Sentinel 執行可能會依環境需求而異，因此建議您先諮詢 NetIQ 諮詢服務或任何的 NetIQ Sentinel 合作夥伴，再決定 Sentinel 架構。
本節提供大小調整資訊 (根據測試當時我們可用的最佳硬體在 NetIQ 執行之測試)。可能另有更大型、更強大的硬體組態可以處理更多的負載。
萬用組態會將所有處理負載放在 Sentinel 伺服器上，不會向外分散到遠端收集器管理員和關連引擎。雖然萬用組態非常適合簡單的情境 (其中只有少數功能組合會以有限的方式使用)，但是在用到大量功能或密集使用時，卻無法隨之擴展。例如，若您用到不只是立即可用的關連規則，這會因為關連引擎資源使用率提高而加重系統負載，並可能影響到相同伺服器上其他功能的效能。
使用到多個收集器時，您必須分散負載到遠端收集器管理員。
當用到不只是立即可用的關連規則時，您必須分散負載到遠端關連引擎。
當您計劃擴大使用的功能數目或密集使用的方式時，分散負載是個很好方法。
CPU 執行超執行緒的能力已顯示會對系統可以處理的負載形成重大的正面影響。因此，決定要購買的 CPU 時，請確定注意以下的參考測試是否已啟用超執行緒，並確定您選擇的 CPU 具備良好或較好的超執行緒能力。
|
類別 |
描述 |
展示萬用 不適合生產 |
媒體萬用 |
媒體代理程式資料收集 |
大型萬用 |
大型分散式無代理程式資料收集 |
超大型 |
|---|---|---|---|---|---|---|---|
|
保留的 EPS 能力 |
由即時元件處理並由系統保留在儲存中的每秒事件計數速率。 |
100 EPS |
2500 EPS |
2500 EPS |
9000 EPS |
11000 EPS |
11000+ EPS |
|
操作 EPS 能力 |
系統接收自事件來源的每秒事件計數總速率。這包含系統的智慧型篩選功能在儲存之前放下的資料 而且也是用於 EPS 授權基礎法規遵循的數目。 |
100 EPS |
2500+ EPS |
2500+ EPS |
9000 EPS |
16000 EPS |
16000+ EPS |
|
Sentinel 伺服器硬體 |
|||||||
|
CPU |
Intel Xeon CPU E5420 @ 2.50GHz (4 個 CPU 核心)，沒有超執行緒 |
兩個 Intel Xeon CPU E5450 @ 3.00GHz (每個 CPU 有 4 個核心；總共 8 個核心)，沒有超執行緒 |
兩個 AMD Opteron 2431 @ 2.40 GHz (每個 CPU 有 6 個核心；總共 12 個核心) |
兩個 Intel(R) Xeon(R) CPU E5-2680 0 @ 2.70GHz (8 個核心) CPU (總共 16 個核心)，有超執行緒 |
聯絡 NetIQ 服務 |
||
|
本機儲存 |
可提高搜尋效能的本機快取資料。 |
500 GB 7.2k RPM 磁碟 |
5 x 300 GB SAS 15k RPM (硬體 RAID 0) |
3 x 146 GB SAS 10K RPM (RAID 0，條紋化大小 128k) |
5 TB，8 x 600 GB SAS 15k RPM (硬體 RAID 0，條紋化大小 128k) |
||
|
網路儲存 |
在本機儲存中包含資料複本。 |
未使用 |
未使用 |
未使用 |
未使用 |
||
|
記憶體 |
4 GB |
24 GB |
16 GB |
64 GB |
|||
|
遠端收集器管理員 # 1 硬體 |
|||||||
|
CPU |
不適用 (僅限本機內嵌的 CM) |
兩個 Intel(R) Xeon(R) CPU E5-2680 0 @ 2.70GHz (8 個核心) CPU (總共 16 個核心)，有超執行緒 |
聯絡 NetIQ 服務 |
||||
|
儲存 |
|
|
20 GB 可使用的空間 |
聯絡 NetIQ 服務 |
|||
|
記憶體 |
|
|
24 GB |
