Sentinelの実装は環境の必要によって異なるため、Sentinelのアーキテクチャを最終決定する前に、NetIQコンサルティングサービスまたはNetIQ Sentinelパートナーにご相談ください。
このセクションでは、当社においてテスト時に入手可能であったハードウェアを使って行ったテストに基づく、サイズ設定情報を提供します。より大きな負荷を処理できる、より大規模で強力なハードウェア設定もあり得ます。
オールインワン設定の場合、処理の負荷をリモートコレクタマネージャとリモート相関エンジンに分散させるのではなく、すべてをSentinelサーバに集中させます。少数の機能を限られた方法で使用するシンプルなシナリオでは、オールインワン設定で十分機能しますが、多数の機能を使用したり、機能を拡張して使用したりする場合には、そのスケールに十分対応できません。たとえば、インストール時より多い数の相関ルールを使用するなら、相関エンジンのリソース使用量が増加するために、システムにかかる負荷が非常に大きくなり、結果的に同じサーバ上の他の機能に障害が出る可能性があります。
使用するコレクタの数が多い場合は、リモートコレクタマネージャに負荷を分散させる必要があります。
使用する相関ルールの数がインストール時より多い場合は、リモート相関エンジンに負荷を分散することが必要です。
使用する機能の数や使用する機能の拡張性を増やすことを計画する際には、負荷を分散させるのが賢明です。
CPUのハイパースレッディングには、システムが処理できる負荷にかなりのプラス効果があることが分かっています。したがって、購入するCPUを決める際に、下に示すリファレンステストでハイパースレッディングが有効になっていたかに注意し、選択するCPUが十分なハイパースレッディングを備えていることを必ず確認してください。
|
カテゴリ |
説明 |
デモオールインワン 運用向けではない |
中規模オールインワン |
中規模エージェントベースのデータ収集 |
大規模オールインワン |
大規模分散エージェントベースのデータ収集 |
超大規模 |
|---|---|---|---|---|---|---|---|
|
EPS保持能力 |
リアルタイムコンポーネントによって処理され、システムによってストレージに保持される1秒あたりのイベント数。 |
100 EPS |
2500 EPS |
2500 EPS |
9000 EPS |
11000 EPS |
11000 EPS以上 |
|
EPS運用能力 |
システムがイベントソースから受信する1秒あたりの合計イベント数。これには保管される前にシステムのインテリジェントフィルタリング機能によってドロップされるデータが含まれます。この数値はEPSベースのライセンスコンプライアンスのために使用されます。 |
100 EPS |
2500 EPS以上 |
2500 EPS以上 |
9000 EPS |
16000 EPS |
16000 EPS以上 |
|
Sentinelサーバのハードウェア |
|||||||
|
CPU |
インテルXeonプロセッサーE5420 (2.50GHz 4コア)、ハイパースレッディングなし |
2基のインテルXeonプロセッサーE5450 (3.00GHz 4コア、合計8コア)、ハイパースレッディングなし |
2基のAMD Opteron 2431 (2.40GHz 6コア、合計12コア) |
2基のインテルXeonプロセッサーE5-2680 (2.70GHz 8コア、合計16コア)、ハイパースレッディングあり |
NetIQ Servicesにお問い合わせください |
||
|
ローカルストレージ |
検索のパフォーマンスを上げるために、データはローカルにキャッシュされます。 |
500GB 7,200RPMハードドライブ |
5台の300GB SAS 15,000RPMハードドライブ(ハードウェアRAID 0) |
3台の146GB SAS 10,000RPMハードドライブ(RAID 0、ストライプサイズ128k) |
5TB、8台の600GB SAS 15,000RPMハードドライブ(ハードウェアRAID 0、ストライプサイズ128k) |
||
|
ネットワークストレージ |
ローカルストレージのデータのコピーを含みます。 |
使用しない |
使用しない |
使用しない |
使用しない |
||
|
メモリ |
4GB |
24GB |
16GB |
64GB |
|||
|
リモートコレクタマネージャ#1のハードウェア |
|||||||
|
CPU |
該当なし(ローカル埋め込みコレクタマネージャのみ) |
2基のインテルXeonプロセッサーE5-2680 (2.70GHz 8コア、合計16コア)、ハイパースレッディングあり |
NetIQ Servicesにお問い合わせください |
||||
|
ストレージ |
|
|
20GBの空き領域 |
NetIQ Servicesにお問い合わせください |
|||
|
メモリ |
|
|
24GB |
||||
|
リモートコレクタマネージャ#2のハードウェア |
