12.1 L'orario in Sentinel

Sentinel è un sistema distribuito e consiste in diversi processi che possono essere realizzati in varie parti della rete. Il dispositivo potrebbe inoltre indurre alcuni ritardi. Per gestire al meglio tali ritardi, prima dell'elaborazione i processi di Sentinel ordinano nuovamente gli eventi in un flusso organizzato in base all'orario.

Nell'illustrazione seguente, viene fornita la spiegazione del modo in cui Sentinel realizza questa operazione:

Figura 12-1 Orario Sentinel

  1. Per default, l'orario evento è impostato sull'orario della Gestione servizi di raccolta. L'orario ideale è quello del dispositivo. È consigliabile, quindi, impostare l'orario evento tenendo come riferimento l'orario del dispositivo, qualora questo sia disponibile, accurato e analizzato sintatticamente nel modo adeguato dal servizio di raccolta.

  2. Gli eventi vengono ordinati a intervalli di 30 secondi, affinché possano essere visualizzati in Active Views. Per default, gli eventi che dispongono di una registrazione orario compresa in un intervallo di 5 minuti dall'orario del server (in passato o futuro) vengono elaborati normalmente. Gli eventi che dispongono di una registrazione orario superiore ai 5 minuti rispetto al futuro non vengono visualizzati in Active Views, ma vengono inseriti nella memorizzazione eventi. Gli eventi che dispongono di una registrazione orario superiore ai 5 minuti ma inferiore alle 24 ore rispetto al passato vengono ancora mostrati nei grafici, ma non sono visualizzati nei dati evento di tali grafici. Per recuperare quegli eventi dalla memorizzazione eventi, è necessario eseguire il drill-down.

  3. Se l'orario evento è superiore ai 30 secondi anteriori rispetto all'orario del server, il motore di correlazione non è in grado di elaborare gli eventi.

  4. Se l'orario evento è anteriore di 5 minuti rispetto all'orario della Gestione servizi di raccolta (orario corretto), gli eventi vengono direttamente instradati alla memorizzazione eventi.