6.7 スケーラブルストレージでの3層展開

データ収集層: さまざまなイベントソースからのイベントを収集します。従来のストレージのSentinelで既存のデータ収集のセットアップを保持しつつ、スケーラブルストレージを利用したい場合は、必要に応じて、scalablestorage_data_uploader.shスクリプトを使用し、必要なイベントを従来のストレージからスケーラブルストレージへ直接転送できます。詳細については、イベントデータと生データの移行を参照してください。

スケーラブルストレージ層: 大規模なデータの保存、インデックス作成、および分析を行います。この層にあるSSDMサーバでは、データの収集と相関を管理することができ、その他のSSDM機能も提供されます。SSDMで利用できないSentinel機能を使用するには、従来のストレージ層を設定することができます。収集したデータを別のSIEMシステムに転送したり、別のビジネスインテリジェンスツールからデータにクエリを実行したり、広くサポートされているHadoop、Kafka、Spark、およびElasticsearch APIを使用してHadoop配布パッケージ上で直接分析を実行したりすることもできます。

従来のストレージ層: セキュリティインテリジェンス、従来の検索、およびレポーティングなどのSentinel機能を利用するには、従来のストレージを使用するSentinelの別個のインスタンスをインストールする必要があります。イベントのルーティングルールを設定すると、Sentinel Linkを使用して、目的のイベントをSentinelからSSDMに転送することができます。