|||||||
|
CPU |
該当なし(ローカル埋め込みコレクタマネージャのみ) |
8コア インテルXeonプロセッサーX5570 2.93GHz (仮想マシン) |
NetIQ Servicesにお問い合わせください |
||||
|
ストレージ |
|
|
50GB |
||||
|
メモリ |
|
|
8GB |
||||
|
エージェントマネージャのハードウェア |
|||||||
|
CPU |
|
該当なし(エージェントレス収集のみ) |
2基のインテルXeonプロセッサー5140 (2.33GHz 2コア、合計4コア) |
該当なし(エージェントレス収集のみ) |
NetIQ Servicesにお問い合わせください |
||
|
ストレージ |
|
2台の300GB SAS 10,000RPMハードドライブ(RAID 0、ストライプサイズ 128k) |
|
||||
|
メモリ |
|
|
16GB |
|
|||
|
リモート相関エンジンのハードウェア |
|||||||
|
CPU |
|
該当なし(ローカル埋め込み相関エンジンのみ) |
NetIQ Servicesにお問い合わせください |
||||
|
ストレージ |
|
|
|||||
|
メモリ |
|
|
|||||
|
データ収集 |
|||||||
|
コレクタマネージャの分散 |
各コレクタマネージャに配置されるイベントソースの数と1秒あたりのイベント数の負荷。 フィルタ率は、正規化されたイベントが収集直後に保管されも分析エンジンに渡されもせずにフィルタによってどれくらい除去されたかを示します。正規化されたイベントの元になっている正規化されていない生ログデータは、フィルタリングの影響を受けることなく、常に保管されます。 ローカル埋め込みコレクタマネージャは、Sentinelサーバマシンにあります。 |
ローカル埋め込みコレクタマネージャ イベントソース: 101 EPS: 100 フィルタ率: 0％ |
ローカル埋め込みコレクタマネージャ イベントソース: 2500 EPS: 2500 フィルタ率: 0％ |
ローカル埋め込みコレクタマネージャ イベントソース: 5000 EPS: 2500 フィルタ率: 0％ |
ローカル埋め込みコレクタマネージャ イベントソース: 500 EPS: 9000 フィルタ率: 0％ |
ローカル埋め込みコレクタマネージャ 使用しない リモートコレクタマネージャ#1 イベントソース: 110 EPS: 9500 フィルタ率: 21％ 生データ無効 リモートコレクタマネージャ#2 イベントソース: 20 EPS: 6500 フィルタ率: 54％ 生データ無効 |
NetIQ Servicesにお問い合わせください |
|
使用するコレクタ |
IBM AIX 6.1r3 ソース 100 EPS: 99 NetIQ Universal Event 2011.1r1 ソース: 1 EPS: 1 |
各コレクタには独自のSyslogサーバがあります。 Oracle Solaris 6.1r3 ソース: 1000 EPS: 1000 IBM AIX 6.1r3 ソース: 1000 EPS: 1000 Sourcefire Snort 2011.1r1 ソース: 500 EPS: 500 |
カスタムテストコレクタ(解析なし) エージェントマネージャコネクタサーバ1 ソース: 5000 EPS: 2500 |
次の各コレクタには独自のSyslogサーバがあり、以下のEPSレートで解析します。 Oracle Solaris 6.1r3 EPS: 2000 Sourcefire Snort 2011.1r1 EPS: 1500 NetIQ Universal Event 2011.1r1 EPS: 2000 Juniper Netscreen Series 2011.1r1 EPS: 1500 IBM AIX 6.1r3: 2000 EPS: 2000 |
次の各コレクタには独自のSyslogサーバがあり、以下のEPSレートで解析します。 Oracle Solaris 6.1r3 RCM #1: 2000 RCM #2: 2000 Sourcefire Snort 2011.1r1 RCM #1: 2000 RCM #2: 1000 NetIQ Universal Event 2011.1r1 RCM #1: 2000 RCM #2: 0 Juniper Netscreen Series 2011.1r1 RCM #1: 2000 RCM #2: 1500 |
NetIQ Servicesにお問い合わせください |
|
|
|
|
|
|
|
IBM AIX 6.1r3 RCM #1: 1500 RCM #2: 0 IBM iSeries 2011.1r3 RCM #1: 0 RCM #2: 2000 |
NetIQ Servicesにお問い合わせください |
|
合計 |
イベントソース: 101 EPS: 100 フィルタ率: 0％ |
イベントソース: 2500 EPS: 2500 フィルタ率: 0％ |
