Sentinel reçoit des informations des périphériques, les normalise dans une structure appelée événement, catégorise l'événement et l'envoie pour qu'il soit traité.
Un événement représente un enregistrement de journal normalisé signalé à Sentinel par un périphérique de sécurité, de réseau ou d'application tiers, ou par une source Sentinel interne. Il existe plusieurs types d'événements :
Les événements externes (reçus d'un périphérique de sécurité). Par exemple :
Une attaque détectée par un système de détection d'intrus (IDS)
Une connexion réussie signalée par un système d'exploitation
Une situation définie par le client telle qu'un utilisateur qui accède à un fichier
Les événements internes (générés par Sentinel). Par exemple :
La désactivation d'une règle de corrélation
Le remplissage d'une base de données
Sentinel ajoute des informations de catégorie (taxonomie) aux événements, pour simplifier la comparaison des événements entre des systèmes aux méthodes de création de rapports différentes. Les événements sont traités par l'affichage en temps réel, Correlation Engine, les tableaux de bord et le serveur dorsal.
Un événement comprend plus de 200 champs. Les champs d'événements sont de différents types et possèdent différentes finalités. Certains sont prédéfinis, tels que ceux relatifs à la gravité, à la sévérité, à l'adresse IP de destination et au port de destination.
Il existe deux groupes de champs configurables :
Champs réservés : dédiés à l'usage interne de Sentinel, permettent l'extension des fonctionnalités à l'avenir.
Champs client : destinés au client, à des fins de personnalisation.
Un champ peut avoir une source externe ou de référentiel :
La valeur d'un champ externe est explicitement définie par le périphérique ou le collecteur correspondant. Par exemple, un champ peut être défini pour être le code de génération du bâtiment contenant les ressources mentionnées comme adresse IP de destination d'un événement.
La valeur d'un champ de référence est calculée en tant que fonction d'un ou de plusieurs autres champs à l'aide du service d'assignation. Par exemple, un champ peut être défini par le service d'assignation à l'aide d'une assignation définie par le client utilisant l'adresse IP de destination de l'événement.
Le service d'assignation propage des données pertinentes dans le système. Ces données peuvent enrichir les événements avec des informations de référence.
Vous pouvez étoffer les données d'événement à l'aide d'assignations afin d'ajouter des informations sur l'hôte et sur l'identité aux événements entrants qui proviennent des périphériques sources. Sentinel peut utiliser ces informations supplémentaires pour une corrélation et une création de rapports avancées. Sentinel prend en charge plusieurs assignations intégrées, ainsi que les assignations personnalisées définies par l'utilisateur.
Les assignations définies dans Sentinel sont stockées de deux manières :
Les assignations intégrées sont stockées dans la base de données, sont mises à jour en interne, puis sont exportées automatiquement vers le service d'assignation.
Les assignations personnalisées sont stockées en tant que fichiers CSV et peuvent être mises à jour dans le système de fichiers ou par l'intermédiaire de l'interface utilisateur de configuration des données d'assignation, puis chargées par le service d'assignation.
Dans les deux cas, les fichiers CSV sont conservés sur le serveur Sentinel central, mais les modifications apportées aux assignations sont distribuées sur chaque Collector Manager et appliquées localement. Ce processus distribué garantit que l'assignation ne surcharge pas le serveur principal.
Le service d'assignation utilise un modèle de mise à jour dynamique et achemine les assignations d'un point à un autre, ce qui évite l'accumulation d'assignations statiques volumineuses dans la mémoire dynamique. Ceci est pertinent dans un système critique en temps réel, tel que Sentinel, qui nécessite un mouvement de données stable, prédictif et agile, indépendant de toute charge transitoire du système.
Sentinel permet de recouper des signatures de données d'événement avec les données d'analyse de vulnérabilité. Sentinel avertit les utilisateurs automatiquement et immédiatement en cas de tentative d'exploitation d'un système vulnérable. Sentinel utilise pour ce faire les fonctions suivantes :
la réception de données de flux Advisor,
Détection d'intrusion
Analyse de la vulnérabilité
pare-feux
Les données de flux Advisor contiennent des informations sur les vulnérabilités et les menaces, ainsi qu'une normalisation de signatures d'événements et plug-ins de vulnérabilité. Elles fournissent une référence croisée entre les signatures de données d'événement et les données du scanner de vulnérabilité. Pour plus d'informations sur le flux Advisor, reportez-vous à la section Detecting Vulnerabilities and Exploits
(Détection des vulnérabilités et des exploits) du Sentinel Administration Guide (Guide d'administration de NetIQ Sentinel).