6.4 1層分散展開

1層展開は、Windowsコンピュータを監視できるだけでなく、オールインワン展開よりも大きな負荷を処理できます。Collector ManagerおよびCorrelation Engineのコンピュータを追加して、中央Sentinelサーバの処理をオフロードすることで、データの収集と相関をスケールアウトできます。また、イベントルールと相関ルールの負荷の処理に加えて、リモートCollector ManagerインスタンスとリモートCorrelation Engineインスタンスは、イベントの保存や検索などの他の要求に対処するために中央Sentinelサーバ上のリソースを解放します。システムの負荷が増えるにつれ、中央Sentinelサーバが最終的にボトルネックになってきたら、展開の階層を増やしてさらにスケールアウトする必要があります。

オプションで、イベントデータをデータウェアハウスにコピーするようにSentinelを構成できます。この方法は、カスタムレポーティング、分析、およびその他の処理を別のシステムにオフロードする場合に便利です。

図 6-3 1層分散展開