イベントソース: 5000 EPS: 2500 フィルタ率: 0％ |
イベントソース: 500 EPS: 9000 フィルタ率: 0％ |
イベントソース: 130 運用EPS: 16000 保持EPS: 11000 フィルタ率: 25％ |
||
|
データストレージ |
|||||||
|
ユーザは過去何日までのデータを定期的に検索しますか？ |
検索のパフォーマンスを上げるために、ローカルにキャッシュされるデータの量。 |
7日 |
NetIQ Servicesにお問い合わせください |
||||
|
検索全体の何パーセントが上記の日数より古いデータを検索していますか？ |
ローカルストレージまたはネットワークストレージの1秒あたりの入出力操作(IOPS)の量に影響します。 |
10% |
|||||
|
過去何日までのデータを保持する必要がありますか？ |
すべてのデータを保持するための必要なディスク容量に影響します。ネットワークストレージが有効である場合は、必要なネットワークストレージのサイズに影響します。ネットワークストレージが無効である場合は、必要なローカルストレージのサイズに影響します。 |
14日 |
|||||
|
ネットワークストレージデバイスは使用可能になり接続されますか？ |
すべてのデータがローカルに保管されるか、または低価格で長期間利用可能なオンラインストレージをネットワークストレージとして使用可能かに影響します。ネットワークストレージのデータは常にオンラインです。 |
× |
NetIQ Servicesにお問い合わせください |
||||
|
サマリや他のデータ同期ポリシーを使用して、いくつのレポートが最適化されますか？ |
ローカルストレージのサイズとIOPSを左右するデータ同期ポリシーの数に影響します。 |
5 (設定変更前) |
4 (設定変更前、ただしソースサマリRDDを除く) |
||||
|
ユーザアクティビティ |
|||||||
|
平均して同時に何人のユーザがアクティブになりますか？ |
ローカルストレージとネットワークストレージのIOPSの量および他の項目に影響します。 |
1 |
NetIQ Servicesにお問い合わせください |
||||
|
平均して1人のアクティブなユーザが同時に何件の検索を実行しますか？ |
ローカルストレージとネットワークストレージのIOPSの量に影響します。 |
検索またはレポート1件(ただし両方を同時ではない)、1件のレポートにつき20,000イベント、1件の検索につき100Mイベント |
検索またはレポートの負荷テストなし |
1 1件の検索につき80Mイベント |
1 1件の検索につき20Mイベント |
||
|
平均して1人のアクティブなユーザが同時に何件のレポートを実行しますか？ |
ローカルストレージとネットワークストレージのIOPSの量に影響します。 |
検索またはレポート1件(ただし両方を同時ではない)、1件のレポートにつき20,000イベント、1件の検索につき100Mイベント |
検索またはレポートの負荷テストなし |
1 1件のレポートにつき1kイベント |
1 1件のレポートにつき60kイベントおよび5kページ |
||
|
分析機能 |
|||||||
|
何パーセントのイベントデータが相関ルールに関係していますか？ |
相関エンジンが処理するデータの量。 |
100% (設定変更前) (1秒あたり3個の相関) |
100% (設定変更前) (1秒あたり0個の相関) |
0% |
0% (一部のデータは遅すぎてリアルタイム相関で処理できません) |
NetIQ Servicesにお問い合わせください |
|
|
いくつのシンプルな相関ルール(フィルタやトリガのみ)が使用されますか？ |
相関エンジンのCPU使用量に影響します。 |
84 (設定変更前) |
0 |
NetIQ Servicesにお問い合わせください |
|||
|
いくつの複雑な相関ルールが使用されますか？ |
相関エンジンのCPUおよびメモリ使用量に影響します。 |
0 (設定変更前) |
|||||
|
相関エンジン分散 |
ローカル埋め込み相関エンジン(すべてのルール) |
||||||
|
いくつのデータセットに対してアノマリー検出が実行されますか？ |
セキュリティインテリジェンスダッシュボードの数。これはCPU、ローカルストレージサイズ、およびメモリ使用量に影響します。 |
1 (各イベントストリームの1%) |
0 |
||||
|
高可用性 |
|||||||
|
メモ |
上記のシステム負荷を超過すると、重要な機能が無効になるか、または起きる事柄の警告が出されます。 |
生データ無効 相関およびセキュリティインテリジェンスは使用されない レポート対象のイベントが30kを超えると不安定になる |
生データ無効 相関およびセキュリティインテリジェンスは使用されない レポート対象のイベントが一定の数を超えると不安定になる このシステム設定では、保持EPSが増えると結果的に不安定になる |
NetIQ Servicesにお問い合わせください |
|||