Uma implantação do Sentinel pode variar de acordo com as necessidades do seu ambiente, assim recomenda-se que você consulte os Serviços de consultoria NetIQ ou qualquer um dos parceiros do NetIQ Sentinel antes de finalizar a arquitetura do Sentinel.
Esta seção fornece informações de dimensionamento baseadas no teste realizado na NetIQ com o hardware disponível quando o teste foi realizado. É provável que existam configurações de hardware maiores e mais fortes, capazes de lidar com cargas maiores.
Configurações “tudo em um” colocam toda a carga de processamento no servidor do Sentinel em vez de distribuí-la para Mecanismos de correlação e Gerenciadores de coletor remotos. Enquanto uma configuração “tudo em um” pode funcionar bem para cenários simples, nos quais somente um pequeno conjunto de recursos é usado de forma limitada, ela não funciona bem com grandes números de recursos ou usos de forma estendida. Por exemplo, se você usar mais do que as regras de correlação prontas para o uso, isso colocará uma carga maior no sistema, o que pode afetar negativamente outros recursos do mesmo servidor devido à maior utilização de recursos do Mecanismo de correlação.
Distribuir a carga para Gerenciadores de coletor remotos é necessário quando mais que um pequeno número de coletores é usado.
Distribuir a carga para Mecanismos de correlação remotos é necessário quando você usa mais do que as regras de correlação prontas para o uso.
Distribuir a carga é uma boa ideia quando você planeja aumentar o número de recursos usados ou a extensão em que você usa esses recursos.
A capacidade da CPU de utilizar a tecnologia Hyperthreading demonstrou ter um impacto significativamente positivo na carga que o sistema conseguir manipular. Logo, ao decidir qual CPU comprar, verifique se a tecnologia Hyperthreading estava ativa no teste de referência abaixo e certifique-se de que a CPU escolhida possui capacidades de Hyperthreading tão boas ou melhores.
|
Configurações |
Descrição |
“Tudo em um” demo não visa produção |
“Tudo em um” médio |
Coleta de dados baseada em agente média |
“Tudo em um” grande |
Coleta de dados sem agente distribuída grande |
Extra grande |
|---|---|---|---|---|---|---|---|
|
Capacidade EPS retida |
A taxa de eventos por segundo processada por componente em tempo real e retida em armazenamento pelo sistema. |
100 EPS |
2500 EPS |
2500 EPS |
9000 EPS |
11000 EPS |
11000+ EPS |
|
Capacidade EPS operacional |
A taxa total de eventos por segundo recebida pelo sistema das fontes de eventos. Isso inclui dados descartados pela filtragem inteligente do sistema antes de serem armazenados e é o número usado para propósitos de conformidade com a licença baseada em EPS. |
100 EPS |
2500+ EPS |
2500+ EPS |
9000 EPS |
16000 EPS |
16000+ EPS |
|
Hardware do servidor Sentinel |
|||||||
|
CPU |
Intel Xeon CPU E5420 @ 2,50 GHz (CPU de 4 núcleos), sem Hyperthreading |
Dois Intel Xeon CPU E5450 @ 3,00GHz (4 núcleos por CPU; 8 núcleos no total), sem Hyperthreading |
Dois AMD Opteron 2431 @ 2,40 GHz (6 núcleos por CPU; 12 núcleos no total) |
Dois Intel(R) Xeon(R) CPU E5-2680 0 @ 2,70GHz (8 núcleos) CPUs (16 núcleos no total), com Hyperthreading |
Entre em contato com os Serviços da NetIQ |
||
|
Armazenamento local |
Dados armazenados localmente em cache para melhor desempenho de pesquisa. |
Unidade de 500 GB e 7,2k RPM |
5 x 300 GB SAS 15k RPM (Hardware RAID 0) |
3 x 146 GB SAS 10K RPM (RAID 0, tamanho de faixa 128k) |
5 TB, 8 x 600 GB SAS 15k RPM (Hardware RAID 0, tamanho de faixa 128k) |
||
|
Armazenamento em rede |
Inclui uma cópia dos dados em armazenamento local. |
Não usado |
Não usado |
Não usado |
Não usado |
||
|
Memória |
4 GB |
24 GB |
16 GB |
64 GB |
|||
|
Gerenciador de coletor remoto # 1 Hardware |
|||||||
|
CPU |
Não aplicável (somente CM embutido local) |
Dois Intel(R) Xeon(R) CPU E5-2680 0 @ 2,70GHz (8 núcleos) CPUs (16 núcleos no total), com Hyperthreading |
