MDR- en XDR-integraties instellen in Sophos Fusion

Met integraties brengt Sophos Fusion (voorheen Sophos Central) telemetrie van Sophos- en externe producten samen in het Sophos Data Lake of stelt het gerichte Response Actions beschikbaar. Het is essentieel om het juiste integratietype te kiezen: Data Ingest levert gegevens voor queries, detections en onderzoeken; Response Action voert een actie uit in het gekoppelde product. Niet elk product ondersteunt beide richtingen.

Het beginpunt hangt af van de productversie van de tenant. Voor de uitgebreide XDR-/MDR-oplossing geldt Security Operations > Integrations > Marketplace; bestaande Classic-configuraties staan in Threat Analysis Center > Integrations. De hieronder behouden TAC-instructies beschrijven deze Classic-route en zijn geen identieke klikprocedure voor de nieuwe interface. De upgradecontrole per tenant helpt bij het onderscheid. Zichtbare Fusion-namen alleen bewijzen geen afgeronde productupgrade.

In het Endpoint-onboardingtraject sluit dit artikel de productoverstijgende integratiefase tussen de beveiligingsconfiguratie en de operationele acceptatie af.

De praktische werkwijze is: controleer de licentie en het bronsysteem, kies in de Marketplace de juiste producttegel en configuratie, breng de verbinding met zo weinig mogelijk machtigingen tot stand, controleer deze onder Configured en valideer ze met een verwachte testgebeurtenis. Beschouw de integratie pas daarna als productief.

Verbinding en werkelijke datastroom afzonderlijk controleren

Open in de huidige interface Security Operations > Integrations > Configured Integrations. Onder Data Ingest toont de status configuratie en verbinding van de API-, syslog- of Sophos-integratie. Groen bevestigt communicatie, niet al correct genormaliseerde events. Na 20 minuten zonder communicatie of wanneer deelresources niet rapporteren kan een waarschuwing verschijnen; na 60 minuten of mislukte authenticatie een fout. De hovertekst geeft de concrete reden.

Open voor een API-integratie de naam en API Query Logs. Standaard wordt de laatste dag getoond; maximaal zeven dagen zijn selecteerbaar. Vergelijk onder Details de parameters met de juiste brontenant. Hiërarchische integraties kunnen één parent met meerdere child-endpoints bevatten; een gezond deelpad bewijst niet dat alle children werken.

Controleer vervolgens Security Operations > Integrations > Configured Data Sources. Deze aparte weergave laat zien of logs daadwerkelijk binnenkomen en aan welke schema’s ze worden gekoppeld. Healthy betekent activiteit binnen één uur, Warning tussen één en 24 uur en Unhealthy meer dan 24 uur zonder activiteit. Dit zijn andere criteria dan de verbindingsgrenzen hierboven. Beoordeel een zelden zendende bron op de verwachte activiteit; verklaar die niet gezond met een verzonnen testevent.

Een klik op de bron toont de berichtgeschiedenis per schema over de laatste 24 uur. Genereer voor acceptatie een goedgekeurd event in het bronsysteem en vergelijk tijdstip, bron, verplichte velden en genormaliseerd schema. Advanced Search in de brondetails opent een voorbereide zoekactie op sensor-ID over de laatste 24 uur. De zoekhandleiding legt verdere filters uit. Ontbreekt data, controleer dan eerst bron → integratie/collector → schema; een gewoon auditevent hoeft geen detection op te leveren.

Export All as CSV of Export Selected as CSV bewaart de broninventaris via Data Exports. Het prullenbaksymbool verwijdert daarentegen alleen het bronrecord, niet reeds ontvangen telemetrie. Verwijdering kan niet ongedaan worden gemaakt; een doorzendende bron verschijnt opnieuw en het verwijderen kan tot vijf minuten duren. Verwijderen is daarom geen bevestiging van telemetrieverwijdering en geen reparatietest.

Zichtbaarheid, rechten en actuele API-allowlist

Afhankelijk van het product toont Marketplace afzonderlijke Ingest- en Actions-kaarten. EDR zonder XDR toont geen niet-endpoint-Ingest-kaarten; response actions kunnen zichtbaar blijven. Admin en Super Admin kunnen integraties beheren. Help Desk en Read-only zien alleen configuratie en status. Geef Custom Roles Integration: read en alleen de benodigde rechten create, update, delete en download. Controleer licentie en rol vóór rechten voor een ontbrekende functie worden uitgebreid.

