NetIQ Documentation: Guia de instalação e configuração do NetIQ Sentinel 7.1

16.1 Entendendo o horário no Sentinel

O Sentinel é um sistema distribuído, composto por vários processos distribuídos por toda a sua rede. Além disso, podem ocorrer certos atrasos introduzidos pela fonte de eventos. Para lidar com essa situação, os processos do Sentinel reordenam os eventos em um fluxo ordenado por horários antes de realizar o processamento.

Todo evento tem três campos de horário:

Horário do evento: o horário de evento usado por todos os mecanismo de análise, pesquisa, relatórios, etc.
Horário de processamento do Sentinel: o horário em que o Sentinel coleta os dados do dispositivo, obtido a partir do horário de sistema do Gerenciador de coletor.
Horário do evento do observador: a marcação de horário que o dispositivo coloca nos dados. O dados nem sempre podem conter uma marcação de horário confiável e podem ser bem diferentes do Horário de processamento do Sentinel. Por exemplo, quando o dispositivo entrega dados em lotes.

A ilustração a seguir explica como o Sentinel faz isso:

Figura 16-1 Horário do Sentinel

Por padrão, o Horário do evento é definido para o Horário de processamento do Sentinel. O ideal, no entanto, é que o Horário do evento corresponda ao Horário do evento do observador, caso esse esteja disponível e seja confiável. É melhor configurar a coleta de dados para Horário da fonte de eventos confiável caso o horário do dispositivo estiver disponível, for preciso e devidamente analisado pelo Coletor. O Coletor ajusta o Horário do evento para corresponder ao Horário do evento do observador.
Eventos com Horários de evento com variações de 5 minutos em relação ao horário do servidor (para passado ou futuro) são processados normalmente pelas Telas ativas. Os eventos com Horários de evento mais de 5 minutos no futuro não são exibidos nas Telas ativas, mas são inseridos no armazenamento de eventos. Eventos com Horários de evento mais de 5 minutos no futuro e menos de 24 horas no passado ainda são exibidos nos gráficos, mas não são exibidos nos dados de evento para o gráfico em questão. Uma operação de detalhamento é necessária para recuperar esses eventos do armazenamento de eventos.
Os eventos são organizados em intervalos de 30 segundos de modo que o Mecanismo de correlação possa processá-los em ordem cronológica. Se o Horário do evento for mais de 30 segundos mais antigo do que o horário do servidor, o Mecanismo de correlação não processará os eventos.
Se o Horário do evento é mais antigo do que 5 minutos em relação ao horário do sistema do Gerenciador de coletor, o Sentinel faz o roteamento direto dos eventos para o armazenamento de eventos, ignorando sistemas em tempo real como Correlação, Telas ativas e Inteligência de segurança.