Sophos NDR: elegir la plataforma y dimensionar correctamente el sensor
La elección de la plataforma distingue claramente los sensores virtuales y en la nube del hardware certificado. A continuación, el ancho de banda, los …
Sophos NDR
Sophos NDR analiza de forma pasiva el tráfico de red duplicado en una Integration Appliance. El sensor no está en línea, por lo que también puede revelar conexiones sospechosas, tráfico de Command and Control y actividad de dispositivos no administrados. Estas guías abarcan desde la selección de plataforma y la duplicación de tráfico hasta la operación, las detecciones y la investigación. Sophos Firewall NDR Essentials y NDR Active Threat Intelligence son funciones independientes de SFOS y no forman parte de esta ruta del sensor.
Índice
Sophos NDR, desde el despliegue hasta la investigación
Primero dimensione la plataforma y el sensor; después compruebe el despliegue y la duplicación de tráfico. Las integraciones y el inventario de appliances se administran en Sophos Fusion (anteriormente Sophos Central), en Threat Analysis Center > Integrations y My Products > NDR. Appliance Manager local se utiliza para operar el sensor, Threat Analysis Center > Detections para el triaje central y la Investigation Console local para el hunting del sensor. Detections y Cases siguen siendo áreas de trabajo independientes.
Planificar y desplegar 6
Seleccione la licencia y la plataforma adecuadas, dimensione sensores virtuales o certificados, despliéguelos en ESXi, Hyper-V, AWS, Nutanix o hardware certificado y valide el tráfico SPAN, ERSPAN, duplicado o de nube hasta el sensor.
Implementar Sophos NDR en VMware ESXi o Hyper-V
El flujo común de Central y las ramas específicas para ESXi y Hyper-V abarcan los requisitos previos, el primer inicio, la validación, la resolución …
Implementar Sophos NDR en AWS
La implementación en AWS separa la administración del tráfico reflejado: CloudFormation crea el dispositivo y VPC Traffic Mirroring entrega copias de …
Implementar Sophos NDR en Nutanix AHV
Este runbook abarca desde la configuración de NDR en Sophos Fusion (antes Sophos Central) y la creación de la máquina virtual de AHV hasta la …
Instalar Sophos NDR en hardware certificado
Preparación común de la imagen y procedimientos de instalación destructivos independientes para sistemas Dell, NUC y OnLogic certificados.
Planificar y validar la duplicación de tráfico para Sophos NDR
Una captura fiable para NDR comienza con una selección adecuada de las fuentes de duplicación y termina con una validación por etapas. Un estado verde …
Operar appliances y sensores 2
Compruebe por separado el inventario de appliances, los sensores NDR y los Log Collectors alojados conjuntamente en Sophos Fusion y Appliance Manager, supervise el estado y la capacidad y limite cada intervención al componente afectado más pequeño.
Operar de forma segura el appliance y el sensor de Sophos NDR
Sophos Fusion muestra el inventario y las acciones centrales; el Appliance Manager local muestra el estado del appliance, el sensor NDR y los …
Supervisar el estado y la capacidad de Sophos NDR
Un manual operativo para establecer líneas base fiables de NDR, interpretar correctamente el mínimo del 2 % de tráfico unicast y la pérdida de más del …
Detectar e investigar 5
Interprete el NDR Dashboard, verifique una Detection de prueba autorizada en Threat Analysis Center > Detections y, cuando sea necesario, investigue los datos locales del sensor en Investigation Console. Para el triaje de Detections y Cases se aplican las responsabilidades XDR y MDR enlazadas más abajo.
Cómo interpretar correctamente el panel de Sophos Fusion NDR
El panel NDR ofrece una visión general de la actividad de red observada. Esta guía explica qué conclusiones permiten extraer los gráficos y cuándo …
Cómo generar y verificar de forma segura una detección de prueba de Sophos NDR
Este procedimiento genera una detección de prueba de NDR inofensiva mediante Appliance Manager y verifica la ruta del sensor, el contenido de la …
Implementar y conectar la consola de investigación de Sophos NDR
Este runbook describe los requisitos, el despliegue en ESXi o Hyper-V, la asignación de uno o varios NDR Integration Appliances, el acceso inicial y …
Examinar los datos locales de la NDR en la consola de investigación
Este runbook muestra cómo examinar los datos NDR locales desde el panel, utilizar consultas ClickHouse específicas de solo lectura y validar los …
Operar la consola de investigación de Sophos NDR con seguridad
Investigation Console dispone de su propia capa local de administración y operaciones. Esta guía protege el acceso, conserva las pruebas antes de …
Resolver problemas y delimitar la retirada 1
Aísle los fallos desde el origen de la duplicación, pasando por el sensor y la carga, hasta la investigación; recopile datos de diagnóstico para soporte y evite expresamente los pasos de retirada o eliminación no documentados.
Diagnosticar Sophos NDR Integration Appliance y el sensor
Este runbook parte del síntoma visible y conduce a comprobaciones específicas, la medida adecuada de menor alcance y la escalación a soporte, sin …
Rutas de productos relacionados
Sophos NDR requiere, en principio, una licencia de integración NDR. Solo con MSP Flex y una licencia XDR existente no se necesita el Integration Pack independiente. Con otros modelos contractuales, compruebe la licencia concreta en el tenant y el contrato afectados antes del despliegue. Los requisitos de licencia de las dos funciones de firewall se tratan en la guía de firewall enlazada.
Para tareas ajenas a esta ruta del sensor se aplican las siguientes responsabilidades:
- Configurar integraciones MDR y XDR en Sophos Fusion trata la ruta de integración entre productos.
- Investigar Detections y Threat Graphs explica el triaje especializado en Threat Analysis Center > Detections.
- Operar XDR Cases y Detection Rules delimita los XDR Cases Self-managed respecto a los MDR Cases Sophos-managed y su Response.
- Operar Sophos Firewall NDR y Active Threat Response trata NDR Essentials, NDR Active Threat Intelligence y su análisis en el firewall.
Para el hunting local del sensor, Desplegar Sophos NDR Investigation Console describe el acceso, el despliegue y la delimitación respecto a las áreas de trabajo centrales.