L'implementazione di Sentinel può variare a seconda delle esigenze dell'ambiente specifico e, pertanto, prima di stabilire l'architettura definitiva è necessario rivolgersi a NetIQ Consulting Services o a un partner NetIQ Sentinel.
In questa sezione sono riportate informazioni sul dimensionamento basate sui test effettuati presso NetIQ con l'hardware disponibile al momento. È possibile che esistano configurazioni hardware più grandi e potenti, capaci di gestire un carico superiore.
Nelle configurazioni all-in-one tutto il carico di elaborazione viene concentrato sul server Sentinel, senza essere distribuito a istanze remote di Gestione servizi di raccolta e del motore di correlazione. Questo tipo di configurazione può essere adeguata per gli scenari semplici in cui si utilizza limitatamente solo un set ristretto di funzioni, ma non è in grado di adattarsi all'utilizzo di un numero elevato di funzioni né agli impieghi intensivi. Ad esempio, se si utilizza un numero di regole di correlazione superiore a quelle pronte all'uso, il carico del sistema aumenta e altre funzioni che risiedono nello stesso server possono risultare compromesse a causa del maggiore utilizzo di risorse da parte del motore di correlazione.
Se si utilizza un numero significativo di servizi di raccolta, è necessario distribuire il carico fra più istanze remote di Gestione servizi di raccolta.
Se si utilizza un numero di regole di correlazione superiore a quelle pronte all'uso, è necessario distribuire il carico fra più istanze remote del motore di correlazione.
Se si prevede di incrementare il numero di funzioni usate e l'intensità di utilizzo delle stesse, la distribuzione del carico è opportuna.
È stato rilevato che la capacità della CPU di eseguire l'hyperthreading ha un impatto significativamente positivo sul carico che il sistema è in grado di gestire. Per questa ragione, al momento di scegliere la CPU da acquistare, verificare se l'hyperthreading era abilitato nel test di riferimento di seguito e accertarsi che la CPU sia dotata di funzionalità di hyperthreading analoghe o migliori.
|
Categoria |
Descrizione |
All-in-one demo non prevista per gli ambienti di produzione |
All-in-one media |
Raccolta dati basata su agenti media |
All-in-one grande |
Raccolta dati basata su agenti distribuita e grande |
Molto grande |
|---|---|---|---|---|---|---|---|
|
Capacità EPS in permanenza |
Frequenza di eventi al secondo elaborati dai componenti in tempo reale e conservati dal sistema nella memorizzazione. |
100 EPS |
2500 EPS |
2500 EPS |
9000 EPS |
11000 EPS |
Oltre 11000 EPS |
|
Capacità EPS operativa |
Frequenza totale di eventi al secondo ricevuti dal sistema e provenienti dalle relative origini. Include i dati eliminati dalla funzionalità di filtraggio intelligente del sistema prima della memorizzazione, ed è il numero utilizzato per la conformità della licenza basata su EPS. |
100 EPS |
Oltre 2500 EPS |
Oltre 2500 EPS |
9000 EPS |
16000 EPS |
Oltre 16000 EPS |
|
Hardware del server Sentinel |
|||||||
|
CPU |
CPU Intel Xeon E5420 a 2,5 GHz (4 core), senza hyperthreading |
Due CPU Intel Xeon E5450 a 3,0 GHz (4 core per CPU, 8 core in totale), senza hyperthreading |
Due CPU AMD Opteron 2431 a 2,4 GHz (6 core per CPU, 12 core in totale) |
Due CPU Intel(R) Xeon(R) E5-2680 0 a 2,7 GHz (8 core per CPU, 16 core in totale), con hyperthreading |
Contattare NetIQ Services |
||
|
Memorizzazione locale |
Dati memorizzati localmente nella cache per migliorare le prestazioni di ricerca. |
Unità disco da 500 GB, 7.200 giri/min |
SAS da 5 x 300 GB, 15.000 giri/min (hardware RAID 0) |
SAS da 3 x 146 GB, 10.000 giri/min (RAID 0, stripe size 128 K) |
SAS da 5 TB, 8 x 600 GB, 15.000 giri/min (hardware RAID 0, stripe size 128 K) |
||
|
Memorizzazione in rete |
Include una copia dei dati nella memorizzazione locale. |
Non utilizzato |
Non utilizzato |
Non utilizzato |
Non utilizzato |
||
|
Memoria |
4 GB |
24 GB |
16 GB |
64 GB |
|||
|
Hardware dell'istanza remota di Gestione servizi di raccolta n. 1 |
|||||||
|
CPU |
Non applicabile (solo CM locale incorporata) |
