De manera predeterminada, el servidor Sentinel incluye los siguientes componentes:
Collector Manager: Collector Manager proporciona un punto de recopilación de datos flexible para Sentinel. El instalador de Sentinel instala Collector Manager por defecto durante la instalación.
Correlation Engine: Correlation Engine procesa eventos del flujo de eventos en tiempo real para determinar si estos deberían activar alguna de las reglas de correlación.
NetFlow Collector Manager: NetFlow Collector Manager recopila datos de flujo de la red (NetFlow, IPFIX, etc.) de dispositivos de red como routers, switches y cortafuegos. Los datos de flujo de la red describen información básica sobre todas las conexiones de red entre hosts, como los paquetes y bytes transmitidos, lo que le ayuda a visualizar el comportamiento de hosts individuales o de toda la red.
IMPORTANTE:En los entornos de producción, NetIQ recomienda configurar una implantación distribuida porque aísla los componentes de recopilación de datos en un equipo aparte, lo que es importante para manejar aumentos repentinos de procesamiento y otras anomalías con la máxima estabilidad para el sistema.
En esta sección se describen las ventajas de las implantaciones distribuidas.
El servidor Sentinel incluye Collector Manager por defecto. No obstante, para los entornos de producción, las instancias de Collector Manager proporcionan un mejor aislamiento cuando se reciben grandes volúmenes de datos. En esta situación, una instancia de Collector Manager distribuida podría verse sobrecargada, pero el servidor Sentinel seguirá respondiendo a las peticiones del usuario.
La instalación de más de una instancia de Collector Manager en una red distribuida aporta las siguientes ventajas:
Mejora del rendimiento del sistema: las instancias adicionales de Collector Manager pueden analizar y procesar datos de eventos en un entorno distribuido, lo que incrementa el rendimiento del sistema.
Mayor seguridad de los datos y menores requisitos de ancho de banda de la red: si las instancias de Collector Manager se encuentran ubicadas conjuntamente con los orígenes de eventos, entonces puede aplicarse el filtrado, el cifrado y la compresión de datos en el origen.
Almacenamiento de archivos en el caché: las instancias adicionales de Collector Manager pueden almacenar en el caché grandes cantidades de datos mientras que el servidor está ocupado temporalmente archivando eventos o procesando un aumento del número de eventos. Esta función es una ventaja para los protocolos, como syslog, que no admiten el almacenamiento en caché de forma original.
Puede instalar instancias adicionales de Collector Manager en ubicaciones adecuadas de su red. Estas instancias remotas de Collector Manager ejecutan conectores y recopiladores y reenvían los datos obtenidos al servidor Sentinel para su almacenamiento y procesamiento. Para obtener información sobre la instalación de instancias adicionales de Collector Manager, consulte la Sección III, Instalación de Sentinel.
NOTA:No es posible instalar más de una instancia de Collector Manager en un solo sistema. Puede instalar más instancias de Collector Manager en sistemas remotos y conectarlos después al servidor Sentinel.
Puede distribuir múltiples instancias de Correlation Engine, cada una en su propio servidor, sin necesidad de replicar configuraciones ni añadir bases de datos. En los entornos que tienen muchas reglas de correlación o un número extremadamente elevado de eventos, puede ser beneficioso instalar más de una instancia de Correlation Engine y volver a implementar algunas reglas en la nueva instancia de dicho motor. Varios instancias de Correlation Engine proporcionan la capacidad de ampliarse a medida que el sistema Sentinel incorpora orígenes de datos adicionales o aumenta el número de eventos. Para obtener información sobre la instalación de instancias adicionales de Correlation Engine, consulte la Sección III, Instalación de Sentinel .
NOTA:No es posible instalar más de una instancia de Correlation Engine en un solo sistema. Puede instalar instancias adicionales de Correlation Engine en sistemas remotos y luego conectarlos al servidor Sentinel.
NetFlow Collector Manager recopila datos de flujo de la red de los dispositivos de red. Debe instalar más instancias de NetFlow Collector Manager en vez de usar NetFlow Collector Manager del servidor Sentinel a fin de liberar recursos del sistema para funciones importantes como el almacenamiento de eventos y las búsquedas.
Puede instalar más instancias de NetFlow Collector Manager en las siguientes situaciones:
En los entornos con numerosos dispositivos de red y tasas elevadas de datos de flujo, puede instalar varias instancias de NetFlow Collector Manager para distribuir la carga.
Si se encuentra en un entorno de múltiples arrendatarios, debe instalar una instancia de NetFlow Collector Manager individual para cada arrendatario a fin de recopilar datos de flujo de la red por arrendatario.
Para obtener más información sobre la instalación de instancias adicionales de NetFlow Collector Manager, consulte el Sección 15.0, Instalación de NetFlow Collector Manager.