Sentinel 提供了多个用于路由、储存和提取所收集数据的选项。默认情况下，Sentinel 会从收集器管理器接收两个独立但相关的数据流：已分析的事件数据和原始数据。原始数据将立即储存在受保护分区以提供安全的证据链。已分析的事件数据将根据您定义的规则进行路由，并可以过滤出来，发送到储存，发送到实时分析，以及路由到外部系统。发送到储存的所有事件数据将进一步与用户定义的保留策略进行匹配，后者可确定数据将放入哪个分区，并且还可定义清理策略，根据该策略，将保留然后最终删除事件数据。
Sentinel 的数据储存基于三层结构：
联机储存
主储存或本地储存： 经过优化，可实现快速写入和检索。最近收集的事件数据（以及最常搜索的内容）储存在此处。
辅助储存或网络储存： 经过优化，可在仍支持快速检索的同时，减少空间使用量。Sentinel 会自动将数据分区迁移到辅助储存。
注： 使用辅助储存是可选的。数据保留策略、搜索和报告对事件数据分区执行操作，而不管它们实际是位于主储存、辅助储存还是两者。
脱机储存或存档储存：
关闭分区后，您可以将已关闭的分区备份到脱机储存，如便宜的海量储存、Amazon Glacier 等。如有必要，您可以临时重新导入脱机分区，以进行长期司法分析。
您还可以将 Sentinel 配置为使用数据同步策略，将事件数据和事件数据摘要提取到外部数据库。有关详细信息，请参见《NetIQ Sentinel 7.1 管理指南》中的配置数据储存
。