Sophos Endpoint Data Collection y Live Discover

La Data Collection and Investigation Policy controla dos funciones independientes: conexiones Live Response y carga de telemetría Endpoint en Sophos Data Lake. Live Discover usa datos actuales de un dispositivo conectado o históricos del Data Lake.

Las funciones requieren Sophos EDR, XDR o MDR. Live Response tiene permisos propios y se trata en el artículo Response separado.

Procedimiento rápido para Classic: En Threat Analysis Center > Live Discover, seleccione primero la Data source adecuada y, después, Query category y Query. Para una consulta de Endpoint, limite deliberadamente los dispositivos de destino en Devices y seleccione Run Query. El resultado solo es fiable si las filas de resultados y Telemetry coinciden con la fuente, el periodo y los dispositivos esperados.

Antes de consultar, comprobar si el tenant utiliza Threat Analysis Center o Security Operations. Threat Analysis Center sigue disponible como Classic view. Security Operations separa Data Lake Search, para datos históricos, de Live Endpoint Search, para consultas en dispositivos conectados. Los pasos de Live Discover, los ejemplos SQL, las indicaciones de programación y los límites de la interfaz que figuran más abajo describen Classic, salvo que se mencione expresamente otra interfaz. Una actualización del tenant no los invalida ni los traduce automáticamente a QL.

Security Operations: Data Lake Search

En Security Operations > Data Lake Search se pueden buscar Detections y eventos del tenant con tres métodos. Esta interfaz utiliza Advanced Search query language, o QL; no se debe copiar en ella el SQL de Data Lake de Classic sin adaptarlo.

• AI Search traduce una pregunta en lenguaje natural a una consulta. Introduzca la pregunta o un prompt preparado, seleccione Search y compruebe la consulta generada junto con los resultados. Browse Prompts o View All abre los prompts; Sophos Only, los filtros de categoría y un término de búsqueda acotan la selección. Si es necesario, ajuste el prompt y vuelva a buscar.
• Query Builder construye visualmente la consulta a partir de campos y operadores. Defina la fecha y el periodo antes de Search o Shift + Enter. Para una primera comprobación, utilice un periodo corto con un evento conocido y verifique que la fuente y los filtros realmente lo incluyen.
• Query Editor permite escribir consultas QL. Basics muestra los fundamentos de la sintaxis y ejemplos; Cheat Sheet, los operadores y las funciones. Search Help ofrece ayuda contextual Build With Me para esquemas y campos. Aquí también debe definir la fecha y el periodo antes de Search o Shift + Enter. Los ejemplos SQL de las secciones Classic posteriores no son plantillas QL.

El botón de fijación junto al nombre del método establece el método de búsqueda preferido. Cada búsqueda ejecutada se añade automáticamente al historial de búsquedas del tenant; por tanto, no es solo un borrador local. Limite los prompts y las consultas a la pregunta de investigación y no introduzca secretos. Una tabla vacía solo resulta significativa después de comprobar el periodo, la fuente y los filtros; no demuestra la ausencia de un incidente.

Para guardar en AI Search y Query Editor, seleccione Save Query; en Query Builder, seleccione primero Save Search. Introduzca un nombre y una categoría, añada opcionalmente una descripción y Bookmark this Query, y termine con Save Query. Vuelva a abrir la consulta guardada en Saved Queries y compruébela. Un marcador también la incluye en My Bookmarked Queries.

Full Screen amplía la vista de resultados. El menú de la cabecera de columna ofrece Pin, Autosize, Reset, Filter y opciones para mostrar u ocultar columnas; arrastre las cabeceras para cambiar su orden. Desde Actions, encima de la tabla, se pueden exportar todos los resultados o un subconjunto seleccionado. Compruebe después el estado de la exportación y la descarga en Data Exports. No documente una vista filtrada o una exportación parcial como el alcance completo de la investigación.

Distinguir Live Endpoint Search de las API de datos históricos

Live Endpoint Search sigue ejecutando consultas SQL de estilo osquery en endpoints actuales y conectados. La migración de Live Discover de REST a GraphQL afecta a esta vía en vivo, no a las consultas históricas de Data Lake. Que el catálogo LES pueda listar consultas guardadas con la fuente dataLake no confirma que LES ejecute consultas de Data Lake. Por tanto, no se debe migrar una integración existente de API de datos históricos basándose únicamente en esta guía de migración.