Entre em contato com os Serviços da NetIQ |
||||
|
Armazenamento |
|
|
20 GB de espaço livre |
Entre em contato com os Serviços da NetIQ |
|||
|
Memória |
|
|
24 GB |
||||
|
Gerenciador de coletor remoto # 2 Hardware |
|||||||
|
CPU |
Não aplicável (somente CM embutido local) |
CPU de 8 núcleos Intel(R) Xeon(R) X5570 @ 2,93 GHz (máquina virtual) |
Entre em contato com os Serviços da NetIQ |
||||
|
Armazenamento |
|
|
50 GB |
||||
|
Memória |
|
|
8 GB |
||||
|
Hardware de gerenciador de agente |
|||||||
|
CPU |
|
Não aplicável (somente coleta sem agente) |
Dois Intel Xeon 5140 @ 2,33 GHz (2 núcleos por CPU; 4 núcleos no total) |
Não aplicável (somente coleta sem agente) |
Entre em contato com os Serviços da NetIQ |
||
|
Armazenamento |
|
2 x 300 GB SAS 10K RPM (RAID 0, tamanho de faixa 128k) |
|
||||
|
Memória |
|
|
16 GB |
|
|||
|
Hardware de mecanismo de correlação remoto |
|||||||
|
CPU |
|
Não aplicável (somente CE embutido local) |
Entre em contato com os Serviços da NetIQ |
||||
|
Armazenamento |
|
|
|||||
|
Memória |
|
|
|||||
|
Coleta de dados |
|||||||
|
Distribuição do gerenciador de coletor (CM) |
O número de fontes de eventos e carga de eventos por segundo colocada em cada gerenciador de coletor. O porcentagem filtrada indica quantos eventos padronizados foram filtrados imediatamente depois da coleta, sem serem armazenados ou passados para mecanismo de análise. Observe que os dados não processados de registro não padronizados nos quais os eventos padronizados se baseiam não são afetados pela filtragem e são sempre armazenados. O CM embutido local fica localizado na máquina do servidor Sentinel. |
CM embutido local Fontes de eventos: 101 EPS: 100 Filtrado: 0% |
CM embutido local Fontes de eventos: 2500 EPS: 2500 Filtrado: 0% |
CM embutido local Fontes de eventos: 5000 EPS: 2500 Filtrado: 0% |
CM embutido local Fontes de eventos: 500 EPS: 9000 Filtrado: 0% |
CM embutido local Não usado CM remoto #1 Fontes de eventos: 110 EPS: 9500 Filtrado: 21% Dados não processados desativados CM remoto #2 Fontes de eventos: 20 EPS: 6500 Filtrado: 54% Dados não processados desativados |
Entre em contato com os Serviços da NetIQ |
|
Coletores usados |
IBM AIX 6.1r3 Fontes: 100 EPS: 99 NetIQ Universal Event 2011.1r1 Fontes: 1 EPS: 1 |
Cada coletor tem seu próprio servidor syslog. Oracle Solaris 6.1r3 Fontes: 1000 EPS: 1000 IBM AIX 6.1r3 Fontes: 1000 EPS: 1000 Sourcefire Snort 2011.1r1 Fontes: 500 EPS:500 |
Coletor de teste personalizado (sem análise) Servidor 1 do conector do gerenciador de agente Fontes: 5000 EPS: 2500 |
Cada um dos seguintes coletores tem seu próprio servidor syslog, analisando nas seguintes taxas de EPS: Oracle Solaris 6.1r3 EPS: 2000 Sourcefire Snort 2011.1r1 EPS: 1500 NetIQ Universal Event 2011.1r1 EPS: 2000 Juniper Netscreen Series 2011.1r1 EPS: 1500 IBM AIX 6.1r3: 2000 EPS: 2000 |
Cada um dos seguintes coletores tem seu próprio servidor syslog, analisando nas seguintes taxas de EPS: Oracle Solaris 6.1r3 RCM #1: 2000 RCM #2: 2000 Sourcefire Snort 2011.1r1 RCM #1: 2000 RCM #2: 1000 NetIQ Universal Event 2011.1r1 RCM #1: 2000 RCM #2: 0 Juniper Netscreen Series 2011.1r1 RCM #1: 2000 RCM #2: 1500 |
Entre em contato com os Serviços da NetIQ |
|
|
|
|
|
|
|
IBM AIX 6.1r3 RCM #1: 1500 RCM #2: 0 IBM iSeries 2011.1r3 RCM #1: 0 RCM #2: 2000 |
Entre em contato com os Serviços da NetIQ |
|
Total |
Fonte de evento: 101 EPS: 100 Filtrado: 0% |
Fonte de evento: 2500 EPS: 2500 Filtrado: 0% |
Fonte de evento: 5000 EPS: 2500 Filtrado: 0% |
Fonte de evento: 500 EPS: 9000 Filtrado: 0% |
Fontes de eventos: 130 EPS operacional: 16000 EPS retido: 11000 Filtrado: 25% |
||
|
Armazenamento de Dados |
|||||||
|
Até quanto no passado os usuário pesquisarão dados regularmente? |
Quantidade de dados armazenados localmente em cache para melhor desempenho de pesquisa. |
7 dias |
Entre em contato com os Serviços da NetIQ |
