Sophos NDR: scegliere la piattaforma e dimensionare correttamente il sensore
La scelta della piattaforma distingue chiaramente i sensori virtuali e cloud dall'hardware certificato. Le misurazioni di larghezza di banda, …
Sophos NDR
Sophos NDR analizza passivamente il traffico di rete sottoposto a mirroring su una Integration Appliance. Il sensore non è inline e può quindi rendere visibili anche connessioni sospette, traffico Command and Control e attività di dispositivi non gestiti. Queste guide illustrano l'intero processo, dalla scelta della piattaforma e dal mirroring del traffico fino alla gestione, alle detection e all'analisi. Sophos Firewall NDR Essentials e NDR Active Threat Intelligence sono funzioni SFOS separate e non fanno parte di questo percorso del sensore.
Indice
Sophos NDR dalla distribuzione all'analisi
Prima dimensiona la piattaforma e il sensore, quindi verifica la distribuzione e il mirroring del traffico. Le integrazioni e l'inventario delle appliance vengono gestiti in Sophos Fusion (in precedenza Sophos Central) da Threat Analysis Center > Integrations e My Products > NDR. Appliance Manager locale serve per la gestione del sensore, Threat Analysis Center > Detections per il triage centralizzato e Investigation Console locale per l'hunting sul sensore. Detections e Cases restano aree di lavoro separate.
Pianificazione e distribuzione 6
Scegli l'autorizzazione e la piattaforma appropriate, dimensiona i sensori virtuali o certificati, distribuiscili su ESXi, Hyper-V, AWS, Nutanix o hardware certificato e convalida il traffico SPAN, ERSPAN, mirror o cloud fino al sensore.
Distribuire Sophos NDR su VMware ESXi o Hyper-V
Il flusso comune in Central e i percorsi separati per ESXi e Hyper-V accompagnano dai prerequisiti fino al primo avvio, alla convalida, alla …
Distribuire Sophos NDR su AWS
La distribuzione AWS separa la gestione dal traffico sottoposto a mirroring: CloudFormation crea l'appliance, mentre VPC Traffic Mirroring recapita …
Distribuire Sophos NDR su Nutanix AHV
Questo runbook illustra la procedura dalla configurazione NDR in Sophos Fusion (in precedenza Sophos Central) fino alla VM AHV e al primo pacchetto …
Installare Sophos NDR su hardware certificato
Preparazione comune dell'immagine e procedure di installazione distruttive separate per sistemi Dell, NUC e OnLogic certificati.
Pianificare e convalidare il mirroring del traffico per Sophos NDR
Un'acquisizione NDR affidabile inizia dalla scelta appropriata delle sorgenti di mirroring e termina con una convalida in più fasi. Un solo stato …
Gestione di appliance e sensori 2
Verifica separatamente l'inventario delle appliance, i sensori NDR e i Log Collector eseguiti insieme in Sophos Fusion e Appliance Manager, monitora integrità e capacità e limita ogni intervento al componente interessato più piccolo.
Gestire in sicurezza l'appliance e il sensore Sophos NDR
Sophos Fusion fornisce l'inventario e le azioni centralizzate; l'Appliance Manager locale mostra lo stato dell'appliance, del sensore NDR e dei log …
Monitorare lo stato e la capacità di Sophos NDR
Un runbook operativo per creare baseline NDR affidabili, interpretare correttamente le soglie di almeno il 2% di traffico unicast e di più del 10% di …
Rilevamento e analisi 5
Interpreta la dashboard NDR, verifica una detection di test autorizzata in Threat Analysis Center > Detections e, se necessario, analizza i dati locali del sensore in Investigation Console. Per il triage di detection e case si applicano le responsabilità XDR e MDR indicate nei collegamenti seguenti.
Interpretare correttamente la dashboard Sophos Fusion NDR
La dashboard NDR offre una panoramica dell’attività di rete osservata. Questa guida spiega quali conclusioni consentono i grafici e quando serve …
Generare e verificare in sicurezza una detection di test Sophos NDR
Questo runbook genera una detection di test NDR innocua tramite Appliance Manager e verifica il percorso del sensore, il contenuto della detection e …
Distribuire e collegare la Sophos NDR Investigation Console
Questo runbook descrive i prerequisiti, la distribuzione su ESXi o Hyper-V, l'assegnazione di una o più NDR Integration Appliance, nonché il primo …
Esaminare i dati NDR locali nell'Investigation Console
Questo runbook mostra come esaminare i dati NDR locali a partire dalla dashboard, usando query ClickHouse mirate e di sola lettura, e come verificarne …
Gestire in sicurezza Sophos NDR Investigation Console
Investigation Console dispone di un proprio livello locale di amministrazione e gestione operativa. Questa guida aiuta a proteggere gli accessi, …
Risoluzione dei problemi e delimitazione della dismissione 1
Circoscrivi i problemi dalla sorgente mirror, passando per il sensore e il caricamento, fino all'analisi; raccogli i dati diagnostici per il supporto ed evita esplicitamente procedure di dismissione o eliminazione non documentate.
Diagnosticare l'appliance di integrazione e il sensore Sophos NDR
Questo runbook guida dal sintomo visibile alle verifiche mirate, alla correzione minima appropriata e all'escalation al supporto, senza interventi …
Percorsi di prodotto correlati
Sophos NDR richiede in linea di principio un’autorizzazione per l’integrazione NDR. Solo con MSP Flex, in presenza di una licenza XDR, non è necessario l’Integration Pack separato. Per gli altri modelli contrattuali, verifica l’autorizzazione specifica nel tenant e nel contratto interessati prima della distribuzione. I requisiti di licenza delle due funzioni firewall sono descritti nella guida al firewall collegata.
Per le attività esterne a questo percorso del sensore valgono le responsabilità seguenti:
- Configurare le integrazioni MDR e XDR in Sophos Fusion descrive il percorso di integrazione tra prodotti.
- Analizzare detection e Threat Graph illustra il triage specialistico in Threat Analysis Center > Detections.
- Gestire XDR Cases e Detection Rules distingue i case XDR Self-managed dai case MDR Sophos-managed e dalle relative attività di risposta.
- Gestire Sophos Firewall NDR e Active Threat Response descrive NDR Essentials, NDR Active Threat Intelligence e la relativa valutazione sul firewall.
Per l’hunting locale sul sensore, Distribuire Sophos NDR Investigation Console descrive l’accesso, la distribuzione e la distinzione rispetto alle aree di lavoro centralizzate.