该有的矜持---域控CPU长期飙60-80%问题源头确认过程

背景：

很早就发现域控的CPU长期飙在60-80%之间，日志服务是CPU占用大头，改小日志的最大大小也没有用，域控使用了paloalto和 SXF的单点登录功能，所以我虽然确定肯定是两个的其中一个，但是一直没有实锤。

专注于为中小企业提供网站制作、成都网站制作服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业铜仁免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了成百上千家企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。

使用Stack Trace我只能确认是日志查询导致的

由于日志的查询是通过WMI进行的，所以在找到一些WMI TRACE相关的信息后，我抓了一小段时间WMI TRACE为ETL文件，然后使用windows message analyzer 把需要的字段提取出来，生成一个CSV，然后在EXCEL里面进行查看。

该有的矜持---域控CPU长期飙60-80%问题源头确认过程

白色背景的查询1，似乎没有太规则的规律，查询间隔时间最小似乎是1s,但是大的间隔也有5s ,2s左右居多。

select __RELPATH, InsertionStrings from Win32_NTLogEvent where ((Logfile = "security" AND (((EventCode = 672 OR EventCode = 4624) OR EventCode = 540) OR EventCode = 4768)) AND RecordNumber > 939574642)

(Yellow)色背景的查询2 （唉，这博客的关键词太优（cu）雅（fang)），查询间隔大概是14-15s.

select __RELPATH, EventIdentifier, InsertionStrings, TimeGenerated from Win32_NTLogEvent where (((((((((EventIdentifier = 4624 OR EventIdentifier = 4768) OR EventIdentifier = 4769) OR EventIdentifier = 4770) OR EventIdentifier = 540) OR EventIdentifier = 672) OR EventIdentifier = 673) OR EventIdentifier = 674) AND LogFile = "Security") AND TimeGenerated >= "20190906013740.751000+000")