Sophos Endpoint Data Collection und Live Discover

Die Data Collection and Investigation Policy steuert zwei voneinander unabhängige Funktionen: Live-Response-Verbindungen und den Upload von Endpoint-Telemetrie in den Sophos Data Lake. Live Discover verwendet anschliessend entweder aktuelle Daten eines verbundenen Geräts oder historische Daten aus dem Data Lake.

Die Funktionen benötigen Sophos EDR, XDR oder MDR. Live Response besitzt eigene Rechte und wird zusätzlich im separaten Response-Artikel behandelt.

Kurzablauf: Unter Threat Analysis Center > Live Discover zuerst die passende Data source wählen, dann Query category und Query festlegen. Bei einer Endpoint-Abfrage die Zielgeräte unter Devices bewusst eingrenzen und anschliessend Run Query wählen. Das Resultat ist erst belastbar, wenn Ergebniszeilen und Telemetry zur gewählten Quelle, zum Zeitraum und zu den erwarteten Geräten passen.

Live Endpoint oder Data Lake

Live-Endpoint-Abfragen basieren auf osquery und werden direkt auf den Zielgeräten ausgeführt. Data-Lake-Abfragen laufen gegen die von den Geräten hochgeladene Telemetrie, können geplant werden und greifen je nach Lizenz auf bis zu 30 beziehungsweise 90 Tage Daten zu.

Eine Data-Lake-Zeitspanne in Live Discover bestimmt den abgefragten historischen Bereich. Sie ist kein Ausführungsplan. Eine einzelne Query kann höchstens 30 Tage umfassen. Für 90 Tage werden mehrere abgegrenzte Abfragen verwendet.

Query auswählen und testen

Unter Threat Analysis Center > Live Discover stehen vorbereitete Endpoint- und Data-Lake-Queries bereit. Der Ablauf trennt dabei bewusst Quelle, Abfrage und Ziel:

1. Unter Data source entweder Endpoint für den aktuellen Zustand verbundener Geräte oder Data Lake für bereits hochgeladene historische Telemetrie wählen.
2. Unter Query category eine Kategorie und unter Query die gewünschte Abfrage auswählen. In den Query-Details prüfen, welche Betriebssysteme unterstützt werden und welchen System Impact Sophos für die Abfrage ausweist.
3. Bei einer Endpoint-Abfrage unter Devices zunächst ein einzelnes Pilotgerät auswählen. Falls nötig, Show filters verwenden und danach die Liste der ausgewählten Geräte aktualisieren. Bei einer Data-Lake-Abfrage stattdessen einen kurzen, bekannten Zeitraum festlegen.
4. Run Query wählen und das Ergebnis abwarten.

Eine neue oder geänderte Abfrage wird zuerst auf einem einzelnen Pilotgerät beziehungsweise einem kurzen Data-Lake-Zeitraum getestet. Erwartet werden Ergebniszeilen, die zum gewählten Gerät oder Zeitraum passen. Unter Telemetry wird zusätzlich kontrolliert, ob das Ziel geantwortet hat, wie hoch System Impact war und welches Datenvolumen übertragen wurde. Bleibt das Resultat leer, zuerst Data source, Zeitraum, unterstütztes Betriebssystem und bei Endpoint-Abfragen den Verbindungsstatus des Geräts prüfen. Bei einer Data-Lake-Abfrage zusätzlich kontrollieren, ob der Upload über My Products > Endpoint > Policies > Data Collection and Investigation beziehungsweise bei Servern über My Products > Server aktiviert ist.

Designer Mode erlaubt eigene osquery- beziehungsweise SQL-Abfragen. Sophos Support unterstützt vorgefertigte Sophos-Queries und den Datenpfad, aber nicht die fachliche Entwicklung beliebiger Custom Queries. Dafür stehen Community und Professional Services zur Verfügung.

Die Query-Ergebnisse bieten Pivots, Enrichments und Actions. Ein verdächtiger SHA-256 kann so in eine weitere Abfrage, eine Intelix- beziehungsweise VirusTotal-Prüfung, einen Threat Graph oder Live Response übergehen.

Wer DNS-Protection-Daten abfragt, findet die Auswahl DNS Protection, das zugehörige Data-Lake-Schema und die DNS-spezifische Prüfung in Sophos DNS Protection Reports und Live Discover auswerten.

Data-Lake-Upload steuern

Der Upload ist für Endpoint Protection standardmässig aktiviert. Unter My Products > Endpoint > Policies > Data Collection and Investigation kann er für Gruppen eingeschränkt werden.

Ein Abschalten reduziert verfügbare Detections und historische Investigation. Eine Event-Collection-Ausnahme wird nur auf Anweisung von Sophos Support verwendet, weil sie Telemetrie und damit Erkennungs- oder Untersuchungsmöglichkeiten reduziert.

