Configurare le integrazioni MDR e XDR in Sophos Central

Le integrazioni consentono a Sophos Central di riunire nel Sophos Data Lake la telemetria dei prodotti Sophos e di terze parti oppure di mettere a disposizione Response Actions mirate in Central. Il punto di accesso comune è Threat Analysis Center > Integrations. È essenziale scegliere il tipo di integrazione corretto: Data Ingest fornisce dati per query, detection e indagini, mentre Response Action esegue un’azione nel prodotto collegato. Non tutti i prodotti supportano entrambe le direzioni.

Nel percorso di onboarding Endpoint, questo articolo conclude la fase d’integrazione tra prodotti che si colloca fra la configurazione della protezione e l’accettazione operativa.

La procedura consigliata è la seguente: verificare licenza e sistema sorgente, scegliere in Marketplace la scheda del prodotto e la configurazione corrette, stabilire il collegamento con i privilegi minimi necessari, controllarlo in Configured e validarlo con un evento di test previsto. Solo a quel punto l’integrazione può essere considerata operativa.

Ambito: XDR, MDR e licenze

Un’integrazione non sostituisce una licenza XDR o MDR. XDR mette a disposizione funzioni di analisi con cui il proprio team di sicurezza esamina i dati nel Threat Analysis Center e nel Data Lake. MDR aggiunge il servizio gestito Sophos. Le integrazioni selezionabili nel tenant dipendono dal contratto Sophos, dal prodotto, dal tipo d’integrazione ed eventualmente dalla licenza del prodotto di terze parti.

L’affermazione secondo cui alcune integrazioni sono gratuite non significa che lo sia l’intero Marketplace. Per MSP Flex esistono Integration License Pack separati per categorie come Endpoint, Network, Email e Firewall. Con una licenza XDR, Sophos NDR, Sophos Cloud Optix, Microsoft Graph Security e Microsoft 365 audit appliance non richiedono un pack aggiuntivo. Questa regola vale espressamente solo per i clienti MSP Flex. Verificare le abilitazioni del tenant e il contratto anziché presupporre una gratuità generale.

Anche il sistema collegato può richiedere licenze. Per Microsoft 365, le pagine Sophos si contraddicono: la pagina di panoramica indica che i log di audit di Management Activity sono disponibili per tutti i clienti Microsoft 365, mentre la pagina di configurazione specifica richiede Purview Audit (Standard o Premium), una delle licenze utente elencate e l’auditing attivo. Per la configurazione valgono questi requisiti specifici. Le detection fornite da Graph Security V2 dipendono inoltre dalle licenze Microsoft e dalle funzioni Defender XDR disponibili. Sophos non indica requisiti di licenza Microsoft per Microsoft 365 Response Actions; sono però necessari un amministratore Microsoft 365 e le autorizzazioni Graph elencate più avanti.

Tipi di integrazione e credenziali necessarie

REST API

Un’integrazione API recupera dati dal servizio cloud del produttore oppure vi invia una Response Action. A seconda del prodotto, la procedura guidata richiede, ad esempio, tenant ID o organization ID, API URL, client ID, client secret, token o certificato. Le integrazioni API non richiedono una Sophos appliance.

Alcune integrazioni acquisiscono le credenziali direttamente nella procedura guidata. Altre richiedono una Integration Credential riutilizzabile. La possibilità di selezionare una credenziale esistente o crearne una nella procedura indica se il connettore supporta la funzione. L’Integration Credential Manager è disponibile solo per un numero limitato di integrazioni API; non tutti i secret possono quindi essere riutilizzati centralmente.

Log Collector

In un’integrazione Log Collector, il sistema sorgente esporta gli eventi tramite Syslog verso una Sophos appliance. Il Log Collector elabora i dati e li carica nel Sophos Data Lake. L’appliance funziona su ESXi, Hyper-V, AWS o Nutanix, oppure su hardware Dell, NUC o OnLogic idoneo. Per ESXi o Hyper-V assegnare almeno 4 CPU, 16 GB di RAM e 160 GB di spazio; sono supportati ESXi 6.7 Update 3 con hardware VM versione 11 o successiva e Hyper-V su Windows Server 2016 o successivo. Sophos gestisce gli aggiornamenti del sistema operativo e di sicurezza; non installare un altro agente Sophos o antimalware. Aumentare le risorse per volumi elevati o più integrazioni e convalidare DNS, proxy ed esclusioni di porte e domini prima dell’approvazione. Configurare il prodotto di terze parti per inviare a questa appliance, non a un server Syslog qualsiasi.

