NetIQ unterstützt Sentinel auf den in diesem Abschnitt beschriebenen Betriebssystemen. NetIQ unterstützt Sentinel außerdem auf Systemen mit geringfügigen Aktualisierungen dieser Betriebssysteme, beispielsweise Sicherheits-Patches oder Hotfixes. Das Ausführen von Sentinel auf Systemen mit wesentlichen Aktualisierungen dieser Betriebssysteme wird jedoch erst unterstützt, wenn NetIQ diese Aktualisierungen geprüft und zertifiziert hat.
Der Sentinel-Server, der Collector-Manager und die Correlation Engine werden auf folgenden Betriebssystemen und Plattformen unterstützt:
|
Kategorie |
Anforderung |
|---|---|
|
Betriebssystem |
Sentinel wird auf folgenden Betriebssystemen unterstützt:
* Auf Open Enterprise Server-Installationen von SLES wird Sentinel 7 nicht unterstützt. |
|
Virtuelle Plattform |
Für folgende virtuelle Plattformen stellt NetIQ Appliances zur Verfügung, die einen 64-Bit-SLES 11 SP1-Server und Sentinel installieren:
|
|
ISO-DVD |
Für folgende Systeme stellt NetIQ zur Installation des 64-Bit-SLES 11 SP1-Servers und von Sentinel eine DVD-ISO-Datei zur Verfügung:
|
Die Hardwareempfehlungen für eine Sentinel-Implementierung können je nach Implementierungstyp unterschiedlich ausfallen. Ziehen Sie daher vor der Fertigstellung der Sentinel-Architektur die NetIQ Consulting Services oder einen der NetIQ Sentinel-Partner zu Rate.
Dieser Abschnitt enthält Informationen zu den Hardwareempfehlungen für ein Produktionssystem, das 90 Tage Online-Daten speichert. Die Empfehlungen basieren auf einer angenommenen durchschnittlichen Ereignisgröße von 600 Byte. Die Empfehlungen für den lokalen Speicher und den Netzwerkspeicher enthalten zusätzlich zum geschätzten tatsächlichen Speicherbedarf 20 % Puffer. NetIQ empfiehlt, einen Puffer zu integrieren, da die Schätzungen ungenau sein können und bestimmte Server mit der Zeit möglicherweise stärker ausgelastet sind.
Beachten Sie folgende Hardwareempfehlungen, um den Sentinel-Server mit allen Sentinel-Komponenten auf einem einzelnen Server auszuführen:
|
Kategorie |
100 EPS |
2500 EPS |
5000 EPS |
|---|---|---|---|
|
Prozessor |
Ein Intel Xeon X5570 2,93 GHz (4 CPU-Kerne) |
2 Intel Xeon X5470 3,33 GHz (4 Core)-CPUs (insgesamt 8 Cores) |
2 Intel Xeon X5470 3,33 GHz (4 Core)-CPUs (insgesamt 8 Cores) |
|
Lokaler Speicher (30 Tage) |
2 x 256 GB, 7200-RPM-Laufwerke (Hardware-RAID 1 mit 256 MB Cache) |
8 x 1,2 TB, 7200-RPM-Laufwerke (Hardware-RAID 10 mit 256 MB Cache) |
16 x 1,2 TB, 15000-RPM-Laufwerke (Hardware-RAID 10 mit 512 MB Cache) oder ein gleichwertiges Storage Area Network (SAN) |
|
Netzwerkspeicher (90 Tage) |
2 x 128 GB |
4 x 1 TB |
8 x 1 TB |
|
Arbeitsspeicher |
Sonstige Installationen: 4 GB DVD-ISO-Installation: 4,5 GB |
16 GB |
24 GB |
HINWEIS:Sentinel wird auf X86-64-Bit-Intel Xeon- und AMD Opteron-Prozessoren unterstützt, nicht jedoch auf reinen 64-Bit-Prozessoren wie Itanium.
