Sophos Endpoint Data Collection y Live Discover
La Data Collection and Investigation Policy controla dos funciones independientes: conexiones Live Response y carga de telemetría Endpoint en Sophos Data Lake. Live Discover usa datos actuales de un dispositivo conectado o históricos del Data Lake.
Las funciones requieren Sophos EDR, XDR o MDR. Live Response tiene permisos propios y se trata en el artículo Response separado.
Procedimiento rápido: En Threat Analysis Center > Live Discover, seleccione primero la Data source adecuada y, después, Query category y Query. Para una consulta de Endpoint, limite deliberadamente los dispositivos de destino en Devices y seleccione Run Query. El resultado solo es fiable si las filas de resultados y Telemetry coinciden con la fuente, el periodo y los dispositivos esperados.
Live Endpoint o Data Lake
| Fuente | Característica |
|---|---|
| Live Endpoint | estado actual, solo dispositivos seleccionados y conectados |
| Data Lake | telemetría histórica de todos, también offline |
Las consultas Live Endpoint usan osquery y se ejecutan en los dispositivos. Las de Data Lake consultan telemetría cargada, pueden programarse y acceden, según licencia, hasta 30 o 90 días.
El intervalo Data Lake define el periodo histórico, no una programación. Una Query cubre como máximo 30 días; para 90 se usan varias consultas delimitadas.
Elegir y probar una Query
En Threat Analysis Center > Live Discover hay Queries preparadas para Endpoint y Data Lake. El procedimiento separa deliberadamente la fuente, la consulta y el destino:
- En Data source, seleccione Endpoint para consultar el estado actual de los dispositivos conectados o Data Lake para consultar telemetría histórica ya cargada.
- En Query category, seleccione una categoría y, en Query, la consulta deseada. En los detalles de la Query, compruebe qué sistemas operativos son compatibles y el System Impact que Sophos indica para la consulta.
- Para una consulta de Endpoint, seleccione primero un único dispositivo piloto en Devices. Si es necesario, use Show filters y actualice después la lista de dispositivos seleccionados. Para una consulta de Data Lake, defina en su lugar un periodo breve y conocido.
- Seleccione Run Query y espere el resultado.
Pruebe primero cualquier consulta nueva o modificada en un único dispositivo piloto o durante un periodo breve de Data Lake. Las filas de resultados deben corresponder al dispositivo o periodo elegido. En Telemetry, compruebe además si el destino ha respondido, cuál ha sido el System Impact y qué volumen de datos se ha transferido. Si el resultado sigue vacío, compruebe primero Data source, el periodo, el sistema operativo compatible y, para consultas de Endpoint, el estado de conexión del dispositivo. Para consultas de Data Lake, compruebe también que la carga esté activada en My Products > Endpoint > Policies > Data Collection and Investigation o, para servidores, en My Products > Server.
Designer Mode permite crear consultas osquery o SQL propias. Sophos Support ayuda con las Queries preparadas por Sophos y la ruta de datos, pero no con el desarrollo especializado de cualquier Custom Query. Para ello están disponibles Community y Professional Services.
Los resultados ofrecen Pivots, Enrichments y Actions. Un SHA-256 sospechoso puede llevar a otra Query, una comprobación con Intelix o VirusTotal, un Threat Graph o Live Response.
Si consulta datos de DNS Protection, consulte Analizar informes y Live Discover de Sophos DNS Protection para conocer la selección DNS Protection, el esquema de Data Lake correspondiente y las comprobaciones específicas de DNS.
Controlar la carga en Data Lake
La carga está activa por defecto para Endpoint Protection. Puede limitarse por grupos en My Products > Endpoint > Policies > Data Collection and Investigation.
Desactivarla reduce las detecciones disponibles y las posibilidades de investigación histórica. Una excepción de Event Collection solo debe usarse por indicación de Sophos Support, porque reduce la telemetría y, con ello, las capacidades de detección o investigación.
Tras activarla, el tráfico puede subir temporalmente. Observar el cambio en un grupo piloto para líneas pequeñas o segmentos sensibles.
Event Journals en el dispositivo
Sophos guarda Event Journals localmente en Windows, macOS y Linux para Endpoint Queries. No hay retención fija: depende de plataforma, actividad y almacenamiento.
En Global Settings > Products and Services > Endpoint and Server > Event Journals, definir entre 300 y 30'000 MB; predeterminado 5'250 MB. También puede limitarse un porcentaje del disco. Si ambos aplican, Sophos usa el menor.
La configuración central de estos límites solo está disponible con una licencia XDR, MDR o MDR Plus. Los Event Journals locales siguen existiendo en dispositivos Windows, macOS y Linux protegidos, pero sin la licencia adecuada no se pueden ajustar sus umbrales para todo el tenant.
El ajuste se aplica a todos y no varía por Endpoint. Reducirlo puede eliminar datos existentes y acortar la investigación.
Retención y límites de almacenamiento
XDR conserva los datos de Data Lake hasta 90 días, EDR hasta 30. El paquete opcional Central Data Storage – 1 yr amplía el periodo a un año. Son máximos: si el pool se llena, se eliminan antes datos antiguos.