Più integrazioni possono utilizzare la stessa appliance. Per ogni prodotto occorre tuttavia configurare protocollo, porta, formato e sorgente secondo le relative istruzioni d’integrazione. Il solo stato verde dell’appliance non dimostra che stia arrivando il tipo di evento corretto.

Prodotti Sophos

Prodotti come Sophos Firewall o Sophos NDR prevedono procedure specifiche. Sophos NDR e le integrazioni Log Collector richiedono una Integration Appliance, ma non necessariamente una VM classica. Un’integrazione esclusivamente REST API non richiede appliance. Usare il Marketplace del tenant interessato per verificare la disponibilità: ogni riquadro mostra i metodi offerti e apre la procedura appropriata.

Prima della configurazione

1. Accedere a Sophos Central come Admin o Super Admin. Sophos indica questi ruoli come prerequisito per la configurazione generale.
2. Verificare nel prodotto di terze parti la licenza, il ruolo amministrativo, la funzione API o l’output Syslog richiesti.
3. Decidere se servono Data Ingest, Response Action o entrambi. Un’integrazione Response non fornisce automaticamente la telemetria su cui si basa un’indagine.
4. Se possibile, creare per l’accesso API un’app o un account di servizio dedicato. Assegnare solo i diritti richiesti dalle istruzioni del prodotto e documentare proprietario, data di scadenza e procedura di rotazione del secret.
5. Se il prodotto di terze parti richiede una allowlist degli IP sorgente per le chiamate API amministrative, identificare prima la regione Central in My Environment > Installers: passare sul link di download in Endpoint Protection o Server Protection e leggere la regione nell’URL visualizzato, ad esempio eu-central-1. Autorizzare quindi solo gli indirizzi di tale regione nella tabella seguente. Sono sorgenti delle chiamate API Sophos, non destinazioni in uscita dell’Integration Appliance.
6. Per un’integration appliance, verificarne il percorso di rete in uscita, il DNS ed eventualmente il proxy secondo i requisiti dell’appliance.
7. Pianificare un evento di test riproducibile e innocuo. Un accesso o un evento di audit è preferibile a un vero tentativo di infezione malware.

Indirizzi IP sorgente per l’allowlist API

Questa tabella è un’istantanea gestita da Avanet e verificata il 14 settembre 2026. Il responsabile operativo della Knowledge Base Avanet ne garantisce l’aggiornamento e la controlla ogni mese, nonché immediatamente dopo una notifica di modifica di Sophos, una variazione del link o dell’elenco IP, una richiesta di modifica dell’allowlist o un errore di connettività API che possa indicare una discrepanza.

A ogni aggiornamento della tabella o decisione relativa all’allowlist di produzione, aprire l’elenco IP Sophos aggiornato e confrontare la regione del tenant e il set completo di IP con questa istantanea. In caso di differenze, non copiare direttamente i valori in produzione: il responsabile deve aprire una modifica controllata, fare verificare l’associazione della regione e le differenze da un secondo tecnico Avanet, aggiornare insieme tutte e nove le versioni linguistiche, testare il link e quindi convalidare l’integrazione interessata con una sincronizzazione API o un evento di test innocui. Registrare nella modifica l’approvazione, i risultati e le istruzioni di rollback.

Sophos etichetta attualmente sia la riga São Paulo sia la riga Dubai come sa-east-1. Distinguerle in base alla posizione del tenant e al set di IP; non unire mai le regioni. Registrare la lista approvata nella modifica.

