Sentinel recibe información de los dispositivos, normaliza esta información en una estructura denominada evento, clasifica el evento y lo envía para ser procesado.
Un evento constituye una entrada de registro normalizada notificada a Sentinel desde una red o un dispositivo de aplicación, un dispositivo de seguridad de terceros o una fuente interna de Sentinel. Existen varios tipos de eventos:
Eventos externos (eventos recibidos desde un dispositivo de seguridad), como:
Un ataque detectado por un sistema de detección de intrusiones (IDS)
Un inicio de sesión correcto notificado por un sistema operativo
Una situación definida por el cliente como el acceso de un usuario a un archivo
Eventos internos (eventos generados por Sentinel), que incluyen:
Desactivación de una regla de correlación
Llenado de la base de datos
Sentinel añade información de categoría (taxonomía) a los eventos, de modo que resulte más fácil comparar eventos entre sistemas que informar de los eventos por separado. Los eventos se procesan mediante visualización en tiempo real, Correlation Engine, consolas y el servidor backend.
Un evento consta de más de 200 campos; los campos de evento son de diferentes tipos y tienen distintas funciones. Existen algunos campos predefinidos, como gravedad, importancia, dirección IP de destino y puerto de destino.
Existen dos conjuntos de campos configurables:
Campos reservados: para uso interno de Sentinel, permiten ampliar la funcionalidad en el futuro.
Campos del cliente: disponibles para que el cliente personalice sus opciones.
El origen de un campo puede ser externo o de referencia:
El valor de un campo externo viene definido de forma explícita por el dispositivo o el recopilador correspondiente. Por ejemplo, puede definirse un campo para que sea el código de generación para la construcción que contiene el activo mencionado como la dirección IP de destino de un evento.
El valor de un campo referencial se calcula como una función de uno o más campos utilizando el servicio de asignación. Por ejemplo, el servicio de asignación puede calcular un campo utilizando una asignación definida por el cliente mediante una dirección IP de destino desde el evento.
El servicio de asignación propaga los datos de relevancia empresarial por todo el sistema. Estos datos pueden enriquecer los eventos con información de referencia.
Puede enriquecer los datos de eventos utilizando asignaciones para añadir información adicional, como datos del host y de identidad, a los eventos entrantes de los dispositivos de origen. Sentinel puede utilizar esta información adicional para las funciones avanzadas de generación de informes y correlación. Sentinel admite varias asignaciones integradas, así como asignaciones personalizadas definidas por el usuario.
Las asignaciones definidas en Sentinel se almacenan de dos formas diferentes:
Las asignaciones incorporadas se almacenan en la base de datos, se actualizan de forma interna y se exportan automáticamente al servicio de asignación.
Las asignaciones personalizadas se almacenan como archivos CSV y se pueden actualizar en el sistema de archivos o a través de la interfaz de usuario de Configuración de los datos de la asignación. Después el servicio de asignación se ocupa de cargarlos.
En ambos casos, los archivos CSV se guardan en el servidor Sentinel central, pero los cambios en las asignaciones se distribuyen a cada Collector Manager y se aplican a nivel local. Este procesamiento distribuido garantiza que la actividad de asignación no sobrecargue el servidor principal.
El servicio de asignación emplea un modelo de actualización dinámico y reproduce las asignaciones de un punto a otro, evitando la acumulación de grandes asignaciones estáticas en la memoria dinámica. Esto es importante en un sistema de misión crítica en tiempo real como Sentinel, que requiere un traslado de datos constante, predictivo y ágil, independiente de cualquier carga transitoria en el sistema.
Sentinel ofrece la capacidad de contrastar las firmas de datos de eventos con los datos del escáner de vulnerabilidad. Sentinel notifica a los usuarios automáticamente y de forma inmediata cuando se intenta aprovechar un sistema vulnerable. Esto es posible gracias a las funciones siguientes:
Datos del asesor
Detección de intrusiones
Exploración de vulnerabilidades
Cortafuegos
Los datos del asesor contienen información sobre vulnerabilidades y amenazas, así como una normalización de las firmas de eventos y los módulos auxiliares (plug-in) de vulnerabilidad. Esto proporciona una referencia cruzada entre firmas de datos de eventos y datos del escáner de vulnerabilidad. Para obtener más información sobre los datos del asesor, visite Detecting Vulnerabilities and Exploits
(Detección de vulnerabilidades y exploits) en la Sentinel Administration Guide (Guía de administración de NetIQ Sentinel).