Comprendere Sophos Next-Gen SIEM e pianificare la conservazione
Next-Gen SIEM aggiunge a XDR e MDR una conservazione dei dati più lunga e integrazioni personalizzate. Un inventario delle fonti e un progetto pilota …
Sophos SIEM
Sophos Next-Gen SIEM estende XDR e MDR con conservazione più lunga e fonti personalizzate. Le guide conducono dalla pianificazione, attraverso collector e trasporto, alla normalizzazione e alla ricerca verificabile.
Flussi di lavoro SIEM
Dall'inventario delle fonti all'evento verificato
Chiarire prima licenza ed esigenze sui dati. Poi configurare il percorso adatto e accettare separatamente trasporto, associazione dei campi e analisi desiderata. Le guide XDR/SIEM restano raggiungibili anche nelle categorie di prodotto precedenti.
Pianificazione, licenza e conservazione 1
Valutare il beneficio aggiuntivo rispetto a XDR e MDR. Registrare volumi, finestre di ricerca, conservazione e responsabilità operative prima del collegamento.
Telemetria Windows, di rete e cloud 3
Acquisire fonti condivise tra XDR e SIEM con formato e collector corretti. Il diritto SIEM dipende dal tipo di evento.
Inviare Windows Event Log a Sophos XDR e SIEM
Collegare Windows Event Log con un forwarder supportato e verificare i dati; distinguere command line di processo e licenza netflow.
Acquisire telemetria di rete con un collector Sophos XDR
Quattro percorsi syslog concreti con formati, prerequisiti, riferimenti temporali, collaudo e rimozione controllata.
Collegare i flow log cloud a Sophos XDR e SIEM
Quattro percorsi cloud concreti con configurazione, permessi, formati e collaudo. Verificare il requisito SIEM per ogni schema di telemetria.
Trasportare fonti personalizzate 3
Scegliere HTTP Ingest, le tre varianti S3 oppure Azure Event Hubs e Storage secondo il percorso sorgente esistente e verificarli singolarmente.
Sophos SIEM: scegliere il trasporto e configurare HTTP Ingest
HTTP Ingest collega una sorgente capace di POST a Sophos Fusion. Scelta, protezione dei segreti e test distinguono il trasporto dagli eventi …
Sophos SIEM: collegare bucket S3 propri o gestiti
I tre trasporti S3 differiscono per proprietà, permessi e verifica del possesso. La guida separa configurazione e accettazione dei dati.
Sophos SIEM: collegare Azure Event Hubs e log Blob
Event Hubs e Blob Storage usano integrazioni diverse. La guida illustra prerequisiti, parametri, gestione e limiti di entrambi i percorsi.
Parser, ricerca e accettazione pratica 2
Preparare Custom Parser con schemi appropriati e controllare messaggio grezzo, normalizzazione e ricerca. Un esempio pratico collega i passaggi.
Creare, testare e gestire i Custom Parser di Sophos SIEM
Il trasporto dei log funzionante non garantisce una normalizzazione utile. La guida parte dagli esempi della sorgente e dallo schema, passando per i …
Sophos SIEM: verificare HTTP Ingest e parser con un esempio
Una piccola fonte JSON permette di verificare separatamente trasporto, timestamp, mappatura degli esiti e ricerca. Con gestione sicura dei segreti, …
Scegliere il punto di partenza corretto
Un nuovo pilota SIEM parte dalla pianificazione di prodotto e conservazione. Si registra quale fonte deve fornire quale evento e chi ne ricava un’azione. Le categorie seguenti organizzano le guide esistenti secondo questo percorso; non modificano né i prerequisiti di licenza né gli URL degli articoli esistenti.
Collector e trasporto personalizzato svolgono compiti diversi. Per fonti Syslog supportate, la migrazione a XDR Data Collector spiega il percorso di acquisizione. Un’applicazione propria capace di POST usa invece, ad esempio, HTTP Ingest. Uno stato di trasporto verde non conferma in nessun caso la corretta associazione dei campi o un rilevamento.
L’esempio pratico completo HTTP/parser descrive una fonte di test sintetica, mappatura Auth, query e rimozione. Per dati reali, formato sorgente, parser e criteri di successo devono essere confermati in un pilota approvato.
Per l’analisi successiva, la guida Data Lake Search descrive ricerca e campi. Rilevamento automatico e regole personalizzate restano compiti separati; la guida alle Custom Rules ne spiega i limiti. Un normale login di test non deve necessariamente generare un allarme.