Les recommandations nécessaires à l'implémentation de Sentinel dépendent de votre environnement, il est recommandé de consulter les services NetIQ Consulting ou un partenaire NetIQ Sentinel avant de finaliser l'architecture Sentinel.
Cette section fournit des informations de taille basées sur les tests effectués chez NetIQ avec le matériel à notre disposition à ce moment-là. Des configurations matérielles plus puissantes et étendues pourront probablement gérer des charges plus importantes.
Les configurations tout-en-un placent l'ensemble de la charge de traitement sur le serveur Sentinel plutôt que de les distribuer vers les gestionnaires des collecteurs ou les moteurs de corrélation distants. Tandis que la configuration tout-en-un fonctionne très bien pour les scénarios simples n'utilisant qu'un nombre limité de fonctions et de méthodes, elle n'est pas adaptée lorsque de nombreuses fonctions sont invoquées ou utilisées de manière extensive. Par exemple, si votre utilisation ne se limite pas aux règles de corrélation prêtes à l'emploi, la charge sur le système est plus importante et risque d'avoir un impact sur d'autres fonctions présentes sur le même serveur en raison d'une utilisation accrue des ressources du moteur de corrélation.
Il convient de distribuer la charge sur des gestionnaires des collecteurs distants lorsque vous utilisez un nombre conséquent de collecteurs.
Il convient de distribuer la charge sur des moteurs de corrélation distants lorsque vous utilisez des règles de corrélation autres que celles prêtes à l'emploi.
Une distribution de la charge est recommandée lorsque vous prévoyez d'augmenter le nombre de fonctions que vous utilisez ou leur fréquence d'utilisation.
La capacité de l'UC à pouvoir effectuer l'hyper-threading s'est révélée avoir un effet positif significatif sur la charge que le système peut gérer. Par conséquent, lorsque vous envisagez l'achat d'une UC, veillez à ce que l'hyper-threading ait été activé pour le test de référence ci-dessous et à ce que l'UC choisie dispose de fonctionnalités d'hyper-threading égales ou supérieures.
|
Catégorie |
Description |
Démo tout-en-un ne convient pas en production |
Taille M tout-en-un |
Collecte des données basées sur l'agent de taille moyenne |
Taille L tout-en-un |
Collecte de données sans agent distribuée à grande échelle |
Taille XL |
|---|---|---|---|---|---|---|---|
|
Capacité de conservation des EPS |
Nombre d'événements par seconde traités par les composants en temps réel et conservés dans l'espace de stockage par le système. |
100 EPS |
2 500 EPS |
2 500 EPS |
9 000 EPS |
11 000 EPS |
+ de 11 000 EPS |
|
Capacité EPS opérationnels |
Nombre total d'événements par seconde reçus par le système à partir des sources d'événements. Ce nombre inclut les données déposées par la fonctionnalité de filtre intelligent du système avant leur stockage et est utilisé dans le cadre des besoins de conformité à la licence EPS. |
100 EPS |
+ de 2 500 EPS |
+ de 2 500 EPS |
9 000 EPS |
16 000 EPS |
+ de 16 000 EPS |
|
Matériel du serveur Sentinel |
|||||||
|
UC |
Processeur Intel Xeon E5420 2,50 GHz (quatre coeurs), sans hyper-threading |
Deux processeurs Intel Xeon E5450 3 GHz (4 coeurs par processeur ; 8 au total), sans hyper-threading |
Deux processeurs AMD Opteron 2431 2,40 GHz (6 coeurs par processeur ; 12 coeurs au total) |
Deux processeurs Intel(R) Xeon(R) E5-2680 0 2,70 GHz (8 coeurs par processeur, 16 au total), avec hyper-threading |
Contactez les services NetIQ. |
||
|
Stockage local |
Données mises localement en cache pour des meilleures performances de recherche. |
Unité 500 Go 7 200 RPM |
5 x 300 Go SAS 15 000 RPM (matériel RAID 0) |
3 x 146 Go SAS 10 000 RPM (RAID 0, taille de bande 128 000) |
5 To, 8 x 600 Go SAS 15 000 RPM (matériel RAID 0, taille de bande 128 000) |
||
|
Stockage réseau |
Inclut une copie des données de l'espace de stockage local. |
non utilisé |
non utilisé |
non utilisé |
non utilisé |
||
|
Mémoire |
4 Go |
24 Go |
16 Go |
64 Go |
|||
|
Matériel du gestionnaire des collecteurs distant n° 1 |
|||||||
|
UC |
Non applicable (GC intégré localement uniquement) |
Deux processeurs Intel(R) Xeon(R) E5-2680 0 2,70 GHz (8 coeurs par processeur, 16 au total), avec hyper-threading |
