Comprendre Sophos Next-Gen SIEM et planifier la rétention
Next-Gen SIEM complète XDR et MDR avec une conservation prolongée des données et des intégrations personnalisées. Un inventaire des sources et un …
Sophos SIEM
Sophos Next-Gen SIEM complète XDR et MDR avec une conservation prolongée et des sources personnalisées. Les guides mènent de la planification, des Collectors et du transport à la normalisation et à une recherche vérifiable.
Parcours SIEM
De l’inventaire des sources à l’événement vérifié
Clarifier d’abord licence et besoin de données. Configurer ensuite le bon parcours et valider séparément transport, correspondance des champs et analyse souhaitée. Les guides XDR/SIEM restent accessibles dans leurs catégories produit existantes.
Planification, licence et conservation 1
Situer l’apport par rapport à XDR et MDR. Avant connexion, documenter volumes, fenêtres de recherche, rétention et responsabilité opérationnelle.
Télémétrie Windows, réseau et cloud 3
Collecter les sources communes à XDR et SIEM avec le bon format et Collector. Le droit SIEM dépend du type d’événement.
Envoyer Windows Event Log à Sophos XDR et SIEM
Connecter Windows Event Log via un forwarder pris en charge et vérifier la collecte ; distinguer ligne de commande et licence netflow.
Collecter la télémétrie réseau avec un collecteur Sophos XDR
Quatre chemins syslog concrets avec formats, prérequis, horodatage, validation et retrait contrôlé.
Connecter les journaux de flux cloud à Sophos XDR et SIEM
Quatre chemins cloud concrets pour configurer les droits, les formats et la réception. Vérifier les exigences SIEM pour chaque schéma de télémétrie.
Transporter les sources personnalisées 3
Choisir HTTP Ingest, les trois variantes S3 ou Azure Event Hubs et Storage selon le parcours source existant, puis les vérifier séparément.
Sophos SIEM : choisir un transport et configurer HTTP Ingest
HTTP Ingest relie une source capable de POST à Sophos Fusion. Choix du transport, protection des secrets et tests distinguent livraison et événements …
Sophos SIEM : connecter des sources S3 propres ou gérées
Trois transports S3 diffèrent par la propriété, les autorisations et la preuve de possession. Le guide distingue configuration et validation des …
Sophos SIEM : connecter Azure Event Hubs et les logs Blob
Event Hubs et Blob Storage emploient des intégrations distinctes. Prérequis, paramètres, exploitation et limites sont expliqués pour les deux …
Parsers, recherche et validation pratique 2
Préparer les Custom Parsers avec les schémas adaptés et contrôler message brut, normalisation et recherche. Un exemple de laboratoire relie les étapes.
Créer, tester et exploiter les Custom Parsers Sophos SIEM
Un transport de journaux fonctionnel ne garantit pas une normalisation utile. Ce guide va des exemples sources et du schéma aux tests et à …
Sophos SIEM : vérifier HTTP Ingest et un parser par l’exemple
Une petite source JSON personnalisée permet de vérifier séparément transport, horodatage, résultat et recherche. Avec gestion sûre des secrets, …
Choisir le bon point de départ
Un nouveau pilote SIEM commence par la planification du produit et de la rétention. Noter quelle source doit fournir quel événement et qui en déduit une action. Les catégories ci-dessous organisent les guides existants selon ce parcours ; elles ne changent ni les prérequis de licence ni les URL des articles.
Collector et transport personnalisé remplissent des tâches différentes. Pour les sources Syslog prises en charge, la migration vers XDR Data Collector explique la collecte. Une application personnalisée capable de POST utilise par exemple HTTP Ingest. Un état de transport vert ne confirme jamais à lui seul une correspondance correcte des champs ou une détection.
L’exemple pratique HTTP/parser de bout en bout décrit une source de test synthétique, le mapping Auth, une requête et le retrait. Pour de vraies données, format source, parser et critères de réussite doivent être confirmés dans un pilote approuvé.
Pour approfondir l’analyse, le guide Data Lake Search explique recherche et champs. La détection automatique et les règles créées sur mesure restent une tâche distincte ; leurs limites sont traitées dans l’analyse des Custom Rules. Une connexion de test ordinaire ne doit pas nécessairement déclencher une alerte.