Supervisar y mantener Sophos XDR Data Collectors

Los Sophos XDR Data Collectors se supervisan en Security Operations > Integrations > Data Collectors. Una aceptación operativa fiable comprueba tres niveles: collector accesible, fuentes previstas enviando y eventos llegando correctamente al backend. Online responde solo a parte de estas comprobaciones.

Esta guía trata collectors ya desplegados. El runbook de migración explica la sustitución de antiguos SVA Log Collectors y el despliegue local. Las nuevas instancias AWS, Azure o GCP siguen la guía cloud. No se pueden instalar aplicaciones adicionales de terceros en estos appliances.

Comprobar estado y fuentes conjuntamente

En vista de tabla o tarjetas, identificar el collector por nombre, plataforma y tenant. Los estados significan:

• Online: El collector ha comunicado; sus aplicaciones están desplegadas y funcionan correctamente.
• Warning: Algunas aplicaciones no han comunicado recientemente o no se desplegaron correctamente.
• Offline: Un collector desplegado anteriormente no ha comunicado recientemente.
• Provisioning: El collector aún no se ha desplegado.

Last Log Seen muestra recepción durante la última hora. N/A significa que no se ha comunicado nada en esa hora. Puede ser normal en una fuente deliberadamente silenciosa; en un firewall activo hay que investigar. Otro host emisor puede hacer parecer activo al collector aunque falte una fuente importante.

Abrir el collector y comparar en Summary > Current Data Sources las cantidades de fuentes sanas, con avisos y sin datos. Pulsar una métrica abre la lista filtrada correspondiente. En Health, gráfico de entrada y tabla syslog muestran quién envía realmente. El periodo predeterminado de una hora se puede ampliar a 30 días para comparar actividad previa y fallo actual.

Total Events describe los eventos recogidos por el collector en las últimas 24 horas. Data Usage muestra en cambio el consumo del tenant durante el mes en curso; no atribuirlo solo a ese collector. Para inventario externo usar Actions > Export All as CSV. Comprobar estado y descarga en Data Exports.

Para aceptar una fuente, correlacionar un evento previsto y autorizado con sistema y hora y verificarlo por la búsqueda XDR adecuada. Actividad de entrada no demuestra normalización correcta ni detección. El runbook Custom Parsers trata formatos y parsers.

Interpretar backlog y rendimiento

En Performance, seleccionar el mismo periodo que para las fuentes. Backlog Age es la edad del archivo más antiguo pendiente de envío al backend; Backlog Count es el número de archivos en cola. Sophos agrupa y comprime antes de enviar; estos valores no indican directamente cuántos logs se perdieron.

Pueden producirse picos breves aislados, normalmente inferiores a un minuto con carga alta. La tendencia importa más: si edad y cantidad crecen continuamente o en horario laboral y solo bajan de noche, el procesamiento o envío no sigue la carga. Examinar conjuntamente ancho de banda saliente, QoS, proxy y carga del collector. Reiniciar no explica ni resuelve un déficit permanente de capacidad.

Ingress / Egress muestra bytes recibidos y enviados en la interfaz principal. Más entrada que salida no es automáticamente un error debido a la compresión. Si aumenta el backlog y egress se estabiliza en una meseta, comprobar uplink y límites. Registrar MIN, MAX, AVG y LAST con periodo y fuentes afectadas, no solo una captura aislada.

El collector dispone de un spool de 200 GB para retrasos o interrupciones temporales. No es un búfer ilimitado ni sustituye la retención SIEM. La cifra hasta 200.000 EPS también solo corresponde a sistemas correctamente configurados y no garantiza cualquier VM o enlace. Identificar el cuello real antes de cambiar recursos ante una cola que crece continuamente.

Definir ventanas de mantenimiento en UTC

Las actualizaciones normales son automáticas, normalmente cada 24 horas con collector sano y conectado. Service maintenance abarca cambios mayores, como sistema operativo o kernel, y puede requerir reinicio. Una ventana semanal preferida no implica mantenimiento cada semana.