Nach der Aktivierung kann der Netzwerkverkehr vorübergehend steigen. Für kleine Leitungen oder sensible Segmente wird die Änderung deshalb in einer Pilotgruppe beobachtet.

Event Journals auf dem Gerät

Sophos speichert Event Journals lokal auf Windows-, macOS- und Linux-Geräten. Sie liefern Daten für Endpoint-Queries. Eine feste Aufbewahrungsdauer gibt es nicht; sie hängt von Plattform, Aktivität und konfiguriertem Speicher ab.

Unter Global Settings > Products and Services > Endpoint and Server > Event Journals kann die maximale Grösse zwischen 300 und 30'000 MB festgelegt werden. Standard sind 5'250 MB. Optional lässt sich zusätzlich ein Prozentsatz des Datenträgers begrenzen. Gilt beides, verwendet Sophos den kleineren Wert.

Die zentrale Konfiguration dieser Grössenlimits steht nur mit einer XDR-, MDR- oder MDR-Plus-Lizenz zur Verfügung. Die lokalen Event Journals existieren trotzdem auf geschützten Windows-, macOS- und Linux-Geräten; ohne passende Lizenz lassen sich ihre Grenzwerte jedoch nicht tenantweit anpassen.

Die Einstellung gilt für alle betroffenen Geräte und lässt sich nicht pro Endpoint abweichend setzen. Eine Reduktion verwirft möglicherweise vorhandene Journal-Daten und verkürzt den Untersuchungszeitraum.

Aufbewahrung und Speicherlimits

XDR speichert Data-Lake-Daten bis zu 90 Tage, EDR bis zu 30 Tage. Das optionale Paket Central Data Storage – 1 yr erweitert auf ein Jahr. Die Zeit ist ein Maximum; bei ausgeschöpftem Speicherpool werden ältere Daten früher entfernt.

Pro Gerät können höchstens 2 GB pro Tag hochgeladen werden. Ist das Limit erreicht, pausiert der Upload bis zum Reset. Unter Windows erfolgt dieser um Mitternacht lokaler Zeit, unter Linux alle 24 Stunden nach dem Start des XDR-Agenten. Nicht hochgeladene Daten werden später nicht nachgeliefert, bleiben aber für eine direkte Endpoint-Abfrage verfügbar.

Der Endpoint-Pool umfasst durchschnittlich 20 MB pro Lizenz und Tag. Bei dauerhafter Überschreitung sinkt die praktisch verfügbare Historie. Ein Tenant mit formal 90 Tagen kann daher weniger abfragbare Daten besitzen.

Verursacher eines täglichen Upload-Limits finden

Das Ereignis Data Lake uploads stopped because the daily limit reached erscheint auf Windows-Endpoints sowie Windows- oder Linux-Servern. Geplante Hydration Queries auf dem einzelnen Gerät erzeugen diese Uploads. Für XDR und MDR gilt jeweils ein Tageslimit von 2 GB pro Gerät. Nach Erreichen des Limits werden bis zum nächsten Tag keine weiteren Hydration-Query-Daten hochgeladen; dann wird das Kontingent zurückgesetzt und die geplanten Queries laufen bis zum Tagesende oder bis zum erneuten Erreichen des Limits weiter.

Um die Hydration Query mit dem grössten Upload-Volumen zu finden, meldet man sich bei Sophos Fusion (ehemals Sophos Central) an und öffnet Threat Analysis Center > Live Discover. Designer Mode einschalten, Create a new query wählen, einen Namen eingeben und Data Lake als Source setzen. Unter Show variable editor erhalten die Variablen beschreibende Namen und die Typen Device Name und Date. Als Werte dienen der betroffene Gerätename und das Untersuchungsdatum im Format YYYY-MM-DD; danach wird diese Query ausgeführt:

SELECT
  query_name,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
  AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Alternativ ordnet diese Query ohne Variablen alle hochladenden Geräte und Queries pro Tag. Das Beispieldatum wird vor der Ausführung ersetzt:

SELECT
  query_name,
  meta_hostname,
  date_trunc('day', ingestion_timestamp) AS date,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Das grösste Resultat zeigt die zu untersuchende Hydration Query, nicht automatisch einen zu blockierenden Prozess. Im aktuellen Sophos Data Lake Schema Viewer wird geprüft, welche Resultatspalten diese Query befüllt; danach wird nach einer geeigneten Spalte gruppiert. Ist beispielsweise running_processes_windows_sophos am grössten, lässt sich ihr Volumen nach Prozesspfad aufschlüsseln:

SELECT
  path,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
  AND meta_hostname = '$$hostname$$'
  AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Im Sophos-Beispiel lieferte diese Hydration Query etwa 72 MB; ein gestarteter Prozesspfad verursachte mehr als 50 Prozent ihres täglichen Uploads. Die konkreten Prozessnamen waren ausgeblendet, weil sie umgebungsspezifisch sind. Ist die dominante Aktion bekannt, können Constraints ergänzt oder weitere befüllte Spalten wie Command Line, Benutzername oder Parent Process untersucht werden. So lässt sich eine Änderung oder Korrektur zur Reduktion des Resultatvolumens finden. Vor Änderungen oder Blockierungen werden Ursache, Legitimität und mögliche Fehlkonfiguration geprüft.

