Monitorare e mantenere Sophos XDR Data Collectors

I Sophos XDR Data Collectors si monitorano in Security Operations > Integrations > Data Collectors. Un collaudo operativo affidabile verifica tre livelli: collector raggiungibile, sorgenti previste che inviano ed eventi ricevuti correttamente dal backend. Lo stato Online risponde solo a una parte di queste verifiche.

La guida riguarda collector già implementati. Il runbook di migrazione spiega la sostituzione dei vecchi SVA Log Collectors e il deployment locale. Per nuove istanze AWS, Azure o GCP seguire la guida cloud. Non installare ulteriori programmi di terzi sugli appliance.

Verificare insieme stato e sorgenti

Nella vista tabella o schede individuare il collector corretto per nome, piattaforma e tenant. Gli stati significano:

Online: Il collector ha comunicato; le applicazioni sono distribuite e funzionano correttamente.
Warning: Alcune applicazioni non hanno comunicato recentemente o non sono state distribuite correttamente.
Offline: Un collector precedentemente implementato non ha comunicato recentemente.
Provisioning: Il collector non è ancora implementato.

Last Log Seen indica ricezione nell’ultima ora. N/A significa nessuna segnalazione in quell’ora. Può essere normale per una sorgente volutamente silenziosa; per un firewall attivo occorre indagare. Un altro host che invia può far sembrare il collector attivo anche se manca una singola sorgente importante.

Aprire il collector e confrontare in Summary > Current Data Sources quantità di sorgenti sane, in avviso e senza dati. Un clic sulla metrica apre l’elenco filtrato. In Health, grafico di ingresso e tabella syslog mostrano chi invia realmente. Il periodo predefinito è un’ora, estendibile fino a 30 giorni per confrontare attività precedente e interruzione attuale.

Total Events descrive gli eventi raccolti dal collector nelle ultime 24 ore. Data Usage mostra invece l’utilizzo del tenant nel mese corrente e non va attribuito al solo collector. Per inventario esterno usare Actions > Export All as CSV. Controllare stato e download in Data Exports.

Per collaudare una sorgente, correlare un evento previsto e autorizzato con sistema e ora e verificarlo tramite il percorso di ricerca XDR adatto. L’attività in ingresso non dimostra normalizzazione corretta né detection. Il runbook Custom Parser tratta formati e parser.

Interpretare backlog e throughput

In Performance, selezionare lo stesso periodo delle sorgenti. Backlog Age è l’età del file più vecchio in attesa di invio al backend; Backlog Count è il numero di file in coda. Sophos raggruppa e comprime prima dell’invio; questi valori non indicano direttamente quanti log sono persi.

Sono possibili singoli picchi brevi, tipicamente inferiori a un minuto sotto carico elevato. Conta di più la tendenza: se età e quantità crescono continuamente o durante l’orario di lavoro e calano solo di notte, elaborazione o invio non tengono il passo. Esaminare insieme banda in uscita, QoS, proxy e carico. Un riavvio non spiega né risolve un deficit persistente di capacità.

Ingress / Egress mostra byte ricevuti e inviati sull’interfaccia primaria. Più traffico in entrata non è automaticamente un errore, grazie alla compressione. Se aumenta il backlog e l’egress raggiunge un plateau, controllare uplink e limiti. Registrare MIN, MAX, AVG e LAST con periodo e sorgenti interessate, non solo uno screenshot isolato.

Il collector dispone di uno spool di 200 GB per ritardi o interruzioni temporanei. Non è un buffer illimitato né sostituisce la retention SIEM. Anche l’indicazione fino a 200.000 EPS riguarda solo sistemi adeguatamente configurati e non garantisce ogni VM o collegamento. Individuare il vero collo di bottiglia prima di cambiare risorse per una coda in crescita continua.

Impostare finestre di manutenzione in UTC

Gli aggiornamenti ordinari sono automatici, solitamente ogni 24 ore se il collector è connesso e sano. Service maintenance comprende modifiche maggiori come aggiornamenti OS o kernel e può richiedere riavvio. Una finestra preferita settimanale non significa manutenzione ogni settimana.

