Ir al contenido
Avanet
Iniciar sesion

Sophos SIEM: conectar S3 propio y gestionado por Sophos

Sophos Fusion Admin Sophos SIEM

Sophos Next-Gen SIEM dispone de tres transportes S3: bucket en la cuenta AWS propia o destino Sophos con/sin token de propiedad. Elegir según el exportador y el modelo operativo. Un bucket por sí solo no produce eventos XDR normalizados y utilizables.

Se necesitan suscripción Next-Gen SIEM, acceso a configuración y permisos AWS/proveedor específicos. La selección de transportes explica alternativas. Transferir solo registros autorizados y conservar destinos anteriores hasta la aceptación.

Variante y responsabilidades

Customer-Managed S3 mantiene los archivos en el bucket de la cuenta AWS propia. El operador aporta bucket, recursos CloudFormation/Lambda y trigger, con responsabilidad de costes y modelo IAM revisado.

Con Sophos-Managed S3, Sophos gestiona el destino. El origen necesita alias, ruta y posibles parámetros de rol. Si el proveedor exige archivo/token que acredite propiedad antes de exportar, elegir with token; si no, without token. Ese token no es una credencial API general ni prueba la llegada completa de registros posteriores.

Documentar antes del piloto origen, cuenta/región AWS, prefijo, formato, identidad y responsables. Los ARN IAM y tokens reales proceden de la configuración propia del proveedor/AWS, nunca de ejemplos ajenos. Proteger secretos y parámetros que permiten acceso.

Bucket propio: integración y Lambda

1. Preparar Sophos Fusion

  1. Abrir Security Operations > Integrations > Marketplace > Custom.
  2. Bajo Customer-Managed S3, seleccionar Set Up.
  3. Leer las indicaciones S3, Next, nombre único y Done.
  4. Descargar y proteger la plantilla CloudFormation generada para Lambda. Pertenece a esa integración, no a un collector o NDR.

2. Ejecutar CloudFormation en la cuenta correcta

El bucket ya debe contener los registros. Desplegar en su misma región, con permisos CloudFormation, Lambda, IAM y demás recursos declarados. Revisar plantilla, seguridad y costes antes de ejecutarla.

  1. En la región correcta, CloudFormation > Create stack; desde una lista elegir With new resources (standard).
  2. En Prepare template, seleccionar una plantilla existente y cargar el YAML en Specify template. Alternativamente usar su URL S3 aprobada; ningún bucket necesita hacerse público.
  3. Dar un nombre sin espacios. Seleccionar IntegrationType adecuado; si hay múltiples tipos o incertidumbre, Sophos indica generic, sin implicar soporte de detección.
  4. En NotificationBucket, solo nombre del bucket, no URL ni URI S3. Si se usa SNS deliberadamente en vez de notificaciones S3, indicar el ARN en SNSNotificationarn. Cambiar otros valores solo por requisitos revisados.
  5. Revisar recursos IAM, confirmar expresamente su creación y, tras comprobar parámetros, iniciar con Submit.
  6. Revisar eventos y CREATE_COMPLETE. Stack completado no demuestra trigger correcto ni eventos utilizables.

Este recorrido estándar sitúa bucket, stack y Lambda en la misma cuenta/región; no confirma otras arquitecturas.

3. Añadir el bucket como trigger

  1. En Lambda, abrir la función realmente creada. Sophos indica {STACKNAME}-sophos-xdr-lambda-{INTEGRATIONTYPE} como patrón.
  2. Abrir Function overview > Add Trigger > S3. La alternativa SNS exige un topic configurado aparte.
  3. Seleccionar bucket y All Object Create Events en Event Type.
  4. En Prefix, introducir solo el prefijo deseado o dejar vacío si no existe. Dejar Suffix vacío. Un prefijo estrecho omite archivos; demasiado amplio puede ingerir datos no deseados y aumentar costes.
  5. Revisar el aviso de costes Lambda, pulsar Add y comprobar asociación y un objeto de prueba nuevo.

Object Create no demuestra ingestión retroactiva automática de todo el contenido. Confirmar el histórico aparte sin reescribir indiscriminadamente archivos existentes.

Destino Sophos sin token de propiedad

  1. Abrir Security Operations > Integrations > Marketplace > Custom, luego Set Up de S3 Ingest – Sophos-Managed (without Ownership token).
  2. Elegir IAM User, Canonical User ID o IAM Role según el proveedor, introducir el valor y crear con Done.
  3. Abrir integración y Details, guardando los parámetros protegidos.
  4. En el exportador usar AccessPointAlias como bucket, LogFolderPath como ruta y AWSRegion si se solicita. La identidad debe coincidir con la inicial. Con rol, usar además IAMAssumeRole como ARN que asumirá el origen.
  5. Arrancar con un evento nuevo y validar la ingestión. No se añade un desafío de propiedad a esta variante.

Destino Sophos con token

Usar el mismo acceso, seleccionando S3 Ingest – Sophos-Managed (with token). Tras Set Up, indicar identidad y valor del proveedor; abrir Details.

El origen usa AccessPointAlias, AWSRegion, LogFolderPath y la identidad correcta; con IAM Role, también IAMAssumeRole. Emplear OwnershipToken según la verificación del proveedor.

Puede haber varias etapas: el proveedor escribe un archivo de desafío u objeto equivalente en el destino. Recargar Details en Sophos, obtener el nuevo OwnershipToken y facilitarlo al proveedor para terminar. Seguir su proceso, sin tokens inventados ni objetos improvisados. Validar registros después de esa verificación.

Aceptación y retirada de las variantes

La integración aparece en Configured integrations. Comprobar un evento nuevo e inocuo en el origen y después tenant, fuente, hora y campos en Sophos. Con S3 propio, revisar también objeto, trigger y errores Lambda/stack; con S3 gestionado, primero identidad, alias, ruta y prueba de propiedad si procede.

Custom S3 asegura inicialmente el transporte. Los tipos compatibles se normalizan según su integración de producto; otros pueden quedar en generic. La guía SIEM separa transporte, parser y detección. Verde o archivo escrito no prueban histórico completo ni detección.

Para retirar, detener primero exportación o trigger dedicado y comprobar la ruta anterior necesaria. No eliminar indiscriminadamente buckets, identidades IAM, topics o dependencias Lambda compartidas. Antes de quitar integración/recursos, aclarar conservación, costes restantes, dependencias y procedimiento admitido. Eliminar integración no prueba borrado del histórico SIEM ni fin de todos los costes AWS.