Desde el 12 de octubre de 2026 está publicada la Search GraphQL API v1 para búsquedas QL históricas en el Data Lake de Fusion. El proceso comprende inicio, comprobación de estado y recuperación paginada de resultados; es independiente de LES y su SQL en vivo de tipo osquery. El runbook Search GraphQL explica solicitudes, Search-URN, resultados parciales, cursores, caducidad y comparación de un cliente SQL anterior. Data Lake Search sigue siendo la vía interactiva y XDR Query API sigue disponible. Ni este lanzamiento ni la guía de migración LES traduce automáticamente SQL Classic a QL ni exige un cambio inmediato de API.

Clientes REST existentes y transición opcional a LES

Live Discover REST queda expresamente excluido del anuncio de retirada de las Classic Cases/Detections APIs. No es necesario migrar un cliente existente únicamente por este anuncio. Para un nuevo cliente de Live Endpoint o un cambio planificado deliberadamente, LES se evalúa por separado; la XDR Query API histórica y las consultas SQL de Classic conservadas más arriba siguen siendo independientes de este cambio.

LES vincula los dispositivos de destino a una sesión antes de iniciar la consulta: ejecute primero createLiveDiscoverSession, guarde el nombre de sesión devuelto y, después, asigne los dispositivos seleccionados a la sesión mediante endpointSessions. Solo entonces inicie runLiveDiscoverQuery con ese nombre como sessionId y con el parámetro todavía obligatorio matchEndpoints: { all: false }. No utilice filtros directos en matchEndpoints como atajo, aunque el esquema los permita: la guía de migración solo indica el procedimiento basado en sesiones como vía de integración admitida. Empiece con un único dispositivo piloto autorizado y una consulta SQL de solo lectura estrictamente acotada; coteje la asignación de destinos, el estado de la ejecución, las filas de resultados y Telemetry.

Antes de la transición, se comprueba la portabilidad de los ID de consultas y categorías guardados; la guía no confirma que puedan conservarse sin cambios. También deben aclararse con el responsable de la API la retención de resultados, la disponibilidad posterior de las ejecuciones completadas y una alternativa a la gestión anterior de pivots de Enrichment. LES solo acepta un grupo de filtros por llamada de selección; no debe adivinarse el significado de varios grupos de filtros REST anteriores. tamperProtectionEnabled pasa a ser tamperProtection en forma de lista, y los filtros de cadenas/JSON sin una estructura estricta requieren su propia validación de valores.

La paginación de ejecuciones, catálogo y resultados se implementa por separado en cada caso. Los resultados contienen las columnas de salida SQL como una cadena codificada en JSON en additionalColumns; metadata.columns describe los nombres y tipos. Para las páginas siguientes, envíe de nuevo el pages.nextKey recibido, sin modificarlo, como params.pageFromKey. HTTP 200 no basta: compruebe también el array errors de GraphQL y el estado real de la ejecución y del endpoint. LES comparte con las consultas programadas el límite de 1'000 ejecuciones al día y 10 por minuto; en cambio, la API REST indica 500 ejecuciones al día y 10 por minuto. Estos valores específicos de cada API no sustituyen de forma general los límites de la interfaz Classic descritos más abajo. En el piloto deben seguir teniéndose en cuenta el volumen de datos, el Device Watchdog y los límites de resultados.

Live Endpoint o Data Lake

Las consultas Live Endpoint usan osquery y se ejecutan en los dispositivos. Las de Data Lake consultan telemetría cargada, pueden programarse y acceden, según licencia, hasta 30 o 90 días.

El intervalo Data Lake define el periodo histórico, no una programación. Una Query cubre como máximo 30 días; para 90 se usan varias consultas delimitadas.

Elegir y probar una Query

En Threat Analysis Center > Live Discover hay Queries preparadas para Endpoint y Data Lake. El procedimiento separa deliberadamente la fuente, la consulta y el destino:

1. En Data source, seleccione Endpoint para consultar el estado actual de los dispositivos conectados o Data Lake para consultar telemetría histórica ya cargada.
2. En Query category, seleccione una categoría y, en Query, la consulta deseada. En los detalles de la Query, compruebe qué sistemas operativos son compatibles y el System Impact que Sophos indica para la consulta.
3. Para una consulta de Endpoint, seleccione primero un único dispositivo piloto en Devices. Si es necesario, use Show filters y actualice después la lista de dispositivos seleccionados. Para una consulta de Data Lake, defina en su lugar un periodo breve y conocido.
4. Seleccione Run Query y espere el resultado.