Due CPU Intel(R) Xeon(R) E5-2680 0 a 2,7 GHz (8 core per CPU, 16 core in totale), con hyperthreading |
Contattare NetIQ Services |
||||
|
Memorizzazione |
|
|
20 GB di spazio libero |
Contattare NetIQ Services |
|||
|
Memoria |
|
|
24 GB |
||||
|
Hardware dell'istanza remota di Gestione servizi di raccolta n. 2 |
|||||||
|
CPU |
Non applicabile (solo CM locale incorporata) |
CPU Intel(R) Xeon(R) X5570, 8 core, a 2,93 GHz (macchina virtuale) |
Contattare NetIQ Services |
||||
|
Memorizzazione |
|
|
50 GB |
||||
|
Memoria |
|
|
8 GB |
||||
|
Hardware di Gestione agenti |
|||||||
|
CPU |
|
Non applicabile (solo raccolta senza agenti) |
Due CPU Intel Xeon 5140 a 2,33 GHz (2 core per CPU, 4 core in totale) |
Non applicabile (solo raccolta senza agenti) |
Contattare NetIQ Services |
||
|
Memorizzazione |
|
SAS da 2 x 300 GB, 10.000 giri/min (RAID 0, stripe size 128 K) |
|
||||
|
Memoria |
|
|
16 GB |
|
|||
|
Hardware dell'istanza remota del motore di correlazione |
|||||||
|
CPU |
|
Non applicabile (solo CE locale incorporato) |
Contattare NetIQ Services |
||||
|
Memorizzazione |
|
|
|||||
|
Memoria |
|
|
|||||
|
Raccolta dei dati |
|||||||
|
Distribuzione di Gestione servizi di raccolta (CM) |
Carico generato dal numero di origini eventi ed eventi al secondo su ciascuna istanza di Gestione servizi di raccolta. La percentuale di filtraggio indica il numero di eventi standardizzati che sono stati filtrati immediatamente dopo la raccolta, senza venire memorizzati o trasferiti ai motori di analisi. Si noti che i dati non elaborati e non standardizzati dei log su cui si basano gli eventi standardizzati non subiscono gli effetti del filtraggio e vengono sempre memorizzati. Gestione servizi di raccolta locale incorporata è ubicata nel computer del server Sentinel. |
CM locale incorporata Origini eventi: 101 EPS: 100 Filtraggio: 0% |
CM locale incorporata Origini eventi: 2500 EPS: 2500 Filtraggio: 0% |
CM locale incorporata Origini eventi: 5000 EPS: 2500 Filtraggio: 0% |
CM locale incorporata Origini eventi: 500 EPS: 9000 Filtraggio: 0% |
CM locale incorporata Non utilizzato CM remota n. 1 Origini eventi: 110 EPS: 9500 Filtraggio: 21% Dati non elaborati disabilitati CM remota n. 2 Origini eventi: 20 EPS: 6500 Filtraggio: 54% Dati non elaborati disabilitati |
Contattare NetIQ Services |
|
Servizi di raccolta utilizzati |
IBM AIX 6.1r3 Origini: 100 EPS: 99 NetIQ Universal Event 2011.1r1 Origini: 1 EPS: 1 |
Ciascun servizio di raccolta utilizza un server Syslog dedicato. Oracle Solaris 6.1r3 Origini: 1000 EPS: 1000 IBM AIX 6.1r3 Origini: 1000 EPS: 1000 Sourcefire Snort 2011.1r1 Origini: 500 EPS: 500 |
Test personalizzato del servizio di raccolta (senza analisi sintattica) Server del connettore di Gestione agenti n. 1 Origini: 5000 EPS: 2500 |
Tutti i servizi di raccolta seguenti utilizzano un proprio server Syslog dedicato con l'analisi sintattica eseguita alle frequenze EPS seguenti: Oracle Solaris 6.1r3 EPS: 2000 Sourcefire Snort 2011.1r1 EPS: 1500 NetIQ Universal Event 2011.1r1 EPS: 2000 Juniper Netscreen Series 2011.1r1 EPS: 1500 IBM AIX 6.1r3: 2000 EPS: 2000 |
Tutti i servizi di raccolta seguenti utilizzano un proprio server Syslog dedicato con l'analisi sintattica eseguita alle frequenze EPS seguenti: Oracle Solaris 6.1r3 RCM n. 1: 2000 RCM n. 2: 2000 Sourcefire Snort 2011.1r1 RCM n. 1: 2000 RCM n. 2: 1000 NetIQ Universal Event 2011.1r1 RCM n. 1: 2000 RCM n. 2: 0 Juniper Netscreen Series 2011.1r1 RCM n. 1: 2000 RCM n. 2: 1500 |
Contattare NetIQ Services |
|
|
|
|
|
|
|
IBM AIX 6.1r3 RCM n. 1: 1500 RCM n. 2: 0 IBM iSeries 2011.1r3 RCM n. 1: 0 RCM n. 2: 2000 |
Contattare NetIQ Services |
|
Totale |
Origini eventi: 101 EPS: 100 Filtraggio: 0% |
Origini eventi: 2500 EPS: 2500 Filtraggio: 0% |
Origini eventi: 5000 EPS: 2500 Filtraggio: 0% |
Origini eventi: 500 EPS: 9000 Filtraggio: 0% |
Origini eventi: 130 EPS operativi: 16000 EPS in permanenza: 11000 Filtraggio: 25% |
||
|
Memorizzazione dei dati |
|||||||
|
Di quanto vanno a ritroso nel tempo le ricerche sui dati effettuate regolarmente dagli utenti? |
Quantità di dati memorizzati localmente nella cache per migliorare le prestazioni di ricerca. |
7 giorni |
