Sophos Endpoint Data Collection e Live Discover

La Data Collection and Investigation Policy controlla due funzioni indipendenti: connessioni Live Response e upload della telemetria Endpoint nel Sophos Data Lake. Live Discover usa poi dati attuali di un dispositivo connesso o dati storici del Data Lake.

Le funzioni richiedono Sophos EDR, XDR o MDR. Live Response dispone di diritti propri ed è trattato anche nell’articolo Response dedicato.

Procedura rapida: in Threat Analysis Center > Live Discover, selezionare prima la Data source appropriata, quindi Query category e Query. Per una query Endpoint, limitare consapevolmente i dispositivi di destinazione in Devices, quindi selezionare Run Query. Il risultato è attendibile solo se le righe e Telemetry corrispondono all’origine, all’intervallo e ai dispositivi previsti.

Live Endpoint o Data Lake

Le query Live Endpoint si basano su osquery e vengono eseguite direttamente sui target. Le query Data Lake operano sulla telemetria caricata, possono essere pianificate e, secondo licenza, accedono fino a 30 o 90 giorni.

L’intervallo Data Lake in Live Discover definisce il periodo storico, non una pianificazione. Una query copre al massimo 30 giorni; per 90 giorni servono più query delimitate.

Scegliere e testare una query

In Threat Analysis Center > Live Discover sono disponibili query Endpoint e Data Lake già pronte. La procedura separa deliberatamente l’origine, la query e la destinazione:

1. In Data source, selezionare Endpoint per lo stato attuale dei dispositivi connessi oppure Data Lake per la telemetria storica già caricata.
2. In Query category, selezionare una categoria e in Query la query desiderata. Nei dettagli della query verificare i sistemi operativi supportati e il System Impact indicato da Sophos.
3. Per una query Endpoint, selezionare prima un solo dispositivo pilota in Devices. Se necessario, usare Show filters, quindi aggiornare l’elenco dei dispositivi selezionati. Per una query Data Lake, impostare invece un intervallo breve e noto.
4. Selezionare Run Query e attendere il risultato.

Testare prima una query nuova o modificata su un solo dispositivo pilota oppure su un breve intervallo Data Lake. Le righe dei risultati devono corrispondere al dispositivo o all’intervallo scelto. In Telemetry verificare inoltre se la destinazione ha risposto, il livello di System Impact e il volume di dati trasferito. Se il risultato rimane vuoto, controllare innanzitutto Data source, l’intervallo, il sistema operativo supportato e, per le query Endpoint, lo stato della connessione del dispositivo. Per una query Data Lake, verificare anche che l’upload sia attivo in My Products > Endpoint > Policies > Data Collection and Investigation oppure, per i server, in My Products > Server.

Designer Mode consente query osquery o SQL personalizzate. Sophos Support assiste con le query Sophos predefinite e il percorso dei dati, ma non con lo sviluppo specialistico di Custom Query arbitrarie. A tale scopo sono disponibili Community e Professional Services.

I risultati offrono Pivots, Enrichments e Actions. Un SHA-256 sospetto può portare a un’altra query, a un controllo Intelix o VirusTotal, a un Threat Graph o a Live Response.

Per interrogare i dati di DNS Protection, consultare Analizzare i report e Live Discover di Sophos DNS Protection per la selezione DNS Protection, lo schema Data Lake associato e i controlli specifici per DNS.

Controllare l’upload Data Lake

Per Endpoint Protection, l’upload è attivo per impostazione predefinita. Può essere limitato per gruppi in My Products > Endpoint > Policies > Data Collection and Investigation.

Disattivarlo riduce Detections e Investigation storica. Usare una Event Collection Exception solo su istruzione Sophos Support, perché riduce telemetria e capacità di rilevamento o indagine.

Dopo l’attivazione, il traffico può aumentare temporaneamente. Osservare quindi la variazione del traffico di rete su un gruppo pilota per linee a bassa capacità o segmenti sensibili.

Event Journals sul dispositivo

Sophos salva Event Journals localmente su Windows, macOS e Linux per le Endpoint Queries. Non esiste una retention fissa: dipende da piattaforma, attività e spazio configurato.

In Global Settings > Products and Services > Endpoint and Server > Event Journals, impostare tra 300 e 30'000 MB; lo standard è 5'250 MB. È possibile limitare anche una percentuale del disco. Se valgono entrambi, Sophos usa il limite minore.

La configurazione centrale di questi limiti è disponibile solo con una licenza XDR, MDR o MDR Plus. Gli Event Journals locali continuano a esistere sui dispositivi Windows, macOS e Linux protetti, ma senza la licenza appropriata non è possibile modificarne le soglie per l’intero tenant.

L’impostazione vale per tutti i dispositivi interessati e non può variare per Endpoint. Una riduzione può eliminare dati già presenti e accorciare l’indagine.

Retention e limiti di archiviazione

XDR conserva i dati del Data Lake fino a 90 giorni, EDR fino a 30. Il pacchetto opzionale Central Data Storage – 1 yr estende il periodo a un anno. Sono valori massimi: se il pool è pieno, i dati vecchi vengono rimossi prima.

Ogni dispositivo può caricare al massimo 2 GB al giorno. Raggiunto il limite, l’upload si ferma fino al reset. In Windows il limite si azzera a mezzanotte, ora locale; in Linux, ogni 24 ore dopo l’avvio dell’agente XDR. I dati non caricati non vengono inviati in seguito, ma restano disponibili per una query Endpoint diretta.

