Sentinelサーバには、デフォルトで以下のコンポーネントが含まれます。
Collector Manager: Collector Managerは、Sentinelに柔軟なデータ収集ポイントを提供します。Sentinelインストーラは、インストール時にデフォルトでCollector Managerをインストールします。
Correlation Engine: Correlation Engineは、リアルタイムイベントストリームからのイベントを処理して、イベントが何らかの相関ルールをトリガするべきかどうかを判別します。
NetFlow Collector Manager: NetFlow Collector Managerはルータ、スイッチ、ファイアーウォールなどのネットワークデバイスからネットワークフローデータ(NetFlowやIPFIXなど)を収集します。ネットワークフローデータは、伝送されるパケットやバイトなどの、ホストの間のすべてのネットワーク接続に関する基本的な情報を示しています。これは、個々のホストまたはネットワーク全体の動作を視覚化するのに役立ちます。
重要:運用環境では、分散展開をセットアップして、データ収集コンポーネントが別のコンピュータに分離することをお勧めします。これは、システムの安定性を最大限に保ちながら、スパイクや他の異常を処理する上で重要になります。
このセクションでは、分散展開の利点について説明します。
Sentinelサーバには、デフォルトでCollector Managerが含まれています。ただし運用環境では、Collector Manager instancesを分散させることにより、大量のデータを受け取る場合に一層優れた分離を実現できます。こうした状態では、分散されたCollector Managerのオーバーロードが生じる可能性があるものの、Sentinelサーバは途切れることなくユーザ要求に応じることができます。
分散ネットワークに複数のCollector Managerをインストールすると、次のような利点があります。
システムのパフォーマンスの向上: Collector Manager instancesを追加すると、分散環境でイベントデータを解析および処理できるため、システムのパフォーマンスが向上します。
データのセキュリティの強化およびネットワーク帯域幅要件の低下: Collector Manager instancesがイベントソースと同じ場所にあると、フィルタ、暗号化、およびデータの圧縮を同じソースで実行できます。
ファイルキャッシング: イベントのアーカイブやイベントの大量発生の処理でサーバの負荷が一時的に上がったときに、追加のCollector Manager instancesで大量のデータをキャッシュすることができます。この機能は、イベントキャッシングをネイティブでサポートしないSyslogなどのプロトコルの場合に役立ちます。
追加のCollector Manager instancesをネットワーク内の適切な場所にインストールすることができます。これらのリモートCollector Manager instancesはコネクタやコレクタを実行し、収集したデータはSentinelサーバに転送されて保管、処理されます。追加のCollector Manager instancesのインストールについては、セクション III, Sentinelのインストールを参照してください。
メモ:1つのシステムに複数のCollector Managerをインストールすることはできません。リモートシステムに追加のCollector Managerをインストールして、それらをSentinelサーバに接続することはできます。
環境設定を複製したり、データベースを追加したりすることなく、複数のCorrelation Engine instancesをそれぞれ独自のサーバに展開できます。相関ルールが多数ある環境やイベント発生率が極端に高い環境では、複数のCorrelation Engineをインストールして、新しいCorrelation Engineにルールを再展開するほうが効率的です。Correlation Engine instancesを複数使用すると、Sentinelシステムにデータソースが追加された場合やイベント発生率が増大した場合に、それに対応するスケーラビリティが得られます。追加のCorrelation Engine instancesのインストールについては、セクション III, Sentinelのインストールを参照してください。
メモ:1つのシステムに複数のCorrelation Engineをインストールすることはできません。リモートシステムに追加のCorrelation Engine instancesをインストールして、それらをSentinelサーバに接続することはできます。
NetFlow Collector Managerは、ネットワークデバイスからネットワークフローデータを収集します。イベントストレージや検索などの重要な機能のためにシステムリソースを解放するには、Sentinelサーバ上のNetFlow Collector Manager instancesを使用するのではなく、追加のNetFlow Collector Managerをインストールしてください。
以下のシナリオで追加のNetFlow Collector Manager instancesをインストールできます。
多数のネットワークデバイスと大量のネットワークフローデータが存在する環境で、複数のNetFlow Collector Manager instancesをインストールして、負荷を分散させることができます。
マルチテナント環境の場合、それぞれのテナント用に個別のNetFlow Collector Managerをインストールして、テナントごとにネットワークフローデータを収集する必要があります。
追加のNetFlow Collector Manager instancesのインストールについて詳しくは、セクション 15.0, NetFlow Collector Managerのインストールを参照してください。