De manera predeterminada, el servidor Sentinel incluye los siguientes componentes:
Gestor de recopiladores: El gestor de recopiladores proporciona un punto de recopilación de datos flexible para Sentinel. El instalador de Sentinel instala un gestor de recopiladores por defecto durante la instalación.
Motor de correlación: El motor de correlación procesa eventos del flujo de eventos en tiempo real para determinar si estos deberían activar alguna de las reglas de correlación.
Gestor de recopiladores de NetFlow: El gestor de recopiladores de NetFlow recopila datos de flujo de la red (NetFlow, IPFIX, etc.) de dispositivos de red como routers, switches y cortafuegos. Los datos de flujo de la red describen información básica sobre todas las conexiones de red entre hosts, como los paquetes y bytes transmitidos, lo que le ayuda a visualizar el comportamiento de hosts individuales o de toda la red.
IMPORTANTE:En los entornos de producción, NetIQ recomienda configurar una implantación distribuida porque aísla los componentes de recopilación de datos en un equipo aparte, lo que es importante para manejar aumentos repentinos de procesamiento y otras anomalías con la máxima estabilidad para el sistema.
En esta sección se describen las ventajas de las implantaciones distribuidas.
El servidor Sentinel incluye por defecto un gestor de recopiladores. No obstante, para los entornos de producción, los gestores de recopiladores proporcionan un mejor aislamiento cuando se reciben grandes volúmenes de datos. En esta situación, un gestor de recopiladores distribuido podría verse sobrecargado, pero el servidor Sentinel seguirá respondiendo a las peticiones del usuario.
La instalación de más de un gestor de recopiladores en una red distribuida aporta las siguientes ventajas:
Mejora del rendimiento del sistema: los gestores de recopiladores adicionales pueden analizar y procesar datos de eventos en un entorno distribuido, lo que incrementa el rendimiento del sistema.
Mayor seguridad de los datos y menores requisitos de ancho de banda de la red: si los gestores de recopiladores se encuentran ubicados conjuntamente con los orígenes de eventos, entonces puede aplicarse el filtrado, el cifrado y la compresión de datos en el origen.
Almacenamiento de archivos en el caché: los gestores de recopiladores adicionales pueden almacenar en el caché grandes cantidades de datos mientras que el servidor está ocupado temporalmente archivando eventos o procesando un aumento del número de eventos. Esta función es una ventaja para los protocolos, como syslog, que no admiten el almacenamiento en caché de forma original.
Puede instalar gestores de recopiladores adicionales en ubicaciones adecuadas de su red. Estos gestores de recopiladores remotos ejecutan conectores y recopiladores y reenvían los datos obtenidos al servidor Sentinel para su almacenamiento y procesamiento. Para obtener información sobre la instalación de gestores de recopiladores adicionales, consulte la Sección III, Instalación de Sentinel.
NOTA:No es posible instalar más de un gestor de recopiladores en un solo sistema. Puede instalar más gestores de recopiladores en sistemas remotos y conectarlos después al servidor Sentinel.
Puede distribuir múltiples motores de correlación, cada uno en su propio servidor, sin necesidad de replicar configuraciones ni añadir bases de datos. En los entornos que tienen muchas reglas de correlación o un número extremadamente elevado de eventos, puede ser beneficioso instalar más de un motor de correlación y volver a implementar algunas reglas en el nuevo motor de correlación. Varios motores de correlación proporcionan la capacidad de ampliarse a medida que el sistema Sentinel incorpora orígenes de datos adicionales o aumenta el número de eventos. Para obtener información sobre la instalación de motores de correlación adicionales, consulte la Sección III, Instalación de Sentinel .
NOTA:No es posible instalar más de un motor de correlación en un solo sistema. Puede instalar motores de correlación adicionales en sistemas remotos y luego conectarlos al servidor Sentinel.
El gestor de recopiladores de NetFlow recopila datos de flujo de la red de los dispositivos de red. Debe instalar más gestores de recopiladores de NetFlow en vez de usar el gestor de recopiladores de NetFlow del servidor Sentinel a fin de liberar recursos del sistema para funciones importantes como el almacenamiento de eventos y las búsquedas.
Puede instalar más gestores de recopiladores de NetFlow en las siguientes situaciones:
En los entornos con numerosos dispositivos de red y tasas elevadas de datos de flujo, puede instalar varios gestores de recopiladores de NetFlow para distribuir la carga.
Si se encuentra en un entorno de múltiples arrendatarios, debe instalar un gestor de recopiladores de NetFlow individual para cada arrendatario a fin de recopilar datos de flujo de la red por arrendatario.
Para obtener más información sobre la instalación de gestores de recopiladores de NetFlow adicionales, consulte el Sección 14.0, Instalación del gestor de recopiladores de NetFlow.