6.7 スケーラブルストレージでの3層展開

データ収集層: さまざまなイベントソースからのイベントを収集します。

スケーラブルストレージ層: 大規模データを格納し、インデックスを作成します。この層のSSDMサーバでは、データ収集やイベントのルーティングの管理、イベントの検索と視覚化、および特定の管理アクティビティを実行できます。リアルタイム分析やレポーティングなどのその他のSentinelの機能については、別の分析層を設定することができます。図に示すように、Sentinel Linkを使用して、分析に必要な特定のイベントを分析層に転送するイベントルーティングルールを設定することができます。また、収集したデータをその他のSIEMシステムに転送したり、その他のビジネスインテリジェンスツールを有効にしたりして、Hadoop分散上でデータのクエリや分析を直接実行できるようにします。

分析層: 大規模データのリアルタイム分析を実行するには、分析層を設定し、スケーラブルストレージ層から必要なイベントを転送するためのイベントルーティングのルールを設定する必要があります。また、同じ分析層を使用して、Secure Configuration ManagerやChange Guardianなど、その他のNetIQ製品からのネットワークフローデータやイベントを収集し、格納することができます。図に示すように、分析用として1つまたは複数のSentinelサーバを展開できます。

検索層: この層はオプションです。分析層の任意のSentinelサーバでも、検索やレポーティングを実行することができます。しかし、別個の検索層を設ければ、Sentinal Data Federationを使用して分析層のすべてのSentinelサーバにまたがる検索とレポーティングを行うための便利な単一のアクセスポイントとなります。スケーラブルストレージでの検索イベントについては、Sentinelスケーラブルデータマネージャの検索オプションを使用します。