Contattare NetIQ Services |
||||
|
In quale percentuale verranno effettuate ricerche su dati precedenti al numero di giorni sopra indicato? |
Ha effetto sulla quantità di operazioni di input/output al secondo (IOPS) per la memorizzazione locale o in rete. |
10% |
|||||
|
Per quanto tempo è necessario conservare i dati passati? |
Ha effetto sulla quantità di spazio su disco necessaria per conservare tutti i dati. Se è abilitata la memorizzazione in rete, ha effetto sullo spazio necessario per la memorizzazione in rete. Altrimenti, influisce sullo spazio necessario per la memorizzazione locale. |
14 giorni |
|||||
|
Sarà disponibile e connesso un dispositivo per la memorizzazione in rete? |
Determina se tutti i dati verranno memorizzati localmente o se sarà possibile utilizzare la memorizzazione online a lungo termine e a costi ridotti su un dispositivo per la memorizzazione in rete. I dati nella memorizzazione in rete rimangono online. |
No |
Contattare NetIQ Services |
||||
|
Quanti rapporti verranno ottimizzati utilizzando riepiloghi e altre policy di sincronizzazione dei dati? |
Ha effetto sul numero di policy di sincronizzazione dei dati che, a sua volta, influisce sulle dimensioni e l'IOPS della memorizzazione locale. |
5 (pronti all'uso) |
4 (pronti all'uso eccetto l'RDD di riepilogo delle origini che non viene considerato) |
||||
|
Attività dell'utente |
|||||||
|
Quanti utenti saranno contemporaneamente attivi in media? |
Ha effetto sulla quantità di IOPS per la memorizzazione locale e in rete e su altri elementi. |
1 |
Contattare NetIQ Services |
||||
|
Quante ricerche esegue contemporaneamente un utente attivo in media? |
Ha effetto sulla quantità di IOPS per la memorizzazione locale e in rete. |
1 ricerca o rapporto (ma non contemporanei) 20.000 eventi per rapporto 100 milioni di eventi per ricerca |
Non testata con il carico di ricerche e rapporti |
1 80 milioni di eventi per ricerca |
1 20 milioni di eventi per ricerca |
||
|
Quanti rapporti esegue contemporaneamente un utente attivo in media? |
Ha effetto sulla quantità di IOPS per la memorizzazione locale e in rete. |
1 ricerca o rapporto (ma non contemporanei) 20.000 eventi per rapporto 100 milioni di eventi per ricerca |
Non testata con il carico di ricerche e rapporti |
1 1.000 eventi per rapporto |
1 60.000 eventi, 5.000 pagine per rapporto |
||
|
Funzionalità di analisi |
|||||||
|
Quale percentuale dei dati degli eventi è rilevante per le regole di correlazione? |
Quantità di dati che il motore di correlazione elaborerà. |
100% (pronte all'uso) (3 correlazioni al secondo) |
100% (pronte all'uso) (0 correlazioni al secondo) |
0% |
0% (alcuni dati arrivano troppo tardi per la correlazione in tempo reale) |
Contattare NetIQ Services |
|
|
Quante regole di correlazione semplici (solo filtro/trigger) verranno utilizzate? |
Ha effetto sull'utilizzo della CPU da parte del motore di correlazione. |
84 (pronte all'uso) |
0 |
Contattare NetIQ Services |
|||
|
Quante regole di correlazione complesse verranno utilizzate? |
Ha effetto sull'utilizzo della CPU e della memoria da parte del motore di correlazione. |
0 (pronte all'uso) |
|||||
|
Distribuzione del motore di correlazione (CE) |
CE locale incorporato (tutte le regole) |
||||||
|
Su quanti set di dati verrà eseguito il rilevamento di anomalie? |
Numero di dashboard di Security Intelligence, che influisce sull'utilizzo della CPU, sulla dimensione della memorizzazione locale e sulla memoria. |
1 (1% ciascuno del flusso di eventi) |
0 |
||||
|
Alta disponibilità |
|||||||
|
Note |
Importanti funzionalità disabilitate o avvisi di ciò che accade quando si supera il carico di sistema sopra illustrato. |
Dati non elaborati disabilitati Correlazione e Security Intelligence non utilizzati I rapporti su più di 30.000 eventi causano instabilità |
Dati non elaborati disabilitati Correlazione e Security Intelligence non utilizzati I rapporti con un numero di eventi superiore a quello specificato producono instabilità Il superamento del valore di EPS in permanenza finisce per causare instabilità in questa configurazione di sistema |
Contattare NetIQ Services |
|||