Sophos Endpoint Data Collection e Live Discover

La Data Collection and Investigation Policy controlla due funzioni indipendenti: connessioni Live Response e upload della telemetria Endpoint nel Sophos Data Lake. Live Discover usa poi dati attuali di un dispositivo connesso o dati storici del Data Lake.

Le funzioni richiedono Sophos EDR, XDR o MDR. Live Response dispone di diritti propri ed è trattato anche nell’articolo Response dedicato.

Procedura rapida per Classic: in Threat Analysis Center > Live Discover, selezionare prima la Data source appropriata, quindi Query category e Query. Per una query Endpoint, limitare consapevolmente i dispositivi di destinazione in Devices, quindi selezionare Run Query. Il risultato è attendibile solo se le righe e Telemetry corrispondono all’origine, all’intervallo e ai dispositivi previsti.

Prima della query, verificare se il tenant utilizza Threat Analysis Center o Security Operations. Threat Analysis Center resta disponibile come Classic view. Security Operations separa Data Lake Search, per i dati storici, da Live Endpoint Search, per le query sui dispositivi connessi. I passaggi di Live Discover, gli esempi SQL, le indicazioni di pianificazione e i limiti dell’interfaccia riportati sotto descrivono Classic, salvo indicazione esplicita di un’altra interfaccia. Un aggiornamento del tenant non li invalida automaticamente né li traduce in QL.

Security Operations: Data Lake Search

In Security Operations > Data Lake Search è possibile cercare Detections ed eventi del tenant con tre metodi. Questa interfaccia utilizza Advanced Search query language, o QL; il codice SQL di Data Lake di Classic non va copiato al suo interno senza modifiche.

• AI Search traduce una domanda in linguaggio naturale in una query. Inserire la domanda o un prompt predefinito, selezionare Search e verificare la query generata insieme ai risultati. Browse Prompts o View All apre i prompt; Sophos Only, i filtri di categoria e un termine di ricerca restringono la selezione. Se necessario, affinare il prompt e ripetere la ricerca.
• Query Builder costruisce visivamente la query a partire da campi e operatori. Impostare data e intervallo prima di Search o Shift + Enter. Per una prima verifica, usare un periodo breve con un evento noto e controllare che origine e filtri lo includano effettivamente.
• Query Editor consente di scrivere query QL. Basics mostra i fondamenti della sintassi ed esempi; Cheat Sheet, operatori e funzioni. Search Help offre assistenza contestuale Build With Me per schemi e campi. Anche qui impostare data e intervallo prima di Search o Shift + Enter. Gli esempi SQL delle successive sezioni Classic non sono modelli QL.

Il pulsante di fissaggio accanto al nome del metodo imposta il metodo di ricerca preferito. Ogni ricerca eseguita viene aggiunta automaticamente alla cronologia delle ricerche del tenant; quindi non è soltanto una bozza locale. Limitare prompt e query alla domanda di indagine e non inserire segreti. Una tabella vuota è significativa solo dopo aver verificato intervallo, origine e filtri; non dimostra l’assenza di un incidente.

Per salvare in AI Search e Query Editor, selezionare Save Query; in Query Builder selezionare prima Save Search. Inserire nome e categoria, aggiungere facoltativamente una descrizione e Bookmark this Query, quindi completare con Save Query. Riaprire e verificare la query salvata in Saved Queries. Un segnalibro la inserisce anche in My Bookmarked Queries.

Full Screen ingrandisce la vista dei risultati. Il menu dell’intestazione di colonna offre Pin, Autosize, Reset, Filter e opzioni per mostrare o nascondere colonne; trascinare le intestazioni per modificarne l’ordine. Da Actions, sopra la tabella, si possono esportare tutti i risultati o un sottoinsieme selezionato. Verificare poi stato dell’esportazione e download in Data Exports. Non documentare una vista filtrata o un’esportazione parziale come l’intero ambito dell’indagine.

Distinguere Live Endpoint Search dalle API per i dati storici

Live Endpoint Search continua a eseguire query SQL di tipo osquery sugli endpoint attuali e connessi. La migrazione di Live Discover da REST a GraphQL riguarda questo percorso live, non le query storiche di Data Lake. Il fatto che il catalogo LES possa elencare query salvate con origine dataLake non dimostra l’esecuzione di query Data Lake tramite LES. Un’integrazione API esistente per i dati storici non viene quindi migrata sulla sola base di questa guida.

