Archiver:グループ集計

Document created by RSA Information Design and Development on Feb 15, 2017
Version 1Show Document
  • View in full screen mode
 

このトピックでは、Concentratorをクラスターにグループ化し、複数のホストで集計作業を分担する方法について説明します。

注:Brokerは、グループ集計に対応していません。

クラスタ集計(「グループ集計」とも呼びます)を使用すると、単一のDecoderから複数のConcentratorにデータを送信して効率的に集計できます。  任意の数のConcentratorをまとめて、1つの集計グループを作成できます。グループ内のConcentratorは、すべてのセッションをConcentrator間で分割します。グループ集計を使用すると、単一のDecoderから複数のConcentratorにデータを送信して効率的に集計できます。次の図にアーキテクチャを示します。

任意の数のConcentratorをグループに追加し、グループ集計を実行できます。グループ内のConcentratorにより、すべてのセッションが分割されます。

2つのConcentratorで構成されるグループでは、各Concentratorによって集計されたセッションは次のようになります。

                     
Concentrator 0Concentrator 1
1~9,99910,000~19,999
20,000~29,99930,000~39,999
40,000~49,99950,000~59,999

グループ集計パラメータ

グループは、ConcentratorおよびArchiver構成の一部として、Security Analyticsサービスの[構成]ビューで構成できます。次の表にパラメータの一覧を示します。このパラメータを、[サービス]の[エクスプローラ]ビューで構成することもできます。

                                   
パラメータパラメータを設定する場所説明
Aggregate Max Sessions/concentrator/config/
aggregate.sessions.max
特定の時点でConcentratorが受け取ることのできるセッション数。Concentratorがグループのメンバーである場合、このパラメータによって、Decoderのセッションをグループ間でどのように分割するかも決まります。Decoderのセッションは、aggregate.sessions.maxのサイズに分割され、Concentrator間で均等に分配されます。たとえば、aggregate.sessions.max10,000の場合、セッション1~9,999は1つ目のConcentratorに、セッション10,000~19,999は2つ目のConcentratorに送信されます。グループ内のすべてのConcentratorが、aggregate.sessions.maxに同じ値を使用する必要があります。
グループ名/concentrator/
devices/<device>/config/
options,gang=<gang name>
グループ名を指定します。グループ名を指定することにより、そのグループのメンバーになります。グループ内のConcentratorの数に制限はありません。このパラメータは、どのConcentratorが連携しているかをDecoderが特定するためのメカニズムにすぎません。グループのすべてのメンバーが、同じグループ名を使用する必要があります。グループ名パラメーターが設定されていない場合は、グループ集計が無効です。グループ名は、任意の文字列IDです。
サイズ/concentrator/
devices/<device>/config/
options,gangSize=<number of devices
in gang>
このパラメータは、グループのサイズ(グループ内のConcentratorの数)を設定します。すべてのConcentratorが、グループ サイズとして同じ値を指定する必要があります。グループのサイズに上限はありません。
メンバー番号/concentrator/
devices/<device>/config/
options,gangMember=<id number of
concentrator in gang>
このパラメータは、グループ内でのConcentratorの番号を設定します。サイズがNのグループの場合、グループ メンバーごとに、メンバー番号を0N-1の間で設定する必要があります。たとえば、グループ サイズが2の場合は、一方のメンバーにメンバー番号0を指定し、もう一方のメンバーにメンバー番号1を指定します。グループ サイズが3の場合、メンバーには、ID012を割り当てます。
メンバーシップ モード/concentrator/
devices/<device>/config/
options,gangMembership=(new|replace)
このパラメータにより、Concentratorが初めて集計を開始する時の処理方法が決まります。デフォルトの動作は置換です。つまり、このConcentratorが集計を開始すると、既存のグループ メンバーが置き換えられます。または、グループ内のすべてのメンバーが同時に初期化されます。この場合、Concentratorは、集計対象のホストで使用可能なセッションのうち、最も古いセッションから集計を開始します。このパラメータが新規に設定されている場合、このConcentratorは、既存のグループの新しいメンバーとして追加されます。このConcentratorは、集計対象のサービスの既存のセッションの集計を試行しません。グループの他のメンバーが、既存のすべてのセッションをすでに集計しています。このConcentratorが集計するのは、集計対象のサービス上で新規に作成されるセッションのみです。

次の表は、グループ名がfooで、2つのメンバーで構成されているグループのサンプル パラメーターを示しています。

                    
パラメータConcentrator 0Concentrator 1
aggregate.max.sessions 10,000 10,000
device options gang=foo gangSize=2
gangMember=0
gang=foo gangSize=2
gangMember=1


次の表は、グループ名がbazで、3つのメンバーで構成されているグループのサンプル パラメーターを示しています。

                    
パラメータConcentrator 0Concentrator 1
aggregate.max.sessions 10,000 10,000
device options gang=baz gangSize=3
gangMember=0
gang=baz gangSize=3
gangMember=2

グループのサイズ

グループ内でのセッションの分割方法を変更するため、グループのサイズを増やす、または減らす場合は、オフライン状態に切り替える必要があります。オフライン中に、すべてのメンバーを更新して、gangSizeパラメーターに同じ値を設定します。代替のホストは、そのホストの分担するセッションのみを集計します。同様に、すべてのグループ メンバーは、グループ内の他のメンバーに影響を及ぼすことなく、いつでもデータをリセットして、集計を再開することができます。

グループ メンバー

グループ メンバーはいつでも置換することができます。置換する場合は、代替のホストのgangMemberパラメーターに、古いホストのgangMemberパラメーターと同じ値を設定します。代替のホストは、そのホストの分担するセッションのみを集計します。同様に、すべてのグループ メンバーは、グループ内の他のメンバーに影響を及ぼすことなく、いつでもデータをリセットして、集計を再開することができます。

You are here
Table of Contents > Archiver:グループ集計

Attachments

    Outcomes