Surveiller et maintenir les Sophos XDR Data Collectors

Les Sophos XDR Data Collectors se surveillent dans Security Operations > Integrations > Data Collectors. Une validation opérationnelle fiable couvre trois niveaux : collector joignable, sources attendues qui envoient et événements correctement reçus par le backend. L’état Online ne répond qu’à une partie de ces vérifications.

Ce guide concerne les collectors déjà déployés. Le guide de migration explique le remplacement des anciens SVA Log Collectors et le déploiement local. Les nouvelles instances AWS, Azure ou GCP suivent le guide cloud. Aucune application tierce supplémentaire ne doit être installée sur ces appliances.

Vérifier état et sources ensemble

Dans la vue tableau ou cartes, identifier le bon collector par son nom, sa plateforme et son tenant. Les états signifient :

Online : le collector a communiqué ; ses applications sont déployées et saines.
Warning : certaines applications n’ont pas communiqué récemment ou n’ont pas été correctement déployées.
Offline : un collector précédemment déployé n’a pas communiqué récemment.
Provisioning : le collector n’est pas encore déployé.

Last Log Seen indique une réception dans la dernière heure. N/A signifie qu’aucune donnée n’a été signalée pendant cette heure. Cela peut être normal pour une source volontairement silencieuse ; pour un pare-feu actif, rechercher la cause. Un autre hôte émetteur peut donner l’impression que le collector est actif alors qu’une source importante manque.

Ouvrir le collector et comparer dans Summary > Current Data Sources les nombres de sources saines, en avertissement et sans données. Cliquer sur une mesure ouvre la liste filtrée correspondante. Dans Health, le graphique d’entrée et le tableau des sources syslog montrent qui envoie réellement. La période par défaut d’une heure peut être étendue jusqu’à 30 jours pour comparer l’activité antérieure avec l’interruption actuelle.

Total Events décrit les événements collectés par ce collector sur les dernières 24 heures. Data Usage affiche au contraire l’usage du tenant depuis le début du mois ; ne pas l’attribuer uniquement à ce collector. Pour un inventaire externe, utiliser Actions > Export All as CSV. Vérifier état et téléchargement dans Data Exports.

Pour valider une source, corréler un événement attendu et autorisé avec son système et son heure, puis le rechercher par le chemin XDR prévu. L’activité d’entrée ne prouve ni normalisation correcte ni détection. Le guide Custom Parsers traite formats et parsers.

Interpréter backlog et débit

Dans Performance, sélectionner d’abord la même période que pour les sources. Backlog Age est l’âge du plus ancien fichier en attente d’envoi au backend ; Backlog Count est le nombre de fichiers en attente. Sophos regroupe et compresse avant l’envoi ; ces valeurs ne donnent pas directement le nombre de journaux perdus.

Des pointes brèves isolées, généralement inférieures à une minute sous forte charge, sont possibles. La tendance compte davantage : si âge et nombre augmentent continuellement ou pendant les heures de travail, et ne diminuent que la nuit, traitement ou envoi ne suivent pas la charge. Examiner ensemble bande passante sortante, QoS, proxy et charge du collector. Un redémarrage n’explique ni ne résout un déficit durable de capacité.

Ingress / Egress affiche les octets reçus et transmis par l’interface principale. Davantage d’octets entrants ne constitue pas automatiquement une erreur, du fait de la compression. Si le backlog augmente et l’egress plafonne, examiner l’uplink et ses limites. Documenter MIN, MAX, AVG et LAST avec période et sources concernées, pas seulement une capture isolée.

Le collector dispose d’un spool de 200 Go pour les retards ou interruptions temporaires. Ce n’est ni un tampon illimité ni un remplacement de la rétention SIEM. L’indication jusqu’à 200 000 EPS ne vaut elle aussi que pour des systèmes correctement configurés et ne garantit pas toute VM ou liaison. Identifier le goulot réel avant de modifier les ressources pour un retard croissant.

Définir les fenêtres de maintenance en UTC

Les mises à jour ordinaires sont automatiques, typiquement toutes les 24 heures si le collector est connecté et sain. Service maintenance couvre des changements majeurs comme OS ou noyau et peut nécessiter un redémarrage. Une fenêtre hebdomadaire préférée ne signifie pas une telle maintenance chaque semaine.

