Eine Sentinel-Implementierung kann je nach den Anforderungen Ihrer Umgebung unterschiedlich ausfallen. Ziehen Sie daher vor der Fertigstellung der Sentinel-Architektur die NetIQ Consulting Services oder einen der NetIQ Sentinel-Partner zu Rate.
Dieser Abschnitt enthält Informationen zur Auswahl der geeigneten Größe Ihres Systems. Die Angaben basieren auf Tests, die von NetIQ mit einer zum Zeitpunkt des Tests verfügbaren Hardware ausgeführt hat. Unter Umständen stehen nun größere, leistungsstärkere Hardwarekonfigurationen zur Verfügung, die eine größere Last verarbeiten können.
Bei einteiligen Konfigurationen wird die gesamte Verarbeitungslast auf dem Sentinel-Server konzentriert und nicht auf Remote-Collector-Managers oder Correlation Engines verteilt. Eine einteilige Konfiguration ist unter Umständen gut für einfache Szenarien geeignet, wenn wenige Funktionen auf eingeschränkte Weise genutzt werden. Bei der Verwendung eines großen Funktionsumfangs oder einer intensiven Nutzung bestimmter Funktionen sind solche Konfigurationen jedoch weniger geeignet. Wenn Sie beispielsweise neben den einsatzbereiten noch weitere Korrelationsregeln verwenden, erhöht dies die Systemlast und kann dazu führen, dass andere Funktionen auf dem Server aufgrund der erhöhten Ressourcenausnutzung durch die Correlation Engine nicht mehr optimal ausgeführt werden können.
Wenn eine größere Zahl Collectors eingesetzt wird, ist eine Verteilung der Last auf Remote-Collector-Manager erforderlich.
Wenn mehr als nur die einsatzbereiten Korrelationsregeln verwendet werden, ist eine Verteilung der Last auf Remote-Correlation Engines erforderlich.
Eine Verteilung der Last empfiehlt sich, wenn Sie planen, die Zahl der verwendeten Funktionen oder die Nutzungsintensivität zu erhöhen.
Die Fähigkeit des Prozessors, Hyper-Threading auszuführen, hat nachweisbar eine wesentliche, positive Auswirkung in Bezug auf die Last, die das System verarbeiten kann. Beachten Sie bei der Auswahl eines Prozessors daher die nachstehenden Angaben dazu, ob der Referenztest mit aktiviertem Hyper-Threading ausgeführt wurde, und wählen Sie einen Prozessor mit mindestens gleichwertigen Hyper-Threading-Fähigkeiten aus.
|
Kategorie |
Beschreibung |
Demo, All-in-one nicht für Produktionsumgebungen ausgelegt |
Mittel, All-in-one |
Mittlere, agentenbasierte Datenerfassung |
Groß, All-in-one |
Große, verteilte, agentenlose Datenerfassung |
Sehr groß |
|---|---|---|---|---|---|---|---|
|
Leistungsvermögen für beibehaltene EPS |
EPS-Rate (Ereignisse pro Sekunde), die von Echtzeitkomponenten verarbeitet und vom System im Speicher beibehalten wird. |
100 EPS |
2500 EPS |
2500 EPS |
9000 EPS |
11000 EPS |
> 11000 EPS |
|
Leistungsvermögen für operative EPS |
Die vom System von den Ereignisquellen empfangene EPS-Rate. Dies umfasst Daten, die vor dem Speichern von der intelligenten Filterfunktion des Systems abgelegt werden. Dieser Wert wird zur Ermittlung der Konformität mit EPS-basierten Lizenzen verwendet. |
100 EPS |
> 2500 EPS |
> 2500 EPS |
9000 EPS |
16000 EPS |
> 16000 EPS |
|
Sentinel-Serverhardware |
|||||||
|
Prozessor |