Beachten Sie für eine optimale Systemleistung folgende Richtlinien:
Im lokalen Speicher muss mindestens ausreichend Speicherplatz für Daten der 5 letzten Tage vorhanden sein. Dies umfasst sowohl Ereignisdaten als auch Rohdaten. Weitere Details zur Berechnung der Datenspeicheranforderungen finden Sie unter Abschnitt 1.1.5, Schätzung der Datenspeicheranforderung.
Der Netzwerkspeicher enthält die Daten der gesamten 90 Tage, einschließlich einer komprimierten Kopie der Ereignisdaten aus dem lokalen Speicher. Eine Kopie der Ereignisdaten wird im lokalen Speicher beibehalten, um bei Suchvorgängen und bei der Berichterstellung eine optimale Leistung zu gewährleisten. Wenn die Kosten für den Speicherplatz stärker berücksichtigt werden müssen, kann die Größe des lokalen Speichers reduziert werden. Dies führt jedoch aufgrund des Dekomprimierungs-Overheads zu schätzungsweise 70 % geringerer Leistung bei Suchvorgängen und bei der Berichterstellung mit Daten, die sonst im lokalen Speicher enthalten wären.
Der Netzwerkspeicherort muss als externes SAN mit mehreren Laufwerken oder als NAS (Network Attached Storage) eingerichtet werden.
Das empfohlene stationäre Speichervolumen beträgt 80 Prozent der maximal lizenzierten EPS. NetIQ empfiehlt, zusätzliche Sentinel-Instanzen zu erwerben, wenn diese Grenze erreicht wird.
Beachten Sie folgende Hardwareanforderungen, wenn der Collector-Manager auf einem anderen System als der Sentinel-Server in einer Produktionsumgebung ausgeführt werden soll:
|
Kategorie |
Mindestanforderung |
Empfehlung |
|---|---|---|
|
Prozessor |
Intel Xeon L5240 3 GHz (2 Core) |
Ein Intel Xeon X5570 2,93 GHz (4 CPU-Kerne) |
|
Festplattenspeicher |
10 GB (RAID 1) |
20 GB (RAID 1) |
|
Arbeitsspeicher |
1,5 GB |
4 GB |
|
Geschätzte Rate (EPS) |
500 |
2000 |
Beachten Sie folgende Hardwareanforderungen, um die Correlation Engine auf einem separaten System vom Sentinel-Server in einer Produktionsumgebung auszuführen:
|
Kategorie |
Mindestanforderung |
Empfehlung |
|---|---|---|
|
Prozessor |
Intel Xeon L5240 3 GHz (2 Core) |
Ein Intel Xeon X5570 2,93 GHz (4 CPU-Kerne) |
|
Festplattenspeicher |
10 GB (kein RAID erforderlich) |
10 GB (kein RAID erforderlich) |
|
Arbeitsspeicher |
1,5 GB |
4 GB |
|
Geschätzte Rate (EPS) |
500 |
2500 |
Sentinel enthält ein eingebettetes, dateibasiertes Speichersystem und eine Datenbank, die zum Ausführen von Sentinel erforderlich sind. Wenn Sie jedoch die optionale Datensynchronisierungsfunktion nutzen, um Daten in ein Data Warehouse zu kopieren, unterstützt Sentinel Oracle Version 11g R2 oder Microsoft SQL Server 2008 R2 als Data Warehouse.
Die Sentinel-Weboberfläche ist für eine Auflösung von 1280 x 1024 oder höher in den folgenden unterstützten Browsern optimiert:
HINWEIS:Zum ordnungsgemäßen Laden der Sentinel-Client-Anwendungen muss das Sun Java-Plugin auf dem System installiert sein.