Aggiungere un’integrazione dal Marketplace

1. Aprire Threat Analysis Center > Integrations > Marketplace.
2. Cercare il produttore o il prodotto. Se vi sono voci simili, aprire la pagina del prodotto e controllare categoria, nome del prodotto, tipo di integrazione e finalità. Cisco Meraki e Fortinet FortiAnalyzer, ad esempio, sono disponibili sia come variante API sia come Log Collector.
3. Aprire l’integrazione desiderata.
4. Selezionare il tipo necessario, ad esempio Data Ingest, e fare clic su Add Configuration.
5. Seguire i passaggi di Integration setup. Per le integrazioni API, inserire i dati del sistema sorgente oppure concedere il consenso OAuth. Per le integrazioni Log Collector, creare o selezionare un’appliance e configurare quindi il sistema sorgente affinché esporti i dati Syslog verso tale appliance.
6. Se, alla prima integrazione, Sophos richiede domini interni e intervalli IP, inserire esclusivamente quelli interni alla propria organizzazione. Questi dati identificano gli indirizzi propri, raggruppano gli alert correlati ed evitano ricerche presso terze parti; non vanno confusi con la allowlist degli indirizzi sorgente Sophos.
7. Salvare la configurazione e completare interamente l’eventuale finestra esterna di consenso. Annotare nome dell’integrazione, tenant sorgente, responsabile e data della prossima rotazione delle credenziali.
8. Aprire Threat Analysis Center > Integrations > Configured. La nuova configurazione deve comparire nell’elenco. Da qui può essere monitorata o modificata; Connection Method indica inoltre se, per il troubleshooting, occorre seguire il percorso API o Log Collector.

Controllare e testare il funzionamento

Il semplice salvataggio della configurazione non ne dimostra il funzionamento. Verificare nell’ordine connessione, flusso dei dati e contenuto:

1. Stato della connessione: aprire la voce in Configured oppure, per un’appliance, il relativo stato. Per i Log Collector, rosso indica che l’integrazione non funziona, giallo che funziona con errori e verde che gli eventi vengono ricevuti ed elaborati senza problemi visibili.
2. Evento di test definito: generare nel sistema sorgente un evento innocuo sicuramente acquisito dalla relativa categoria API o Syslog, ad esempio una modifica amministrativa o un accesso di test. Annotare ora, utente e sorgente.
3. Verifica nel Data Lake: trascorso il ritardo specifico del prodotto, cercare in Threat Analysis Center > Live Discover. Usare la categoria o la query Live Discover documentata nella guida specifica del prodotto; se Sophos non ne documenta una per il connettore, questo processo generale non deve promettere una verifica universale tramite query. Il runbook di Live Discover spiega query, limiti del Data Lake e verifica dei risultati. Controllare timestamp, tenant, utente e tipo di evento. Un singolo record dimostra il collegamento; più record recenti nell’arco di un periodo adeguato dimostrano la continuità del flusso.
4. Limite delle detection: non tutti gli eventi acquisiti generano una detection o un case. Data Ingest rende i dati analizzabili; una detection nasce solo quando interviene una logica di rilevamento appropriata. Testare quindi prima l’acquisizione nel Data Lake e non attendersi necessariamente un alert.
5. Response Action: usare un account di prova autorizzato e documentarne lo stato iniziale. Per Microsoft 365, Block user sign-in, seguito da Allow user sign-in, è un test reversibile; Revoke all current sessions non lo è. Tenere inoltre presente che Entra Connect Sync può riattivare in seguito un account ibrido bloccato, che l’impostazione MDR Response limita le azioni degli analisti Sophos e che i nomi delle singole Inbox Rules nelle Response Actions distinguono tra maiuscole e minuscole.

Gli Health Alert non sono un test immediato. Il periodo di 24 ore inizia con il primo errore e genera un alert di severity media solo se il problema persiste ininterrottamente. Il ritorno allo stato verde o la conferma dell’alert azzera il conteggio. Se il problema continua, l’alert ricompare poi una volta ogni 30 giorni.

Microsoft 365: tre integrazioni distinte

«Collegare Microsoft 365» non corrisponde a un’unica opzione. Nel Marketplace sono disponibili attività separate:

Per le Response Actions, Sophos indica le autorizzazioni Microsoft Graph User.ManageIdentities.All, User.EnableDisableAccount.All, User.RevokeSessions.All, MailboxSettings.Readwrite e User.Read. Con MDR, l’opzione di risposta MDR selezionata continua a stabilire se gli analisti possano intervenire senza approvazione. In un ambiente Entra ID ibrido, Microsoft Entra Connect Sync può riattivare in seguito un accesso bloccato da Central.

Esempio: collegare in sicurezza Management Activity

1. Accertarsi che l’auditing sia attivo in Microsoft 365. Il collegamento deve essere autorizzato da un amministratore Microsoft 365.
2. Aprire Threat Analysis Center > Integrations > Marketplace e selezionare Microsoft - Office 365 Management Activity API.
3. In Data Ingest (Security Alerts), fare clic su Add Configuration.
4. Controllare l’avviso relativo all’auditing, fare clic su Save and continue, quindi su Proceed in Connect to Microsoft 365.
5. Accedere con l’account amministratore Microsoft previsto, controllare le autorizzazioni richieste e confermare con Accept. Chiudere la conferma con Close.
6. Controllare la voce in Sophos Central. In Live Discover > Query deve comparire la categoria Microsoft 365 audit data. Generare quindi un evento di audit riconoscibile e cercarlo tramite una query fornita.

