Sentinel empfängt Informationen von Geräten, standardisiert diese Informationen in einer als Ereignis bezeichneten Struktur, klassifiziert das Ereignis und sendet es zur Verarbeitung. Durch Hinzufügen von Kategorieinformationen (Taxonomie) zu den Ereignissen können die Ereignisse leichter über verschiedene Systeme hinweg verglichen werden, die Ereignisse auf unterschiedliche Weise berichten. Ein Beispiel hierfür sind Authentifizierungsfehler. Ereignisse werden in der Echtzeitanzeige, von der Correlation Engine, von Dashboards sowie vom Back-End-Server verarbeitet.
Ein Ereignis umfasst über 200 Felder. Ereignisfelder weisen unterschiedliche Typen auf und dienen unterschiedlichen Zwecken. Es gibt einige vordefinierte Felder, beispielsweise zur Angabe des Schweregrads (severity), der Gefährlichkeit (criticality), der Ziel-IP (destination IP) und des Ziel-Ports (destination port). Konfigurierbare Felder teilen sich in zwei Gruppen ein: Reservierte Felder sind für die interne Verwendung durch Sentinel vorgesehen (für künftige Erweiterungen), Kundenfelder sind für vom Kunden entwickelte Erweiterungen bestimmt.
Felder können durch Umbenennung einen neuen Zweck erfüllen. Die Quelle eines Felds kann entweder extern (die Festlegung erfolgt also explizit durch das Gerät oder den entsprechenden Collector) oder referenziell sein. Der Wert eines referenziellen Felds wird unter Verwendung des Zuordnungsservice als Funktion eines oder mehrerer weiterer Felder berechnet. Ein Feld kann beispielsweise der Gebäudecode des Gebäudes sein, in dem sich das Inventar befindet (die Angabe erfolgt als Ziel-IP eines Ereignisses). Ein Feld kann beispielsweise vom Zuordnungsservice als kundendefinierte Zuordnung berechnet werden (unter Verwendung der Ziel-IP aus dem Ereignis).
Der Zuordnungsservice stellt einen fortschrittlichen Mechanismus zur Weiterleitung relevanter Geschäftsdaten im gesamten System bereit. Diese Daten können Ereignisse um referenzielle Informationen erweitern, die Kontextinformationen zur Verfügung stellen, die Analysten bei der Entscheidungsbildung und beim Erstellen nützlicher Berichte und gut durchdachter Korrelationsregeln unterstützen.
Sie können die Ereignisdaten bereichern, indem Sie über Zuordnungen zusätzliche Informationen wie Host und Identitätsdetails zu den von den Ursprungsgeräten eingehenden Ereignissen hinzufügen. Diese zusätzlichen Informationen können für erweiterte Korrelationen und zur Berichterstellung genutzt werden. Das System unterstützt neben mehreren integrierten Zuordnungen auch benutzerdefinierte Zuordnungen.
In Sentinel definierte Zuordnungen werden auf zwei verschiedene Weisen gespeichert:
Integrierte Zuordnungen werden in der Datenbank gespeichert, über APIs im Collector-Code aktualisiert und automatisch zum Zuordnungsservice exportiert.
Benutzerdefinierte Zuordnungen werden als CSV-Dateien gespeichert und können im Dateisystem oder über die Benutzeroberfläche für die Zuordnungsdatenkonfiguration aktualisiert werden. Anschließend werden Sie vom Zuordnungsservice geladen.
In beiden Fällen werden die CSV-Dateien auf dem zentralen Sentinel-Server bewahrt. Änderungen an den Zuordnungen werden jedoch an die einzelnen Collector-Managers verteilt und lokal angewendet. Diese verteilte Verarbeitung gewährleistet, dass die Zuordnungsaktivität den Hauptserver nicht überlastet.
Der Zuordnungsservice setzt ein Modell zur dynamischen Aktualisierung ein, wobei die Zuordnungen per Streaming von einem Punkt an den nächsten übertragen werden. Auf diese Weise wird verhindert, dass sich große Datenmengen an statischen Zuordnungen im dynamischen Speicher ansammeln. Der Wert dieser Streaming-Funktion erweist sich insbesondere in einem für das Unternehmen essenziellen Echtzeitsystem wie Sentinel, in dem Datenbewegungen unabhängig von einer möglichen temporären Systemauslastung zuverlässig, prädiktiv und flexibel erfolgen müssen.
In Sentinel können Querverweise zwischen den Signaturen von Ereignisdaten und den Daten von Anfälligkeitsabsuchen erstellt werden. Benutzer werden automatisch und umgehend benachrichtigt, wenn ein anfälliges System durch einen Angriff ausgenutzt zu werden droht. Hier kommt Folgendes zum Einsatz:
Advisor-Feed
Intrusion Detection
Anfälligkeitsabsuchen
Firewalls
Advisor stellt Querverweise zwischen den Signaturen von Ereignisdaten und den Daten von Anfälligkeitsabsuchen her. Advisor-Feed enthält Informationen zu Schwachstellen und Bedrohungen sowie eine Standardisierung von Ereignissignaturen und Schwachstellen-Plugins. Weitere Informationen zu Advisor finden Sie im Abschnitt Configuring Advisor
(Advisor konfigurieren) im NetIQ Sentinel 7.1 Administration Guide (NetIQ Sentinel 7.1-Administrationshandbuch).