Guardrails

Sophos begrenzt Queries, um Endpoints und Tenant zu schützen:

• UI: höchstens 15 Queries pro Minute,
• geplante und API-Queries zusammen: 1'000 pro Tag und 10 pro Minute,
• Endpoint-Watchdog: Abbruch bei mehr als 30 Prozent CPU für 12 Sekunden oder mehr als 256 MB RAM,
• maximal 10 MB Antwortdaten pro Gerät und Query,
• maximal 1 MB pro Zeile,
• maximal 100'000 Zeilen aus allen antwortenden Geräten.

Ein leeres Resultat kann deshalb auch durch eine überschrittene Zeilengrösse entstehen. Telemetry unter dem Query-Ergebnis zeigt Status, System Impact und übertragenes Datenvolumen pro Gerät.

Query cancelled systematisch eingrenzen

Query cancelled ist kein HAFNIUM-spezifischer Fehler. Unter Windows kann eine Live Query wegen des Arbeitsspeicher-Watchdogs abbrechen. Im SophosLiveQueryService.log wird zuerst der Query-Name und der eigentliche Ressourcenfehler ermittelt. Danach reduziert man den abgefragten Zeitraum, beispielsweise von 15 auf 7 Tage, und testet erneut auf einem einzelnen Gerät. Bleibt der Fehler bestehen, wird der Zeitraum weiter verkürzt oder die Query fachlich enger gefiltert.

Nach einem Downgrade von Sophos Core Agent 2025.2 auf eine ältere LTS- oder FTS-Version kann SophosOsquery.exe wegen geänderter File Attestation nicht starten. Das Log enthält dann Exception whilst running LiveQueryRunner. In diesem klar abgegrenzten Fall ist ein Neustart des Geräts erforderlich; ein Umschreiben der Query behebt die Versionsgrenze nicht.

AI Search

AI Search erzeugt Data-Lake-Abfragen aus natürlicher Sprache. Detections und Windows-Endpoint-Daten können ohne eigene SQL-Syntax durchsucht werden. Die Ergebnistabelle zeigt höchstens 1'000 Treffer.

Auch hier beginnt die Suche mit wenigen Stunden oder einem Tag. Grosse Zeitbereiche können langsam werden oder abbrechen. Die generierte SQL-Abfrage wird kontrolliert, bevor das Ergebnis als vollständig bewertet wird.

Eigene Kategorien und geplante Abfragen

Wiederverwendbare Queries werden in klar benannte eigene Kategorien eingeordnet. Beschreibung, unterstützte Betriebssysteme, Datenquelle, Variablen und erwartete Ausgabe gehören zur Query-Dokumentation. Eine kopierte Abfrage wird nicht als vertrauenswürdig betrachtet, nur weil sie SQL syntaktisch korrekt ausführt. Sophos rollt eigene Kategorien schrittweise aus; die Funktion ist daher möglicherweise noch nicht in jedem Tenant sichtbar.

Geplante Queries eignen sich für wiederkehrende Hypothesen und Kontrollen und stehen nur für Data-Lake-Queries zur Verfügung. Frequenz, Tag, Enddatum und abgefragter Zeitraum werden bewusst gesetzt. Pro Admin können höchstens 100 Queries beziehungsweise Berichte dieses gemeinsamen Formats aktiv geplant sein. Zu breite oder sehr häufige Queries können zusätzlich die allgemeinen Query-Limits erreichen und grosse Mengen personenbezogener Telemetrie erzeugen.

Betrieb und Datenschutz

Data-Lake-Telemetrie und Live Discover können Prozessnamen, Kommandozeilen, Benutzer, Datei-Hashes, IP-Adressen und weitere Betriebsdaten enthalten. Rollen, Zweck, Aufbewahrung und Export werden deshalb dokumentiert.

Query-Kategorien ordnen häufig verwendete Abfragen. Das Löschen einer eigenen Kategorie löscht die enthaltenen Queries nicht; sie bleiben unter All Queries beziehungsweise weiteren Kategorien verfügbar.

Verwandte Artikel

Isolation und Live Response erklärt Sophos Endpoint isolieren und mit Live Response prüfen. Die anschliessende Bewertung von Detections und Threat Graphs behandelt Sophos Endpoint XDR: Investigation und Threat Graph.

Häufige Fragen