12.1 Zeit in Sentinel

Sentinel ist ein verteiltes System und umfasst mehrere Vorgänge, die sich in unterschiedlichen Teilen des Netzwerks befinden können. Zudem kann es durch das Gerät zu einer gewissen Verzögerung kommen. Aus diesem Grund ordnen die Sentinel-Vorgänge die Ereignisse vor der Verarbeitung nach der Uhrzeit neu an.

Die folgende Abbildung erläutert, wie Sentinel hierzu vorgeht:

Abbildung 12-1 Sentinel-Zeit

  1. Standardmäßig wird die Ereigniszeit auf die Collector-Manager-Zeit festgelegt. Die ideale Zeit ist die Gerätezeit. Folglich ist es am besten, die Ereigniszeit auf die Gerätezeit einzustellen, wenn die Gerätezeit verfügbar und präzise ist und vom Collector vorschriftsmäßig analysiert wird.

  2. Ereignisse werden in 30-Sekunden-Intervallen für die Anzeige in Active Views sortiert. Standardmäßig werden Ereignisse, deren Zeitstempel innerhalb eines Zeitraums von 5 Minuten von der Serverzeit (in der Vergangenheit oder Zukunft) liegt, normal verarbeitet. Ereignisse, deren Zeitstempel mehr als 5 Minuten in der Zukunft liegen, werden in den Active Views nicht angezeigt, jedoch in den Ereignisspeicher eingefügt. Ereignisse, deren Zeitstempel zwischen 5 Minuten und 24 Stunden in der Vergangenheit liegt, werden in den Diagrammen angezeigt, jedoch nicht in den Ereignisdaten dieser Diagramme. Zum Abrufen dieser Ereignisse aus dem Ereignisspeicher ist eine Detailanalyse erforderlich.

  3. Liegt die Ereigniszeit mehr als 30 Sekunden vor der Serverzeit, verarbeitet die Correlation Engine das Ereignis nicht.

  4. Liegt die Ereigniszeit mehr als 5 Minuten vor der Collector-Manager-Zeit (richtige Zeit), werden die Ereignisse direkt an den Ereignisspeicher weitergeleitet.