18.1 Présentation de l'heure dans Sentinel

Sentinel est un système distribué constitué de plusieurs processus disséminés sur l'ensemble de votre réseau. En outre, la source d'événements peut être à l'origine d'un certain retard. Pour pallier cela, les processus Sentinel reclassent les événements dans l'ordre chronologique avant de les traiter.

Chaque événement contient trois champs horaires :

  • Heure de l'événement : il s'agit de l'heure de l'événement utilisée notamment par les rapports, les recherches et moteurs d'analyse.

  • Heure de traitement par Sentinel : heure à laquelle Sentinel a collecté les données partir du périphérique basée sur l'heure système de Collector Manager.

  • Heure de l'événement pour l'observateur : tampon horaire dans lequel le périphérique place les données. Le tampon horaire des données n'est pas toujours fiable et peut être très différent de l'heure de traitement par Sentinel, notamment lorsque le périphérique fournit les données par lots.

L'illustration suivante décrit la manière dont Sentinel procède avec une configuration de stockage traditionnel :

Figure 18-1 Heure Sentinel

  1. Par défaut, l'heure d'un événement est définie sur l'heure de traitement par Sentinel. L'idéal est toutefois que l'heure de l'événement corresponde à celle de l'observateur si cette dernière est disponible et fiable. Il est recommandé de configurer la collecte de données sur Faire confiance à heure de la source d'événements si l'heure du périphérique est disponible, exacte et correctement analysée par le collecteur. Le collecteur définit l'heure de l'événement pour la faire correspondre à celle de l'observateur.

  2. Les événements dont l'heure diffère de maximum 5 minutes (d'avance ou de retard) par rapport à celle du serveur sont traités normalement par les vues d'événement. Les événements dont l'heure a plus de 5 minutes d'avance par rapport à l'heure du serveur ne s'affichent pas dans les vues d'événement, mais sont insérés dans la banque d'événements. Les événements dont l'heure a plus de 5 minutes d'avance et qui remontent à moins de 24 heures s'affichent dans les graphiques, mais pas dans les données d'événement correspondant à ce graphique. Il est par conséquent nécessaire de forer vers le bas pour récupérer ces événements de la banque d'événements.

  3. Les événements sont triés à 30 secondes d'intervalle afin que instances Correlation Engine puisse les traiter dans l'ordre chronologique. Si l'heure de l'événement a plus de 30 secondes de retard par rapport à celle du serveur, Correlation Engine ne traite pas les événements.

  4. Si l'heure de l'événement a plus de 5 minutes de retard par rapport à l'heure système de Collector Manager, Sentinel achemine directement les événements vers la banque d'événements, en ignorant les systèmes en temps réel tels que Correlation Engine et Security Intelligence.