6.7 Drei-Ebenen-Bereitstellung mit skalierbarem Speicher

Die Drei-Ebenen-Bereitstellung mit skalierbarem Speicher eignet sich für die umfangreiche Datenspeicherung und -verarbeitung, für die Ereignisse nicht auf mehrere Sentinel-Server verteilt und Konfigurationseinstellungen nicht auf mehrere Instanzen kopiert werden sollen. Bei dieser Art der Bereitstellung speichern und verwalten Sie große Datenmengen auf einem einzigen Sentinel-Server statt auf mehreren, weil dieser mit skalierbarem Speicher arbeitet.

Abbildung 6-6 Drei-Ebenen-Bereitstellung für skalierbaren Speicher

Die Ebenen dieser Art der Bereitstellung:

  • Datenerfassungsebene: Erfassung von Ereignissen von einem breiten Spektrum an Ereignisquellen

  • Ebene des skalierbaren Speichers: Speicherung und Indexierung großer Datenmengen. Der SSDM-Server dieser Ebene erlaubt die Verwaltung der Datenerfassung und des Ereignis-Routings, die Suche und Visualisierung von Ereignissen und die Erledigung bestimmter administrativer Aufgaben. Um Sentinel-Funktionen wie die Echtzeitanalyse oder die herkömmliche Suche und Berichterstellung zu nutzen, können Sie eine separate Analyseebene einrichten. Sie können Regeln für das Ereignis-Routing konfigurieren, um bestimmte zu analysierende Ereignisse per Sentinel Link an die Analyseebene weiterzuleiten (siehe Diagramm). Ebenso können Sie die gesammelten Daten an beliebige andere SIEM-Systeme weiterleiten oder andere Business Intelligence-Tools aktivieren, um Daten abzufragen bzw. direkt in Ihrer Hadoop-Distribution zu analysieren.

  • Analyseebene: Zur Echtzeitanalyse großer Datenmengen müssen Sie die Analyseebene einrichten und Regeln für das Ereignis-Routing konfigurieren, nach denen die gewünschten Ereignisse von der Ebene des skalierbaren Speichers aus weitergeleitet werden. Sie können in derselben Analyseebene aber auch Netzwerkflussdaten und -ereignisse von anderen NetIQ-Produkten, wie Secure Configuration Manager und Change Guardian, erfassen und speichern. Für die Analyse können Sie einen oder mehrere Sentinel-Server bereitstellen (siehe Diagramm).

  • Suchebene: Diese Ebene ist optional. Für die Suche und Berichterstellung können Sie alternativ auch jeden anderen Sentinel-Server der Analyseebene verwenden. Dank den Funktionen des Sentinel-Datenverbunds stellt eine separate Suchebene allerdings einen komfortablen zentralen Zugriffspunkt für die Suche und Berichterstellung über alle Sentinel-Server der Analyseebene hinweg dar. Wenn Sie Ereignisse im skalierbaren Speicher suchen, verwenden Sie bitte die Suchoption im skalierbaren Datenmanager von Sentinel (Sentinel Scalable Data Manager, SSDM).

Weitere Informationen zur Installation und Einrichtung von skalierbarem Speicher finden Sie in Abschnitt 12.0, Installation und Einrichtung von skalierbarem Speicher.