Sentinel riceve le informazioni dai dispositivi, le normalizza in una struttura denominata evento che, successivamente, categorizza e invia per l'elaborazione.
Un evento rappresenta un record di log normalizzato segnalato a Sentinel da un dispositivo di sicurezza di terze parti, da un dispositivo di rete o in cui risiedono applicazioni, oppure da un'origine Sentinel interna. Esistono diversi tipi di eventi:
Eventi esterni (ricevuti da un dispositivo di sicurezza), come ad esempio:
Un attacco rilevato da un sistema di rilevamento delle intrusioni (IDS)
Un login avvenuto correttamente segnalato da un sistema operativo
Una situazione definita dal cliente, ad esempio un utente che accede a un file
Eventi interni (generati da Sentinel), fra i quali:
Una regola di correlazione disabilitata
Il riempimento del database
Sentinel aggiunge le informazioni di categoria (tassonomia) agli eventi, per semplificare il confronto degli eventi tra sistemi che li segnalano in modo diverso. Gli eventi vengono elaborati da Correlation Engine con visualizzazione in tempo reale, dai dashboard e dal server di back-end.
Un evento contiene oltre 200 campi. I campi evento sono di diverso tipo e vengono utilizzati per scopi diversi. Esistono alcuni campi predefiniti, ad esempio, quelli che fanno riferimento alla gravità, la criticità, l'indirizzo IP e la porta di destinazione.
Esistono due set di campi configurabili:
Campi riservati: solo per uso interno di Sentinel, consentono espansioni future.
Campi personalizzati: sono concepiti per permettere le personalizzazioni dei clienti.
L'origine di un campo può essere esterna o referenziale:
Il valore di un campo esterno viene impostato esplicitamente dal dispositivo o dal servizio di raccolta corrispondente. Ad esempio, un campo può essere definito come il codice di costruzione della struttura contenente la risorsa menzionata come l'indirizzo IP di destinazione di un evento.
Il valore di un campo referenziale viene calcolato come una funzione di uno o più campi diversi mediante il servizio di mappatura. Ad esempio, un campo può essere calcolato dal servizio di mappatura mediante una mappatura definita dal cliente che utilizza l'indirizzo IP di destinazione dell'evento.
Il servizio di mappatura propaga i dati aziendali rilevanti nel sistema. Questi dati possono integrare gli eventi con informazioni referenziali.
L'utente può integrare i dati evento utilizzando le mappature per aggiungere ulteriori informazioni, quali i dettagli relativi a host e identità, agli eventi che vengono recuperati dai dispositivi di origine. Sentinel può utilizzare queste informazioni aggiuntive per realizzare correlazioni e generare rapporti avanzati. Sentinel supporta diverse mappature incorporate, oltre a quelle personalizzate definite dall'utente.
Le mappature definite in Sentinel vengono memorizzate in due modi:
Le mappature incorporate sono memorizzate nel database, vengono aggiornate internamente ed esportate automaticamente nel servizio di mappatura.
Le mappature personalizzate vengono memorizzate come file CSV e possono essere aggiornate sul file system o mediante la Map Data Configuration UI (interfaccia utente di configurazione dei dati di mappatura), per essere quindi caricate dal servizio di mappatura.
In entrambi i casi, i file CSV vengono conservati nel server Sentinel centrale ma le modifiche alle mappature sono distribuite a ciascuna istanza di Collector Manager e applicate localmente. Questa elaborazione distribuita assicura che l'attività di mappatura non sovraccarichi il server principale.
Il servizio di mappatura utilizza un modello di aggiornamento dinamico ed esegue lo streaming delle mappe da un punto all’altro, evitando la creazione di mappe statiche di grandi dimensioni nella memoria dinamica. Questa funzione è particolarmente efficace in un sistema in tempo reale mission-critical, come Sentinel, in cui è necessario uno spostamento di dati costante, prevedibile e veloce, indipendentemente da qualsiasi carico transitorio sul sistema.
Sentinel consente di creare riferimenti incrociati tra le firme dei dati relativi agli eventi e i dati della scansione delle vulnerabilità. Sentinel notifica automaticamente e immediatamente agli utenti quando si verifica un tentativo di exploit di una vulnerabilità. Sentinel realizza queste operazioni elaborando le funzioni seguenti:
Feed di dati di Advisor
rilevamento delle intrusioni
scansione delle vulnerabilità
Firewall
I feed di Advisor contengono informazioni relative alle vulnerabilità e alle minacce, oltre che una normalizzazione delle firme eventi e dei plug-in di vulnerabilità. Fornisce un riferimento incrociato tra le firme dei dati relativi agli eventi e i dati relativi alla scansione delle vulnerabilità. Per ulteriori informazioni sui feed di Advisor, consultare Detecting Vulnerabilities and Exploits
(Rilevamento di vulnerabilità ed exploit) nella Sentinel Administration Guide (Guida all'amministrazione di NetIQ Sentinel).