|
Plattform |
Browser |
|---|---|
|
Windows 7 |
Informationen zu Internet Explorer 8 finden Sie unter Voraussetzungen für Internet Explorer. |
|
SLES 11 SP1 und RHEL 6 |
Weitere Informationen finden Sie unter Manuelles Aktualisieren der Firefox-Version. |
Wenn die Sicherheitsstufe in Internet Explorer auf „Hoch“ eingestellt ist, wird nach dem Anmelden bei Sentinel eine leere Seite angezeigt. Das Popupfenster für das Herunterladen von Dateien wird möglicherweise vom Browser gesperrt. Um dieses Problem zu umgehen, legen Sie zunächst die Sicherheitsstufe auf „Mittelhoch“ fest und ändern Sie sie dann folgendermaßen in „Benutzerdefiniert“ um:
Wechseln Sie zu und legen Sie die Sicherheitsstufe auf fest.
Stellen Sie sicher, dass die Option nicht ausgewählt ist.
Navigieren Sie zu , führen Sie einen Bildlauf nach unten bis zum Bereich durch und wählen Sie unter die Option aus.
Sentinel unterstützt die Firefox-Versionen 5 bis 10. Das SLES 11 SP1-System ist jedoch mit Firefox Version 3.6x gebündelt. Führen Sie folgende Schritte aus, um mittels manueller Aktualisierung der SLES 11 SP1-Installation eine unterstützte Version von Firefox hinzuzufügen:
Öffnen Sie YaST.
Wählen Sie > , um das Fenster für die konfigurierten Software-Repositorys anzuzeigen.
Klicken Sie auf , um das Medientyp-Fenster zu öffnen.
Wählen Sie die Option aus und klicken Sie dann auf .
Das Fenster für die Repository-URL wird angezeigt.
Geben Sie den Link für das Software-Repository in das Textfeld für die URL ein und klicken Sie auf .
Das Software-Repository wird heruntergeladen.
Klicken Sie auf , um das Software-Repository zu aktualisieren.
Klicken Sie auf , um das YaST2-Fenster zu öffnen.
Geben Sie Firefox in das Textfeld ein.
Die Liste der Firefox-Pakete wird angezeigt.
Wählen Sie die erforderlichen Pakete für die unterstützte Version von Firefox aus, die Sie installieren möchten.
Wenn Sie ein Paket auswählen, das mit der bestehenden Version nicht vereinbar ist, wird ein Dialogfenster mit einem Warnhinweis angezeigt. Wählen Sie die geeignete Option aus und klicken Sie auf die Schaltfläche .
Klicken Sie auf .
Mit Sentinel werden Rohdaten über einen längeren Zeitraum aufbewahrt, um rechtliche sowie andere Vorschriften zu erfüllen. Sentinel unterstützt Sie durch die Komprimierung der Daten dabei, den lokalen und vernetzten Speicherplatz effizient zu nutzen. Speicheranforderungen können jedoch über einen langen Zeitraum gesehen zu einem wichtigen Faktor werden.
Um Beschränkungen aufgrund von Kostenfaktoren zu überwinden, verwenden Sie kosteneffiziente Datenspeichersysteme zur langfristigen Speicherung von Daten. Bandbasierte Speichersysteme stellen die gängigste und kosteneffizienteste Lösung dar. Bänder ermöglichen jedoch keinen wahlfreien Zugriff auf gespeicherte Daten, der für schnelle Suchen erforderlich ist. Daher ist ein Hybridansatz zur langfristigen Datenspeicherung wünschenswert, bei dem die Daten für die Suche auf einem Speichersystem mit wahlfreiem Zugriff abgelegt werden und die Daten, die nur aufbewahrt und nicht gesucht werden müssen, auf einer kosteneffizienteren Alternative wie einem Band gespeichert werden. Anweisungen zur Bereitstellung dieses Hybridansatzes finden Sie unter Using Sequential-Access Storage for Long Term Data Storage
(Verwendung der Speicherung mit sequenziellem Zugriff für die langfristige Datenaufbewahrung) im NetIQ Sentinel 7.0.1 Administration Guide (NetIQ Sentinel 7.0.1-Administrationshandbuch).