Onderscheid de actuele XDR-allowlist van de hieronder behouden Classic-IP-snapshot en de collector-uplink. Bepaal de echte geografische XDR-regio via Profile icon > Support settings; leid die niet af uit een productnaam. De fabrikantlijst van 25 september 2026 noemt deze netwerken voor administratieve/API-aanroepen bij derden:

Sta na changegoedkeuring alleen het bereik van de echte integratie toe. De lijst bewijst geen beschikbaarheid van elk product in alle regio’s en vervangt niet het controleren van de nu benodigde API-doelen. Het uitgaande mTLS-pad van de collector gebruikt andere doelen.

Healthmeldingen gericht adresseren

De hieronder uitgelegde regels voor 24 uur aanhoudende fout, reset van de teller en herhaling na 30 dagen gelden ook voor de huidige Fusion-help van 20 oktober 2026. De e-mail is geen direct alarm na de hierboven genoemde 20 of 60 minuten.

Open een eigen ontvangersregel onder General Settings > Platform > Notification Settings > Configure email alerts > Custom rules > + Create new rule. Kies na rol, administrators/distributielijsten en apparaatscope bij Alert Types de filters Medium alert, product Sophos Central en categorie Central Integrations Alert. Stel daarna naam/beschrijving in en sla op. Plan vóór opslaan de bezorging van overige alerts: de eerste eigen regel schakelt de standaardbezorging van alle e-mailalerts aan alle administrators uit. Behoud andere benodigde ontvangers daarom met aanvullende passende regels; veroorzaak geen teststoring op een productieconnector alleen om een e-mail af te dwingen.

Vervolgstappen per bron

Voor eigen bronnen leggen HTTP Ingest, S3 en Azure de afzonderlijke transportwegen uit. Collectorbeheer en clouddeployment vullen het bestaande migratierunbook aan. Cloud Flow Logs, netwerktelemetrie en Windows Event Logs behandelen bronformaten en schemagerelateerde licentiegrenzen. Niet alle telemetrie van een fabrikant is automatisch uitsluitend met SIEM te gebruiken.

Na de upgrade: Response Actions weer operationeel maken

Gecontroleerd op 11 oktober 2026: de uitgebreide oplossing gebruikt voor Actions een ander uitvoerings- en machtigingsmodel. Bestaande TAC-verbindingen en hun credentials worden daarvoor niet zomaar overgenomen. Documenteer vóór een wijziging de betrokken Microsoft-tenants, verbindingen, ingeschakelde acties en verantwoordelijken. Geslaagde gegevensopname door een afzonderlijke audit- of Graph-connector is geen responsetest.

Microsoft 365 opnieuw verbinden of credentials opnieuw autoriseren

Voor deze stappen heb je in Sophos Fusion Admin of Super Admin nodig en aan Microsoft-zijde een Microsoft 365 administrator. Controleer in elke consentdialoog de daadwerkelijk gevraagde rechten en de juiste Microsoft-tenant; neem de machtigingen van een oude TAC-app niet ongecontroleerd over.

Als de eerdere TAC-verbinding nog niet in de nieuwe interface is ingesteld, maak je haar zo aan:

1. Open Security Operations > Integrations > Marketplace en de Actions-tegel Microsoft Graph API.
2. Kies Add new connection. Kies in Add a Connection opnieuw Add new connection, vul Name en eventueel Description en Tags in en ga verder met Done.
3. Start met Proceed de begeleide Microsoft-autorisatie. Een naam zoals M365-Response-Produktiv is alleen een vrij te kiezen label; de juiste brontenant en goedgekeurde rechten zijn bepalend.
4. Kies in Pick an account het bedoelde beheerdersaccount. De eerste aanvraag Permissions requested autoriseert de Sophos-mastertoepassing. Na terugkeer naar Sophos volgt een tweede Microsoft-stap voor de daadwerkelijke response-verbinding. Voltooi beide dialogen na controle van de rechten met Accept. Als een van beide wordt afgebroken, wordt geen verbinding gemaakt.
5. Controleer na terugkeer de aangeboden acties en sla met Save alleen het goedgekeurde bereik op. De nieuwe verbinding moet in Configured Integrations verschijnen.
6. Controleer in Microsoft Entra onder Manage > All applications met Refresh of de nieuwe response-toepassing als ingeschakeld verschijnt.

