Sophos SIEM: collegare Azure Event Hubs e log Blob

Sophos Next-Gen SIEM acquisisce sorgenti personalizzate tramite Azure Event Hubs o Azure Storage Account. Event Hubs fornisce un flusso; con Storage una Azure Function fornita legge i file dal percorso Blob e li inoltra. I due setup non sono intercambiabili.

Entrambi richiedono subscription Next-Gen SIEM, subscription Azure attiva e diritti necessari in Sophos Fusion/Azure. La sorgente preparata deve scrivere davvero i log nell’hub/container. Per l’integrazione generale servono diritti Admin/Super Admin adeguati; limitare i diritti Azure alle risorse e al deployment autorizzati.

La panoramica dei trasporti aiuta a scegliere. Non è un syslog collector su Azure né sostituisce automaticamente un’integrazione cloud o Microsoft 365 esistente.

Event Hubs: prerequisiti e accesso

Sono supportati Standard, Premium, Dedicated, non Basic. La guida Sophos attuale richiede un hub raggiungibile da Internet e cita tutti gli indirizzi IPv4. È un requisito architetturale rilevante per la sicurezza, non un invito generale a esporre hub privati. Se contrasta con le regole di rete, chiarire con responsabili e Sophos prima di cambiare il firewall.

Le categorie scelte devono già arrivare all’hub, ad esempio tramite diagnostica Azure Monitor. La sorgente determina i dati forniti; la connessione non abilita retroattivamente tutti gli audit.

1. In Azure aprire il Event Hubs namespace previsto e annotare Host name in Overview.
2. In Entities > Event Hubs aprire l’hub corretto e annotare Name, distinguendolo dal namespace.
3. Nell’hub aprire Settings > Shared access policies > Add e creare una policy dedicata.
4. Scegliere Listen. Il percorso di lettura non richiede ulteriori diritti di invio o gestione.
5. Aprire la policy e custodire Primary Connection String. Contiene un segreto; namespace, nome policy ed eventuale EntityPath devono corrispondere all’hub voluto.

Non copiare la stringa reale in ticket o KB. Documentare responsabile e rotazione supportata da Azure.

Collegare Event Hubs in Sophos Fusion

1. Aprire Security Operations > Integrations > Marketplace > Custom.
2. In Azure Event Hubs scegliere Set Up e un nome univoco in Add an integration.
3. Compilare Event Hubs Namespace Hostname, Event Hubs Name, Event Hubs Primary Connection String con i valori verificati.
4. Creare con Done e controllare Configured integrations.
5. Seguire un nuovo evento autorizzato fino all’hub e a Sophos: sorgente, tenant, ora e campi devono corrispondere.

Il consumer Sophos usa dinamicamente le partizioni disponibili fino a 200 partizioni, senza garanzia di throughput. Il gestore dimensiona l’hub. ServerBusyException in API Query Log può indicare un limite. Prima di aggiungere partizioni o consumer, verificare volume e capacità Azure; per aumentare i consumer paralleli Sophos rimanda al supporto. Ricreare ripetutamente l’integrazione non risolve la capacità.

Storage: percorso Blob e piano Function

Occorrono Storage Account, Blob Container con i log e piano Azure Function supportato. Isolated non è supportato. Sono documentati:

• Basic: B1, B2, B3.
• Dynamic: Y1.
• Premium: P0V3, P1MV3, P1V2, P1V3, P2MV3, P2V2, P2V3, P3MV3, P3V2, P3V3, P4MV3, P5MV3.

Elenco del 5 ottobre 2026: prima del deployment verificare piano offerto, regione, capacità e costi Azure. Il tier Event Hubs non determina il piano Function.

Data Source Key indica la cartella dove nascono i file nel container. Per MicrosoftInsights/2024-02-03/02hr/part=01/00004.json, Sophos mostra MicrosoftInsights. Usare il proprio prefisso, non ciecamente l’esempio o il nome completo del file. Un prefisso errato può escludere file utili o acquisire altri dati.

Distribuire Storage e Azure Function

1. Individuare account, container, prefisso e piano nel giusto account Azure. Provare prima l’esistenza di un oggetto di test recente nel percorso previsto.
2. In Sophos aprire Security Operations > Integrations > Marketplace > Custom, quindi Set Up sotto Azure Storage Accounts.
3. Inserire nome integrazione, Storage Account Name, Function App Name, Data Source Key. Il nome descrive lo scopo, ad esempio ApplicazioneLogsForwarder, senza sostituire la verifica delle risorse effettive.
4. Scegliere Azure Function Service Plan Type, Azure Function Service Plan Code, Azure Function Service Plan Num Workers. Default documentato 1, massimo 3 per Basic B2/B3. Aggiungere worker non è una riparazione universale.
5. Con Done generare AzureFunction.json, scaricato automaticamente. Proteggerlo e verificare risorse, permessi e costi prima di eseguirlo.
6. In Azure aprire il deployment di un template proprio, scegliere Build your own template in the editor, caricare AzureFunction.json, poi Save.
7. Selezionare/creare la Resource Group. Storage può stare in subscription o gruppo diversi dalla Function; modificare Storage Account Subscription ID e Storage Account Resource Group solo secondo tale differenza reale.
8. Verificare con Review + Create, poi Create dopo approvazione interna. Controllare deployment, Function creata e integrazione Sophos.

La sorgente deve continuare a scrivere nel container corretto. ARM riuscito non prova né tale percorso né inoltro. Non presumere ingestione retroattiva completa dei vecchi file: confermare separatamente lo storico voluto.

Validare il flusso e isolare gli errori

Sophos elenca Azure Commercial Cloud e gli ambienti documentati US Government/DoD/GCC/GCC-High. Non significa disponibilità automatica in ogni tenant/regione; verificare ambiente ed endpoint prima del deployment.

Documentare un nuovo evento innocuo per ciascun trasporto. Per Event Hubs controllare sorgente, stream, policy Listen e connessione; per Storage prima percorso Blob, poi deployment/errori Function. Solo dopo confrontare stato integrazione e ricerca confermata per la sorgente in Sophos.

I tipi supportati seguono la propria normalizzazione, altri possono arrivare in generic. La guida SIEM a parser e limiti di rilevamento spiega i controlli ulteriori. Verde, file o contatore Event Hubs non provano normalizzazione completa o detection. Se mancano solo alcuni eventi, esaminare categorie, tempi e campi prima di ampliare le credenziali.

Pianificare pausa e rimozione

Documentare le sorgenti che condividono hub, container, policy o Function. Fermare l’export con il metodo specifico supportato e verificarne l’esito. Non cancellare hub o Storage Account condivisi per ottenere una pausa.

Chiariti storico, prove, dipendenze e riavvio, rimuovere connessione dedicata, risorse inutili e segreti con le rispettive procedure. Cancellare la voce Sophos non garantisce eliminazione dei dati storici o fine di tutti i costi Azure. Dopo il ripristino verificare il vecchio percorso ancora necessario con un evento di test.