Par défaut, le serveur Sentinel comprend les composants suivants :
Gestionnaire des collecteurs : il fournit un point flexible de collecte de données pour Sentinel. Le programme d'installation de Sentinel installe un gestionnaire des collecteurs par défaut pendant l'installation.
Moteur de corrélation : il traite les événements à partir du flux d'événements en temps réel pour déterminer s'ils doivent déclencher l'une des règles de corrélation.
Gestionnaire des collecteurs NetFlow : Le gestionnaire des collecteurs NetFlow collecte des données de flux réseau (NetFlow, IPFIX, etc.) à partir de périphériques réseau tels que des routeurs, des commutateurs et des pare-feu. Ces données décrivent des informations de base sur toutes les connexions réseau établies entre les hôtes, y compris les paquets et les octets transmis, ce qui vous aide à visualiser le comportement des différents hôtes ou de l'ensemble du réseau.
IMPORTANT :Dans les environnements de production, NetIQ recommande de configurer un déploiement distribué, car il isole les composants de collecte de données sur un ordinateur distinct, ce qui permet de gérer les pointes de trafic et les autres anomalies tout en garantissant une stabilité maximale du système.
Cette section décrit les avantages des déploiements distribués.
Par défaut, le serveur Sentinel comprend un gestionnaire des collecteurs. Cependant, pour les environnements de production, les gestionnaires de collecteurs distribués assurent un isolement bien supérieur lors de la réception de gros volumes de données. Dans ce cas, même si le gestionnaire des collecteurs distribué est surchargé, le serveur Sentinel continue de répondre aux demandes de l'utilisateur.
L'installation de plusieurs gestionnaires des collecteurs dans un réseau distribué présente les avantages suivants :
Des performances système améliorées : les gestionnaires des collecteurs supplémentaires peuvent analyser et traiter des données d'événements dans un environnement distribué, améliorant ainsi les performances système.
Une sécurité accrue des données et des exigences de bande passante moindres : si les gestionnaires des collecteurs se trouvent au même emplacement que les sources d'événements, le filtrage, le chiffrement de même que la compression des données peuvent être effectués à la source.
Caching de fichiers : les gestionnaires des collecteurs supplémentaires peuvent mettre en cache de grandes quantités de données pendant que le serveur est momentanément occupé à archiver des événements ou à traiter un pic d'événements. Cette fonction est avantageuse pour les protocoles, tels que syslog qui ne prennent pas d'office en charge le caching d'événements.
Vous pouvez installer des gestionnaires des collecteurs supplémentaires aux emplacements appropriés sur votre réseau. Ces gestionnaires des collecteurs distants exécutent des connecteurs et collecteurs et transfèrent les données collectées au serveur Sentinel à des fins de stockage et de traitement. Pour obtenir des informations sur l'installation de gestionnaires des collecteurs supplémentaires, reportez-vous à la Section III, Installation de Sentinel.
REMARQUE :vous ne pouvez pas installer plusieurs gestionnaires des collecteurs sur le même système. En revanche, vous pouvez installer des gestionnaires des collecteurs supplémentaires sur des systèmes distants, puis les connecter au serveur Sentinel.
Vous pouvez déployer plusieurs moteurs de corrélation, chacun sur son propre serveur, sans devoir répliquer de configurations ni ajouter des bases de données. Dans les environnements comptant un nombre élevé de règles de corrélation ou des taux d'événement extrêmement élevés, vous aurez avantage à installer plusieurs moteurs de corrélation et à redéployer certaines règles sur chaque nouveau moteur de corrélation. Ces moteurs de corrélation supplémentaires permettent de s'adapter à mesure que le système Sentinel intègre de nouvelles sources de données ou que les taux d'événements augmentent. Pour plus d'informations sur l'installation de moteurs de corrélation supplémentaires, consultez la Section III, Installation de Sentinel.
REMARQUE :vous ne pouvez pas installer plusieurs moteurs de corrélation sur le même système. En revanche, vous pouvez installer des moteurs de corrélation supplémentaires sur des systèmes distants, puis les connecter au serveur Sentinel.
Le gestionnaire des collecteurs NetFlow collecte les données de flux réseau en provenance de périphériques réseau. Il est conseillé d'installer des gestionnaires de collecteurs NetFlow supplémentaires au lieu d'utiliser le gestionnaire des collecteurs NetFlow sur le serveur Sentinel, afin de permettre aux ressources système de se consacrer à des fonctions importantes, telles que les recherches et le stockage d'événements.
Vous pouvez installer des gestionnaires de collecteurs NetFlow supplémentaires dans les cas suivants :
Dans les environnements comprenant de nombreux périphériques réseau et des débits élevés de données de flux réseau, vous pouvez installer plusieurs gestionnaires de collecteurs NetFlow afin de répartir la charge.
Dans un environnement multi-locataire, vous devez installer un gestionnaire des collecteurs NetFlow pour chaque locataire afin de collecter des données de flux réseau par locataire.
Pour obtenir des informations sur l'installation de gestionnaires des collecteurs NetFlow supplémentaires, reportez-vous au Section 14.0, Installation du gestionnaire des collecteurs NetFlow.