Sentinelサーバには、デフォルトで以下のコンポーネントが含まれます。
Collector Manager: Collector Managerは、Sentinelに柔軟なデータ収集ポイントを提供します。
Correlation Engine: Correlation Engineは、リアルタイムイベントストリームからのイベントを処理して、イベントが何らかの相関ルールをトリガするべきかどうかを判別します。
Elasticsearch: データを保存およびインデックス作成するための、オプションのデータストレージコンポーネント。デフォルトでは、SentinelにはElasticsearchノードが1つ含まれています。EPSが大きくなること(2500を超える)が予想される場合、追加のElasticsearchノードをクラスタに展開する必要があります。
重要:運用環境では、分散展開を設定して、データ収集コンポーネントを別のコンピュータに分離する必要があります。これは、システムの安定性を最大限に保ちながら、スパイクや他の異常を処理する上で重要になります。
このセクションでは、分散展開の利点について説明します。
Sentinelサーバには、デフォルトでCollector Managerが含まれています。ただし運用環境では、Collector Manager instancesを分散させることにより、大量のデータを受け取る場合に一層優れた分離を実現できます。こうした状態では、分散されたCollector Managerのオーバーロードが生じる可能性があるものの、Sentinelサーバは途切れることなくユーザ要求に応じることができます。
分散ネットワークに複数のCollector Managerをインストールすると、次のような利点があります。
システムのパフォーマンスの向上: Collector Manager instancesを追加すると、分散環境でイベントデータを解析および処理できるため、システムのパフォーマンスが向上します。
データのセキュリティの強化およびネットワーク帯域幅要件の低下: Collector Manager instancesがイベントソースと同じ場所にあると、フィルタ、暗号化、およびデータの圧縮を同じソースで実行できます。
ファイルキャッシング: イベントのアーカイブやイベントの大量発生の処理でサーバの負荷が一時的に上がったときに、追加のCollector Manager instancesで大量のデータをキャッシュすることができます。この機能は、イベントキャッシングをネイティブでサポートしないSyslogなどのプロトコルの場合に役立ちます。
追加のCollector Manager instancesをネットワーク内の適切な場所にインストールすることができます。これらのリモートCollector Manager instancesはコネクタやコレクタを実行し、収集したデータはSentinelサーバに転送されて保管、処理されます。追加のCollector Manager instancesのインストールについては、セクション III, Sentinelのインストールを参照してください。
メモ:1つのシステムに複数のCollector Managerをインストールすることはできません。リモートシステムに追加のCollector Managerをインストールして、それらをSentinelサーバに接続することはできます。
環境設定を複製したり、データベースを追加したりすることなく、複数のCorrelation Engine instancesをそれぞれ独自のサーバに展開できます。相関ルールが多数ある環境やイベント発生率が極端に高い環境では、複数のCorrelation Engineをインストールして、新しいCorrelation Engineにルールを再展開するほうが効率的です。Correlation Engine instancesを複数使用すると、Sentinelシステムにデータソースが追加された場合やイベント発生率が増大した場合に、それに対応するスケーラビリティが得られます。追加のCorrelation Engine instancesのインストールについては、セクション III, Sentinelのインストールを参照してください。
メモ:1つのシステムに複数のCorrelation Engineをインストールすることはできません。リモートシステムに追加のCorrelation Engine instancesをインストールして、それらをSentinelサーバに接続することはできます。