||||
|
遠端收集器管理員 # 2 硬體 |
|||||||
|
CPU |
不適用 (僅限本機內嵌的 CM) |
8 個核心 Intel(R) Xeon(R) CPU X5570 @ 2.93GHz (虛擬機器) |
聯絡 NetIQ 服務 |
||||
|
儲存 |
|
|
50 GB |
||||
|
記憶體 |
|
|
8 GB |
||||
|
代理程式管理員硬體 |
|||||||
|
CPU |
|
不適用 (僅限無代理程式集合) |
兩個 Intel Xeon 5140 @ 2.33 GHz (每個 CPU 有 2 個核心；總共 4 個核心) |
不適用 (僅限無代理程式集合) |
聯絡 NetIQ 服務 |
||
|
儲存 |
|
2 x 300 GB SAS 10K RPM (RAID 0，條紋化大小 128k) |
|
||||
|
記憶體 |
|
|
16 GB |
|
|||
|
遠端關連引擎硬體 |
|||||||
|
CPU |
|
不適用 (僅限本機內嵌的 CE) |
聯絡 NetIQ 服務 |
||||
|
儲存 |
|
|
|||||
|
記憶體 |
|
|
|||||
|
資料集合 |
|||||||
|
收集器管理員 (CM) 分配 |
每個收集器管理員上負載的事件來源數目和每秒事件計數。 已篩選的百分比可指出有多少標準化事件在收集後會立即被篩選掉，這些並不會儲存或傳遞到分析引擎。請注意，標準化事件所根據的未標準化原始記錄資料不會受到篩選功能影響，永遠都會儲存起來。 本機內嵌的 CM 位於 Sentinel 伺服器機器上。 |
本機內嵌的 CM 事件來源：101 EPS：100 已篩選的複製本：0% |
本機內嵌的 CM 事件來源：2500 EPS：2500 已篩選的複製本：0% |
本機內嵌的 CM 事件來源：5000 EPS：2500 已篩選的複製本：0% |
本機內嵌的 CM 事件來源：500 EPS：9000 已篩選的複製本：0% |
本機內嵌的 CM 未使用 遠端 CM #1 事件來源：110 EPS：9500 已篩選的複製本：21% 已停用的原始資料 遠端 CM #2 事件來源：20 EPS：6500 已篩選的複製本：54% 已停用的原始資料 |
聯絡 NetIQ 服務 |
|
使用的收集器 |
IBM AIX 6.1r3 來源：100 EPS：99 NetIQ 通用事件 2011.1r1 來源：1 EPS：1 |
每個收集器都有自己的 syslog 伺服器。 Oracle Solaris 6.1r3 來源：1000 EPS：1000 IBM AIX 6.1r3 來源：1000 EPS：1000 Sourcefire Snort 2011.1r1 來源：500 EPS：500 |
自訂測試收集器 (無剖析) 代理程式管理員連接器伺服器 1 來源：5000 EPS：2500 |
下列每個收集器都有自己的 syslog 伺服器，以下列的 EPS 速率進行剖析： Oracle Solaris 6.1r3 EPS：2000 Sourcefire Snort 2011.1r1 EPS：1500 NetIQ 通用事件 2011.1r1 EPS：2000 Juniper Netscreen Series 2011.1r1 EPS：1500 IBM AIX 6.1r3：2000 EPS：2000 |
下列每個收集器都有自己的 syslog 伺服器，以下列的 EPS 速率進行剖析： Oracle Solaris 6.1r3 RCM #1：2000 RCM #2：2000 Sourcefire Snort 2011.1r1 RCM #1：2000 RCM #2：1000 NetIQ 通用事件 2011.1r1 RCM #1：2000 RCM #2：0 Juniper Netscreen Series 2011.1r1 RCM #1：2000 RCM #2：1500 |
聯絡 NetIQ 服務 |
|
|
|
|
|