Pruebe primero cualquier consulta nueva o modificada en un único dispositivo piloto o durante un periodo breve de Data Lake. Las filas de resultados deben corresponder al dispositivo o periodo elegido. En Telemetry, compruebe además si el destino ha respondido, cuál ha sido el System Impact y qué volumen de datos se ha transferido. Si el resultado sigue vacío, compruebe primero Data source, el periodo, el sistema operativo compatible y, para consultas de Endpoint, el estado de conexión del dispositivo. Para consultas de Data Lake, compruebe también que la carga esté activada en My Products > Endpoint > Policies > Data Collection and Investigation o, para servidores, en My Products > Server.

Designer Mode permite crear consultas osquery o SQL propias. Sophos Support ayuda con las Queries preparadas por Sophos y la ruta de datos, pero no con el desarrollo especializado de cualquier Custom Query. Para ello están disponibles Community y Professional Services.

Los resultados ofrecen Pivots, Enrichments y Actions. Un SHA-256 sospechoso puede llevar a otra Query, una comprobación con Intelix o VirusTotal, un Threat Graph o Live Response.

Si consulta datos de DNS Protection, consulte Analizar informes y Live Discover de Sophos DNS Protection para conocer la selección DNS Protection, el esquema de Data Lake correspondiente y las comprobaciones específicas de DNS.

Controlar la carga en Data Lake

La carga está activa por defecto para Endpoint Protection. Puede limitarse por grupos en My Products > Endpoint > Policies > Data Collection and Investigation.

Desactivarla reduce las detecciones disponibles y las posibilidades de investigación histórica. Una excepción de Event Collection solo debe usarse por indicación de Sophos Support, porque reduce la telemetría y, con ello, las capacidades de detección o investigación.

Tras activarla, el tráfico puede subir temporalmente. Observar el cambio en un grupo piloto para líneas pequeñas o segmentos sensibles.

Event Journals en el dispositivo

Sophos guarda Event Journals localmente en Windows, macOS y Linux para Endpoint Queries. No hay retención fija: depende de plataforma, actividad y almacenamiento.

En Global Settings > Products and Services > Endpoint and Server > Event Journals, definir entre 300 y 30'000 MB; predeterminado 5'250 MB. También puede limitarse un porcentaje del disco. Si ambos aplican, Sophos usa el menor.

La configuración central de estos límites solo está disponible con una licencia XDR, MDR o MDR Plus. Los Event Journals locales siguen existiendo en dispositivos Windows, macOS y Linux protegidos, pero sin la licencia adecuada no se pueden ajustar sus umbrales para todo el tenant.

El ajuste se aplica a todos y no varía por Endpoint. Reducirlo puede eliminar datos existentes y acortar la investigación.

Retención y límites de almacenamiento

XDR conserva los datos de Data Lake hasta 90 días, EDR hasta 30. El paquete opcional Central Data Storage – 1 yr amplía el periodo a un año. Son máximos: si el pool se llena, se eliminan antes datos antiguos.

Cada dispositivo carga como máximo 2 GB al día. Alcanzado el límite, la carga se pausa hasta el reinicio del límite. En Windows se reinicia a medianoche, hora local; en Linux, cada 24 horas después de iniciarse el agente XDR. Los datos no cargados no se envían después, pero siguen disponibles para una Query directa al Endpoint.

El pool Endpoint incluye de media 20 MB por licencia y día. Un exceso permanente reduce la historia real; un tenant nominal de 90 días puede tener menos datos consultables.

Encontrar la causa de un límite diario de Upload

El evento Data Lake uploads stopped because the daily limit reached aparece en Endpoints Windows y servidores Windows o Linux. Las Hydration Queries programadas del dispositivo producen las cargas. XDR y MDR tienen un límite diario de 2 GB por dispositivo. Al alcanzarlo no se cargan más datos de Hydration Queries hasta el día siguiente; entonces se restablece el cupo y las Queries continúan hasta el final del día o hasta volver a alcanzar el límite.