Aprire Maintenance nella pagina dettagli:

In Maintenance Window, scegliere giorno e ora iniziale in UTC. Controllare separatamente l’ora locale, inclusa l’ora legale.
Scegliere una durata di due–sei ore, preferendo basso carico e personale disponibile.
Salvare con Submit Update e rileggere la finestra mostrata.
Verificare separatamente interventi già pianificati in Logs > Upcoming. Cambiare poi la preferenza non li sposta.

Una manutenzione futura può essere rinviata una volta alla settimana successiva tramite checkbox e Defer Maintenance. Pending, Download Ready, Upgrade Ready, Upgrade Running e Upgrade Running Rebooting indicano il progresso. In History, controllare Complete o Failed, orari ed esito. Se il collector non è sano o raggiungibile al momento stabilito, la manutenzione non parte.

Prima dell’intervento conoscere sorgenti, buffering e meccanismi di ritrasmissione. Un riavvio può interrompere l’invio dei log. Neanche TCP, da solo, garantisce che l’applicazione mittente conservi e ritrasmetta tutto; UDP comporta il relativo rischio di perdita. Verificare poi eventi recenti e lacune per sorgente. Sophos consiglia il Support se il collector resta irraggiungibile oltre 30 minuti dal riavvio.

Iniziare con Admiral in lettura

Admiral è la console testuale locale. On-premises si apre dalla console VM. In AWS aprire l’istanza EC2 e Actions > Monitor and troubleshoot > EC2 serial console > Connect; servono i relativi permessi AWS autorizzati. In Azure, Serial console è sotto Help della VM; in GCP, Connect to serial console nei dettagli. Chiarire accessi disabilitati col responsabile cloud anziché aggiungere spontaneamente privilegi o nuovi canali remoti.

Al prompt, help, completamento Tab e ? mostrano la sintassi disponibile. Ctrl-C apre una nuova riga senza eseguire un comando iniziato. Secondo Sophos, i seguenti comandi show leggono lo stato senza generare traffico:

show system info
show network
show routes
show date
show ntp status
show disk
show memory
show uptime

Confrontare identità, rete, rotte, ora, dischi e risorse con l’atteso. Le uscite diagnostiche possono includere informazioni interne; ripulirle prima di archiviarle. Confrontare i comandi con la guida della build installata prima di usarli.

I comandi run possono invece agire e creare connessioni. La diagnostica mirata autorizzata include run dns check, run ntp check, run tunnel check e run e2e check. run dns check with verbose output offre più dettaglio DNS. Non autorizza tutte le azioni: run reboot e run shutdown pianificano riavvio o spegnimento dopo un minuto. I comandi del menu maintenance, come riavvii di servizi, appartengono a un intervento concordato, non alla prima diagnosi di sola lettura.

Modificare la configurazione e preparare il redeployment

Actions > Edit Collector Configuration è disponibile solo su un collector in funzione, sano e Ready. Prima del salvataggio annotare valori precedenti, modifiche di rete, sorgenti e percorso di redeployment. Una variazione può rendere il collector irraggiungibile.

Dopo l’invio un banner mostra la modifica pendente; non è possibile modificare di nuovo fino alla conclusione. Sophos testa la connessione e tenta di ripristinare la configurazione precedente in caso di errore. Anche questo rollback automatico può fallire, ad esempio durante modifiche di rete simultanee. Può allora servire un nuovo deployment. Confermare un banner positivo anche con stato, sorgenti e ricerca.

Salvare poi i file aggiornati tramite Actions > Download Collector Files. Per il cloud aggiornare anche template o deployment Terraform, così che sostituire l’istanza non ripristini la vecchia configurazione. Sul collector locale già attivo non occorre rimontare la nuova ISO; conservarla per futuro redeployment.

Actions > Delete non è un’azione diagnostica per un collector offline. Prima di dismetterlo, spostare sorgenti, dimostrare eventi recenti sul sostituto e chiarire ritorno e retention. Per il Support raccogliere identità collector/tenant, periodo, sorgenti, stato e uscite Admiral ripulite. Credentials, configurazioni complete e dati personali superflui non devono finire in ticket pubblici.