Sentinel 会从设备接收信息，将此信息规范化为称作“事件”的结构，对事件进行分类，然后发送事件进行处理。
事件表示从第三方安全设备、网络、应用设备或内部 Sentinel 源报告给 Sentinel 的规范化日志记录。有以下几种类型的事件：
外部事件（从安全设备接收到的事件），如下所述：
入侵检测系统 (IDS) 检测到的攻击
操作系统报告的成功登录
客户定义的情况，如用户访问某个文件
内部事件（由 Sentinel 生成的事件），包括：
禁用关联规则
数据库填充
Sentinel 将类别信息（分类）添加到事件，以便更轻松地对比报告不同事件的系统中的事件。事件由实时显示器、Correlation Engine、仪表板和后端服务器进行处理。
一个事件包含 200 多个字段；事件字段类型和目的各不相同。例如，一些预定义的字段包括严重性、危急程度、目标 IP 地址和目标端口。
有两组可配置的字段：
保留字段：供 Sentinel 内部使用，以便将来扩展功能。
客户字段：供客户使用以允许自定义。
字段的源可以是外部的，也可以是引用的：
外部字段的值由设备或相应收集器显式设置。例如，可以将字段定义为构建代码，以用于包含指定为事件目标 IP 地址的资产的构建。
引用字段的值使用映射服务计算为一个或多个其他字段的函数。例如，可以通过采用了客户定义映射（使用事件中的目标 IP 地址）的映射服务来计算字段。
映射服务在整个系统中传输业务相关数据。此数据可以使用引用信息来丰富事件。
您可以通过使用映射将额外的信息（如主机和身份信息）添加到从源设备传入的事件，以此来丰富事件数据。Sentinel 可以使用此额外的信息进行高级关联和报告。Sentinel 支持多个内置映射以及用户定义的自定义映射。
Sentinel 中定义的映射采用两种方式进行储存：
内置映射储存在数据库中，在内部进行更新且会自动导出到映射服务。
自定义映射储存为 CSV 文件，可在文件系统上或通过映射数据配置用户界面进行更新，然后由映射服务进行装载。
对于这两种方式，CSV 文件都保存在中心的 Sentinel 服务器中，但是对映射所做的更改会分发给每个 Collector Manager 并在本地进行应用。此分布式处理方式可以确保映射活动不会使主服务器过载。
映射服务会利用一个动态更新模型，并将映射从一个点流式传输到另一个点，从而避免在动态内存中生成大型静态映射。对于像 Sentinel 这样任务关键型的实时系统，它们需要稳定、可预测且敏捷地移动数据，并且又不依赖于系统中的任何临时负载，上述特点便能发挥其作用。
Sentinel 提供了交叉引用事件数据签名与漏洞扫描程序数据的功能。存在尝试利用易受攻击系统时，Sentinel 会自动及时通知用户。Sentinel 通过以下功能完成此操作：
Advisor 传递
入侵检测
漏洞扫描
防火墙
Advisor 传递包含有关漏洞、威胁以及事件签名和漏洞插件规范化的信息。它可在事件数据签名和漏洞扫描程序数据之间提供交叉引用。有关 Advisor 传递的详细信息，请参见《 Sentinel 管理指南》
中的检测漏洞和攻击。