Sentinelサーバには、デフォルトで以下のコンポーネントが含まれます。
コレクタマネージャ: コレクタマネージャは、Sentinelに柔軟なデータ収集ポイントを提供します。Sentinelインストーラは、インストール時にデフォルトでコレクタマネージャをインストールします。
相関エンジン: 相関エンジンは、リアルタイムイベントストリームからのイベントを処理して、イベントが何らかの相関ルールをトリガするべきかどうかを判別します。
NetFlowコレクタマネージャ: NetFlowコレクタマネージャはルータ、スイッチ、ファイアーウォールなどのネットワークデバイスからネットワークフローデータ(NetFlowやIPFIXなど)を収集します。ネットワークフローデータは、伝送されるパケットやバイトなどの、ホストの間のすべてのネットワーク接続に関する基本的な情報を示しています。これは、個々のホストまたはネットワーク全体の動作を視覚化するのに役立ちます。
重要:運用環境では、分散展開をセットアップして、データ収集コンポーネントが別のコンピュータに分離することをお勧めします。これは、システムの安定性を最大限に保ちながら、スパイクや他の異常を処理する上で重要になります。
このセクションでは、分散展開の利点について説明します。
Sentinelサーバには、デフォルトでコレクタマネージャが含まれています。ただし運用環境では、コレクタマネージャを分散させることにより、大量のデータを受け取る場合に一層優れた分離を実現できます。こうした状態では、分散されたコレクタマネージャのオーバーロードが生じる可能性があるものの、Sentinelサーバは途切れることなくユーザ要求に応じることができます。
分散ネットワークに複数のコレクタマネージャをインストールすると、次のような利点があります。
システムのパフォーマンスの向上: コレクタマネージャを追加すると、分散環境でイベントデータを解析および処理できるため、システムのパフォーマンスが向上します。
データのセキュリティの強化およびネットワーク帯域幅要件の低下: コレクタマネージャがイベントソースと同じ場所にあると、フィルタ、暗号化、およびデータの圧縮を同じソースで実行できます。
ファイルキャッシング: イベントのアーカイブやイベントの大量発生の処理でサーバの負荷が一時的に上がったときに、追加のコレクタマネージャで大量のデータをキャッシュすることができます。この機能は、イベントキャッシングをネイティブでサポートしないSyslogなどのプロトコルの場合に役立ちます。
追加のコレクタマネージャをネットワーク内の適切な場所にインストールすることができます。これらのリモートコレクタマネージャはコネクタやコレクタを実行し、収集したデータはSentinelサーバに転送されて保管、処理されます。追加のコレクタマネージャのインストールについては、セクション III, Sentinelのインストールを参照してください。
メモ:1つのシステムに複数のコレクタマネージャをインストールすることはできません。リモートシステムに追加のコレクタマネージャをインストールして、それらをSentinelサーバに接続することはできます。
環境設定を複製したり、データベースを追加したりすることなく、複数の相関エンジンをそれぞれ独自のサーバに展開できます。相関ルールが多数ある環境やイベント発生率が極端に高い環境では、複数の相関エンジンをインストールして、新しい相関エンジンにルールを再展開するほうが効率的です。相関エンジンを複数使用すると、Sentinelシステムにデータソースが追加された場合やイベント発生率が増大した場合に、それに対応するスケーラビリティが得られます。追加の相関エンジンのインストールについては、セクション III, Sentinelのインストールを参照してください。
メモ:1つのシステムに複数の相関エンジンをインストールすることはできません。リモートシステムに追加の相関エンジンをインストールして、それらをSentinelサーバに接続することはできます。
NetFlowコレクタマネージャは、ネットワークデバイスからネットワークフローデータを収集します。イベントストレージや検索などの重要な機能のためにシステムリソースを解放するには、Sentinelサーバ上のNetFlowコレクタマネージャを使用するのではなく、追加のNetFlowコレクタマネージャをインストールしてください。
以下のシナリオで追加のNetFlowコレクタマネージャをインストールできます。
多数のネットワークデバイスと大量のネットワークフローデータが存在する環境で、複数のNetFlowコレクタマネージャをインストールして、負荷を分散させることができます。
マルチテナント環境の場合、それぞれのテナント用に個別のNetFlowコレクタマネージャをインストールして、テナントごとにネットワークフローデータを収集する必要があります。
追加のNetFlowコレクタマネージャのインストールについて詳しくは、セクション 14.0, NetFlowコレクタマネージャのインストールを参照してください。