Sophos SIEM: conectar Azure Event Hubs y registros Blob

Sophos Next-Gen SIEM incorpora orígenes propios mediante Azure Event Hubs o Azure Storage Account. Event Hubs entrega un flujo; con Storage, una Azure Function proporcionada lee archivos de una ruta Blob y los reenvía. No son configuraciones intercambiables.

Ambas requieren suscripción Next-Gen SIEM, suscripción Azure activa y permisos en Sophos Fusion/Azure. El origen preparado debe escribir realmente los registros en hub/contenedor. La configuración general precisa derechos Admin/Super Admin adecuados; limitar permisos Azure a recursos y despliegue autorizados.

La selección de transportes ayuda a decidir. No es un collector syslog en Azure ni reemplaza automáticamente una integración cloud o Microsoft 365 existente.

Event Hubs: requisitos y acceso

Se admiten Standard, Premium, Dedicated, no Basic. La guía Sophos actual exige un hub accesible desde Internet y menciona todas las direcciones IPv4. Es una condición arquitectónica relevante para seguridad, no una recomendación general de exponer hubs privados. Si contradice las reglas de red, aclarar con responsables y Sophos antes de modificar el firewall.

Las categorías elegidas ya deben enviarse al hub, por ejemplo mediante diagnósticos Azure Monitor. La configuración origen determina los datos; conectar no activa retroactivamente todas las auditorías.

1. En Azure abrir el Event Hubs namespace deseado y anotar Host name en Overview.
2. Bajo Entities > Event Hubs, abrir el hub correcto y anotar Name, distinguiéndolo del namespace.
3. Abrir Settings > Shared access policies > Add y crear una política dedicada.
4. Elegir Listen. El recorrido de lectura no requiere permisos adicionales de envío o gestión.
5. Abrir la política y proteger Primary Connection String. Contiene un secreto; namespace, nombre y posible EntityPath deben identificar el hub correcto.

No copiar la cadena real en tickets ni KB. Documentar responsable y rotación admitida por Azure.

Conectar Event Hubs en Sophos Fusion

1. Abrir Security Operations > Integrations > Marketplace > Custom.
2. En Azure Event Hubs, Set Up, y nombre único en Add an integration.
3. Rellenar Event Hubs Namespace Hostname, Event Hubs Name, Event Hubs Primary Connection String con los valores verificados.
4. Crear con Done y comprobar Configured integrations.
5. Seguir un evento nuevo autorizado hasta el hub y Sophos: origen, tenant, hora y campos deben coincidir.

El consumer Sophos usa dinámicamente las particiones disponibles hasta 200 particiones, sin garantía de rendimiento. El operador dimensiona el hub. ServerBusyException en API Query Log puede indicar límite. Revisar volumen y capacidad Azure antes de añadir particiones/consumers; Sophos remite al soporte para aumentar consumidores paralelos. Recrear reiteradamente la integración no resuelve capacidad.

Storage: ruta Blob y plan Function

Hacen falta Storage Account, Blob Container con registros y plan Azure Function compatible. Isolated no se admite. Se documentan:

• Basic: B1, B2, B3.
• Dynamic: Y1.
• Premium: P0V3, P1MV3, P1V2, P1V3, P2MV3, P2V2, P2V3, P3MV3, P3V2, P3V3, P4MV3, P5MV3.

Lista del 5 de octubre de 2026. Verificar plan ofrecido, región, capacidad y costes Azure antes de desplegar. Un tier Event Hubs no es una selección de plan Function.

Data Source Key identifica la carpeta donde se crean archivos en el contenedor. Para MicrosoftInsights/2024-02-03/02hr/part=01/00004.json, Sophos muestra MicrosoftInsights. Usar el prefijo propio, no copiar ciegamente ejemplo o nombre completo del archivo. Un prefijo erróneo puede excluir archivos útiles o incorporar otros datos.

Desplegar Storage y Azure Function

1. Identificar cuenta, contenedor, prefijo y plan en la cuenta Azure correcta. Comprobar antes un objeto de prueba reciente en la ruta prevista.
2. En Sophos abrir Security Operations > Integrations > Marketplace > Custom, y Set Up bajo Azure Storage Accounts.
3. Introducir nombre de integración, Storage Account Name, Function App Name, Data Source Key. El nombre describe el propósito, por ejemplo AplicacionLogsForwarder, sin reemplazar el control de recursos reales.
4. Seleccionar Azure Function Service Plan Type, Azure Function Service Plan Code, Azure Function Service Plan Num Workers. Predeterminado documentado 1, máximo 3 para Basic B2/B3. Añadir workers no es una reparación universal.
5. Con Done generar AzureFunction.json, descargado automáticamente. Proteger y revisar recursos, permisos y costes antes de ejecutar.
6. En Azure abrir despliegue de plantilla propia, Build your own template in the editor, cargar AzureFunction.json, Save.
7. Elegir/crear Resource Group. Storage puede estar en subscription o grupo distinto de la Function; ajustar Storage Account Subscription ID y Storage Account Resource Group solo según esa diferencia real.
8. Revisar con Review + Create, luego Create tras aprobación interna. Comprobar despliegue, Function creada e integración Sophos.

El origen debe seguir escribiendo en el contenedor correcto. ARM completado no demuestra ni esa ruta ni reenvío. No presuponer incorporación retroactiva completa de archivos antiguos; confirmar el histórico aparte.

Validar el flujo y aislar fallos

Sophos enumera Azure Commercial Cloud y entornos documentados US Government/DoD/GCC/GCC-High. No implica disponibilidad automática en todo tenant/región; verificar entorno y endpoint antes de desplegar.

Documentar un evento nuevo inocuo para cada transporte. Con Event Hubs revisar origen, stream, política Listen y conexión; con Storage, ruta Blob y después despliegue/errores Function. Comparar luego estado y método de búsqueda confirmado para ese origen en Sophos.

Los tipos compatibles siguen su normalización; otros pueden quedar en generic. La guía SIEM de parsers y límites explica verificaciones adicionales. Verde, archivo o contador Event Hubs no prueban normalización completa ni detección. Si faltan algunos eventos, revisar categorías, periodo y campos antes de ampliar credenciales.

Planificar pausa y retirada

Documentar orígenes que compartan hub, contenedor, política o Function. Detener exportación por el método específico admitido y comprobar el resultado. No borrar un hub o Storage Account compartido para pausar.

Aclarados histórico, evidencias, dependencias y reinicio, retirar conexión dedicada, recursos innecesarios y secretos mediante sus procedimientos. Borrar la entrada Sophos no garantiza eliminación histórica ni fin de todos los costes Azure. Tras revertir, comprobar la ruta anterior necesaria con un evento de prueba.