Was ist ein Analytics-Cluster?

Ein Analytics-Cluster ist eine Gruppe von „ Versa “-Analytics-Knoten, von denen einige die Analytics-Persönlichkeit ausführen und andere als Such- oder Protokoll-Forwarder dienen. Der Cluster empfängt aus VOS-Geräten exportierte Protokolle, speichert diese in Datenbank- und Suchmaschinen-Datenspeichern und stellt die Dashboards, Berichte und Protokolle bereit, die „ Versa Director“ auf der Registerkarte „Analytics“ anzeigt.

Die wichtigsten Erkenntnisse

• Ein Analytics-Cluster ist eine Gruppe zusammenarbeitender „ Versa “-Analytics-Knoten.
• Auf den Knoten werden Analyse-, Such- oder Protokollweiterleitungs-Profile ausgeführt.
• VOS-Geräte exportieren ihre Protokolle über LEF-Profile an den Cluster.
• Primär-/Sekundär-Cluster bieten Active-Backup- oder Active-Active-Redundanz.
• Director liest Cluster-Datenspeicher aus, um Analytics-Dashboards darzustellen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Analytics-Cluster & Versa · Häufig gestellte Fragen

Warum ist ein Analytics-Cluster wichtig?

Jedes VOS-Gerät generiert einen kontinuierlichen Strom von Flow-, Sicherheits-, DEM-, Alarm- und Anwendungsprotokollen, und keine dieser Daten ist von Nutzen, solange sie auf dem Gerät verbleiben, das sie erzeugt hat. Ein Analytics-Cluster wandelt die exportierten Rohprotokolle in die Dashboards, Berichte und Protokollansichten um, die Administratoren tatsächlich nutzen – Gerätezustand, Sicherheitsereignisse, Datenverkehrsmengen und Daten zur digitalen Nutzererfahrung lassen sich alle auf Protokolle zurückführen, die ein Cluster erfasst und indexiert hat. Ohne diesen Cluster hätte Director zwar den Konfigurationsstatus, aber keine operative Transparenz.

Die Verteilung der Arbeit auf einen Cluster statt auf einen einzelnen Rechner sorgt dafür, dass diese Transparenz skalierbar ist und auch bei Ausfällen gewährleistet bleibt. Such- und Analyse-Workloads laufen auf separaten Knotenkonfigurationen, sodass sich diese nicht gegenseitig ausbremsen; Log-Forwarder-Knoten sorgen dafür, dass Protokolle aus Compliance-Gründen in der Region verbleiben, ohne dass jeder Knoten einen vollständigen Datenspeicher betreiben muss; und Primär-/Sekundär-Clusterpaare gewährleisten den kontinuierlichen Protokollfluss, selbst wenn ein gesamtes Rechenzentrum ausfällt. Dank dieser Architektur kann eine einzige „ Versa “-Bereitstellung Echtzeit-Dashboards für Tausende von Geräten bereitstellen, ohne in Verzug zu geraten.

Was ist ein Analytics-Cluster?

Ein Analytics-Cluster besteht aus einem oder mehreren gemeinsam bereitgestellten Analytics-Knoten, in der Regel in einem Rechenzentrum oder einer Region, die Protokolle empfangen, die von VOS-Geräten über ein LEF-Profil (Log Export Functionality) weitergeleitet werden. Geräte senden ihre Protokolle an den oder die aktiven Collector(s) des Clusters; der Cluster speichert die Daten in Cassandra-basierten Datenspeichern und indiziert sie mit der Suchplattform Solr, um sie anschließend über die Registerkarte „Analytics“ in Director als Dashboards, Berichte und funktionsspezifische Protokollansichten bereitzustellen.

Ein Cluster ist nach Mandant und Aufbewahrungsdauer abgegrenzt: Die Daten jeder Organisation werden so gefiltert, dass sie nur für die Administratoren dieser Organisation sichtbar sind, und die Konfigurationen der Analysedaten legen fest, wie lange Protokolle und abgeleitete Daten aufbewahrt werden, bevor sie aus dem Datenspeicher entfernt werden. Daten werden nur dann in den Datenspeichern eines Clusters abgelegt, solange der Cluster die konfigurierten täglichen und Gesamtgrenzen für den Protokollspeicher nicht überschreitet – sobald eine Grenze erreicht ist, werden eingehende Protokolle erst wieder aufgenommen, wenn Speicherplatz frei wird.

Arten von Analytics-Clusterknoten

Ein Standardcluster besteht aus Knoten, auf denen eines der drei personality Werte – Analytik, Suche oder Weiterleitung (Protokollweiterleitung). Analytik-Knoten den auf Cassandra basierenden Datenspeicher und die Analyse-Engine betreiben und dabei Analysedaten speichern und replizieren. Knoten suchen Die Solr-Suchmaschine wird betrieben, wobei Suchdaten separat gespeichert und repliziert werden – Produktionscluster halten Such- und Analyse-Workloads auf getrennten Knoten, damit eine ressourcenintensive Abfrage auf einem Knoten den anderen nicht ausbremst; ein Cluster benötigt mindestens jeweils einen Knoten für beide Aufgaben oder jeweils zwei Knoten, um eine hohe Verfügbarkeit des Datenspeichers zu gewährleisten. Log-Forwarder-Knoten Den lokalen Datenspeicher komplett umgehen und die Protokolle stattdessen an einen entfernten oder zentralisierten Cluster weiterleiten. Dies ist nützlich, wenn Protokolle aus Compliance-Gründen innerhalb eines Landes oder einer Region verbleiben müssen oder wenn die Erfassung skaliert werden soll, ohne die Kapazität des Datenspeichers vollständig zu erweitern.

