Sentinel 會從設備接收資料，將此資訊標準化成稱為事件的結構、將事件分類，然後傳送事件以進行處理。
事件代表協力廠商安全性裝置、網路或應用程式裝置，或內部 Sentinel 來源向 Sentinel 報告的標準化記錄。事件具有數種類型：
外部事件 (從安全性裝置接收的事件)，例如：
入侵偵測系統 (IDS) 偵測到的攻擊
由作業系統報告的成功登入
客戶定義的情況，例如使用者存取檔案
內部事件 (Sentinel 產生的事件)，包括：
已停用的關連規則
資料庫已滿
Sentinel 將類別資訊 (分類) 新增至事件，可輕鬆地在以不同方式報告事件的系統之間比較事件。即時顯示、Correlation Engine、儀表板及後端伺服器是負責處理事件的程序。
事件包含超過 200 個欄位；事件欄位有不同的類型及不同的用途。諸如安全性、嚴重性、目的地 IP 位址及目的地連接埠等即為一些預先定義的欄位。
有兩組可設定的欄位：
保留的欄位：供 Sentinel 內部使用，以允許在未來擴充功能。
客戶欄位：供客戶使用以允許自定。
欄位來源可以是外部或參考的：
外部欄位的值可依裝置或對應的收集器明確地設定。例如，您可以將欄位定義為建置碼，以供含有做為事件目的地 IP 位址之資產的建置之用。
透過映射服務，參考欄位的值能以一或多個其他欄位之函數的形式加以運算。例如，您可以利用事件目的地 IP 位址，並透過使用客戶定義映射的映射服務來計算欄位。
映射服務會將業務相關性資料在整個系統中傳播。此資料可使用參考資訊讓事件更豐富。
您可以使用映射，將主機和身分資訊等額外資訊新增至從來源裝置收到的事件，讓事件內容更為豐富。Sentinel 可使用此額外的資訊進行進階的關連與報告。Sentinel 支援數個內建映射，以及自定的使用者定義映射。
在 Sentinel 中定義的映射會以兩種方式儲存：
內建映射會儲存在資料庫中，進行內部更新，並自動匯出至映射服務。
自訂映射會以 CSV 檔案格式儲存，並在檔案系統中或透過使用映射資料組態使用者介面進行更新，然後由映射服務載入。
在這兩種情況中，CSV 檔案都會保留在 Sentinel 中央伺服器中，但映射的變更會分散到每個 Collector Manager 並在本機套用。這種分散式處理方式可確保映射活動不會造成主伺服器超載。
映射服務採用動態更新模型，能將某一點的映射串流至另一個點，避免在動態記憶體中累積大量靜態映射。這與如 Sentinel 等關鍵任務且即時的系統有關，這類系統需要資料移動方式是穩定、可預測且敏捷，但與系統的任何暫時性負載無關。
Sentinel 提供交互參考事件資料簽名和弱點掃描器資料的能力。當發現有弱點的系統遭受入侵時，Sentinel 會立即自動通知使用者。Sentinel 透過下列功能達成：
Advisor 饋送
入侵偵測
弱點掃描
防火牆
Advisor 饋送包含與漏洞和威脅有關的資訊，以及經過標準化的事件簽名和弱點外掛程式。此外也能夠在事件資料簽名和弱點掃描器資料之間進行交互參考。如需有關 Advisor 饋送的詳細資訊，請參閱《 Sentinel 管理指南
》中的「偵測弱點和入侵」。