Dal 12 ottobre 2026 è pubblicata la Search GraphQL API v1 per ricerche QL storiche nel Data Lake Fusion. Il flusso comprende avvio, verifica dello stato e recupero paginato dei risultati; è distinto da LES e dal suo SQL live di tipo osquery. Il runbook Search GraphQL spiega richieste, Search-URN, risultati parziali, cursori, scadenza e confronto di un client SQL esistente. Data Lake Search resta il percorso interattivo e XDR Query API rimane disponibile. Né questo rilascio né la guida di migrazione LES traduce automaticamente SQL Classic in QL o richiede un cutover API immediato.

Client REST esistenti e passaggio opzionale a LES

Live Discover REST è espressamente escluso dalla deprecazione delle Classic Cases/Detections APIs. Un client esistente non deve essere modificato soltanto a causa di questo annuncio. Per un nuovo client Live Endpoint o per un passaggio pianificato consapevolmente, LES viene valutato separatamente; la XDR Query API per i dati storici e le query SQL Classic mantenute sopra restano distinte da questo percorso.

LES associa i dispositivi di destinazione a una sessione prima dell’avvio della query: eseguire prima createLiveDiscoverSession, salvare il nome della sessione restituito, quindi assegnare alla sessione i dispositivi selezionati tramite endpointSessions. Solo successivamente avviare runLiveDiscoverQuery con questo nome come sessionId e con il parametro tuttora obbligatorio matchEndpoints: { all: false }. Non utilizzare filtri diretti in matchEndpoints come scorciatoia, anche se lo schema li consente: la guida alla migrazione indica soltanto la procedura basata su sessione come percorso di integrazione supportato. Iniziare con un solo dispositivo pilota autorizzato e una query SQL di sola lettura con ambito strettamente limitato; confrontare l’assegnazione delle destinazioni, lo stato dell’esecuzione, le righe dei risultati e Telemetry.

Prima del passaggio, verificare la portabilità degli ID delle query e delle categorie salvati; la guida non conferma il loro trasferimento senza modifiche. Occorre inoltre chiarire con il responsabile API la conservazione dei risultati, la successiva disponibilità delle esecuzioni completate e un sostituto per la gestione precedente dei pivot di enrichment. LES accetta un solo gruppo di filtri per chiamata di selezione; non si deve ipotizzare il significato di più gruppi di filtri REST precedenti. tamperProtectionEnabled diventa tamperProtection sotto forma di elenco e i filtri String/JSON non strutturati richiedono una verifica specifica dei valori.

La paginazione delle esecuzioni, del catalogo e dei risultati viene implementata separatamente per ciascun ambito. I risultati contengono le colonne di output SQL nella stringa codificata in JSON additionalColumns; metadata.columns ne descrive nomi e tipi. Per le pagine successive, restituire il valore fornito in pages.nextKey senza modificarlo come params.pageFromKey. HTTP 200 non basta: verificare anche l’array GraphQL errors e lo stato effettivo dell’esecuzione e degli endpoint. LES condivide con le query pianificate il limite di 1'000 esecuzioni al giorno e 10 al minuto; l’API REST indica invece 500 esecuzioni al giorno e 10 al minuto. Questi valori specifici delle API non sostituiscono indiscriminatamente i limiti dell’interfaccia Classic descritti più avanti. Nel progetto pilota occorre continuare a considerare il volume dei dati, il Device Watchdog e i limiti dei risultati.

Live Endpoint o Data Lake

Le query Live Endpoint si basano su osquery e vengono eseguite direttamente sui target. Le query Data Lake operano sulla telemetria caricata, possono essere pianificate e, secondo licenza, accedono fino a 30 o 90 giorni.

L’intervallo Data Lake in Live Discover definisce il periodo storico, non una pianificazione. Una query copre al massimo 30 giorni; per 90 giorni servono più query delimitate.

Scegliere e testare una query

In Threat Analysis Center > Live Discover sono disponibili query Endpoint e Data Lake già pronte. La procedura separa deliberatamente l’origine, la query e la destinazione:

1. In Data source, selezionare Endpoint per lo stato attuale dei dispositivi connessi oppure Data Lake per la telemetria storica già caricata.
2. In Query category, selezionare una categoria e in Query la query desiderata. Nei dettagli della query verificare i sistemi operativi supportati e il System Impact indicato da Sophos.
3. Per una query Endpoint, selezionare prima un solo dispositivo pilota in Devices. Se necessario, usare Show filters, quindi aggiornare l’elenco dei dispositivi selezionati. Per una query Data Lake, impostare invece un intervallo breve e noto.
4. Selezionare Run Query e attendere il risultato.