||||
|
Que porcentagem das pesquisas estarão acima de dados mais antigos que os dados acima? |
Influencia a quantidade de operações de entrada/saída por segundo (IOPS) para armazenamento de rede local |
10% |
|||||
|
Com que retroatividade os dados precisam ser retidos? |
Influencia quanto espaço em disco é necessário para reter todos os dados. Caso o armazenamento em rede esteja ativado, isso influencia o tamanho do armazenamento em rede necessário. Caso contrário, influencia o tamanho do armazenamento local necessário. |
14 dias |
|||||
|
Um dispositivo de armazenamento em rede estará disponível e conectado? |
Influencia se todos os dados serão armazenados localmente ou se armazenamento em rede está disponível para armazenamento online de longo prazo e baixo custo. Dados em armazenamento em rede permanecem online. |
Não |
Entre em contato com os Serviços da NetIQ |
||||
|
Quantos relatórios serão otimizados usando resumos e outras políticas de sincronização de dados? |
Influencia o número de políticas de sincronização de dados, o que por sua vez influencia o tamanho e o IOPS do armazenamento local. |
5 (pronto para uso) |
4 (pronto para uso, exceto o RDD de resumo de fonte, que fica para trás) |
||||
|
Atividades do usuário |
|||||||
|
Quantos usuários estarão ativos ao mesmo tempo em média? |
Influencia a quantidade de IOPS para armazenamento loca e em rede, assim como outros itens. |
1 |
Entre em contato com os Serviços da NetIQ |
||||
|
Quantas pesquisas um usuário ativo fará ao mesmo tempo em média? |
Influencia a quantidade de IOPS para armazenamento local e em rede. |
1 pesquisa ou relatório (mas não ambas ao mesmo tempo) 20k eventos por mês 100M eventos por pesquisa |
Não testado com carga de relatórios ou pesquisa |
1 80M eventos por pesquisa |
1 20M eventos por pesquisa |
||
|
Quantos relatórios um usuário ativo executará ao mesmo tempo em média? |
Influencia a quantidade de IOPS para armazenamento local e em rede. |
1 pesquisa ou relatório (mas não ambas ao mesmo tempo) 20k eventos por mês 100M eventos por pesquisa |
Não testado com carga de relatórios ou pesquisa |
1 1k eventos por relatório |
1 60k eventos, 5k páginas, por relatório |
||
|
Análises |
|||||||
|
Que porcentagem dos dados de evento é relevante para as regras de correlação? |
Quantidade de dados que o mecanismo de correlação irá processar. |
100% (prontos para uso) (3 correlações por segundo) |
100% (prontos para uso) (0 correlações por segundo) |
0% |
0% (alguns dados chegam muito tarde para a correlação em tempo real) |
Entre em contato com os Serviços da NetIQ |
|
|
Quantas regras de correlação simples (somente acionamento/filtragem) serão usadas? |
Influencia o uso da CPU do mecanismo de correlação. |
84 (pronto para uso) |
0 |
Entre em contato com os Serviços da NetIQ |
|||
|
Quantas regras de correlação complexas serão usadas? |
Influencia o uso do CPU e da memória do mecanismo de correlação. |
0 (pronto para uso) |
|||||
|
Distribuição do mecanismo de correlação (CE) |
CE embutido local (todas as regras) |
||||||
|
Em quantos conjuntos de dados a detecção de anomalia será realizada? |
O número de painéis de Inteligência de segurança, que influencia a CPU, o tamanho do armazenamento local e o uso da memória. |
1 (1% do fluxo do evento cada) |
0 |
||||
|
Alta disponibilidade |
|||||||
|
Notas |
Desativação de funcionalidades notáveis ou alertas sobre o que acontece ao exceder a carga do sistema descrita acima. |
Dados não processados desativados Correlação e Inteligência de segurança não usados Relatórios em 30k+ eventos causam instabilidade |
Dados não processados desativados Correlação e Inteligência de segurança não usados Relatórios de quantidades de eventos acima dos valores determinados causarão instabilidade Aumentar o EPS retido com o tempo causará instabilidade na configuração do sistema |
Entre em contato com os Serviços da NetIQ |
|||