Standardmäßig beinhaltet der Sentinel-Server die folgenden Komponenten:
Collector Manager: Der Collector-Manager stellt eine flexible Datenerfassungsstelle für Sentinel bereit. Das Sentinel-Installationsprogramm installiert während der Installation standardmäßig einen Collector-Manager.
Correlation Engine: Die Correlation Engine verarbeitet Ereignisse aus dem Echtzeit-Ereignisstrom, um zu ermitteln, ob Korrelationsregeln ausgelöst werden sollen.
NetFlow Collector-Manager: Der NetFlow Collector-Manager erfasst Netzwerkablaufdaten (NetFlow, IPFIX usw.) von Netzwerkgeräten wie Routern, Switches und Firewalls. Die Netzwerkablaufdaten beschreiben grundlegende Informationen zu allen Netzwerkverbindungen zwischen den Hosts, beispielsweise die übertragenen Pakete und Byte, so dass Sie das Verhalten einzelner Hosts im gesamten Netzwerk visualisieren können.
WICHTIG:Für Produktionsumgebungen empfiehlt NetIQ verteilte Bereitstellungen, da hierbei die Datensammlungskomponenten auf einem separaten Computer isoliert werden. Dies ist für die Bewältigung von Spitzenlasten und anderen Anomalien mit größtmöglicher Systemstabilität wichtig.
In diesem Abschnitt werden die Vorteile der verteilten Bereitstellung beschrieben.
Der Sentinel-Server umfasst standardmäßig einen Collector-Manager. Für Produktionsumgebungen bieten verteilte Collector-Manager jedoch eine deutlich bessere Isolierung, wenn große Datenmengen empfangen werden. In dieser Situation wird ein verteilter Collector-Manager unter Umständen überlastet; der Sentinel-Server verarbeitet die Benutzeranforderungen jedoch weiter.
Die Installation von mehr als einem Collector-Manager in einem verteilten Netzwerk bietet die folgenden Vorteile:
Verbesserte Systemleistung: Zusätzliche Collector-Manager können Ereignisdaten in einer verteilten Umgebung analysieren und verarbeiten und steigern so die Systemleistung.
Zusätzliche Datensicherheit und geringere Anforderungen an die Netzwerkbandbreite: Wenn die Collector-Manager-Instanzen gemeinsam mit Ereignisquellen installiert werden, können Filterung, Verschlüsselung und Datenkomprimierung an der Quelle ausgeführt werden.
Datei-Caching: Zusätzliche Collector-Manager können große Datenmengen im Cache speichern, während der Server vorübergehend mit dem Archivieren von Ereignissen oder dem Verarbeiten von Ereignisspitzen ausgelastet ist. Diese Funktion ist von Vorteil bei Protokollen wie Syslog, die nicht von vornherein ein Ereignis-Caching unterstützen.
Sie können zusätzliche Collector-Manager an den geeigneten Speicherorten in Ihrem Netzwerk installieren. Diese Remote-Collector-Manager führen Connectors und Collectors aus und leiten die erfassten Daten zur Speicherung und Verarbeitung an den Sentinel-Server weiter. Weitere Informationen zum Installieren von zusätzlichen Collector-Manager-Instanzen finden Sie unter Abschnitt III, Installieren von Sentinel.
HINWEIS:Sie können immer nur einen Collector-Manager auf einem einzelnen System installieren. Sie können zusätzliche Collector-Manager auf Remote-Systemen installieren und diese dann mit dem Sentinel-Server verbinden.
Sie können mehrere Correlation Engines (jede auf einem eigenen Server) bereitstellen, ohne dass Konfigurationen repliziert oder Datenbanken hinzugefügt werden müssen. In Umgebungen mit vielen Korrelationsregeln oder extrem hohen Ereignisraten ist es von Vorteil, mehr als eine Correlation Engine zu installieren und einige Regeln auf der neuen Correlation Engine erneut bereitzustellen. Wenn das Sentinel-System zusätzliche Datenquellen aufnimmt oder die Ereignisrate steigt, bieten mehrere Correlation Engines die Möglichkeit der Skalierung. Informationen zur Installation von zusätzlichen Correlation Engines finden Sie unter Abschnitt III, Installieren von Sentinel.
HINWEIS:Sie können immer nur eine Correlation Engine auf einem einzelnen System installieren. Sie können zusätzliche Correlation Engines auf Remote-Systemen installieren und diese dann mit dem Sentinel-Server verbinden.
Der NetFlow Collector-Manager erfasst Netzwerkablaufdaten von Netzwerkgeräten. Um Systemressourcen für wichtige Funktionen wie das Speichern und Suchen von Ereignissen freizugeben, sollten Sie weitere NetFlow Collector-Manager installieren, statt den NetFlow Collector-Manager auf dem Sentinel-Server zu nutzen.
In den folgenden Szenarien können Sie zusätzliche NetFlow Collector-Manager installieren:
In Umgebungen mit zahlreichen Netzwerkgeräten und großen Mengen an Netzwerkablaufdaten können Sie mehrere NetFlow Collector-Manager installieren und so die Belastung verteilen.
In einer multimandantenfähigen Umgebung sollten Sie je einen NetFlow Collector-Manager für jeden Mandanten installieren, damit Netzwerkablaufdaten für die einzelnen Mandanten erfasst werden.
Weitere Informationen zum Installieren von zusätzlichen NetFlow Collector-Managern finden Sie unter Abschnitt 14.0, Installation des NetFlow Collector-Managers.