Als er al een verbinding onder Microsoft Graph API > Configured Integrations bestaat, open dan bij de verbindingsnaam het menu met drie punten en Edit Connection. Kies Re-Authorize Credentials en doorloop de Microsoft-autorisatie. De knop verschijnt alleen wanneer herautorisatie nodig is en verdwijnt na afronding. Herhaal dit voor elke betrokken verbinding; herstel van één verbinding volstaat niet voor alle tenants of configuraties.

De bijgewerkte handleiding van 7 oktober 2026 maakt expliciet onderscheid tussen doorlopende bescherming en mogelijk mislukte Microsoft-response-acties totdat herautorisatie is voltooid. Zij noemt 1 oktober 2027 als vervaldatum van de bestaande credentials. Wacht bij benodigde Actions niet tot die grens: toon nu aan dat ze werken.

De validatie omvat de juiste Entra-toepassing, de verwachte verbindingen en ingeschakelde acties en een goedgekeurde test met een specifiek testaccount. Gebruik alleen een voor de actuele actie gedocumenteerde omkeerbare wijziging. Het hieronder beschreven Classic-paar Block user sign-in / Allow user sign-in bewijst niet dat elke nieuwe Action dezelfde naam of hetzelfde herstelpad heeft. Ingetrokken sessies kunnen niet worden hersteld. In de actiondetails toont View Executions > History de geschiedenis; controleer ook de daadwerkelijke toestand in Microsoft. Consent of een succesvolle uitvoeringsregistratie alleen vervangt deze tegencontrole niet.

Sophos Firewall (Actions) alleen toevoegen als de verbinding ontbreekt

Open na de productupgrade eerst een case en controleer of Sophos Firewall-acties beschikbaar zijn. Zo ja, dan is geen nieuwe verbinding nodig. Als ze ontbreken:

1. Open Security Operations > Integrations > Marketplace.
2. Zoek en open Sophos Firewall (Actions).
3. Kies Add new connection en sla op met Save.

Voor deze verbinding zijn geen credentials nodig. Daarna zijn firewall-response-acties vanuit cases beschikbaar, zoals het blokkeren van schadelijke IP-adressen, domeinen of URL’s. MDR-analisten kunnen deze acties binnen de goedgekeurde response-instelling uitvoeren; XDR-gebruikers kunnen ze zelf vanuit de case starten. Controleer de beschikbaarheid zonder productiedoelen te blokkeren. Een werkingstest is een afzonderlijke, goedgekeurde change met een vooraf vastgesteld productspecifiek herstelpad.

Nieuwe Actions gericht uitschakelen in plaats van verbindingen blind verwijderen

Voor Actions in de uitgebreide oplossing bestaat een gedocumenteerde schakelaar: open onder Security Operations > Integrations > Marketplace, Configured > Actions, de betreffende Action en schakel deze uit in Enable/disable integration. Dit is geen universele schakelaar voor alle Data Ingest-connectors. Uitschakelen draait al uitgevoerde wijzigingen in het bronsysteem niet terug.

Delete Integration verwijdert de bijbehorende verbindingen en voorwaarden en zet de Action-configuratie terug naar de uitgangssituatie. Ook het verwijderen van de enige verbinding verwijdert de bijbehorende voorwaarden. Maak daarom vooraf een back-up of documenteer verbindingen en voorwaarden. Voor het terugdraaien van testacties blijft het concrete Microsoft- of firewallherstelpad gelden, niet het verwijderen van de connector.

XDR-automatiseringen: Classic REST en GraphQL onderscheiden

De API-status is een aanvulling van 9 oktober 2026, geen toezegging met terugwerkende kracht voor de introductie in september. Nieuwe XDR-integraties en schrijvende XDR-workflows op Fusion moeten de nieuwe GraphQL APIs gebruiken. Dit is iets anders dan een API-verbinding in de Marketplace: de REST-aanroepen daarvan kunnen nog steeds naar de externe leverancier gaan.

