با توجه به اینکه پیاده سازی راهکار SIEM به پارامترهای متعددی از جمله میزان EPS، زمان نگهداری رخدادها، کارایی سامانه و موارد دیگری وابسته است در اینبخش به منظور شفاف سازی این مهم تهیه گردیده است.

به منظور آشنایی بهتر با سامانه SIEM کورلاگ ابتدا به بررسی ساختار جریان داده در آن می پردازیم. در این ساختار که در شکل زیر نمایش داده شده است، تمامی کامپوننت هایی که توسط شرکت بهین راهکار تولید شده اند و در جریان داده تاثیر گذارند نمایش داده شده اند.

 این Component ها به ترتیب شامل
⦁    Receiver Agent: رخدادهایی که از طریق متد Push به SIEM ارسال می شوند توسط Receiver Agent دریافت می شوند.
⦁    Inspector Agent: رخدادهایی که باید با روش Pull از سنسورهای واکشی گردند از طریق Inspector Agent بر اساس زمانبندی خاص دریافت می شوند.

⦁    Load Balancer: وظیفه دریافت رخدادها از Inspector Agent ها و Receiver Agentهای مختلف، توزیع بار و ارسال آن ها به Collector برای انجام عملیات پارسینگ را دارد.
⦁    Collector: انجام عملیات پارسینگ رخدادها بر عهده این Component است.
⦁    Policy: انجام عملیات فیلترینگ لاگ ها و روتینگ آن ها به ماژول های پردازشی برعهده ماژول پالیسی می باشد. به علاوه Vulnerability Correlation در این ماژول انجام می شود.
⦁    Scenario: انجام همبستگی سنجی به صورت Rule Based بر عهده ماژول سناریو می باشد.
⦁    Dashboard: این ماژول کار محاسبه داشبوردهای آماری را برعهده دارد. این داشبورد ها آمار داشبوردهای تعریف شده را در جداول مخصوص هر داشبورد در دیتابیس در بازهای زمانی 3 دقیقه و 5 دقیقه ذخیره می کند.
⦁    Recorder: این ماژول رخدادها را به فرمت JSON برای ذخیره در دیتابیس آماده می کند و در Message Broker ذخیره می نماید.
⦁    Kafka2CoreDB: رخدادهای JSON ذخیره شده در دیتابیس را در CoreDBNG ذخیره می کند.
⦁    Management Console: کنسول مرکزی سامانه بوده که علاوه بر ارائه خدمات لاگین و مدیریت سامانه شامل یک دیتابیس PostgreSQL به منظور نگهداری پیکربندی سایر Component های می باشد.

جریان دیتا در سامانه کورلاگ

CoreLog Machines

Corelog Zones

Corelog Ports