Microsoft non garantisce un intervallo fisso entro cui i singoli eventi compaiono nel log di audit. Una riga in ritardo non indica quindi automaticamente un errore dell’integrazione. Dopo la prima attivazione dell’auditing, possono trascorrere fino a 12 ore prima che i dati diventino visibili.

Per Graph Security V2, la prima sincronizzazione avviene circa cinque minuti dopo la disponibilità dei dati nel Microsoft Defender Security Center. Se è prima necessario effettuare il provisioning del servizio Alerts and Incidents, questo solo passaggio Microsoft può richiedere circa un’ora.

Disattivare o rimuovere un’integrazione

Non esiste un unico interruttore Disable per tutti i tipi d’integrazione. Le azioni disponibili variano in base al prodotto e alla Connection Method. Non affidarsi quindi all’esistenza di un comando universale:

1. Aprire Threat Analysis Center > Integrations > Configured, selezionare la configurazione e documentarne stato, nome, tenant sorgente, appliance e credenziale.
2. Per un’integrazione API, interrompere prima in modo controllato l’acquisizione dei dati oppure usare l’azione Disable o Delete, se disponibile nella pagina del prodotto specifico. Revocare quindi il consenso OAuth nel sistema sorgente oppure disabilitare l’app o il token dedicato. Per le Response Actions, questo passaggio impedisce ulteriori azioni da Central.
3. Per un’integrazione Log Collector, rimuovere la destinazione Syslog dal sistema sorgente. Non eliminare una Sophos appliance condivisa finché è utilizzata da altre integrazioni.
4. Rimuovere la configurazione da Central solo dopo aver soddisfatto i requisiti di conservazione, audit e change management. La rimozione di una configurazione non garantisce l’eliminazione dei dati già acquisiti nel Data Lake; chiarire quindi in anticipo conservazione ed eliminazione in base ai requisiti del Data Lake e di compliance applicabili al tenant.
5. Verificare che non arrivino nuovi eventi e che non sia più possibile eseguire Response Actions impreviste. Rimuovere quindi secret, certificati, account di servizio e voci allowlist non più necessari.

Per una breve interruzione di manutenzione di un’integrazione Log Collector, fermare l’esportazione Syslog senza eliminare un’appliance condivisa. Per le integrazioni API e Response è possibile bloccare una credenziale come pausa di manutenzione solo se la riattivazione della medesima configurazione è stata verificata in precedenza; in caso contrario, usare esclusivamente la procedura Disable, Delete o Reconnect disponibile per il connettore. Una credenziale bloccata o scaduta non è un rollback universale e genera errori di sincronizzazione.

Individuare sistematicamente gli errori più comuni

L’integrazione API non si sincronizza

Aprire Configured, verificare Connection Method e leggere l’errore specifico. Correggere prima nel prodotto di terze parti Invalid credentials, insufficient permission ed expired credentials, controllando ID, secret, durata dei token, certificati e autorizzazioni API. Network not reachable e invalid domain richiedono anche controlli di DNS, proxy, firewall e stato del servizio. Con request throttling il provider limita l’API; salvataggi immediati ripetuti possono peggiorare il problema. Per Microsoft, HTTP 401 indica autenticazione non valida; 429 e 509 indicano limitazione.

Log Collector rimane rosso o giallo

Rosso significa non operativo, giallo operativo con errori. Controllare risorse della VM, rete e DNS, raggiungibilità in uscita e percorso Syslog dal sistema sorgente all’appliance. Il messaggio no events received since last container restart segnala che non sono arrivati eventi Syslog dal riavvio del container; no received events in last 10 mins può indicare un’esportazione interrotta oppure una sorgente che invia eventi di rado. In caso di errori di caricamento, l’appliance memorizza temporaneamente i dati su disco. Se il caricamento resta bloccato e lo spazio si esaurisce, i dati più vecchi possono essere eliminati.

