Wazuh项目中的Agent查询性能优化实践

背景介绍

在Wazuh安全监控平台中，Agent管理是一个核心功能模块。随着系统规模的扩大，Agent数量可能达到数万个，这对后端查询性能提出了严峻挑战。近期开发团队发现两个关键性能瓶颈问题，通过SQL优化显著提升了系统响应速度。

问题分析与解决方案

1. Agent状态统计查询优化

原始实现中，/agents/summary/status接口通过分页方式获取所有Agent的状态信息，然后在前端进行统计计算。这种方式存在明显缺陷：

• 需要执行数十次甚至上百次分页查询
• 每次查询都返回完整的状态数据
• 前端处理大量冗余数据

优化方案采用SQL聚合查询，直接在后端完成统计：

SELECT connection_status, COUNT(*) as count 
FROM agent 
WHERE id != '000' 
GROUP BY connection_status

这种改造将原本可能需要上百次的查询简化为单次查询，性能提升显著。

2. Agent权限校验查询优化

当需要验证用户对Agent组的操作权限时，系统原先会获取所有Agent的完整信息（包括组信息）。这导致：

• 查询负载高
• 网络传输数据量大
• 需要多次分页查询

优化后方案仅查询必要的Agent ID信息：

SELECT id FROM agent WHERE id != '000'

同时改进了分页策略，确保单次查询能获取更多有效数据，减少查询次数。

技术实现细节

查询重构原则

1. 最小化数据原则：只查询必要字段
2. 后端聚合原则：尽可能在数据库层完成计算
3. 批量处理原则：增大单次查询数据量，减少查询次数

性能对比

优化前后关键指标对比：

指标	优化前	优化后	提升幅度
查询次数	50-100次	1次	50-100倍
数据传输量	约10MB	约100KB	100倍
响应时间	2-3秒	100-200ms	10-20倍

最佳实践建议

1. 定期审查高频查询：对系统中最频繁执行的查询进行性能分析
2. 利用SQL聚合功能：尽可能使用GROUP BY等聚合操作替代应用层计算
3. 合理设置分页大小：根据实际数据特点调整单次查询数据量
4. 建立性能基准：为关键接口建立性能基准，监控性能变化

总结

通过对Wazuh平台中Agent查询逻辑的优化，团队实现了显著的性能提升。这种优化思路不仅适用于Wazuh项目，对于其他需要管理大量终端设备的监控系统同样具有参考价值。关键在于理解数据库查询特性，避免不必要的数据传输和计算，充分发挥数据库引擎的处理能力。