Um den für Sentinel erforderlichen Speicherplatz mit wahlfreiem Zugriff zu bestimmen, schätzen Sie die Anzahl der Tage ab, für deren Daten Sie regelmäßig Suchen ausführen oder Berichte erstellen. Sie sollten entweder lokal auf dem Sentinel-Computer oder remote im SMB (Server Message Block)-Protokoll oder CIFS-Protokoll, im NFS (Network File System) oder in einem SAN über ausreichend Festplattenspeicher verfügen, der von Sentinel zur Datenarchivierung verwendet werden kann.
Zusätzlich zu den Mindestanforderungen sollten Sie weiteren Festplattenspeicher für die folgenden Fälle bereithalten:
Zum Auffangen von Datenraten, die höher ausfallen als erwartet
Zum Zurückkopieren von auf Band archivierten Daten nach Sentinel für die Suche und Berichterstellung auf Basis historischer Daten
Verwenden Sie die folgenden Formeln, um den zum Speichern der Daten erforderlichen Speicherplatz zu ermitteln:
Lokaler Ereignis-Speicher (teilweise komprimiert): {durchschnittliche Ereignisgröße in Byte} x {Anzahl der Tage} x {Ereignisanzahl pro Sekunde} x 0.00008 = erforderlicher Gesamtspeicherplatz in GB
Ereignisgrößen bewegen sich üblicherweise in einem Bereich von 300 bis 1000 Byte.
Netzwerk-Ereignis-Speicher (vollständig komprimiert): {durchschnittliche Ereignisgröße in Byte} x {Anzahl der Tage} x {Ereignisanzahl pro Sekunde} x 0,00001 = erforderlicher Gesamtspeicherplatz in GB
Rohdatenspeicher (vollständig komprimiert, sowohl im lokalen Speicher als auch im Netzwerkspeicher): {durchschnittliche Größe eines Rohdatensatzes in Byte} x {Anzahl der Tage} x {Ereignisanzahl pro Sekunde} x 0,000003 = erforderlicher Gesamtspeicherplatz in GB
Die durchschnittliche Rohdatengröße für Syslog-Meldungen beträgt in der Regel 200 Byte.
Gesamtgröße des lokalen Speichers (bei aktiviertem Netzwerkspeicher): {Größe des lokalen Ereignis-Speichers für die gewünschte Anzahl an Tagen} + {Größe des Rohdatenspeichers für einen Tag) = erforderlicher Gesamtspeicherplatz in GB
Wenn der Netzwerkspeicher aktiviert ist, werden die Ereignisdaten üblicherweise nach 2 Tagen in den Netzwerkspeicher kopiert. Weitere Informationen finden Sie unter Configuring Data Storage (Konfigurieren der Datenspeicherung)
im NetIQ Sentinel 7.0.1 Administration Guide (NetIQ Sentinel 7.0.1-Administrationshandbuch).
Gesamtgröße des lokalen Speichers (bei deaktiviertem Netzwerkspeicher): {Größe des lokalen Ereignis-Speichers für die Beibehaltungszeit} + {Größe des Rohdatenspeichers für die Beibehaltungszeit) = erforderlicher Gesamtspeicherplatz in GB
Gesamtgröße des Netzwerkspeichers: {Größe des Netzwerkspeichers für die Beibehaltungszeit} + {Größe des Rohdatenspeichers für die Beibehaltungszeit} = erforderliche Gesamtspeichergröße in GB
HINWEIS:
Die Koeffizienten in den Formeln ergeben sich aus ((Sekunden pro Tag) x (GB pro Byte) x Komprimierungsverhältnis).
Diese Zahlen stellen lediglich Schätzungen dar und hängen von der Größe der Ereignisdaten sowie von der Größe der komprimierten Daten ab.
„Teilweise komprimiert“ bedeutet, dass die Daten komprimiert sind, der Index der Daten jedoch nicht komprimiert ist. „Vollständig komprimiert“ bedeutet, dass sowohl die Ereignisdaten als auch die Indexdaten komprimiert sind. Das Komprimierungsverhältnis für Ereignisdaten ist üblicherweise 10:1. Das Komprimierungsverhältnis für Indexdaten ist üblicherweise 5:1. Der Index dient dem Optimieren der Suche in den Daten.
