NetIQ Documentation: Guide d'installation et de configuration de NetIQ Sentinel 7.1

16.1 Présentation de l'heure dans Sentinel

Sentinel est un système distribué constitué de plusieurs processus disséminés sur l'ensemble de votre réseau. En outre, la source d'événements peut être à l'origine d'un certain retard. Pour pallier cela, les processus Sentinel reclassent les événements dans l'ordre chronologique avant de les traiter.

Chaque événement contient trois champs horaires :

Heure de l'événement : il s'agit de l'heure de l'événement utilisée notamment par les rapports, les recherches et moteurs d'analyse.
Sentinel Process Time (Heure de traitement par Sentinel) : heure à laquelle Sentinel a collecté les données partir du périphérique basée sur l'heure système du gestionnaire des collecteurs.
Heure de l'événement pour l'observateur (Heure de l'événement pour l'observateur) : tampon horaire dans lequel le périphérique place les données. Le tampon horaire des données n'est pas toujours fiable et peut être très différent de l'heure de traitement par Sentinel, notamment lorsque le périphérique fournit les données par lots.

L'illustration suivante représente ces opérations effectuées par Sentinel :

Figure 16-1 Heure Sentinel

Par défaut, l'heure d'un événement est définie sur l'heure de traitement par Sentinel. L'idéal est toutefois que l'heure de l'événement corresponde à celle de l'observateur si cette dernière est disponible et fiable. Il est recommandé de configurer la collecte de données sur Faire confiance à heure de la source d'événements si l'heure du périphérique est disponible, exacte et correctement analysée par le collecteur. Le collecteur définit l'heure de l'événement pour la faire correspondre à celle de l'observateur.
Les événements dont l'heure diffère de maximum 5 minutes (d'avance ou de retard) par rapport à celle du serveur sont traités normalement par Active Views. Les événements dont l'heure a plus de 5 minutes d'avance par rapport à l'heure du serveur ne s'affichent pas dans Active Views, mais sont insérés dans la banque d'événements. Les événements dont l'heure a plus de 5 minutes d'avance et qui remontent à moins de 24 heures s'affichent dans les graphiques, mais pas dans les données d'événement correspondant à ce graphique. Il est par conséquent nécessaire de forer vers le bas pour récupérer ces événements de la banque d'événements.
Les événements sont triés à 30 secondes d'intervalle afin que le moteur de corrélation puisse les traiter dans l'ordre chronologique. Si l'heure de l'événement a plus de 30 secondes de retard par rapport à celle du serveur, le moteur de corrélation ne traite pas les événements.
Si l'heure de l'événement a plus de 5 minutes de retard par rapport à l'heure système du gestionnaire des collecteurs, Sentinel achemine directement l'événement vers le stockage d'événements, en ignorant les systèmes utilisant l'heure réelle tels que Correlation, Active Views et Security Intelligence.