|
|
IBM AIX 6.1r3 RCM #1：1500 RCM #2：0 IBM iSeries 2011.1r3 RCM #1：0 RCM #2：2000 |
聯絡 NetIQ 服務 |
|
Total |
事件來源：101 EPS：100 已篩選的複製本：0% |
事件來源：2500 EPS：2500 已篩選的複製本：0% |
事件來源：5000 EPS：2500 已篩選的複製本：0% |
事件來源：500 EPS：9000 已篩選的複製本：0% |
事件來源：130 作業的 EPS：16000 保留的 EPS：11000 已篩選的複製本：25% |
||
|
資料儲存 |
|||||||
|
使用者定期搜尋資料時會搜尋多久之前的資料？ |
可提高搜尋效能的本機快取資料量。 |
7 天 |
聯絡 NetIQ 服務 |
||||
|
有多少搜尋百分比會比上列天數的資料更久？ |
影響本機或網路儲存每秒輸入/輸出作業的數量 (IOPS)。 |
10% |
|||||
|
必須保留過去多久的資料？ |
影響需要多少磁碟空間來保留所有資料。若已啟用網路儲存，這會影響到需要的網路儲存大小。否則，則是影響到需要的本機儲存大小。 |
14 天 |
|||||
|
網路儲存裝置是否可使用及可連接？ |
影響所有資料是否將儲存在本機，或可使用網路儲存，降低長期線上儲存成本。網路儲存中的資料仍在線上。 |
否 |
聯絡 NetIQ 服務 |
||||
|
有多少報告將透過摘要和其他資料同步規則進行最佳化？ |
影響資料同步規則的數目，進而影響到本機儲存的大小和 IOPS。 |
5 (立即可用) |
4 (立即可用，落後的來源摘要 RDD 除外) |
||||
|
使用者活動 |
|||||||
|
同時間平均有多少位主動使用者？ |
影響本機和網路儲存和其他項目的 IOPS 數量。 |
1 |
聯絡 NetIQ 服務 |
||||
|
主動使用者同時間平均將執行多少次搜尋？ |
影響本機和網路儲存的 IOPS 數量。 |
1 個搜尋或報告 (但不會同時存在) 每個報告 20k 個事件每個搜尋 100M 個事件 |
未以搜尋或報告負載測試 |
1 每個搜尋 80M 個事件 |
1 每個搜尋 20M 個事件 |
||
|
主動使用者同時間平均將執行多少報告？ |
影響本機和網路儲存的 IOPS 數量。 |
1 個搜尋或報告 (但不會同時存在) 每個報告 20k 個事件每個搜尋 100M 個事件 |
未以搜尋或報告負載測試 |
1 每個報告 1k 個事件 |
1 每個報告 60k 個事件，5k 個頁面 |
||
|
分析 |
|||||||
|
有多少事件資料比例和關連規則相關？ |
關連引擎將處理的資料數量。 |
100% (立即可用) (每秒 3 個關連) |
100% (立即可用) (每秒 0 個關連) |
0% |
0% (有些資料太晚抵達無法進行即時關連) |
聯絡 NetIQ 服務 |
|
|
將使用多少簡單的關連規則 (僅限篩選/觸發)？ |
影響關連引擎的 CPU 使用率。 |
84 (立即可用) |
0 |
聯絡 NetIQ 服務 |
|||
|
將使用多少複雜的關連規則？ |
影響關連引擎的 CPU 和記憶體使用率。 |
0 (立即可用) |
|||||
|
關連引擎 (CE) 分配 |
本機內嵌的 CE (所有規則) |
||||||
|
多少資料組合將執行異常偵測？ |
安全情報儀表板數目，這會影響 CPU、本機儲存大小和記憶體使用率。 |
1 (各為事件資料流的 1%) |
0 |
||||
|
高可用性 |
|||||||
|
附註 |
超過上述系統負載時會停用重要功能或對發生的情況發出警告。 |
已停用的原始資料 未使用關連或安全情報 報告超過 30k 個事件會造成不穩定性 |
已停用的原始資料 未使用關連或安全情報 報告大於陳述的事件數目將造成不穩定性 提高保留的 EPS 最終將造成此系統組態的不穩定性 |
聯絡 NetIQ 服務 |
|||