Sophos Next-Gen SIEM: wanneer volstaat XDR of MDR niet?

Een verdachte toegang wordt pas maanden later ontdekt. Nu moet de IT-afdeling uitzoeken welke accounts betrokken waren, welke systemen werden bereikt en of de gebeurtenissen samenhangen. Een overzichtelijk dashboard helpt weinig als de relevante gegevens al zijn verwijderd of nooit zijn binnengekomen.

Sophos Next-Gen SIEM breidt XDR en MDR uit met aanvullende gegevensopname, analyses en langere bewaring. Dat kan een werkelijke leemte opvullen. Het kan echter ook een extra licentie worden voor gegevens waarvan niemand vooraf het nut heeft bepaald.

Wat is een SIEM en wat komt hier bij?

SIEM staat voor Security Information and Event Management. Een SIEM verzamelt gebeurtenisregistraties, kortweg logs, uit verschillende IT-systemen op één centrale plek. Voorbeelden zijn aanmeldingen in Microsoft Entra ID, verbindingen op de firewall, waarschuwingen van endpointbescherming en wijzigingen aan servers of toepassingen. Een log legt vast wat wanneer op welk systeem is gebeurd en welk account of apparaat daarbij betrokken was.

Gegevens verzamelen en begrijpelijk maken

Elk product logt op een andere manier. Een firewall beschrijft een verbinding met bronadres, bestemming en handeling; een identiteitsdienst registreert bijvoorbeeld de gebruiker, het aanmeldtijdstip en het resultaat. Het SIEM leest de aangeleverde gegevens in en koppelt relevante velden aan een gemeenschappelijk schema. Deze normalisatie maakt gebeurtenissen uit verschillende bronnen gezamenlijk doorzoekbaar. Dat werkt alleen als de benodigde informatie in de oorspronkelijke log aanwezig is.

Verbanden herkennen en onderzoeken

De werkelijke meerwaarde ontstaat wanneer afzonderlijke gebeurtenissen met elkaar kunnen worden verbonden. Op meerdere mislukte aanmeldingen volgt bijvoorbeeld een geslaagde aanmelding van hetzelfde account. Kort daarna krijgt dat account extra rechten en maakt het verbinding met een server. Elke gebeurtenis afzonderlijk kan verklaarbaar zijn; de opeenvolging verdient onderzoek.

Detectieregels en correlaties kunnen zulke combinaties onder de aandacht brengen en waarschuwingen activeren. Analisten onderzoeken vervolgens of er sprake is van een aanval, ongepast gedrag of een legitieme handeling. Daarvoor doorzoeken ze de gegevens, filteren ze op accounts of apparaten en reconstrueren ze het tijdsverloop. Valse meldingen moeten worden beoordeeld en regels moeten op de omgeving worden afgestemd. Een SIEM begrijpt niet automatisch elk bedrijfsproces.

Bewaren, analyseren en reageren

De opgeslagen logs helpen ook wanneer een vermoeden pas later ontstaat. Rapporten tonen bijvoorbeeld aanmeldpatronen, wijzigingen in rechten of hiaten in de gekoppelde bronnen. Hoe ver een onderzoek terug kan gaan, hangt af van de daadwerkelijk verzamelde gegevens en de bewaartermijn daarvan.

Een waarschuwing stopt nog geen aanval. Het blokkeren van een account of isoleren van een apparaat vereist een passende response-integratie, rechten en een vastgelegde procedure. Geautomatiseerde reacties zijn mogelijk als de gebruikte oplossing en de gekoppelde systemen die ondersteunen en ze zijn ingesteld. Anders moet de verantwoordelijke persoon ingrijpen.

Waar Sophos Next-Gen SIEM aansluit

Sophos integreert deze functies in Sophos Fusion, voorheen Sophos Central. Welke bronnen, analyses en reacties beschikbaar zijn, hangt af van de afgenomen producten en ingestelde integraties.

XDR verbindt beveiligingsgegevens voor detectie en onderzoek. MDR voegt een beheerde dienst met analisten en afgesproken responsactiviteiten toe. Next-Gen SIEM vergroot de gegevensbasis en maakt deze over langere perioden bruikbaar. Een XDR-licentie betekent nog geen analistendienst die dag en nacht werkt; wie MDR heeft, krijgt met een SIEM-licentie niet automatisch elke denkbare analyse als nieuwe dienstverlening.

De technische uitleg in onze KB helpt bij de planning. Vóór aanschaf moet er een concrete vraag zijn die met de bestaande XDR-/MDR-functionaliteit niet betrouwbaar kan worden beantwoord.

Wanneer is aanvullende gegevensopslag zinvol?

Een voorbeeld zijn identiteitsincidenten die lang geleden plaatsvonden. Daarvoor zijn mogelijk aanmeldregistraties, wijzigingen in rechten en bijbehorende firewallgebeurtenissen nodig. Alle drie de bronnen moeten daarvoor zijn gekoppeld, de benodigde velden leveren en gedurende de relevante periode worden bewaard. Een extra jaar endpointtelemetrie vervangt geen ontbrekende aanmeldgebeurtenissen.

Een tweede toepassing is bewijsvoering tegenover interne auditors of klanten. Vooraf ingerichte analyses kunnen helpen om gebeurtenissen en dekking begrijpelijk te tonen. Een compliancedashboard verstrekt echter geen certificering en voldoet niet automatisch aan voorschriften. De organisatie moet inhoudelijk bepalen welke gegevens hoelang nodig zijn en dit toetsen aan haar eisen.

Ik zou daarom beginnen met twee of drie echte onderzoeksvragen. Kunnen eerdere toegangen van een vertrokken dienstverlener bijvoorbeeld worden nagegaan? Kunnen wijzigingen in geprivilegieerde accounts over de benodigde periode worden getoond? Pas daaruit volgen bronnen, velden, bewaartermijnen en kosten.