Anhand der oben genannten Formeln können Sie auch ermitteln, wie viel Speicherplatz für ein langfristiges Datenspeichersystem wie ein Band erforderlich ist.
Verwenden Sie die folgenden Formeln zur Schätzung der Datenträgernutzung auf dem Server bei unterschiedlichen EPS-Raten.
Auf den Datenträger geschriebene Daten (Kilobyte pro Sekunde): (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte) x (Ereignisanzahl pro Sekunde) x 0,002 Kompressionsverhältnis = pro Sekunde auf den Datenträger geschriebene Daten
Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Größe der auf den Datenträger geschriebenen Daten folgendermaßen ermittelt werden:
(758 Byte + 490 Byte) x 500 EPS x 0,002 = 1100 KB
Anzahl der E/A-Anforderungen an den Datenträger (Übertragungen pro Sekunde): (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte) x (Ereignisanzahl pro Sekunde) x 0,00002 Kompressionsverhältnis = E/A-Anforderungen an Datenträger pro Sekunde
Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Anzahl der E/A-Anforderungen an den Datenträger pro Sekunde folgendermaßen ermittelt werden:
(758 Byte + 490 Byte) x 500 EPS x 0,00002 = ca. 10 Übertragungen pro Sekunde
Anzahl der pro Sekunde auf den Datenträger geschriebenen Blöcke: (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte) x (Ereignisanzahl pro Sekunde) x 0,003 Kompressionsverhältnis = pro Sekunde auf den Datenträger geschriebene Blöcke
Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Anzahl der pro Sekunde auf den Datenträger geschriebenen Blöcke folgendermaßen ermittelt werden:
(758 Byte + 490 Byte) x 500 EPS x 0,003 = ca. 1800 Blöcke pro Sekunde
Beim Ausführen eines Suchvorgangs pro Sekunde vom Datenträger gelesene Daten: (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße n Byte) x (Anzahl der mit der Suchabfrage übereinstimmenden Ereignisse in Millionen) x 0,40 Kompressionsverhältnis = pro Sekunde vom Datenträger gelesene Kilobyte
Bei beispielsweise einer Anzahl von 5 Millionen Ereignisse, die mit der Suchabfrage übereinstimmen, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Größe der pro Sekunde vom Datenträger gelesenen Daten folgendermaßen ermittelt werden:
(758 Byte + 490 Byte) x 5 x 0,40 = ca. 500 KB
Verwenden Sie folgende Formeln zur Schätzung der genutzten Netzwerkbandbreite zwischen dem Sentinel-Server und dem Remote-Collector-Manager bei verschiedenen EPS-Raten:
{durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte} x {Ereignisanzahl pro Sekunde} x 0,0003 Kompressionsverhältnis = Netzwerkbandbreite in KBit/s (Kilobit pro Sekunde)
Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Netzwerkbandbreitennutzung folgendermaßen ermittelt werden:
(758 Byte + 490 Byte} x 500 EPS x 0,0003 = ca. 175 KBit/s
Sentinel ist eingehend getestet und wird auf einem VMware ESX-Server vollständig unterstützt. Wenn Sie eine virtuelle Umgebung einrichten, müssen die virtuellen Maschinen über mindestens 2 CPUs verfügen. Um auf ESX oder in anderen virtuellen Umgebungen Ergebnisse zu erzielen, die mit den Testergebnissen auf physischen Computern vergleichbar sind, sollte die virtuelle Umgebung dieselben Anforderungen an Arbeitsspeicher, CPU, Speicherplatz und E/A erfüllen, die auch für physische Computer gelten.
Weitere Informationen zu Empfehlungen für physische Computer finden Sie unter Abschnitt 1.1, Systemanforderungen und unterstützte Plattformen.