Sentinel bietet verschiedene Optionen zum Routen, Speichern und Extrahieren der erfassten Daten. Standardmäßig erhält Sentinel von den Collector-Managern zwei getrennte, aber verwandte Datenströme: die analysierten Ereignisdaten und die Rohdaten. Die Rohdaten werden sofort in geschützten Partitionen gespeichert, um eine sichere Beweiskette bereitzustellen. Die analysierten Ereignisdaten werden gemäß den definierten Regeln weitergeleitet und können gefiltert, zum Speicher gesendet, zur Echtzeitanalyse eingereicht oder an externe Systeme weitergeleitet werden. Alle zum Speicher gesendeten Ereignisdaten werden mit benutzerdefinierten Beibehaltungsrichtlinien abgeglichen, um zu ermitteln, in welcher Partition die Daten abgelegt werden. Diese Richtlinien umfassen auch die Säuberungsrichtlinien zur Beibehaltung bzw. zum Löschen der Ereignisdaten.
Der Datenspeicher in Sentinel basiert auf einer Struktur mit drei Ebenen:
Onlinespeicher
Primärer oder lokaler Speicher: Für schnelles Schreiben und Abrufen optimiert. Die zuletzt erfassten (und die am meisten gesuchten) Ereignisdaten werden hier gespeichert.
Sekundärer Speicher oder Netzwerkspeicher: Für eine reduzierte Speicherauslastung und dennoch schnelles Abrufen optimiert. Sentinel migriert Datenpartitionen automatisch zum sekundären Speicher.
HINWEIS: Die Verwendung eines sekundären Speichers ist fakultativ. Datenbeibehaltungsrichtlinien, Suchen und Berichte werden in den Ereignisdatenpartitionen unabhängig vom Speicherort (primärer oder sekundärer Speicher, oder beide) ausgeführt.
Offlinespeicher oder Archivspeicher:
Nach dem Schließen der Partitionen können Sie die geschlossenen Partitionen in einem Offlinespeicher sichern, beispielsweise einem günstigen Massenspeicher, Amazon Glacier o. ä. Bei Bedarf können Sie die Offlinepartitionen vorübergehend wieder importieren, um forensische Langzeit-Analysen ausführen zu können.
Sie können Sentinel auch so konfigurieren, dass Ereignisdaten und Ereignisdatenzusammenfassungen unter Anwendung von Datensynchronisierungsrichtlinien zu einer externen Datenbank extrahiert werden. Weitere Informationen finden Sie unter Konfigurieren der Datenspeicherung
im NetIQ Sentinel 7.1 Administration Guide (NetIQ Sentinel 7.1-Administrationshandbuch).