Abrir Maintenance en los detalles:

1. En Maintenance Window, elegir día y hora de inicio en UTC. Verificar separadamente la hora local, incluido el horario de verano.
2. Elegir de dos a seis horas, preferiblemente con poca carga y responsables disponibles.
3. Guardar con Submit Update y releer la ventana mostrada.
4. Comprobar aparte trabajos ya programados en Logs > Upcoming. Cambiar posteriormente la preferencia no los desplaza.

Un mantenimiento futuro se puede aplazar una vez a la semana siguiente con su casilla y Defer Maintenance. Pending, Download Ready, Upgrade Ready, Upgrade Running y Upgrade Running Rebooting muestran el progreso. En History, comprobar Complete o Failed, horas y resultado. Si el collector no está sano o accesible al momento previsto, no comienza el mantenimiento.

Antes del trabajo, conocer fuentes afectadas, búferes y retransmisiones. Un reinicio puede interrumpir logs. Ni siquiera TCP por sí solo garantiza que la aplicación conserve y reenvíe todos los eventos; UDP presenta su riesgo de pérdida. Comprobar después eventos recientes y posibles huecos por fuente. Sophos recomienda contactar con Support si sigue inaccesible más de 30 minutos tras reiniciar.

Empezar con Admiral en modo de lectura

Admiral es la consola de texto local. On-premises se abre desde la consola VM. En AWS abrir la instancia EC2 y Actions > Monitor and troubleshoot > EC2 serial console > Connect; se requieren permisos AWS autorizados. En Azure, Serial console está bajo Help de la VM; en GCP, Connect to serial console en detalles. Aclarar accesos desactivados con el responsable cloud, sin añadir espontáneamente permisos ni vías remotas.

En el prompt, help, autocompletado Tab y ? muestran la sintaxis disponible. Ctrl-C abre una línea nueva sin ejecutar un comando empezado. Los siguientes comandos show documentados leen estado sin generar tráfico de red según Sophos:

show system info
show network
show routes
show date
show ntp status
show disk
show memory
show uptime

Comparar identidad, red, rutas, hora, almacenamiento y recursos con lo previsto. La salida puede incluir datos de red internos; depurarla antes de guardarla en la documentación operativa. Comparar los comandos con la ayuda del build instalado antes de utilizarlos.

Los comandos run pueden actuar y crear conexiones. El diagnóstico dirigido autorizado incluye run dns check, run ntp check, run tunnel check y run e2e check. run dns check with verbose output aporta más detalle DNS. No autoriza todas las acciones: run reboot y run shutdown programan reinicio o apagado un minuto después. Los comandos maintenance, como reinicios de servicios, pertenecen a una intervención acordada, no al diagnóstico inicial de solo lectura.

Cambiar configuración y preparar redespliegue

Actions > Edit Collector Configuration solo está disponible en un collector activo, sano y Ready. Antes de guardar, registrar valores anteriores, cambios de red, fuentes y vía de redespliegue. Un cambio puede hacer inaccesible el collector.

Tras enviar, un banner muestra la modificación pendiente; no se puede editar hasta que termine. Sophos prueba conectividad e intenta restaurar la configuración anterior si falla. Esta reversión automática también puede fallar, por ejemplo con cambios de red simultáneos. Puede ser necesario redesplegar. Confirmar un banner positivo también con estado, fuentes y búsqueda.

Guardar después los archivos actualizados con Actions > Download Collector Files. Para cloud actualizar asimismo plantilla o despliegue Terraform, evitando que una sustitución de instancia restaure la configuración antigua. En el collector local ya activo no hace falta montar la nueva ISO; conservarla para futuro redespliegue.

Actions > Delete no es una medida diagnóstica para un collector offline. Antes de retirarlo, cambiar fuentes, demostrar eventos recientes en el sustituto y aclarar reversión y retención. Para Support reunir identidad collector/tenant, periodo, fuentes, estado y salida Admiral depurada. Credentials, configuraciones completas y datos personales innecesarios no deben aparecer en tickets públicos.