Configuration requise pour EventLog Analyzer

Cette section énumère la configuration requise pour installer et utiliser EventLog Analyzer (éditions distribuée et autonome).

• Matériel
• Recommandations générales
  • Infrastructure VM
  • CPU et RAM
  • Disque
  • Navigateurs web
  • Bases de données
  • Systèmes d'exploitation
  • Serveur d'installation

Matériel

Les solutions de gestion des journaux sont gourmandes en ressources et le choix du matériel adéquat joue un rôle majeur dans l'obtention de performances optimales.

Le tableau suivant indique les exigences matérielles suggérées en fonction du type de flux.

Utilisez le tableau suivant pour déterminer le type de flux pour votre instance.

Recommandations générales :

Infrastructure VM

• Allouez 100 % de RAM/CPU à la machine virtuelle qui exécute EventLog Analyzer. Le partage de la mémoire/du CPU avec d'autres machines virtuelles sur le même hôte peut entraîner une pénurie de RAM/de CPU et avoir un impact négatif sur les performances de l'analyseur EventLog.
• Employer le provisionnement épais, car le provisionnement fin augmente la latence des E/S. Dans le cas de VMware, sélectionnez Thick provisioned, eagerly zeroed, car lazily zeroed est moins performant.
• L'activation des instantanés de VM n'est pas recommandée car l'hôte duplique les données dans plusieurs blocs en augmentant les lectures et les écritures, ce qui entraîne une augmentation de la latence des E/S et une dégradation des performances.

CPU et RAM :

• L'utilisation de l'unité centrale du serveur doit toujours être maintenue en dessous de 85 % pour garantir des performances optimales.
• 50 % de la mémoire vive du serveur doit rester libre pour l'utilisation hors pile d'Elasticsearch afin d'obtenir des performances optimales.

Disque :

• La latence du disque affecte considérablement les performances de l'analyseur d'événements. Le stockage en attachement direct (DAS) est recommandé au même titre qu'un disque SSD, avec une latence proche de zéro et un débit élevé. Un réseau de stockage d'entreprise (SAN) peut être plus rapide qu'un disque SSD.

Actuellement, seuls les lecteurs locaux et distants (NAS) sont pris en charge par EventLog Analyzer pour le stockage de l'index de recherche en direct et des données d'archive.

Note complémentaire : Les index de recherche nécessitent un accès aléatoire rapide aux fichiers d'index, ce qui n'est pas possible avec les magasins de données de type blob tels que S3 et Azure Blob store.

Navigateurs web

EventLog Analyzer a été testé pour prendre en charge les navigateurs et versions suivants avec une résolution d'affichage d'au moins 1024x768 :

• Microsoft Edge
• Firefox 4 et versions supérieures
• Chrome 8 et supérieur

Bases de données

EventLog Analyzer peut utiliser les bases de données suivantes comme base de données back-end.

Fourni avec le produit

• PostgreSQL

Bases de données externes

• Microsoft SQL 2012 et supérieur

Veuillez noter la configuration matérielle requise pour configurer la base de données MS SQL pour EventLog Analyzer :

Systèmes d'exploitation

EventLog Analyzer peut être installé sur des machines utilisant les systèmes d'exploitation et les versions suivants :

• Windows 7 et supérieur, et Windows Server 2008 et supérieur
• Linux: Ubuntu 16, Ubuntu 18, Ubuntu 19, CentOS 7, CentOS 8, OpenSUSE 15, RedHat 7, Fedora 31

Serveur d'installation

• Les solutions SIEM sont gourmandes en ressources. Il est recommandé de leur fournir un serveur dédié pour optimiser leurs performances.
• Eventlog Analyzer utilise Elasticsearch. Le processus Elasticsearch est censé utiliser la mémoire hors-cap pour de meilleures performances. La mémoire hors-tableau est gérée par le système d'exploitation et se libère lorsque cela s'avère nécessaire.

Recommandations supplémentaires concernant les nœuds Elasticsearch :