Por padrão, o servidor do Sentinel inclui os seguintes componentes:
Gerenciador de Coletor: O Gerenciador de Coletor oferece um ponto flexível para coleta de dados no Sentinel. O instalador do Sentinel instala um Gerenciador de Coletor por padrão durante a instalação.
Mecanismo de Correlação: O Mecanismo de Correlação processa eventos do fluxo de eventos em tempo real para determinar se eles devem acionar qualquer uma das regras de correlação.
Gerenciador de Coletor do NetFlow: O Gerenciador de Coletor do NetFlow coleta dados do fluxo da rede (NetFlow, IPFIX, e assim por diante) de dispositivos de rede como roteadores, switches e firewalls. Os dados do fluxo da rede descrevem informações básicas sobre todas as conexões de rede entre os hosts, incluindo os pacotes e os bytes transmitidos, o que ajuda você a visualizar o comportamento de hosts individuais ou de toda a rede.
IMPORTANTE:Para ambientes de produção, a NetIQ recomenda a configuração de uma implantação distribuída, pois essa implantação isola os componentes de coleta de dados em um computador separado, o que é importante para lidar com picos e outras irregularidades com a estabilidade máxima do sistema.
Esta seção descreve as vantagens das implantações distribuídas.
O servidor do Sentinel inclui um Gerenciador de Coletor por padrão. No entanto, para ambientes de produção, Gerenciadores de Coletor distribuídos fornecem um isolamento muito melhor quando grandes volumes de dados são recebidos. Nesse caso, um Gerenciador de Coletor distribuído pode ficar sobrecarregado, mas o servidor do Sentinel continuará responsivo às solicitações dos usuários.
A instalação de mais de um Gerenciador de Coletor em uma rede distribuída oferece as seguintes vantagens:
Melhor desempenho do sistema: Os Gerenciadores de Coletor adicionais podem analisar e processar dados de eventos em um ambiente distribuído, o que aumenta o desempenho do sistema.
Segurança de dados adicional e menores requisitos de largura de banda de rede: Se os Gerenciadores de Coletor estiverem co-localizados com fontes de eventos, então a filtragem, criptografia e compactação de dados pode ser realizada na origem.
Cache de arquivos: Os Gerenciadores de Coletor remotos podem fazer cache de grandes quantidades de dados enquanto o servidor está temporariamente ocupado arquivando eventos ou processando um pico de eventos. Esse recurso é uma vantagem para protocolos que, como o syslog, não suportam o cache de eventos de forma nativa.
Você pode instalar os Gerenciadores de Coletor adicionais nos locais adequados na rede. Esses Gerenciadores de Coletor remotos executam Conectores e Coletores e encaminham os dados coletados ao servidor do Sentinel para armazenamento e processamento. Para obter informações sobre a instalação de Gerenciadores de Coletor adicionais, consulte Seção III, Instalando o Sentinel.
NOTA:Não é possível instalar mais do que um Gerenciador de Coletor em um único sistema. Você pode instalar Gerenciadores de Coletor adicionais nos sistemas remotos, e conectá-los ao servidor do Sentinel.
Você pode implementar vários Mecanismos de Correlação, cada qual em seu próprio servidor, sem precisar replicar configurações ou adicionar bancos de dados. Para ambientes com grandes números de regras de correlação ou taxas de evento extremamente altas, pode ser vantajoso instalar mais de um Mecanismo de correlação e reimplementar algumas regras no novo Mecanismo de correlação. Vários Mecanismos de Correlação fornecem a capacidade de escalar à medida que o sistema Sentinel incorpora fontes de dados adicionais ou à medida que as taxas de evento aumentam. Para obter informações sobre como instalar Mecanismos de Correlação adicionais, veja Seção III, Instalando o Sentinel.
NOTA:Não é possível instalar mais do que um Mecanismo de Correlação em um único sistema. Você pode instalar Mecanismos de Correlação adicionais nos sistemas remotos, e conectá-los ao servidor do Sentinel.
O Gerenciador de Coletor do NetFlow coleta dados do fluxo da rede de dispositivos de rede. Você deve instalar os Gerenciadores de Coletor do NetFlow adicionais em vez de usar o Gerenciador de Coletor do NetFlow no servidor do Sentinel para liberar os recursos do sistema para outras funções importantes, como armazenamento de eventos e pesquisas.
Você pode instalar Gerenciadores de Coletor do NetFlow adicionais nos seguintes cenários:
Em ambientes com muitos dispositivos de rede e altas taxas de dados do fluxo da rede, você pode instalar diversos Gerenciadores de Coletor do NetFlow para distribuir a carga.
Em um ambiente com diversos arrendatários, você deve instalar um Gerenciador de Coletor do NetFlow individual para cada arrendatário para coletar dados do fluxo da rede por arrendatário.
Para obter mais informações sobre a instalação de Gerenciadores de Coletor do NetFlow adicionais, consulte Seção 14.0, Instalação do Gerenciador de Coletor do NetFlow.