Sentinel proporciona numerosas opciones para encaminar, almacenar y extraer los datos recopilados. Por defecto, Sentinel recibe dos cadenas de datos independientes pero similares de los gestores de recopiladores: los datos analizados y los datos en bruto del evento. Los datos en bruto se almacenan inmediatamente en particiones protegidas para proporcionar una cadena de evidencia segura. Los datos analizados del evento se encaminan de acuerdo con reglas definidas y se pueden filtrar, enviarse al almacenamiento, enviarse a herramientas de análisis en tiempo real y encaminarse a sistemas externos. Todos los datos de eventos que se envían a almacenamiento se hacen corresponder con directivas de retención definidas por el usuario, las cuales determinan la partición en la que se colocan los datos, y además definen la directiva de limpieza según la cual se retienen los datos y posteriormente se eliminan.
El almacenamiento de datos de Sentinel se basa en una arquitectura de tres niveles:
Almacenamiento en línea
Almacenamiento principal o local: optimizado para escribir y recuperar datos de forma rápida. Los datos de eventos recopilados más recientemente (y los buscados con más frecuencia) se almacenan aquí.
Almacenamiento secundario o en red: optimizado para reducir la utilización del espacio lo que facilita una recuperación rápida. Sentinel migra de forma automática las particiones de datos a un almacenamiento secundario.
NOTA: El uso de un almacenamiento secundario es opcional. Las directivas de retención de datos, las búsquedas y los informes operan en las particiones de datos de eventos independientemente de si residen en el almacenamiento principal, secundario o en ambos.
Almacenamiento sin conexión o de reserva:
Una vez que las particiones estén cerradas, es posible realizar copias de seguridad de ellas en un almacenamiento sin conexión, como por ejemplo un sistema de almacenamiento masivo económico, Amazon Glacier, etc. Si fuera necesario, puede volver a importar temporalmente las particiones sin conexión para su análisis a posteriori a largo plazo.
También puede configurar Sentinel para extraer datos de eventos y resúmenes de datos de eventos a una base de datos externa mediante el uso de directivas de sincronización de datos. Para obtener más información, consulte Configuring Data Storage
(Configuración de almacenamiento de datos) en la NetIQ Sentinel 7.1 Administration Guide (Guía de administración de NetIQ Sentinel 7.1).