Testare prima una query nuova o modificata su un solo dispositivo pilota oppure su un breve intervallo Data Lake. Le righe dei risultati devono corrispondere al dispositivo o all’intervallo scelto. In Telemetry verificare inoltre se la destinazione ha risposto, il livello di System Impact e il volume di dati trasferito. Se il risultato rimane vuoto, controllare innanzitutto Data source, l’intervallo, il sistema operativo supportato e, per le query Endpoint, lo stato della connessione del dispositivo. Per una query Data Lake, verificare anche che l’upload sia attivo in My Products > Endpoint > Policies > Data Collection and Investigation oppure, per i server, in My Products > Server.

Designer Mode consente query osquery o SQL personalizzate. Sophos Support assiste con le query Sophos predefinite e il percorso dei dati, ma non con lo sviluppo specialistico di Custom Query arbitrarie. A tale scopo sono disponibili Community e Professional Services.

I risultati offrono Pivots, Enrichments e Actions. Un SHA-256 sospetto può portare a un’altra query, a un controllo Intelix o VirusTotal, a un Threat Graph o a Live Response.

Per interrogare i dati di DNS Protection, consultare Analizzare i report e Live Discover di Sophos DNS Protection per la selezione DNS Protection, lo schema Data Lake associato e i controlli specifici per DNS.

Controllare l’upload Data Lake

Per Endpoint Protection, l’upload è attivo per impostazione predefinita. Può essere limitato per gruppi in My Products > Endpoint > Policies > Data Collection and Investigation.

Disattivarlo riduce Detections e Investigation storica. Usare una Event Collection Exception solo su istruzione Sophos Support, perché riduce telemetria e capacità di rilevamento o indagine.

Dopo l’attivazione, il traffico può aumentare temporaneamente. Osservare quindi la variazione del traffico di rete su un gruppo pilota per linee a bassa capacità o segmenti sensibili.

Event Journals sul dispositivo

Sophos salva Event Journals localmente su Windows, macOS e Linux per le Endpoint Queries. Non esiste una retention fissa: dipende da piattaforma, attività e spazio configurato.

In Global Settings > Products and Services > Endpoint and Server > Event Journals, impostare tra 300 e 30'000 MB; lo standard è 5'250 MB. È possibile limitare anche una percentuale del disco. Se valgono entrambi, Sophos usa il limite minore.

La configurazione centrale di questi limiti è disponibile solo con una licenza XDR, MDR o MDR Plus. Gli Event Journals locali continuano a esistere sui dispositivi Windows, macOS e Linux protetti, ma senza la licenza appropriata non è possibile modificarne le soglie per l’intero tenant.

L’impostazione vale per tutti i dispositivi interessati e non può variare per Endpoint. Una riduzione può eliminare dati già presenti e accorciare l’indagine.

Retention e limiti di archiviazione

XDR conserva i dati del Data Lake fino a 90 giorni, EDR fino a 30. Il pacchetto opzionale Central Data Storage – 1 yr estende il periodo a un anno. Sono valori massimi: se il pool è pieno, i dati vecchi vengono rimossi prima.

Ogni dispositivo può caricare al massimo 2 GB al giorno. Raggiunto il limite, l’upload si ferma fino al reset. In Windows il limite si azzera a mezzanotte, ora locale; in Linux, ogni 24 ore dopo l’avvio dell’agente XDR. I dati non caricati non vengono inviati in seguito, ma restano disponibili per una query Endpoint diretta.

Il pool Endpoint include in media 20 MB per licenza al giorno. Un superamento permanente riduce la cronologia reale; un tenant con 90 giorni nominali può quindi avere meno dati interrogabili.

Trovare la causa di un limite giornaliero di Upload

L’evento Data Lake uploads stopped because the daily limit reached compare su Endpoint Windows e server Windows o Linux. Le Hydration Query pianificate del singolo dispositivo generano gli upload. XDR e MDR hanno entrambi un limite di 2 GB al giorno per dispositivo. Raggiunto il limite, non vengono caricati altri dati fino al giorno successivo; il tetto viene quindi azzerato e le Query riprendono fino a fine giornata o al nuovo raggiungimento.

