6.7 使用可缩放储存进行三层部署

数据收集层： 用于从各种事件源收集事件。

可缩放储存层： 用于储存大量数据并为其编制索引。使用此层中的 SSDM 服务器，您可以管理数据收集和事件路由、搜索和可视化事件，以及执行特定管理活动。对于其他 Sentinel 功能，例如实时分析和报告，您可以设置单独的分析层。您可以对事件路由规则进行配置，使其通过该图中所示的 Sentinel Link 将分析时所需的特定事件转发到分析层。您也可以将收集的数据转发到其他任何 SIEM 系统，或启用其他商业智能工具来查询数据，或直接针对 Hadoop 分布进行分析。

分析层： 要对大量数据进行实时分析，您必须设置分析层，并对事件路由规则进行配置，使其转发来自可缩放储存层的所需事件。此外，您还可以使用同一分析层收集和储存来自其他 NetIQ 产品（例如 Secure Configuration Manager 和 Change Guardian）的网络流数据和事件。您可以部署一个或多个 Sentinel 服务器，用于图中所示分析目的。

搜索层： 这是一个可选层。您也可以使用分析层中的任何 Sentinel 服务器执行搜索和报告操作。但是，使用单独的搜索层可以提供便利的单个接入点，让您可以通过 Sentinel 数据联合在分析层的所有 Sentinel 服务器上执行搜索和报告操作。要在可缩放储存中搜索事件，请使用 Sentinel Scalable Data Manager 中的搜索选项。