6.7 Déploiement à trois niveaux à l'aide du stockage évolutif

Lorsque vous devez traiter et stocker des données volumineuses sans pour autant devoir distribuer les événements sur plusieurs serveurs Sentinel ni dupliquer les paramètres de configuration sur plusieurs instances, vous pouvez configurer un déploiement distribué en trois niveaux à l'aide du stockage évolutif. Ce déploiement permet de stocker et de gérer des données volumineuses en n'employant qu'un seul serveur Sentinel au moyen du stockage évolutif au lieu d'utiliser plusieurs serveurs Sentinel.

Figure 6-6 Déploiement à trois niveaux pour le stockage évolutif

Ce déploiement inclut les niveaux suivants :

  • Niveau Collecte de données : pour collecter les événements à partir d'un large éventail de sources d'événements.

  • Niveau Stockage évolutif : pour stocker et indexer des données volumineuses. Le serveur SSDM de ce niveau vous permet de gérer la collecte des données et le routage des événements, de rechercher et de visualiser des événements, mais aussi d'effectuer certaines opérations d'administration. Pour utiliser d'autres fonctionnalités de Sentinel, telles que la création de rapports et les analyses en temps réel, vous pouvez configurer un niveau Analyses distinct. Vous pouvez configurer des règles de routage d'événement afin d'acheminer des événements spécifiques requis pour l'analyse vers le niveau Analyses à l'aide de Sentinel Link comme illustré dans le schéma. Vous pouvez également transférer les données collectées vers tous les autres systèmes SIEM ou activer d'autres outils d'informatique décisionnelle pour interroger les données ou effectuer des analyses directement sur votre distribution Hadoop.

  • Niveau Analyses : pour effectuer une analyse en temps réel sur une grande quantité de données, vous devez configurer le niveau Analyses et définir des règles de routage d'événement pour transférer les événements souhaités à partir du niveau Stockage évolutif. En outre, vous pouvez utiliser le même niveau Analyses pour collecter et stocker les événements et les données de flux réseau à partir d'autres produits NetIQ tels que Secure Configuration Manager et Change Guardian. Vous pouvez déployer un ou plusieurs serveurs Sentinel à des fins d'analyse comme l'illustre le schéma.

  • Niveau Rechercher : ce niveau est facultatif. Vous pouvez effectuer des recherches et créer des rapports à l'aide d'un des serveurs Sentinel dans le niveau Analyses également. Toutefois, disposer d'un niveau Rechercher distinct fournit un point d'accès unique pratique pour rechercher et créer des rapports sur l'ensemble des serveurs Sentinel du niveau Analyses à l'aide de la fédération des données Sentinel. Pour rechercher des événements dans l'espace de stockage évolutif, utilisez l'option Rechercher de SSDM.

Pour plus d'informations sur l'installation et la configuration d'un stockage évolutif, reportez-vous au Section 12.0, Installation et configuration du stockage évolutif.