of other processes.

    Isn't that what you guys do now in 7.4. Snippet from /var/mdw/scripts/snort 

    # For SMP systems, bind snort process to first CPU
            taskset -p 1 `pidof $SNORT_BIN_CHROOT` > /dev/null
     
    I guess we are ready for the next beta. I think this technique will choke the processor unnecessarily with multiple instances but I guess we'll see.

    Thanks for the update
    Regards.
Reply
  • 0 in reply to CameronB
    Basically in order to ensure best performance on systems with 1GB of RAM only 1 process will be allowed to run.  Systems with 2GB or more will be configured to run the multiple instances for greater performance if they have multi core cpus however will only allow up to number of CPU - 1 process so there will always be at least one processor independent of snort for better overall performance of other processes.

    Isn't that what you guys do now in 7.4. Snippet from /var/mdw/scripts/snort 

    # For SMP systems, bind snort process to first CPU
            taskset -p 1 `pidof $SNORT_BIN_CHROOT` > /dev/null
     
    I guess we are ready for the next beta. I think this technique will choke the processor unnecessarily with multiple instances but I guess we'll see.

    Thanks for the update
    Regards.
Children