Zwei weitere Rollen stammen aus separaten Einstellungen und nicht aus dem Persönlichkeitsparameter. Eine Aggregator-Knoten (cluster_type aggregate, der über einen eigenen Workflow konfiguriert wird) bündelt Mandanten-, Geräte- und Ressourcendaten aus mehreren Standardclustern – die in dieser Konfiguration als „Child-Cluster“ bezeichnet werden –, sodass Administratoren die zusammengefassten Daten und Berichte an einem Ort einsehen können, anstatt zwischen den Clustern hin- und herwechseln zu müssen; Aggregator-Knoten können ihrerseits zu einem Aggregator-Cluster zusammengefasst werden, um Redundanz zu gewährleisten. Ein eigenständiger Knoten (mode standalone anstatt cluster) führt sowohl die Analyse- als auch die Suchfunktionen auf einem Knoten aus und ist eher für Proof-of-Concept-Bereitstellungen als für den Produktiveinsatz gedacht. Unabhängig davon kann ein Knoten im Leichter Protokollsammler Betriebsmodus – keine lokale Datenbank, Streaming von Protokollen an einen Collector eines Drittanbieters – die Rolle wurde als Analytics Lite (VAN Lite).

Analytics-Cluster & Versa

VOS-Geräte erreichen einen Analytics-Cluster über Profile der Log-Export-Funktionalität (LEF), in denen die Collector des Clusters als LEF-Ziel angegeben sind; ein LEF-Profil kann auf eine Funktion, einen Dienst oder eine Regel zur Verkehrsüberwachung angewendet oder als Mandantenstandard festgelegt werden, sodass Alarm- und Verkehrsprotokolle automatisch weitergeleitet werden. Für Protokolltypen mit hohem Datenaufkommen, wie beispielsweise Fluss- und Webüberwachungsprotokolle, bietet der „ Versa Advanced Logging Service“ (ALS) eine in der Cloud gehostete Alternative, die den Erfassungsvorgang von einem lokalen Cluster entlastet.

Zur Redundanz werden bei „ Versa “-Bereitstellungen ein Primärcluster mit einem Sekundärcluster gekoppelt – entweder im Aktiv-Backup-Modus, bei dem der Backup-Cluster erst dann Protokolle empfängt, wenn der Primärcluster ausfällt, oder im Aktiv-Aktiv-Modus, bei dem beide Cluster jedes Protokoll gleichzeitig empfangen und verarbeiten. Bei der anfänglichen Softwarekonfiguration wird die Funktion jedes Knotens (Analyse, Suche oder Forwarder) – wobei „Standalone“ als separater Modus für Proof-of-Concept-Knoten verfügbar ist – über ein Cluster-Bereitstellungsskript oder die Director-Benutzeroberfläche festgelegt und die NTP-Synchronisation konfiguriert, auf die jeder Clusterknoten angewiesen ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Analytics-Knoten und einem Analytics-Cluster?

Ein Analytics-Knoten ist ein einzelner Server, auf dem eine von drei Rollen – „Analytics“, „Search“ oder „Forwarder“ – ausgeführt wird oder der im Standalone-Modus für Proof-of-Concept-Zwecke eingerichtet ist. Ein Analytics-Cluster ist eine Gruppe gemeinsam bereitgestellter Knoten, die zusammenarbeiten, um Protokolldaten als ein logisches System zu speichern, zu indizieren und bereitzustellen.

Warum laufen Analytics und die Suche auf separaten Knoten?

Produktionscluster trennen diese Bereiche voneinander, damit eine ressourcenintensive Suchanfrage nicht mit Schreibvorgängen im Datenspeicher konkurriert und umgekehrt. Analysedaten werden ausschließlich auf Knoten mit „Analytics“-Rolle repliziert, Suchdaten hingegen ausschließlich auf Knoten mit „Search“-Rolle. Aus diesem Grund benötigt ein Standardcluster mindestens einen Knoten jeder Art.

Was ist der Unterschied zwischen Active-Backup- und Active-Active-Clustern?

Im Active-Backup-Modus senden VOS-Geräte Protokolle nur an den primären Cluster und wechseln automatisch zum sekundären Cluster, falls der primäre ausfällt. Im Active-Active-Modus senden die Geräte jedes Protokoll gleichzeitig an beide Cluster, sodass jeder der beiden Cluster aktuelle Daten bereitstellen kann, falls der andere ausfällt.

Was unterscheidet einen Log-Forwarder-Knoten von einem Standard-Analytics-Knoten?

Ein Log-Forwarder-Knoten verfügt über keinen lokalen Datenspeicher; stattdessen leitet er empfangene Protokolle an einen entfernten oder zentralisierten Analytics-Cluster weiter. Dadurch bleibt der Ressourcenbedarf gering, was für die Einhaltung regionaler Vorschriften oder die Skalierung der Erfassung nützlich ist, ohne überall die volle Datenspeicherkapazität bereitstellen zu müssen.

Was ist ein Aggregator-Knoten?

Ein Aggregator-Knoten fasst Mandanten-, Geräte- und Ressourcendaten aus mehreren Standard-Analytics-Clustern (seinen untergeordneten Clustern) zusammen, sodass Administratoren zusammengefasste Berichte von einem einzigen Knoten aus einsehen können, anstatt zwischen den Clustern hin- und herzuwechseln. Er speichert nur begrenzte Zuordnungsdaten, keine vollständigen Protokolle.

Mehr zu Analytics-Clustern

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Analytics-Clustern beschäftigen, sollten Sie sich diese als Nächstes einmal ansehen.