Intel Xeon-Prozessor E5420 mit 2,50 GHz (4 Prozessorkerne), ohne Hyper-Threading |
Zwei Intel Xeon-Prozessoren E5450 mit 3,00 GHz (4 Kerne je Prozessor; insgesamt 8 Kerne), ohne Hyper-Threading |
Zwei AMD Opteron 2431 mit 2,40 GHz (6 Kerne je Prozessor; insgesamt 12 Kerne) |
Zwei Intel(R) Xeon(R)-Prozessoren E5-2680 0 mit 2,70 GHz (8 Kerne je Prozessor, insgesamt 16 Kerne), mit Hyper-Threading |
Bei NetIQ Services anfragen |
||
|
Lokaler Speicher |
Lokal im Cache gespeicherte Daten zur Verbesserung der Suchleistung. |
7200-RPM-Laufwerk mit 500 GB |
15000-RPM-Laufwerk, 5 x 300 GB SAS (Hardware RAID 0) |
10000-RPM-Laufwerk, 3 x 146 GB SAS (RAID 0, Stripe-Größe 128 KB) |
15000-RPM-Laufwerk, 5 TB, 8 x 600 GB SAS (Hardware RAID 0, Stripe-Größe 128 KB) |
||
|
Netzwerkspeicher |
Enthält eine Kopie der Daten im lokalen Speicher. |
Nicht verwendet |
Nicht verwendet |
Nicht verwendet |
Nicht verwendet |
||
|
Arbeitsspeicher |
4 GB |
24 GB |
16 GB |
64 GB |
|||
|
Hardware für Remote-Collector-Manager Nr. 1 |
|||||||
|
Prozessor |
Nicht anwendbar (nur lokal eingebetteter CM) |
Zwei Intel(R) Xeon(R)-Prozessoren E5-2680 0 mit 2,70 GHz (8 Kerne je Prozessor, insgesamt 16 Kerne), mit Hyper-Threading |
Bei NetIQ Services anfragen |
||||
|
Speicher |
|
|
20 GB freier Speicherplatz |
Bei NetIQ Services anfragen |
|||
|
Arbeitsspeicher |
|
|
24 GB |
||||
|
Hardware für Remote-Collector-Manager Nr. 2 |
|||||||
|
Prozessor |
Nicht anwendbar (nur lokal eingebetteter CM) |
Intel(R) Xeon(R)-Prozessor X5570, 8 Kerne, 2,93 GHz (virtuelle Maschine) |
Bei NetIQ Services anfragen |
||||
|
Speicher |
|
|
50 GB |
||||
|
Arbeitsspeicher |
|
|
8 GB |
||||
|
Hardware für Agent Manager |
|||||||
|
Prozessor |
|
Nicht anwendbar (nur agentenlose Datenerfassung) |
Zwei Intel Xeon 5140-Prozessoren mit 2,33 GHz (2 Kerne je Prozessor; insgesamt 4 Kerne) |
Nicht anwendbar (nur agentenlose Datenerfassung) |
Bei NetIQ Services anfragen |
||
|
Speicher |
|
10000-RPM-Laufwerk, 2 x 300 GB SAS (RAID 0, Stripe-Größe 128 KB) |
|
||||
|
Arbeitsspeicher |
|
|
16 GB |
|
|||
|
Hardware für Remote-Correlation-Engine |
|||||||
|
Prozessor |
|
Nicht anwendbar (nur lokal eingebettete CE) |
Bei NetIQ Services anfragen |
||||
|
Speicher |
|
|
|||||
|
Arbeitsspeicher |
|
|
|||||
|
Datenerfassung |
|||||||
|
Verteilung auf Collector-Managers (CM) |
Die Anzahl der Ereignisquellen und die Last in Ereignissen pro Sekunde für jeden Collector-Manager. Der gefilterte Prozentwert gibt an, wie viele normalisierte Ereignisse sofort nach der Erfassung herausgefiltert wurden, ohne gespeichert oder zu einer Analyse-Engine übertragen zu werden. Beachten Sie, dass die nicht normalisierten Rohprotokolldaten, auf denen die normalisierten Ereignisse basieren, nicht von der Filterung beeinflusst und immer gespeichert werden. Der lokal eingebettete CM befindet sich auf dem Sentinel-Servercomputer. |
Lokal eingebetteter CM Ereignisquellen: 101 EPS: 100 Gefiltert: 0 % |
Lokal eingebetteter CM Ereignisquellen: 2500 EPS: 2500 Gefiltert: 0 % |
Lokal eingebetteter CM Ereignisquellen: 5000 EPS: 2500 Gefiltert: 0 % |
Lokal eingebetteter CM Ereignisquellen: 500 EPS: 9000 Gefiltert: 0 % |
