Bei der Sentinel-Installation werden die folgenden Komponenten am Sentinel-Server installiert:
Sentinel-Server-Prozess: Dies ist die primäre Komponente von Sentinel. Der Sentinel-Server-Prozess verarbeitet Anforderungen von anderen Komponenten von Sentinel und ermöglicht die nahtlose Funktion des Systems. Der Sentinel-Server-Prozess verarbeitet Anforderungen wie das Filtern von Daten, die Verarbeitung von Suchanfragen und das Verwalten von Administrationsaufgaben einschließlich Benutzerauthentifizierung und -autorisierung.
Webserver: Für eine sichere Verbindung zur Weboberfläche von Sentinel wird Jetty als Webserver verwendet.
PostgreSQL-Datenbank: In Sentinel ist eine Datenbank integriert, in der Sentinel-Konfigurationsinformationen, Bestands- und Schwachstellendaten, Identitätsinformationen, der Vorfalls- und Workflowstatus etc. gespeichert werden.
MongoDB-Datenbank: In ihr werden die Sicherheitsintelligenzdaten gespeichert.
Collector Manager: Der Collector-Manager stellt eine flexible Datenerfassungsstelle für Sentinel bereit. Das Sentinel-Installationsprogramm installiert während der Installation standardmäßig einen Collector-Manager.
NetFlow Collector-Manager: Der NetFlow Collector-Manager erfasst Netzwerkablaufdaten (NetFlow, IPFIX usw.) von Netzwerkgeräten wie Routern, Switches und Firewalls. Die Netzwerkablaufdaten beschreiben grundlegende Informationen zu allen Netzwerkverbindungen zwischen den Hosts, beispielsweise die übertragenen Pakete und Byte, so dass Sie das Verhalten einzelner Hosts im gesamten Netzwerk visualisieren können.
Correlation Engine: Die Correlation Engine verarbeitet Ereignisse aus dem Echtzeit-Ereignisstrom, um zu ermitteln, ob Korrelationsregeln ausgelöst werden sollen.
Advisor:
Advisor von Security Nexus ist ein optionaler Datenabonnement-Service, der eine Korrelation auf Geräteebene zwischen Echtzeitereignissen herstellt, die von der Eindringversuchserkennung und den Präventionssystemen sowie den Ergebnissen der unternehmensweiten Schwachstellenprüfung erfasst werden. Weitere Informationen zu Advisor finden Sie im Abschnitt Detecting Vulnerabilities and Exploits
(Erkennen von Schwachstellen und Exploits) im NetIQ Sentinel Administration Guide (NetIQ Sentinel-Administrationshandbuch).
Sentinel-Plugins: Sentinel unterstützt eine Reihe von Plugins zur Erweiterung und Optimierung der Systemfunktionalität. Einige dieser Plugins sind bereits vorinstalliert. Sie können weitere Plugins und Aktualisierungen von der Website für Sentinel-Plugins herunterladen. Sentinel-Plugins sind:
Collectors
Connectors
Korrelationsregeln und -aktionen
Berichte
iTRAC-Workflows
Lösungspakete
Sentinel weist eine hochgradig skalierbare Architektur auf. Wenn ein großes Ereignisaufkommen erwartet wird, können Komponenten auf mehrere Computer verteilt werden, um die optimale Leistung des Systems zu erzielen. Für Produktionsumgebungen empfiehlt die NetIQ Corporation das Einrichten einer verteilten Bereitstellung, da hierbei die Datensammlungskomponenten auf einem separaten Computer isoliert werden. Dies ist für die Bewältigung von Spitzenlasten und anderen Anomalien mit größtmöglicher Systemstabilität wichtig. Weitere Informationen finden Sie unter Abschnitt 6.1, Vorteile von verteilten Bereitstellungen.