6.7 Installazione su tre livelli con memorizzazione scalabile

Per la memorizzazione e l'elaborazione di grandi quantità di dati in cui non si desidera distribuire gli eventi fra più server Sentinel e duplicare le impostazioni di configurazione in più istanze, è possibile configurare un'installazione distribuita su tre livelli con la memorizzazione scalabile. Questo tipo di installazione consente di memorizzare e gestire grandi quantità di dati utilizzando un solo server Sentinel con la memorizzazione scalabile, invece di più server Sentinel.

Figura 6-6 Installazione su tre livelli per la memorizzazione scalabile

Questa installazione include i seguenti livelli:

  • Livello di raccolta dati: per raccogliere gli eventi da un'ampia gamma di origini.

  • Livello della memorizzazione scalabile: per memorizzare e indicizzare grandi quantità di dati. Il server SSDM di questo livello consente di gestire la raccolta dei dati e l'instradamento degli eventi, di cercare e visualizzare gli eventi, nonché di eseguire alcune attività amministrative. Per le altre funzionalità di Sentinel, ad esempio l'analisi in tempo reale e la generazione di rapporti, è possibile configurare un livello di analisi separato. Affinché gli eventi specifici necessari ai fini dell'analisi vengano inoltrati a tale livello, le regole di instradamento possono essere configurate mediante Collegamento Sentinel, come mostrato nel diagramma. I dati raccolti possono essere inoltrati a qualsiasi altro sistema SIEM oppure si possono abilitare altri strumenti di business intelligence per eseguire interrogazioni o analisi dei dati direttamente nella distribuzione Hadoop.

  • Livello di analisi: per effettuare analisi in tempo reale su grandi quantità di dati, è necessario configurare il livello di analisi e le regole di instradamento degli eventi affinché inoltrino gli eventi desiderati dal livello della memorizzazione scalabile. Inoltre, è possibile utilizzare il livello di analisi anche per raccogliere e memorizzare i dati del flusso di rete e gli eventi provenienti da altri prodotti NetIQ, come Secure Configuration Manager e Change Guardian. Per effettuare l'analisi è possibile installare uno o più server Sentinel come mostrato nel diagramma.

  • Livello di ricerca: si tratta di un livello facoltativo. Si possono eseguire ricerche e generare rapporti anche nel livello di analisi, utilizzando uno qualsiasi dei server Sentinel. Tuttavia, un livello di ricerca separato offre un pratico punto di accesso singolo per le ricerche e i rapporti in tutti i server Sentinel nel livello di analisi utilizzando Federazione dati di Sentinel. Per cercare gli eventi nella memorizzazione scalabile, utilizzare l'opzione di ricerca in Sentinel Scalable Data Manager.

Per ulteriori informazioni sull'installazione e la configurazione della memorizzazione scalabile, vedere il Sezione 12.0, Installazione e configurazione della memorizzazione scalabile.