Cada dispositivo carga como máximo 2 GB al día. Alcanzado el límite, la carga se pausa hasta el reinicio del límite. En Windows se reinicia a medianoche, hora local; en Linux, cada 24 horas después de iniciarse el agente XDR. Los datos no cargados no se envían después, pero siguen disponibles para una Query directa al Endpoint.
El pool Endpoint incluye de media 20 MB por licencia y día. Un exceso permanente reduce la historia real; un tenant nominal de 90 días puede tener menos datos consultables.
Encontrar la causa de un límite diario de Upload
El evento Data Lake uploads stopped because the daily limit reached aparece en Endpoints Windows y servidores Windows o Linux. Las Hydration Queries programadas del dispositivo producen las cargas. XDR y MDR tienen un límite diario de 2 GB por dispositivo. Al alcanzarlo no se cargan más datos de Hydration Queries hasta el día siguiente; entonces se restablece el cupo y las Queries continúan hasta el final del día o hasta volver a alcanzar el límite.
Para encontrar la Hydration Query con el mayor volumen de carga, inicie sesión en Sophos Fusion (antes Sophos Central) y abra Threat Analysis Center > Live Discover. Activar Designer Mode, elegir Create a new query, introducir un nombre y seleccionar Data Lake como Source. En Show variable editor, asignar nombres descriptivos y añadir los tipos Device Name y Date. Introducir el dispositivo afectado y la fecha YYYY-MM-DD, y ejecutar:
SELECT
query_name,
sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC
Como alternativa, esta Query sin variables ordena todos los dispositivos y Queries por día; se sustituye la fecha de ejemplo antes de ejecutarla:
SELECT
query_name,
meta_hostname,
date_trunc('day', ingestion_timestamp) AS date,
sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC
El mayor resultado señala la Hydration Query que debe investigarse, no identifica automáticamente un proceso que deba bloquearse. Consultar en el Sophos Data Lake Schema Viewer actual qué columnas rellena y agrupar por una columna útil. Si running_processes_windows_sophos es la mayor, desglosar por ruta:
SELECT
path,
sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
AND meta_hostname = '$$hostname$$'
AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC
En el ejemplo de Sophos, esa Query aportó unos 72 MB y una ruta de proceso iniciado superó el 50 % de su carga diaria; los nombres reales se ocultaron por ser específicos del entorno. Identificada la acción dominante, añadir restricciones o examinar Command Line, User Name o Parent Process para hallar un cambio que reduzca el volumen. Investigar causa, legitimidad y configuración antes de cambiar o bloquear nada.
Guardrails
Sophos limita las Queries:
- UI: máximo 15 por minuto,
- programadas y API: 1'000 al día y 10 por minuto,
- Endpoint Watchdog: interrupción sobre 30% CPU durante 12 segundos o 256 MB RAM,
- máximo 10 MB de respuesta por dispositivo y Query,
- máximo 1 MB por fila,
- máximo 100'000 filas de todos los dispositivos.
Un resultado vacío puede deberse al tamaño de fila. Telemetry muestra Status, System Impact y volumen por dispositivo.
Delimitar sistemáticamente Query cancelled
Query cancelled no es un error específico de HAFNIUM. En Windows, el Memory Watchdog puede cancelar una Live Query. En SophosLiveQueryService.log se identifica Query Name y Resource Error, se reduce el periodo, por ejemplo de 15 a 7 días, y se repite en un dispositivo. Si persiste, se acorta más o se filtra mejor.
Tras un Downgrade de Sophos Core Agent 2025.2 a una versión LTS o FTS anterior, SophosOsquery.exe puede no iniciar por cambios en File Attestation. El log contiene Exception whilst running LiveQueryRunner. En este caso concreto se reinicia el dispositivo; reescribir la Query no resuelve el límite de versión.
AI Search
AI Search crea Queries Data Lake desde lenguaje natural. Detections y datos Windows pueden buscarse sin SQL. La tabla muestra como máximo 1'000 resultados.
Empezar con horas o un día. Periodos grandes pueden ser lentos o fallar. Comprobar la SQL generada antes de considerar completo el resultado.
Categorías propias y Queries programadas
Organice Queries reutilizables en categorías propias claramente nombradas. Documente descripción, sistemas compatibles, fuente, variables y salida esperada. Una Query copiada no es fiable solo porque su SQL se ejecute. Sophos está desplegando gradualmente las categorías propias, por lo que la función quizá aún no sea visible en todos los tenants.
Las Queries programadas sirven para hipótesis y controles recurrentes y solo están disponibles para Data Lake Queries. Defina conscientemente la frecuencia, el día, la fecha de finalización y el periodo consultado. Cada administrador puede tener como máximo 100 Queries o informes de este formato programados y activos. Consultas demasiado amplias o frecuentes también pueden alcanzar los límites generales y generar mucha telemetría personal.
Operación y protección de datos
Data Lake y Live Discover pueden contener procesos, comandos, usuarios, Hashes, IP y otros datos. Documentar roles, finalidad, retención y exportación.
Query Categories organiza consultas frecuentes. Eliminar una categoría propia no borra sus Queries; permanecen en All Queries u otras categorías.
Artículos relacionados
Aislamiento y Live Response: Aislar y comprobar un Sophos Endpoint con Live Response. Sophos Endpoint XDR: Investigation y Threat Graph trata la evaluación posterior de Detections y Threat Graphs.