Il pool Endpoint include in media 20 MB per licenza al giorno. Un superamento permanente riduce la cronologia reale; un tenant con 90 giorni nominali può quindi avere meno dati interrogabili.

Trovare la causa di un limite giornaliero di Upload

L’evento Data Lake uploads stopped because the daily limit reached compare su Endpoint Windows e server Windows o Linux. Le Hydration Query pianificate del singolo dispositivo generano gli upload. XDR e MDR hanno entrambi un limite di 2 GB al giorno per dispositivo. Raggiunto il limite, non vengono caricati altri dati fino al giorno successivo; il tetto viene quindi azzerato e le Query riprendono fino a fine giornata o al nuovo raggiungimento.

Per trovare la Hydration Query con il volume di upload maggiore, accedere a Sophos Fusion (in precedenza Sophos Central) e aprire Threat Analysis Center > Live Discover. Attivare Designer Mode, scegliere Create a new query, assegnare un nome e selezionare Data Lake come Source. In Show variable editor, usare nomi descrittivi e aggiungere i tipi Device Name e Date. Inserire dispositivo e data YYYY-MM-DD, quindi eseguire:

SELECT
  query_name,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
  AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

In alternativa, questa Query senza variabili ordina tutti i dispositivi e le Query per giorno; sostituire la data d’esempio:

SELECT
  query_name,
  meta_hostname,
  date_trunc('day', ingestion_timestamp) AS date,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Il risultato maggiore indica la Hydration Query da esaminare, non identifica automaticamente un processo da bloccare. Verificare nel Sophos Data Lake Schema Viewer corrente quali colonne popola, poi raggruppare una colonna utile. Se domina running_processes_windows_sophos, suddividere per path:

SELECT
  path,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
  AND meta_hostname = '$$hostname$$'
  AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Nell’esempio Sophos, la Query produceva circa 72 MB e il percorso di un processo avviato generava oltre il 50% dell’upload giornaliero; i processi reali erano nascosti perché specifici dell’ambiente. Aggiungere vincoli o analizzare Command Line, User Name o Parent Process per trovare una correzione che riduca il volume. Verificare causa, legittimità e configurazione prima di modificare o bloccare.

Guardrails

Sophos limita le query per proteggere Endpoint e tenant:

• UI: massimo 15 query al minuto,
• pianificate e API insieme: 1'000 al giorno e 10 al minuto,
• Endpoint Watchdog: interruzione oltre 30% CPU per 12 secondi o 256 MB RAM,
• massimo 10 MB di risposta per dispositivo e query,
• massimo 1 MB per riga,
• massimo 100'000 righe da tutti i dispositivi.

Un risultato vuoto può quindi dipendere anche dal superamento del limite di dimensione per riga. Telemetry sotto il risultato mostra Status, System Impact e volume trasferito per dispositivo.

Delimitare sistematicamente Query cancelled

Query cancelled non è un errore specifico di HAFNIUM. In Windows, il Memory Watchdog può interrompere una Live Query. In SophosLiveQueryService.log si identificano Query Name e Resource Error, si riduce il periodo, per esempio da 15 a 7 giorni, e si riprova su un dispositivo. Se persiste, si riduce ancora o si restringe la Query.

Dopo un Downgrade di Sophos Core Agent 2025.2 a una versione LTS o FTS precedente, SophosOsquery.exe può non avviarsi a causa della modifica di File Attestation. Il log contiene Exception whilst running LiveQueryRunner. In questo caso preciso riavviare il dispositivo; riscrivere la Query non supera il limite di versione.

AI Search

AI Search crea query Data Lake dal linguaggio naturale. Detections e dati Windows Endpoint possono essere cercati senza SQL. La tabella mostra al massimo 1'000 risultati.

Iniziare anche qui con poche ore o un giorno. Intervalli ampi possono essere lenti o fallire. Controllare la query SQL generata prima di considerare completo il risultato.

Categorie personalizzate e query pianificate

Le query riutilizzabili vengono organizzate in categorie personalizzate con nomi chiari. Descrizione, sistemi operativi supportati, origine dati, variabili e output previsto fanno parte della documentazione della query. Una query copiata non è considerata attendibile soltanto perché la sintassi SQL è valida. Sophos sta distribuendo gradualmente le categorie personalizzate, quindi la funzione potrebbe non essere ancora visibile in ogni tenant.

Le Scheduled Queries sono adatte a ipotesi e controlli ricorrenti e sono disponibili solo per le Data Lake Queries. Impostare consapevolmente frequenza, giorno, data di fine e periodo interrogato. Ogni amministratore può avere al massimo 100 query o report di questo formato pianificati e attivi. Query troppo ampie o frequenti possono inoltre raggiungere i limiti generali e generare grandi quantità di telemetria personale.

Operatività e protezione dei dati

Telemetria Data Lake e Live Discover possono contenere processi, comandi, utenti, Hash, IP e altri dati operativi. Documentare ruoli, finalità, retention ed export.

Le Query Categories organizzano le query frequenti. Eliminare una categoria personalizzata non elimina le query contenute, che restano in All Queries o altre categorie.

Articoli correlati

Isolamento e Live Response: Isolare e verificare un Endpoint Sophos con Live Response. Sophos Endpoint XDR: Investigation e Threat Graph tratta la successiva valutazione di Detections e Threat Graphs.

Domande frequenti