Sentinel 会从设备接收信息，将此信息规范化为称作“事件”的结构，对事件进行分类，然后发送事件进行处理。通过向事件中添加类别信息（分类），可以更轻松地在以不同方式报告事件的系统之间比较事件。例如，鉴定故障。事件由实时显示器、关联引擎、仪表板和后端服务器进行处理。
一个事件包含 200 多个字段。事件字段的类型和用途各不相同。例如，一些预定义的字段包括严重性、危急程度、目标 IP 和目标端口。此外，还有两组可配置的字段：供 Sentinel 内部使用以允许将来扩展的保留字段，以及用于客户扩展的客户字段。
通过重命名，可以将字段用作他途。字段的源可以是外部的（这意味着设备或对应的收集器对其进行了明确设置），也可以是引用的。引用字段的值使用映射服务计算为一个或多个其他字段的函数。例如，可以将字段定义为构建代码，以用于包含指定为事件目标 IP 的资产的构建。再比如，可以通过采用了客户定义映射（使用事件中的目标 IP）的映射服务来计算字段。
映射服务允许复杂机制在整个系统中传播业务相关性数据。此数据可以通过提供环境的引用信息来丰富事件，从而使分析人员能够做出更好的决定、撰写更有用的报告，以及制定出经过深思熟虑的关联规则。
您可以通过使用映射将额外的信息（如，主机和身份详细信息）添加到从源设备传入的事件中来丰富事件。这些额外的信息可用于高级关联和报告。系统支持多种内置映射以及由用户定义的自定义映射
Sentinel 中定义的映射采用两种方式进行储存：
内置映射储存在数据库中，使用收集器代码中的 API 进行更新，并且会自动导出为映射服务。
自定义映射储存为 CSV 文件，可在文件系统上或通过映射数据配置 UI 进行更新，然后由映射服务进行装载。
对于这两种方式，CSV 文件都保存在中心的 Sentinel 服务器中，但是对映射所做的更改会分发给每个收集器管理器并在本地进行应用。此分布式处理方式可以确保映射活动不会使主服务器过载。
映射服务会利用一个动态更新模型，并将映射从一个点流式传输到另一个点，从而避免在动态内存中生成大型静态映射。在 Sentinel 等关键任务实时系统（需要稳定、可预测且灵活的数据移动，而不依赖系统上的任何临时负载）中，这种流式传输功能尤其可体现出其重要价值。
Sentinel 提供了交叉引用事件数据签名与漏洞扫描程序数据的功能。当攻击试图利用有漏洞的系统时，将会立即自动通知用户。这是通过下列几项完成的：
Advisor 传递
入侵检测
漏洞扫描
防火墙
Advisor 可在事件数据签名和漏洞扫描程序数据之间提供交叉引用。Advisor 源包含有关漏洞、威胁以及事件签名和漏洞插件规范化的信息。有关 Advisor 的详细信息，请参阅《NetIQ Sentinel 7.1 管理指南》中的配置 Advisor
。