Sentinel 會從設備接收資料，將此資訊標準化成稱為事件的結構、將事件分類，然後傳送事件以進行處理。將類別資訊 (分類) 新增至事件之後，您就可以輕鬆地在報告不同事件的系統之間比較各種事件；例如，驗證失敗。即時顯示、關連引擎、儀表板及後端伺服器是負責處理事件的程序。
一個事件含有 200 個以上的欄位。事件欄位分屬不同的類型，也具有不同的目的。諸如安全性、嚴重性、目的地 IP 及目的地連接埠等即為一些預先定義的欄位。可設定的欄位分為兩種：「保留欄位」是供 Sentinel 內部用來允許日後進行擴充之用的欄位；「客戶欄位」則是供客戶延伸之用的欄位。
重新命名欄位可重新訂定欄位的用途。欄位的來源可以來自外部。這表示它可以是由裝置或對應收集器明確設定的來源，此時稱為參考欄位。透過映射服務，參考欄位的值能以一或多個其他欄位之函數的形式加以運算。例如，您可以將欄位定義為建置碼，以供含有做為事件目的地 IP 之資產的建置之用。例如，您可以利用事件目的地 IP，並透過使用客戶定義映射的映射服務來計算欄位。
映射服務能讓您透過精密的機制，將企業相關性資料散播到整個系統中。此資料可在事件中新增參考資訊以提供相關資訊，讓分析者能進行最佳決策、撰寫更有用的報告，並寫出完善的關連規則。
您可以使用映射，將主機和身分詳細資料等額外資訊新增至從來源設備收到的事件，讓事件內容更為豐富。這類額外資訊可用來進行進階關連和報告。系統支援數種內建映射以及自訂的使用者定義映射。
在 Sentinel 中定義的映射會以兩種方式儲存：
內建映射會儲存在資料庫中，使用收集器代碼中的 API 進行更新，並自動匯出至映射服務。
自訂映射會以 CSV 檔案格式儲存，並在檔案系統中或透過映射資料組態 UI 進行更新，然後由映射服務載入。
在這兩種情況中，CSV 檔案都會保留在 Sentinel 中央伺服器中，但映射的變更會分散到每個收集器管理員並在本機套用。這種分散式處理方式可確保映射活動不會造成主伺服器超載。
映射服務採用動態更新模型，能將某一點的映射串流至另一個點，避免在動態記憶體中建立大量靜態映射。這項串流能力的價值與關鍵任務即時系統 (如 Sentinel) 格外相關，因為這類型的系統需要穩定、可預期、靈活，以及不受系統中任何暫時性負載干擾的資料移動。
Sentinel 提供交互參考事件資料簽名和弱點掃描器資料的能力。當嘗試入侵含有弱點的系統的攻擊發生時，系統會自動在第一時間通知使用者。這項作業是透過以下項目來完成的：
Advisor 饋送
入侵偵測
弱點掃描
防火牆
Advisor 提供交互參考事件資料簽名和弱點掃描器資料的能力。Advisor 饋送包含與漏洞和威脅有關的資訊，以及經過標準化的事件簽名和漏洞外掛程式。如需有關 Advisor 的詳細資訊，請參閱《NetIQ Sentinel 7.1 管理指南》中的「設定 Advisor」
。