Wat betekent ‘tot tien jaar’?

De technische beheerdershelp van 1 oktober 2026 noemt 13 maanden standaardbewaring en uitbreidingen naar drie, vijf, zeven of tien jaar. De huidige Sophos-productpagina noemt daarentegen één jaar. Op 28 oktober is deze afwijking niet eenduidig verklaard. Voor de technische positionering houden we de 13 maanden uit de productspecifieke beheerdershelp aan; de bindende termijn voor de eigen tenant en benodigde gegevens moet desondanks in de offerte zijn bevestigd.

‘Tot tien jaar’ betekent niet dat dit standaard is inbegrepen. Onze KB over retentieplanning maakt onderscheid tussen de uitspraken van de fabrikant, de bestelde bewaartermijn en het latere bewijs. Wie meer dan twaalf maanden historie nodig heeft, moet die extra periode vóór aanschaf expliciet verduidelijken.

Even belangrijk: een bron die vandaag wordt ingesteld, levert niet automatisch ontbrekende gebeurtenissen uit het verleden alsnog aan. Voor de onderzoeksperiode telt vanaf wanneer de gegevens daadwerkelijk zijn verzameld. Bij een migratie moet daarom duidelijk zijn wat er met de bestaande logs gebeurt en hoelang ze toegankelijk blijven.

Bewaring is bovendien niet hetzelfde als herstel. Een SIEM vervangt geen back-up van bedrijfsgegevens. Ook na een goed gedocumenteerd incident zijn werkende back-ups nodig om getroffen toepassingen weer in gebruik te nemen.

Hoe komen de juiste gebeurtenissen binnen?

Sophos biedt productintegraties en mogelijkheden voor eigen gegevensbronnen. Een bron in de catalogus betekent echter nog niet dat de gewenste gebeurteniscategorie in de tenant binnenkomt. Licentie, API-toegang, connector en daadwerkelijk geleverde velden moeten op elkaar aansluiten. Onze handleiding voor MDR-/XDR-integraties beschrijft de operationele controle.

Bij een eigen toepassing moet bijvoorbeeld vaststaan welk formaat deze verstuurt, hoe gebruikers en tijdstempels worden gekoppeld en of de doorslaggevende handelingen überhaupt worden gelogd. Een technisch leesbaar record zonder eenduidige identiteit kan voor onderzoek toch onbruikbaar zijn. Een parser ondersteunt de koppeling, maar maakt geen gebeurtenissen aan die het bronsysteem nooit heeft geleverd.

De Syslog-koppeling van een Sophos Firewall is een voorbeeld van de transportroute. Een geslaagde verzending bewijst in eerste instantie alleen dat het transport werkt. Voor acceptatie moet een bekende testgebeurtenis met het juiste tijdstip, systeem en de juiste handeling in de analyse verschijnen en gedurende de beoogde periode terug te vinden blijven.

Wat kost Next-Gen SIEM werkelijk?

De add-on is bedoeld voor XDR- of MDR-klanten en wordt per gebruiker en server gelicentieerd. Volgens het Sophos-licentiebeleid moet het aantal aansluiten op het totale aantal bijbehorende XDR-/MDR-abonnementen. Alleen beheerders of een kleine pilotgroep meetellen levert dus geen volledige berekening op.

Sophos presenteert het model zonder volumeafhankelijke ingestionkosten. Dat betekent dat de prijs niet zoals bij een klassiek model per ingelezen gigabyte wordt berekend. Het betekent geen onbeperkte gegevensopname: het licentiebeleid noemt een grens van 1 GB ruwe gegevensopname per dag over alle gegevensbronnen; hoe deze grens op het afgenomen aantal wordt toegepast, moet ondubbelzinnig in de offerte worden vastgelegd.

De totale prijs omvat ook gewenste uitbreidingen van de bewaartermijn, eventuele licenties van gegevensbronnen, inrichting en doorlopend beheer. Voor een bruikbare vergelijking moet een offerte dezelfde gegevensomvang en bewaartermijn dekken als het alternatief.

Wie onderzoekt de verzamelde gegevens?

Een SIEM vereist bewaking van bronnen, onderhoud van veldtoewijzingen en mogelijkheden voor analyses. Als een integratie uitvalt, mag dat niet pas bij een incident blijken. Iemand moet weten welke gegevens het laatst wanneer binnenkwamen en welke wijzigingen aan het bronsysteem de gegevensstroom beïnvloeden.

Met MDR zijn er al analisten voor de afgesproken beveiligingsdienst. Daaruit volgt echter geen algemene afhandeling van elk compliancerapport of elke eigen gegevensbron. Vóór uitbreiding moet duidelijk zijn welke aanvullende gegevens Sophos binnen de afgenomen dienst onderzoekt en welke analyses bij de eigen IT blijven. Een gezamenlijke gegevensopslag heft deze grenzen aan verantwoordelijkheden niet op.

Wanneer zou ik de add-on aanschaffen?

Als het benodigde onderzoek of de vereiste bewaring met de bestaande functionaliteit niet mogelijk is, kan Next-Gen SIEM zinvol zijn. Een pilot moet een representatieve bron, een concrete vraag en een aangewezen verantwoordelijke hebben. Het resultaat is een navolgbare analyse waarvan de volledigheid van de gegevens en de benodigde inspanning bekend zijn.

Wie nu al niet op actuele waarschuwingen reageert, heeft weinig aan uitsluitend langere opslag. Eerst moeten de verantwoordelijkheden en bestaande controles werken. Ik zou de add-on aanschaffen wanneer die een benoemde leemte opvult, en niet alleen omdat ‘meer logs’ als meer veiligheid klinkt.

Veelgestelde vragen