O Sentinel fornece diversas opções para rotear, armazenar e extrair os dados coletados. Por padrão, o Sentinel recebe dois fluxos de dados diferentes, porém relacionados, dos Gerenciadores de coletor: os dados de eventos e os dados não processados. Os dados não processados são imediatamente armazenados em partições protegidas para providenciar uma cadeia de evidência segura. Os dados de eventos analisados são roteados de acordo com regras que você define e podem ser filtrados, enviados para armazenamento, enviados para análises em tempo real e roteados para sistemas externos. Todos os dados de eventos enviados para o armazenamento são então vinculados a políticas de retenção definidas pelo usuário, que determinam as partições em que os dados são colocados e também definem a política de remoção segundo a qual os dados do evento são retidos e eventualmente excluídos.
O armazenamento de dados do Sentinel baseia-se em uma estrutura em três níveis:
Armazenamento online
Armazenamento local ou primário: Otimizado para gravação e recuperação rápida. Os dados de evento coletados mais recentemente (e os mais frequentemente pesquisados) são armazenados aqui.
Armazenamento em rede ou secundário: Otimizado para reduzir o uso do espaço ainda assim permitindo recuperação rápida. O Sentinel automaticamente migra as partições de dados para o armazenamento secundário.
NOTA: O uso de um armazenamento secundário é opcional. Políticas de retenção de dados, pesquisas e relatórios funcionam em partições de dados de evento independentemente se residem de fato em armazenamentos primários, secundários ou em ambos.
Armazenamento para arquivamento ou offline:
Quando as partições são fechadas, você pode fazer o backup delas para um armazenamento offline tão barato quanto armazenamento em massa, Amazon Glacier, etc. Caso necessário, você pode reimportar temporariamente partições offline para análises forense de longo termo.
Você também pode configurar o Sentinel para extrair dados de evento e resumos de dados de evento para um banco de dados externo usando políticas de sincronização de dados. Para obter mais informações, consulte Configurando o armazenamento de dados
no Guia de Administração do NetIQ Sentinel 7.1.