Aller au contenu
Avanet

Sophos NDR

Sophos NDR analyse passivement le trafic réseau mis en miroir sur une Integration Appliance. Le capteur n'est pas placé en ligne et peut ainsi mettre en évidence des connexions suspectes, du trafic de commande et de contrôle et l'activité d'appareils non gérés. Ces guides couvrent le choix de la plateforme et la mise en miroir du trafic, puis l'exploitation, les Detections et l'investigation. Sophos Firewall NDR Essentials et NDR Active Threat Intelligence sont des fonctions SFOS distinctes qui ne relèvent pas de ce parcours de capteur.

Table des matières

Planifier et déployer 6 Exploiter les appliances et les capteurs 2 Détecter et investiguer 5 Dépanner et délimiter la mise hors service 1

Sophos NDR, du déploiement à l'investigation

Commencez par dimensionner la plateforme et le capteur, puis vérifiez le déploiement et la mise en miroir du trafic. Les intégrations et l'inventaire des appliances sont gérés dans Sophos Fusion (anciennement Sophos Central) sous Threat Analysis Center > Integrations et My Products > NDR. Appliance Manager sert à l'exploitation locale du capteur, Threat Analysis Center > Detections au triage central et l'Investigation Console locale au threat hunting sur le capteur. Detections et Cases restent des espaces de travail distincts.

Planifier et déployer 6

Choisir la licence et la plateforme appropriées, dimensionner des capteurs virtuels ou certifiés, les déployer sur ESXi, Hyper-V, AWS, Nutanix ou du matériel certifié, puis valider le trafic SPAN, ERSPAN, mis en miroir ou cloud jusqu'au capteur.

Déployer Sophos NDR sur AWS

Le déploiement AWS sépare la gestion du trafic répliqué : CloudFormation crée l’appliance, tandis que VPC Traffic Mirroring lui transmet des copies …

Déployer Sophos NDR sur Nutanix AHV

Ce runbook décrit toutes les étapes, depuis la configuration de NDR dans Sophos Fusion et la création de la VM AHV jusqu'à la vérification du premier …

Exploiter les appliances et les capteurs 2

Contrôler séparément l'inventaire des appliances, les capteurs NDR et les Log Collectors cohébergés dans Sophos Fusion et Appliance Manager, surveiller l'état et la capacité et limiter toute intervention au plus petit composant concerné.

Détecter et investiguer 5

Interpréter le tableau de bord NDR, vérifier une Detection de test approuvée sous Threat Analysis Center > Detections et, si nécessaire, examiner les données locales du capteur dans l'Investigation Console. Les responsabilités XDR et MDR liées ci-dessous s'appliquent au triage des Detections et des Cases.

Dépanner et délimiter la mise hors service 1

Circonscrire les incidents depuis la source de mise en miroir jusqu'à l'investigation, en passant par le capteur et l'envoi, recueillir les données de diagnostic pour le support et éviter explicitement toute étape non documentée de mise hors service ou de suppression.

Parcours de produits connexes

Sophos NDR exige généralement une licence d’intégration NDR. Seule l’offre MSP Flex dispense d’un Integration Pack distinct lorsqu’une licence XDR est déjà disponible. Pour les autres modèles contractuels, vérifiez la licence concrète avant le déploiement dans le tenant et le contrat concernés. Les prérequis de licence des deux fonctions Firewall sont traités dans le guide Firewall associé.

Les responsabilités suivantes s’appliquent aux tâches qui ne relèvent pas de ce parcours de capteur :

Pour le threat hunting local sur le capteur, Déployer Sophos NDR Investigation Console décrit l’accès, le déploiement et la séparation avec les espaces de travail centraux.