Sentinel offre plusieurs possibilités pour router, stocker et extraire les données collectées. Par défaut, Sentinel reçoit deux flux de données distincts, mais liés, en provenance des gestionnaires de collecteurs : les données d'événement analysées et les données brutes. Les données brutes sont immédiatement stockées dans des partitions protégées pour fournir une chaîne de preuves sécurisée. Les données d'événement analysées sont routées selon les règles définies et peuvent être filtrées, envoyées vers l'espace de stockage, transmises aux données d'analyse en temps réel et acheminées vers les systèmes externes. Toutes les données d'événement envoyées dans l'espace de stockage sont ensuite mises en correspondance avec des stratégies de conservation définies par l'utilisateur qui déterminent la partition dans laquelle sont placées les données ainsi que la stratégie de nettoyage selon laquelle les données d'événement sont conservées avant leur suppression éventuelle.
Le stockage des données de Sentinel repose sur une structure à trois niveaux :
Stockage en ligne
Stockage primaire ou local : optimisé pour des écritures et des récupérations rapides. Les dernières données d'événement collectées (et les plus souvent recherchées) sont stockées ici.
Stockage réseau ou secondaire : optimisé pour réduire l'utilisation de l'espace tout en permettant une récupération rapide. Sentinel migre automatiquement les partitions de données vers l'espace de stockage secondaire.
REMARQUE : l'utilisation d'un espace de stockage secondaire est facultative. Les rapports, recherches et stratégies de conservation des données fonctionnent de la même manière sur les partitions de données d'événement, qu'elles soient sur un espace de stockage primaire, secondaire ou les deux.
Stockage hors ligne ou archivage :
Une fois les partitions fermées, vous pouvez les sauvegarder dans un espace de stockage hors ligne tel qu'un stockage de masse bon marché, Amazon Glacier, etc. Au besoin, vous pouvez réimporter temporairement les partitions hors ligne à des fins d'analyse légale à long-terme.
De même, vous pouvez configurer Sentinel pour extraire les données d'événement et les résumés de données d'événement vers une base de données externe à l'aide de stratégies de synchronisation des données. Pour plus d'informations, reportez-vous à la section Configuring Data Storage (Configuration du stockage de données)
du NetIQ Sentinel 7.1 Administration Guide (Guide d'administration de NetIQ Sentinel 7.0.1).