Per trovare la Hydration Query con il volume di upload maggiore, accedere a Sophos Fusion (in precedenza Sophos Central) e aprire Threat Analysis Center > Live Discover. Attivare Designer Mode, scegliere Create a new query, assegnare un nome e selezionare Data Lake come Source. In Show variable editor, usare nomi descrittivi e aggiungere i tipi Device Name e Date. Inserire dispositivo e data YYYY-MM-DD, quindi eseguire:

SELECT
  query_name,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
  AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

In alternativa, questa Query senza variabili ordina tutti i dispositivi e le Query per giorno; sostituire la data d’esempio:

SELECT
  query_name,
  meta_hostname,
  date_trunc('day', ingestion_timestamp) AS date,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Il risultato maggiore indica la Hydration Query da esaminare, non identifica automaticamente un processo da bloccare. Verificare nel Sophos Data Lake Schema Viewer corrente quali colonne popola, poi raggruppare una colonna utile. Se domina running_processes_windows_sophos, suddividere per path:

SELECT
  path,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
  AND meta_hostname = '$$hostname$$'
  AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Nell’esempio Sophos, la Query produceva circa 72 MB e il percorso di un processo avviato generava oltre il 50% del volume giornaliero caricato da quella query; i processi reali erano nascosti perché specifici dell’ambiente. Aggiungere vincoli o analizzare Command Line, User Name o Parent Process per trovare una correzione che riduca il volume. Verificare causa, legittimità e configurazione prima di modificare o bloccare.

Guardrails

Sophos limita le query per proteggere Endpoint e tenant:

• UI: massimo 15 query al minuto,
• pianificate e API insieme: 1'000 al giorno e 10 al minuto,
• Endpoint Watchdog: interruzione oltre 30% CPU per 12 secondi o 256 MB RAM,
• massimo 10 MB di risposta per dispositivo e query,
• massimo 1 MB per riga,
• massimo 100'000 righe da tutti i dispositivi.

Un risultato vuoto può quindi dipendere anche dal superamento del limite di dimensione per riga. Telemetry sotto il risultato mostra Status, System Impact e volume trasferito per dispositivo.

Delimitare sistematicamente Query cancelled

Query cancelled non è un errore specifico di HAFNIUM. In Windows, il Memory Watchdog può interrompere una Live Query. In SophosLiveQueryService.log si identificano Query Name e Resource Error, si riduce il periodo, per esempio da 15 a 7 giorni, e si riprova su un dispositivo. Se persiste, si riduce ancora o si restringe la Query.

Dopo un Downgrade di Sophos Core Agent 2025.2 a una versione LTS o FTS precedente, SophosOsquery.exe può non avviarsi a causa della modifica di File Attestation. Il log contiene Exception whilst running LiveQueryRunner. In questo caso preciso riavviare il dispositivo; riscrivere la Query non supera il limite di versione.

AI Search

Nella vista Classic, in Threat Analysis Center > AI Search, AI Search genera query Data Lake dal linguaggio naturale. Detections e dati degli endpoint Windows possono essere cercati senza scrivere sintassi SQL. La tabella mostra al massimo 1'000 risultati. Non dare per scontato che questi limiti di piattaforma e risultati valgano anche per la nuova Data Lake Search descritta sopra.

Iniziare anche qui con poche ore o un giorno. Intervalli ampi possono essere lenti o fallire. Controllare la query SQL generata prima di considerare completo il risultato.

Categorie personalizzate e query pianificate

Le query riutilizzabili vengono organizzate in categorie personalizzate con nomi chiari. Descrizione, sistemi operativi supportati, origine dati, variabili e output previsto fanno parte della documentazione della query. Una query copiata non è considerata attendibile soltanto perché la sintassi SQL è valida. Sophos sta distribuendo gradualmente le categorie personalizzate, quindi la funzione potrebbe non essere ancora visibile in ogni tenant.

Le Scheduled Queries sono adatte a ipotesi e controlli ricorrenti e sono disponibili solo per le Data Lake Queries. Impostare consapevolmente frequenza, giorno, data di fine e periodo interrogato. Ogni amministratore può avere al massimo 100 query o report di questo formato pianificati e attivi. Query troppo ampie o frequenti possono inoltre raggiungere i limiti generali e generare grandi quantità di telemetria personale.

Operatività e protezione dei dati

Telemetria Data Lake e Live Discover possono contenere processi, comandi, utenti, Hash, IP e altri dati operativi. Documentare ruoli, finalità, retention ed export.

Le Query Categories organizzano le query frequenti. Eliminare una categoria personalizzata non elimina le query contenute, che restano in All Queries o altre categorie.

Articoli correlati

Isolamento e Live Response: Isolare e verificare un Endpoint Sophos con Live Response. Sophos Endpoint XDR: Investigation e Threat Graph tratta la successiva valutazione di Detections e Threat Graphs.

Domande frequenti

Per l’interfaccia Security Operations attuale, Data Lake Search ed esportazione spiega schemi, finestre di eventi di 31 giorni, limite Raw separato ed export attuali. I limiti Classic conservati sopra non si trasferiscono a questa interfaccia.