Contactez les services NetIQ. |
||||
|
Stockage |
|
|
20 Go d'espace disponible |
Contactez les services NetIQ. |
|||
|
Mémoire |
|
|
24 Go |
||||
|
Matériel du gestionnaire des collecteurs distant n° 2 |
|||||||
|
UC |
Non applicable (GC intégré localement uniquement) |
Processeur Intel(R) Xeon(R) X5570 2,93 GHz 8 coeurs (machine virtuelle) |
Contactez les services NetIQ. |
||||
|
Stockage |
|
|
50 Go |
||||
|
Mémoire |
|
|
8 Go |
||||
|
Matériel d'Agent Manager |
|||||||
|
UC |
|
Non applicable (collecte sans agent uniquement) |
Deux processeurs Intel Xeon 5140 2,33 GHz (2 coeurs par processeurs ; 4 au total) |
Non applicable (collecte sans agent uniquement) |
Contactez les services NetIQ. |
||
|
Stockage |
|
2 x 300 Go SAS 10 000 RPM (RAID 0, taille de bande 128 000) |
|
||||
|
Mémoire |
|
|
16 Go |
|
|||
|
Matériel du moteur de corrélation distant |
|||||||
|
UC |
|
Non applicable (MC intégré localement uniquement) |
Contactez les services NetIQ. |
||||
|
Stockage |
|
|
|||||
|
Mémoire |
|
|
|||||
|
Collecte des données |
|||||||
|
Distribution gestionnaire des collecteurs (GC) |
Nombre d'événements et de sources d'événements par seconde placés sur chaque gestionnaire des collecteurs. Le pourcentage filtré indique le nombre d'événements normalisés immédiatement filtrés après leur collecte, sans être stockés ni transmis à des moteurs d'analyse. Notez que les données de journal brutes non normalisées sur lesquelles se basent les événements normalisés ne sont pas affectées par le filtrage et sont toujours stockées. Le GC intégré localement se trouve sur le serveur Sentinel. |
GC intégré localement Sources d'événements : 101 EPS : 100 Filtrés : 0 % |
GC intégré localement Sources d'événements : 2 500 EPS : 2 500 Filtrés : 0 % |
GC intégré localement Sources d'événements : 5 000 EPS : 2 500 Filtrés : 0 % |
GC intégré localement Sources d'événements : 500 EPS : 9 000 Filtrés : 0 % |
GC intégré localement non utilisé GC distant (ou GCD) n° 1 Sources d'événements : 110 EPS : 9 500 Filtrés : 21 % Données brutes désactivées GC distant n° 2 Sources d'événements : 20 EPS : 6 500 Filtrés : 54 % Données brutes désactivées |
Contactez les services NetIQ. |
|
Collecteurs utilisés |
IBM AIX 6.1r3 Sources : 100 EPS : 99 NetIQ Universal Event 2011.1r1 Sources : 1 EPS : 1 |
Chaque collecteur a son propre serveur Syslog. Oracle Solaris 6.1r3 Sources : 1 000 EPS : 1 000 IBM AIX 6.1r3 Sources : 1 000 EPS : 1000 Sourcefire Snort 2011.1r1 Sources : 500 EPS : 500 |
Collecteur de test personnalisé (sans analyse) Agent Manager Connector Server 1 Sources : 5 000 EPS : 2 500 |
Chacun des collecteurs suivants a son propre serveur Syslog et effectue des analyses aux nombres d'EPS suivants : Oracle Solaris 6.1r3 EPS : 2 000 Sourcefire Snort 2011.1r1 EPS : 1 500 NetIQ Universal Event 2011.1r1 EPS : 2 000 Juniper Netscreen Series 2011.1r1 EPS : 1 500 IBM AIX 6.1r3 : 2 000 EPS : 2 000 |
Chacun des collecteurs suivants a son propre serveur Syslog et effectue des analyses aux nombres d'EPS suivants : Oracle Solaris 6.1r3 GCD n°1 : 2 000 GCD n°2 : 2 000 Sourcefire Snort 2011.1r1 GCD n°1 : 2 000 GCD n°2 : 1 000 NetIQ Universal Event 2011.1r1 GCD n°1 : 2 000 GCD n°2 : 0 Juniper Netscreen Series 2011.1r1 GCD n°1 : 2 000 GCD n°2 : 1 500 |
Contactez les services NetIQ. |
|
|
|
|
|
|
|
IBM AIX 6.1r3 GCD n°1 : 1 500 GCD n°2 : 0 IBM iSeries 2011.1r3 GCD n°1 : 0 GCD n°2 : 2 000 |
Contactez les services NetIQ. |
|
Capacité |
Source d'événements : 101 EPS : 100 Filtrés : 0 % |
Source d'événements : 2 500 EPS : 2 500 Filtrés : 0 % |
Source d'événements : 5 000 EPS : 2 500 Filtrés : 0 % |
Source d'événements : 500 EPS : 9 000 Filtrés : 0 % |
Source d'événements : 130 EPS opérationnels : 16 000 EPS conservés : 11 000 Filtrés : 25 % |
||
|
Stockage des données |
|||||||
|
Quel est l'intervalle de temps (dans le passé) que les utilisateurs utiliseront régulièrement pour rechercher des données ? |
Quantité de données mises en cache localement pour des meilleures performances de recherche. |
7 jours |
Contactez les services NetIQ. |
||||
|
Quel pourcentage de recherches concernera des données antérieures à ce nombre de jours ? |
Exerce un impact sur la quantité d'opérations d'entrée/sortie par seconde (ESPS) pour le stockage local ou réseau |
