Swap File Excessive

Hi ,

Not all the time SNORT is taking too much RAM , but it fill up SWAP.
Of you will investigate the SWAP , you will see that most of it is filled by SNORT.

All my best.
Gilipeled

Hi ,

As mentioned already here in the UBB.
You can run this procedure the check it: 

wget http://www.mediasoftusa.com/swapusage
mv swapusage swap-usage.pl
chmod u+x swap-usage.pl
./swap-usage.pl

From my experience if IPS is enable snort will take most of the swap then HTTP Proxy.
If IPS is off , almost no swap and the highest will be HTTP Proxy , but without IPS almost no SWAP.
I am running few clusters of 525 and all of them over 45% Swap which is far from normal when you have 6GB RAM and 2 Xeon processors .
I am in touch about that with the high level support long time but still no solutions .
Only a promises that SNORT will be optimized .
But the truth is that SNORT and HTTP PROXY needs to be optimized , 
Both of them takes to much resources , way to much.

All my best.
Gilipeled

sorry i don't see that..http proxy has always been the issue for me..i've run that script multiple times..[:)]  I'm not saying you aren't seeing the opposite but the cause isn't just snort..for many of use http proxy is the eater.

Hi William ,

I accept with you that HTTP Proxy is one of the main eaters .
I also can sway that it was not like that before.
But also SNORT is a big eaters :-)
Turn off IPS and you will see the resources goes down dramatically , also the HTTP Proxy. 
But the bottom line is that no mater what taking swap , SWAP is too high , lots more than what it should.
I have also a system with 16GB RAM , and still see SWAP .
This should not happen at all .
If there in enough RAM , there is no reason why swap grows .


Ally best
Gilipeled

I've done this and http still is the big eater at least in my systems...I do have the snort ruleset reduced to only what i need.  yes with enough ram swap should not occur..but it's been publicly stated sophos does not consider this an issue..we'll see how this works.

Snort is the issue in my case.  Once IPS is off, swap drops.  I haven't noticed any slowdown, but it shouldn't be using 25-30% swap when only 48-54% physical is being used.

I swore I remember hearing someone from Sophos say in 9.2 they are redoing a slew of things.