Lokal eingebetteter CM Nicht verwendet Remote-CM Nr. 1 Ereignisquellen: 110 EPS: 9500 Gefiltert: 21 % Rohdaten deaktiviert Remote-CM Nr. 2 Ereignisquellen: 20 EPS: 6500 Gefiltert: 54 % Rohdaten deaktiviert |
Bei NetIQ Services anfragen |
|
Verwendete Collectors |
IBM AIX 6.1r3 Quellen: 100 EPS: 99 NetIQ Universal Event 2011.1r1 Quellen: 1 EPS: 1 |
Jeder Collector verfügt über einen eigenen Syslog-Server. Oracle Solaris 6.1r3 Quellen: 1000 EPS: 1000 IBM AIX 6.1r3 Quellen: 1000 EPS: 1000 Sourcefire Snort 2011.1r1 Quellen: 500 EPS: 500 |
Benutzerdefinierter Test-Collector (keine Analyse) Agent Manager-Connector-Server 1 Quellen: 5000 EPS: 2500 |
Jeder der folgenden Server verfügte über einen eigenen Syslog-Server mit den folgenden EPS-Raten bei der Analyse: Oracle Solaris 6.1r3 EPS: 2000 Sourcefire Snort 2011.1r1 EPS: 1500 NetIQ Universal Event 2011.1r1 EPS: 2000 Juniper Netscreen Series 2011.1r1 EPS: 1500 IBM AIX 6.1r3: 2000 EPS: 2000 |
Jeder der folgenden Server verfügte über einen eigenen Syslog-Server mit den folgenden EPS-Raten bei der Analyse: Oracle Solaris 6.1r3 RCM Nr. 1: 2000 RCM Nr. 2: 2000 Sourcefire Snort 2011.1r1 RCM Nr. 1: 2000 RCM Nr. 2: 1000 NetIQ Universal Event 2011.1r1 RCM Nr. 1: 2000 RCM Nr. 2: 0 Juniper Netscreen Series 2011.1r1 RCM Nr. 1: 2000 RCM Nr. 2: 1500 |
Bei NetIQ Services anfragen |
|
|
|
|
|
|
|
IBM AIX 6.1r3 RCM Nr. 1: 1500 RCM Nr. 2: 0 IBM iSeries 2011.1r3 RCM Nr. 1: 0 RCM Nr. 2: 2000 |
Bei NetIQ Services anfragen |
|
Summe |
Ereignisquelle: 101 EPS: 100 Gefiltert: 0 % |
Ereignisquelle: 2500 EPS: 2500 Gefiltert: 0 % |
Ereignisquelle: 5000 EPS: 2500 Gefiltert: 0 % |
Ereignisquelle: 500 EPS: 9000 Gefiltert: 0 % |
Ereignisquelle: 130 Operative EPS: 16000 Beibehaltene EPS: 11000 Gefiltert: 25 % |
||
|
Datenspeicherung |
|||||||
|
Nach wie weit in der Vergangenheit liegenden Daten suchen die Benutzer regelmäßig? |
Menge der lokal im Cache gespeicherten Daten zur Verbesserung der Suchleistung. |
7 Tage |
Bei NetIQ Services anfragen |
||||
|
Wie hoch ist der Prozentsatz der Suchen, die Daten betreffen, welche länge als der oben genannte Zeitraum in der Vergangenheit liegen? |
Beeinflusst die Anzahl der Eingabe-/Ausgabeoperationen pro Sekunde für den lokalen Speicher oder den Netzwerkspeicher |
10 % |
|||||
|
Bis zu welchem Alter müssen die Daten beibehalten werden? |
Beeinflusst die Größe des Datenträgerspeicherplatzes, der zur Beibehaltung der Daten erforderlich ist. Wenn der Netzwerkspeicher aktiviert ist, beeinflusst dies die Größe des benötigten Netzwerkspeichers. Andernfalls beeinflusst es die Größe des erforderlichen lokalen Speichers. |
14 Tage |
|||||
|
Wird ein Netzwerkspeichergerät verfügbar und verbunden sein? |
Legt fest, ob alle Daten lokal gespeichert werden oder ob ein Netzwerkspeicher zur günstigeren langfristigen Onlinespeicherung verfügbar ist. Die Daten im Netzwerkspeicher bleiben online. |
Nein |
Bei NetIQ Services anfragen |
||||
|
Wie viele Berichte werden über Zusammenfassungen und andere Datensynchronisierungsrichtlinien optimiert? |
Beeinflusst die Anzahl der Datensynchronisierungsrichtlinien, was wiederum die Größe und die Eingabe-/Ausgabeoperationen des lokalen Speichers beeinflusst. |
