De manera predeterminada, el servidor Sentinel incluye los siguientes componentes:
Collector Manager: Collector Manager proporciona un punto de recopilación de datos flexible para Sentinel.
Correlation Engine: Correlation Engine procesa eventos del flujo de eventos en tiempo real para determinar si estos deberían activar alguna de las reglas de correlación.
Elasticsearch: Un componente de almacenamiento de datos opcional para almacenar e indexar los datos. Por defecto, Sentinel incluye un nodo de Elasticsearch. Si espera tasas elevadas de EPS, más de 2500, debe implantar nodos de Elasticsearch adicionales en un clúster.
IMPORTANTE:En los entornos de producción, debe configurar una implantación distribuida porque aísla los componentes de recopilación de datos en un equipo independiente, lo que es importante para manejar aumentos repentinos de procesamiento y otras anomalías con la máxima estabilidad para el sistema.
En esta sección se describen las ventajas de las implantaciones distribuidas.
El servidor Sentinel incluye Collector Manager por defecto. No obstante, para los entornos de producción, las instancias de Collector Manager proporcionan un mejor aislamiento cuando se reciben grandes volúmenes de datos. En esta situación, una instancia de Collector Manager distribuida podría verse sobrecargada, pero el servidor Sentinel seguirá respondiendo a las peticiones del usuario.
La instalación de más de una instancia de Collector Manager en una red distribuida aporta las siguientes ventajas:
Mejora del rendimiento del sistema: las instancias adicionales de Collector Manager pueden analizar y procesar datos de eventos en un entorno distribuido, lo que incrementa el rendimiento del sistema.
Mayor seguridad de los datos y menores requisitos de ancho de banda de la red: si las instancias de Collector Manager se encuentran ubicadas conjuntamente con los orígenes de eventos, entonces puede aplicarse el filtrado, el cifrado y la compresión de datos en el origen.
Almacenamiento de archivos en el caché: las instancias adicionales de Collector Manager pueden almacenar en el caché grandes cantidades de datos mientras que el servidor está ocupado temporalmente archivando eventos o procesando un aumento del número de eventos. Esta función es una ventaja para los protocolos, como syslog, que no admiten el almacenamiento en caché de forma original.
Puede instalar instancias adicionales de Collector Manager en ubicaciones adecuadas de su red. Estas instancias remotas de Collector Manager ejecutan conectores y recopiladores y reenvían los datos obtenidos al servidor Sentinel para su almacenamiento y procesamiento. Para obtener información sobre la instalación de instancias adicionales de Collector Manager, consulte la Sección III, Instalación de Sentinel.
NOTA:No es posible instalar más de una instancia de Collector Manager en un solo sistema. Puede instalar más instancias de Collector Manager en sistemas remotos y conectarlos después al servidor Sentinel.
Puede distribuir múltiples instancias de Correlation Engine, cada una en su propio servidor, sin necesidad de replicar configuraciones ni añadir bases de datos. En los entornos que tienen muchas reglas de correlación o un número extremadamente elevado de eventos, puede ser beneficioso instalar más de una instancia de Correlation Engine y volver a implementar algunas reglas en la nueva instancia de dicho motor. Varios instancias de Correlation Engine proporcionan la capacidad de ampliarse a medida que el sistema Sentinel incorpora orígenes de datos adicionales o aumenta el número de eventos. Para obtener información sobre la instalación de instancias adicionales de Correlation Engine, consulte la Sección III, Instalación de Sentinel .
NOTA:No es posible instalar más de una instancia de Correlation Engine en un solo sistema. Puede instalar instancias adicionales de Correlation Engine en sistemas remotos y luego conectarlos al servidor Sentinel.