10 % |
|||||
|
Combien de temps les données doivent-elle être conservées ? |
Exerce un impact sur la quantité d'espace disque nécessaire pour conserver l'ensemble des données. Si le stockage réseau est activé, cela influence la taille requise pour l'espace de stockage réseau. Dans le cas contraire, c'est celle requise pour l'espace de stockage local qui est impactée. |
14 jours |
|||||
|
Un périphérique de stockage réseau sera-t-il disponible et connecté ? |
Soit l'ensemble des données est conservé en local soit, si un espace de stockage réseau est disponible à long terme et à faible coût, le stockage se fait en ligne. Les données de l'espace de stockage réseau restent en ligne. |
Non |
Contactez les services NetIQ. |
||||
|
Combien de rapports seront optimisés à l'aide de résumés et d'autres stratégies de synchronisation des données ? |
Exerce un impact sur le nombre de stratégies de synchronisation des données qui influence la taille et le nombre d'ESPS de l'espace de stockage local. |
5 (prêts à l'emploi) |
4 (prêts à l'emploi à l'exception des DDR du résumé source, pour lesquelles le nombre est inférieur) |
||||
|
Activité de l'utilisateur |
|||||||
|
En moyenne, combien d'utilisateurs seront actifs simultanément ? |
Exerce un impact sur la quantité d'ESPS pour l'espace de stockage local et réseau et d'autres éléments. |
1 |
Contactez les services NetIQ. |
||||
|
En moyenne, combien de recherches un utilisateur actif effectuera-t-il simultanément ? |
Exerce un impact sur la quantité d'ESPS pour l'espace de stockage local et réseau. |
1 recherche ou un rapport (mais pas simultanément) 20 000 événements par rapport 100 millions d'événements par recherche |
Non testé avec la charge que représente une recherche ou la création d'un rapport |
1 80 millions d'événements par recherche |
1 20 millions d'événements par recherche |
||
|
En moyenne, combien de rapports un utilisateur actif exécutera-t-il simultanément ? |
Exerce un impact sur la quantité d'ESPS pour l'espace de stockage local et réseau. |
1 recherche ou un rapport (mais pas simultanément) 20 000 événements par rapport 100 millions d'événements par recherche |
Non testé avec la charge que représente une recherche ou la création d'un rapport |
1 1 000 événements par rapport |
1 60 000 événements, 5 000 pages par rapport |
||
|
Fonctionnalités d'analyse |
|||||||
|
Quel pourcentage de données d'événement est pertinent pour les règles de corrélation ? |
Quantité de données traitée par le moteur de corrélation. |
100 % (règles prêtes à l'emploi) (3 corrélations par seconde) |
100 % (règles prêtes à l'emploi) (0 corrélation par seconde) |
0 % |
0 % (certaines données arrivent trop tard pour la corrélation en temps réel) |
Contactez les services NetIQ. |
|
|
Combien de règles de corrélation simples (filtre/déclenchement uniquement) seront utilisées ? |
Influence l'utilisation de l'UC du moteur de corrélation. |
84 (règles prêtes à l'emploi) |
0 |
Contactez les services NetIQ. |
|||
|
Combien de règles de corrélation complexes seront utilisées ? |
Influence l'utilisation de l'UC et de la mémoire du moteur de corrélation. |
0 (règles prêtes à l'emploi) |
|||||
|
Distribution moteur de corrélation (MC) |
MC intégré localement (toutes les règles) |
||||||
|
Sur combien d'ensembles de données la détection d'anomalies sera-t-elle effectuée ? |
Nombre de tableaux de bord Security Intelligence ayant un impact sur l'UC, la taille de l'espace de stockage local et l'utilisation de la mémoire. |
1 (1 % du flux d'événement chacun) |
0 |
||||
|
Haute disponibilité |
|||||||
|
Remarques |
Fonctionnalité importante désactivée ou avertissements expliquant ce qui se passe lors du dépassement de la charge système décrite ci-dessus. |
Données brutes désactivées Fonctions de corrélation et Security Intelligence non utilisées Les rapports sur plus de 30 000 événements sont sources d'instabilité. |
Données brutes désactivées Fonctions de corrélation et Security Intelligence non utilisées Les rapports sur un nombre d'événements supérieur à celui indiqué sont sources d'instabilité. L'augmentation du nombre d'EPS conservés risque de provoquer une instabilité avec cette configuration système. |
Contactez les services NetIQ. |
|||