Para encontrar la Hydration Query con el mayor volumen de carga, inicie sesión en Sophos Fusion (antes Sophos Central) y abra Threat Analysis Center > Live Discover. Activar Designer Mode, elegir Create a new query, introducir un nombre y seleccionar Data Lake como Source. En Show variable editor, asignar nombres descriptivos y añadir los tipos Device Name y Date. Introducir el dispositivo afectado y la fecha YYYY-MM-DD, y ejecutar:

SELECT
  query_name,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
  AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Como alternativa, esta Query sin variables ordena todos los dispositivos y Queries por día; se sustituye la fecha de ejemplo antes de ejecutarla:

SELECT
  query_name,
  meta_hostname,
  date_trunc('day', ingestion_timestamp) AS date,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

El mayor resultado señala la Hydration Query que debe investigarse, no identifica automáticamente un proceso que deba bloquearse. Consultar en el Sophos Data Lake Schema Viewer actual qué columnas rellena y agrupar por una columna útil. Si running_processes_windows_sophos es la mayor, desglosar por ruta:

SELECT
  path,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
  AND meta_hostname = '$$hostname$$'
  AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

En el ejemplo de Sophos, esa Query aportó unos 72 MB y una ruta de proceso iniciado superó el 50 % de su carga diaria; los nombres reales se ocultaron por ser específicos del entorno. Identificada la acción dominante, añadir restricciones o examinar Command Line, User Name o Parent Process para hallar un cambio que reduzca el volumen. Investigar causa, legitimidad y configuración antes de cambiar o bloquear nada.

Guardrails

Sophos limita las Queries:

• UI: máximo 15 por minuto,
• programadas y API: 1'000 al día y 10 por minuto,
• Endpoint Watchdog: interrupción sobre 30% CPU durante 12 segundos o 256 MB RAM,
• máximo 10 MB de respuesta por dispositivo y Query,
• máximo 1 MB por fila,
• máximo 100'000 filas de todos los dispositivos.

Un resultado vacío puede deberse al tamaño de fila. Telemetry muestra Status, System Impact y volumen por dispositivo.

Delimitar sistemáticamente Query cancelled

Query cancelled no es un error específico de HAFNIUM. En Windows, el Memory Watchdog puede cancelar una Live Query. En SophosLiveQueryService.log se identifica Query Name y Resource Error, se reduce el periodo, por ejemplo de 15 a 7 días, y se repite en un dispositivo. Si persiste, se acorta más o se filtra mejor.

Tras un Downgrade de Sophos Core Agent 2025.2 a una versión LTS o FTS anterior, SophosOsquery.exe puede no iniciar por cambios en File Attestation. El log contiene Exception whilst running LiveQueryRunner. En este caso concreto se reinicia el dispositivo; reescribir la Query no resuelve el límite de versión.

AI Search

En la vista Classic, en Threat Analysis Center > AI Search, AI Search genera consultas de Data Lake a partir de lenguaje natural. Permite buscar Detections y datos de endpoints Windows sin escribir sintaxis SQL. La tabla muestra como máximo 1'000 resultados. No deben extrapolarse estos límites de plataforma y resultados a la nueva Data Lake Search descrita anteriormente.

Empezar con horas o un día. Periodos grandes pueden ser lentos o fallar. Comprobar la SQL generada antes de considerar completo el resultado.

Categorías propias y Queries programadas

Organice Queries reutilizables en categorías propias claramente nombradas. Documente descripción, sistemas compatibles, fuente, variables y salida esperada. Una Query copiada no es fiable solo porque su SQL se ejecute. Sophos está desplegando gradualmente las categorías propias, por lo que la función quizá aún no sea visible en todos los tenants.

Las Queries programadas sirven para hipótesis y controles recurrentes y solo están disponibles para Data Lake Queries. Defina conscientemente la frecuencia, el día, la fecha de finalización y el periodo consultado. Cada administrador puede tener como máximo 100 Queries o informes de este formato programados y activos. Consultas demasiado amplias o frecuentes también pueden alcanzar los límites generales y generar mucha telemetría personal.

Operación y protección de datos

Data Lake y Live Discover pueden contener procesos, comandos, usuarios, Hashes, IP y otros datos. Documentar roles, finalidad, retención y exportación.

Query Categories organiza consultas frecuentes. Eliminar una categoría propia no borra sus Queries; permanecen en All Queries u otras categorías.

Artículos relacionados

Aislamiento y Live Response: Aislar y comprobar un Sophos Endpoint con Live Response. Sophos Endpoint XDR: Investigation y Threat Graph trata la evaluación posterior de Detections y Threat Graphs.

Preguntas frecuentes

Para la interfaz Security Operations actual, Data Lake Search y exportación explica esquemas, ventanas de eventos de 31 días, límite Raw separado y exportaciones actuales. Los límites Classic conservados arriba no se trasladan a esta interfaz.