5 (einsatzbereit) |
4 (einsatzbereit, außer Quellzusammenfassungs-RDD, die zurückbleibt) |
||||
|
Benutzeraktivität |
|||||||
|
Wie viele Benutzer sind im Durchschnitt gleichzeitig aktiv? |
Beeinflusst die Anzahl der Eingabe-/Ausgabeoperationen für den lokalen Speicher und den Netzwerkspeicher sowie andere Elemente. |
1 |
Bei NetIQ Services anfragen |
||||
|
Wie viele Suchen führt ein aktiver Benutzer im Schnitt gleichzeitig aus? |
Beeinflusst die Anzahl der Eingabe-/Ausgabeoperationen für den lokalen Speicher und den Netzwerkspeicher. |
1 Suche oder Bericht (nicht jedoch beides gleichzeitig), 20000 Ereignisse pro Bericht; 100 Millionen Ereignisse pro Suche |
Nicht mit Suchen oder Berichterstellung getestet |
1 80 Millionen Ereignisse pro Suche |
1 20 Millionen Ereignisse pro Suche |
||
|
Wie viele Berichte führt ein aktiver Benutzer im Schnitt gleichzeitig aus? |
Beeinflusst die Anzahl der Eingabe-/Ausgabeoperationen für den lokalen Speicher und den Netzwerkspeicher. |
1 Suche oder Bericht (nicht jedoch beides gleichzeitig), 20000 Ereignisse pro Bericht; 100 Millionen Ereignisse pro Suche |
Nicht mit Suchen oder Berichterstellung getestet |
1 1000 Ereignisse pro Bericht |
1 60000 Ereignisse und 5000 Seiten pro Bericht |
||
|
Analyse |
|||||||
|
Wie hoch ist der Prozentsatz der Ereignisdaten, die für Korrelationsregeln relevant sind? |
Von der Correlation Engine verarbeitete Datenmenge. |
100 % (einsatzbereit ohne vorherige Konfiguration) (3 Korrelationen pro Sekunde) |
100 % (einsatzbereit ohne vorherige Konfiguration) (0 Korrelationen pro Sekunde) |
0% |
0% (bestimmte Daten werden zu spät empfangen, um für die Echtzeitkorrelation berücksichtigt zu werden) |
Bei NetIQ Services anfragen |
|
|
Wie viele einfache Korrelationsregeln (nur Filter/Auslöser) werden verwendet? |
Beeinflusst die Prozessorauslastung der Correlation Engine. |
84 % (einsatzbereit ohne vorherige Konfiguration) |
0 |
Bei NetIQ Services anfragen |
|||
|
Wie viele komplexe Korrelationsregeln werden verwendet? |
Beeinflusst die Prozessor- und Speicherauslastung der Correlation Engine. |
0 % (einsatzbereit ohne vorherige Konfiguration) |
|||||
|
Verteilung auf Correlation Engines (CE) |
Lokal eingebettete CE (alle Regeln) |
||||||
|
Auf wie vielen Datensätzen wird die Abweichungserkennung ausgeführt? |
Die Anzahl der Sicherheitsintelligenz-Dashboards, was die Prozessor- und Arbeitsspeicherauslastung und die Größe des lokalen Speichers beeinflusst. |
1 (je 1 % des Ereignisstroms) |
0 |
||||
|
Hohe Verfügbarkeit |
|||||||
|
Notizen |
Wesentliche Funktion deaktiviert oder Warnungen zu den Folgen einer Überschreitung der Systemlast. |
Rohdaten deaktiviert Korrelation und Sicherheitsintelligenz nicht verwendet Berichte über mehr als 30000 Ereignisse verursachen Stabilitätsprobleme |
Rohdaten deaktiviert Korrelation und Sicherheitsintelligenz nicht verwendet Berichte über eine größere als die genannte Ereigniszahl verursachen Stabilitätsprobleme Das Erhöhen der beibehaltenen EPS kann zu bei dieser Systemkonfiguration zu Stabilitätsproblemen führen |
Bei NetIQ Services anfragen |
|||