Entender Sophos Next-Gen SIEM y planificar la retención
Next-Gen SIEM amplía XDR y MDR con una conservación de datos más larga e integraciones personalizadas. Un inventario de fuentes y un piloto …
Sophos SIEM
Sophos Next-Gen SIEM amplía XDR y MDR con mayor conservación de datos y fuentes propias. Las guías van desde la planificación, Collector y transporte hasta la normalización y una búsqueda verificable.
Procedimientos SIEM
Del inventario de fuentes al evento validado
Primero aclarar licencia y necesidades de datos. Después configurar el transporte adecuado y validar por separado transporte, asignación de campos y análisis deseado. Las guías XDR/SIEM siguen disponibles en sus categorías de producto anteriores.
Planificación, licencia y conservación 1
Valorar el beneficio adicional frente a XDR y MDR. Registrar volúmenes de datos, ventanas de búsqueda, retención y responsabilidad operativa antes de conectar.
Telemetría de Windows, red y cloud 3
Incorporar fuentes compartidas por XDR y SIEM con el formato y Collector correctos. El derecho de uso SIEM depende del tipo de evento.
Enviar Windows Event Log a Sophos XDR y SIEM
Conectar Windows Event Log con un forwarder compatible y comprobar la ingesta; diferenciar command line de proceso y licencia netflow.
Recibir telemetría de red mediante Sophos XDR Collector
Cuatro rutas syslog concretas con formatos, requisitos, marcas temporales, aceptación y retirada controlada.
Conectar registros de flujo cloud a Sophos XDR y SIEM
Cuatro rutas cloud concretas con configuración, permisos, formatos y aceptación. Comprobar los requisitos SIEM de cada esquema de telemetría.
Transportar fuentes propias 3
Elegir HTTP Ingest, las tres variantes S3 o Azure Event Hubs y Storage según la ruta de origen existente y comprobarlas individualmente.
Sophos SIEM: elegir transporte y configurar HTTP Ingest
HTTP Ingest conecta un origen capaz de enviar POST con Sophos Fusion. Selección, protección de secretos y pruebas separan transporte y eventos …
Sophos SIEM: conectar S3 propio y gestionado por Sophos
Los tres transportes S3 difieren en propiedad, permisos y verificación. La guía separa sus configuraciones y la aceptación de datos.
Sophos SIEM: conectar Azure Event Hubs y registros Blob
Event Hubs y Blob Storage utilizan integraciones diferentes. Prerrequisitos, configuración, operación y límites para ambos recorridos.
Parsers, búsqueda y validación práctica 2
Preparar Custom Parsers con esquemas adecuados y comprobar mensaje bruto, normalización y búsqueda. Un ejemplo de laboratorio conecta los pasos.
Crear, probar y gestionar Custom Parsers de Sophos SIEM
Un transporte de logs funcional aún no garantiza una normalización útil. La guía parte de ejemplos y del esquema, pasando por pruebas hasta la …
Sophos SIEM: probar HTTP Ingest y parser con un ejemplo
Una pequeña fuente JSON propia permite comprobar por separado transporte, marcas temporales, asignación de resultados y búsqueda. Con secretos …
Elegir el punto de partida adecuado
Un piloto SIEM nuevo empieza por la planificación de producto y retención. Se registra qué fuente debe aportar cada evento y quién extrae de él una actuación. Las categorías siguientes organizan las guías existentes según ese recorrido; no cambian requisitos de licencia ni URLs de artículos existentes.
Collector y transporte personalizado cumplen funciones distintas. Para fuentes Syslog compatibles, la migración al XDR Data Collector explica la ruta de incorporación. En cambio, una aplicación propia capaz de enviar POST utiliza, por ejemplo, HTTP Ingest. Un estado de transporte verde no confirma en ningún caso la asignación correcta de campos ni una Detection.
El ejemplo práctico completo de HTTP y parser describe una fuente sintética, asignación Auth, consulta y retirada. Para datos reales, formato de origen, parser y criterios de éxito deben confirmarse en un piloto autorizado.
Para un análisis más amplio, la guía de Data Lake Search explica búsqueda y campos. La detección automática y las reglas propias siguen siendo otra tarea; la explicación de Custom Rules trata sus límites. Un login normal de prueba no tiene por qué generar una alerta.