Sophos Next-Gen SIEM einordnen und Retention planen
Next-Gen SIEM ergänzt XDR und MDR um längere Datenaufbewahrung und Custom-Integrationen. Ein Quelleninventar und ein dokumentierter Pilot zeigen, ob …
Sophos SIEM
Sophos Next-Gen SIEM ergänzt XDR und MDR um längere Datenaufbewahrung und eigene Datenquellen. Die Anleitungen führen von der Planung über Collector und Transport zur Normalisierung und überprüfbaren Suche.
SIEM-Arbeitsabläufe
Vom Quelleninventar zum geprüften Ereignis
Zuerst Lizenz und Datenbedarf klären. Danach den passenden Datenweg einrichten und Transport, Feldzuordnung und gewünschte Auswertung getrennt abnehmen. XDR-/SIEM-Anleitungen bleiben auch in ihren bisherigen Produktkategorien erreichbar.
Planung, Lizenz und Aufbewahrung 1
Den Zusatznutzen gegenüber XDR und MDR einordnen. Datenmengen, Suchfenster, Retention und betriebliche Zuständigkeit vor der Anbindung festhalten.
Windows-, Netzwerk- und Cloud-Telemetrie 3
Gemeinsam für XDR und SIEM nutzbare Quellen mit dem richtigen Format und Collector aufnehmen. Die SIEM-Berechtigung hängt vom Ereignistyp ab.
Windows Event Logs an Sophos XDR und SIEM senden
Windows Event Log mit einem unterstützten Forwarder anbinden und Datenaufnahme nachweisen; Prozess-Command-Line und netflow-Lizenzgrenze richtig …
Netzwerk-Telemetrie über Sophos XDR Collector aufnehmen
Vier konkrete Syslog-Datenwege mit Formaten, Voraussetzungen, Zeitbezug, Abnahme und kontrolliertem Rückbau.
Cloud-Flow-Logs an Sophos XDR und SIEM anbinden
Vier konkrete Cloud-Datenwege erklären Einrichtung, Rechte, Formate und Abnahme. Die SIEM-Lizenzgrenze wird je Telemetrie-Schema geprüft.
Eigene Quellen transportieren 3
HTTP Ingest, die drei S3-Varianten oder Azure Event Hubs und Storage nach dem vorhandenen Quellweg auswählen und einzeln prüfen.
Sophos SIEM: Custom-Transport und HTTP Ingest einrichten
HTTP Ingest verbindet eine POST-fähige Logquelle mit Sophos Fusion. Auswahl, Secret-Aufbewahrung und Test unterscheiden Transport von brauchbaren …
Sophos SIEM: eigene und verwaltete S3-Quellen anbinden
Drei S3-Transportarten unterscheiden sich bei Besitz, Berechtigungen und Ownership-Nachweis. Die Anleitung trennt deren Einrichtung und Datenabnahme.
Sophos SIEM: Azure Event Hubs und Blob-Logs anbinden
Event Hubs und Blob Storage verwenden verschiedene Integrationswege. Die Anleitung erklärt Voraussetzungen, konkrete Parameter, Betrieb und Grenzen …
Parser, Suche und Praxisabnahme 2
Custom Parser mit passenden Schemas vorbereiten und Rohmeldung, Normalisierung und Suche kontrollieren. Ein Labbeispiel verbindet die Schritte.
Sophos SIEM Custom Parser erstellen, testen und betreiben
Ein funktionierender Logtransport liefert noch keine verwertbare Normalisierung. Dieses Runbook führt vom Quellenbeispiel über Schema und Test zur …
Sophos SIEM: HTTP Ingest und Parser an einem Beispiel prüfen
Eine kleine eigene JSON-Quelle macht Transport, Zeitstempel, Ergebniszuordnung und Suche getrennt prüfbar. Mit sicherem Secret-Umgang, Gegenproben und …
Den richtigen Einstieg wählen
Ein neuer SIEM-Pilot beginnt bei der Produkt- und Retention-Planung. Dabei hält man fest, welche Datenquelle welches Ereignis liefern soll und wer daraus eine Massnahme ableitet. Die Kategorien unten ordnen vorhandene Anleitungen nach diesem Arbeitsweg; sie ändern weder die Lizenzvoraussetzungen noch bestehende Artikel-URLs.
Collector und Custom-Transport erfüllen unterschiedliche Aufgaben. Für unterstützte Syslog-Quellen erklärt die Migration zum XDR Data Collector den Aufnahmeweg. Eine eigene POST-fähige Anwendung verwendet dagegen beispielsweise HTTP Ingest. Ein grüner Transportstatus bestätigt in keinem Fall die richtige Feldzuordnung oder eine Detection.
Das durchgängige HTTP-/Parser-Praxisbeispiel beschreibt eine synthetische Testquelle, Auth-Zuordnung, Suchabfrage und Rückbau. Für echte Daten müssen Quellformat, Parser und Erfolgskriterien in einem freigegebenen Pilot bestätigt sein.
Für die weitergehende Auswertung führt die Anleitung zu Data Lake Search durch Suche und Felder. Automatische Erkennung und selbst erstellte Regeln bleiben eine eigene Aufgabe; ihre Grenzen behandelt die Einordnung von Custom Rules. Ein normales Test-Login muss keinen Alarm auslösen.