Microsoft 365 non fornisce dati

Per Management Activity devono essere attivi l’auditing di Microsoft 365 e la proprietà Enabled for users to sign-in? = Yes in Office 365 Management APIs. Considerare il tempo di avvio, fino a 12 ore dopo l’attivazione dell’auditing. Per Graph Security V2, controllare accesso a Defender XDR, consenso, provisioning del servizio Alerts e licenze Microsoft disponibili. La precedente Graph Security API non è più un’opzione di ripiego.

Nessun Health Alert nonostante l’interruzione

Verificare innanzitutto che sia un’integrazione Data Ingest e che siano trascorse 24 ore ininterrotte dal primo errore. Un temporaneo stato verde o la conferma dell’alert azzera il conteggio. Per impostazione predefinita, tutti gli amministratori Central ricevono l’e-mail; regole di notifica personalizzate possono modificare questa distribuzione.

Regole di sicurezza e operative

• Usare app e secret dedicati invece di account amministratore personali.
• Concedere solo le autorizzazioni API richieste dall’integrazione specifica. Le integrazioni Response necessitano per loro natura di diritti di scrittura e richiedono un’approvazione più rigorosa rispetto alla sola acquisizione dei dati.
• Non salvare i secret in ticket, screenshot o articoli della Knowledge Base. Registrare proprietario e scadenza nel sistema di gestione delle password o dei secret.
• Pianificare la rotazione delle credenziali prima della scadenza. Sophos segnala le credenziali scadute come errori di sincronizzazione.
• Autorizzare gli indirizzi IP Sophos solo quando il provider richiede una allowlist delle sorgenti e usare l’elenco della propria regione Central.
• Attivare le notifiche di integrità per il team responsabile. Quando si crea una Custom Notification Rule, tenere presente che la distribuzione predefinita di tutti gli alert via e-mail a tutti gli amministratori viene disabilitata e le regole necessarie devono essere ricreate separatamente.
• Documentare per ogni integrazione origine dati, scopo, classificazione dei dati, conservazione, autorizzazioni, test, owner e procedura di rimozione.

Criteri di accettazione

L’integrazione è completata solo quando compare in Configured con il metodo previsto, un evento di test definito è dimostrabile nella destinazione prevista, timestamp e tenant sorgente sono corretti e un owner è responsabile della rotazione delle credenziali e degli Health Alert. Per le Response Actions è inoltre necessario un test autorizzato e documentato; si ripristina lo stato iniziale soltanto per le azioni reversibili, mentre le azioni irreversibili, come la revoca delle sessioni, non devono essere usate come test di rollback. Documentare nel registro operativo i ritardi inevitabili, ad esempio quelli dell’auditing di Microsoft 365.

Domande frequenti

Ogni integrazione invia dati al Sophos Data Lake?

No. Data Ingest invia dati al Data Lake. Response Action permette di eseguire un’azione nel prodotto di terze parti. Alcuni prodotti offrono un solo tipo, altri configurazioni distinte per entrambe le direzioni.

Le integrazioni di terze parti sono gratuite con XDR?

Non in generale. Per MSP Flex, Sophos indica alcune integrazioni della categoria Sophos XDR utilizzabili con XDR senza un Integration License Pack aggiuntivo. Altre categorie richiedono i pack Flex appropriati. Possono inoltre essere necessarie licenze del provider di terze parti.

Perché vedo dati ma nessuna detection?

Acquisizione e rilevamento sono fasi distinte. Un connettore Data Ingest può scrivere correttamente eventi nel Data Lake senza che ogni evento generi una Sophos detection o un case. Verificare prima il flusso dei dati grezzi con la query Live Discover prevista.

Posso usare la stessa appliance per più integrazioni Syslog?

Sì. Sophos consente di usare la stessa appliance per più integrazioni di terze parti e per Sophos NDR. Ogni sorgente deve comunque essere configurata con i dati corretti di collegamento e formato.

Perché l’integrazione Response di Microsoft 365 non è sufficiente?

Mette a disposizione azioni, ma non acquisisce automaticamente gli audit o gli alert di Defender. Aggiungere Microsoft 365 Management Activity e Microsoft Graph Security API V2, affinché siano disponibili detection e contesto per le indagini.

La rimozione di un’integrazione elimina i dati storici dal Data Lake?

La rimozione non garantisce l’eliminazione immediata dei dati già acquisiti. Considerare quindi la rimozione come un arresto del flusso futuro e chiarire separatamente i requisiti di conservazione o eliminazione prima di indicare una scadenza vincolante.