Ouvrir Maintenance sur la page de détails :

Dans Maintenance Window, choisir le jour et l’heure de début en UTC. Vérifier séparément l’heure locale, y compris le changement d’heure.
Choisir deux à six heures. Privilégier faible charge et disponibilité des responsables.
Enregistrer avec Submit Update et relire la fenêtre affichée.
Vérifier séparément les travaux déjà planifiés dans Logs > Upcoming. Changer ensuite la préférence ne les déplace pas.

Une maintenance à venir peut être reportée une fois à la semaine suivante via sa case et Defer Maintenance. Pending, Download Ready, Upgrade Ready, Upgrade Running et Upgrade Running Rebooting indiquent le déroulement. Dans History, vérifier Complete ou Failed, horaires et résultat. Si le collector est malsain ou inaccessible au moment prévu, la maintenance ne commence pas.

Avant les travaux, connaître sources touchées, tampons et mécanismes de retransmission. Un redémarrage peut interrompre les journaux. Même TCP seul ne garantit pas que l’application émettrice conserve et retransmette tous les événements ; UDP présente son risque de perte. Contrôler ensuite événements récents et trous temporels pour chaque source. Sophos recommande le Support si le collector reste inaccessible plus de 30 minutes après redémarrage.

Commencer par les commandes Admiral en lecture

Admiral est la console texte locale. Sur site, elle s’ouvre par la console VM. Dans AWS, ouvrir l’instance EC2 puis Actions > Monitor and troubleshoot > EC2 serial console > Connect ; les permissions AWS correspondantes doivent être autorisées. Dans Azure, Serial console figure sous Help de la VM ; dans GCP, Connect to serial console dans les détails. Clarifier un accès désactivé avec le responsable cloud plutôt qu’ajouter spontanément des privilèges ou un nouvel accès distant.

À l’invite, help, la complétion Tab et ? indiquent la syntaxe disponible. Ctrl-C ouvre une nouvelle ligne sans exécuter une commande commencée. Les commandes show suivantes lisent l’état sans générer de trafic réseau selon Sophos :

show system info
show network
show routes
show date
show ntp status
show disk
show memory
show uptime

Comparer identité, réseau, routes, heure, stockage et ressources avec l’attendu. Les sorties peuvent contenir des informations internes ; les expurger avant archivage dans la documentation d’exploitation. Vérifier ces commandes dans l’aide du build de l’appliance avant utilisation.

Les commandes run peuvent au contraire agir et générer des connexions réseau. Un diagnostic ciblé autorisé peut utiliser run dns check, run ntp check, run tunnel check et run e2e check. run dns check with verbose output donne plus de détails DNS. Cela n’autorise pas toutes les actions : run reboot et run shutdown planifient redémarrage ou arrêt une minute plus tard. Les commandes du menu maintenance, comme les redémarrages de services, relèvent d’une intervention convenue, pas d’un premier diagnostic en lecture seule.

Modifier la configuration et préparer le redéploiement

Actions > Edit Collector Configuration n’est disponible que pour un collector actif, sain et Ready. Avant d’enregistrer, consigner anciennes valeurs, changements réseau nécessaires, sources touchées et voie de redéploiement. Une modification peut rendre le collector inaccessible.

Après soumission, une bannière montre l’opération en attente ; l’édition reste indisponible jusqu’à son terme. Sophos teste la connexion et tente de restaurer la configuration précédente en cas d’échec. Ce retour arrière automatique peut lui aussi échouer, notamment si le réseau change simultanément. Un redéploiement peut alors être nécessaire. Confirmer une bannière de succès aussi par état, sources et recherche.

Sauvegarder ensuite les fichiers actualisés via Actions > Download Collector Files. Pour le cloud, mettre aussi à jour le template ou déploiement Terraform afin qu’un remplacement d’instance ne restaure pas l’ancienne configuration. Sur un collector local déjà actif, ne pas remonter la nouvelle ISO ; la conserver pour un futur redéploiement.

Actions > Delete n’est pas une étape de diagnostic d’un collector offline. Avant retrait planifié, basculer les sources, prouver des événements récents sur le remplaçant et clarifier retour arrière et rétention. Pour le Support, réunir identités collector/tenant, période, sources, état et sorties Admiral expurgées. Credentials, configurations complètes et données personnelles inutiles n’ont pas leur place dans des tickets publics.