De bestaande Cases REST API en Detections REST API heten nu Classic XDR APIs en zijn aangemerkt als verouderd (deprecated). De Detections REST API is al read-only. De Cases REST API blijft beschikbaar voor bestaande integraties; ook deze moet later read-only worden. Vervolgens moeten beide API’s historische gegevens blijven bieden tot hun verwijdering. Deze versie noemt geen concrete uitschakeldatum. Verwijder bestaande integraties daarom niet zonder onderscheid en herschrijf hun hosts niet vanwege de naam Fusion.

Noteer voor elke automatisering de API, lees- en schrijfbewerkingen, gegevensperiode, tenant, rechten en foutafhandeling. Controleer bij bestaande clients afzonderlijk of actuele of historische gegevens worden verwacht en of een schrijfworkflow nog Classic Detections wil gebruiken. Voor de overstap naar GraphQL moeten veldmapping, paginering, authenticatie, machtigingen en foutafhandeling op basis van het concrete nieuwe schema worden geïmplementeerd en in een geïsoleerde test vergeleken. Dit artikel schrijft bewust geen verzonnen eindpunten, mutatienamen of payloads voor. De inventarisatie is voltooid wanneer elke client een eigenaar en een navolgbaar besluit over voortzetting of migratie heeft; dat is nog geen geslaagde API-migratietest.

Welke GraphQL API hoort bij de client?

De publicatie van 18 september 2026 omvatte vijf GraphQL-API’s met verschillende taken:

• Detections v2: Detections uit endpoints, netwerksensoren en andere bronnen zoeken en bewerken.
• Cases v2: Cases en Evidence, opmerkingen, bestanden en links beheren.
• Threat Timeline v2: Procesverbanden voor maximaal 100 processen in één aanroep zoeken.
• Events v1: Gebeurtenisdetails ophalen aan de hand van bekende Event-ID’s.
• Live Endpoint Search v1 (LES): osquery-achtige query’s uitvoeren op verbonden endpoints en resultaten en Telemetry ophalen.

Live Discover REST valt niet onder de uitfasering van de Classic Cases/Detections APIs. Bestaande Live Discover-REST-integraties kunnen blijven werken; hun overstap naar LES is optioneel. Het livepad en de historische XDR Query API hebben verschillende taken. De afbakening van de Live Discover-API’s legt ook de sessiegebaseerde doelselectie van LES uit. Ook de Endpoint API onder /endpoint/v1 en de bijbehorende Device Migration worden niet vanwege deze XDR-uitfasering naar GraphQL omgezet.

Sinds 12 oktober 2026 is ook de Search GraphQL API v1 gepubliceerd voor historische QL-zoekopdrachten. Ze biedt createSearch, getOrCreateSearch, search en searchResults; Het Sophos Fusion Data Lake doorzoeken met de Search GraphQL API beschrijft requestcontract, uitvoeringsstatus, resultaatpagina’s en SQL-migratiecontrole. Data Lake Search blijft het interactieve zoekpad; de XDR Query API blijft beschikbaar. De nieuwe API dwingt geen onmiddellijke overstap af en is geen LES-live-endpointworkflow. Voor Assets en Entity Graph blijven afzonderlijke referentie- en tenantcontroles open: hun vermelding in de Cases-handleiding is geen volledige implementatiegoedkeuring.

Het concrete migratiecontract controleren

De overstap is geen vervanging van de URL met behoud van een ongewijzigde client. Voor Cases, Detections en optioneel LES wordt telkens de eigen workflow vergeleken, niet één gezamenlijk recept voor REST naar GraphQL:

• GraphQL levert alleen geselecteerde velden. De client controleert zowel de HTTP-status als het errors-array en bewerkingsspecifieke statusvelden; HTTP 200 kan een queryfout bevatten. Benodigde geneste velden en tijdgegevens met seconds/nanos worden bewust geselecteerd en verwerkt.
• Bij Detections vervangt detectionSearch de REST-procedure van querystart, statusopvraag en resultaatopvraag. Kleine zoekverzamelingen gebruiken offset/limit, grote zoekverzamelingen de geretourneerde search_id met detectionPoll. Controleer alle delen en het totale aantal op overeenstemming. Filters worden afzonderlijk als QL-predicaten gecontroleerd; een hostlookup verwacht een ID, niet alleen de apparaatnaam. Voor een REST-type of een Intelix-reputatie is geen identieke vervanging gegarandeerd.
• De Detection-Severity van REST en GraphQL beoordeelt afzonderlijke gegevenssets volgens afzonderlijke modellen. REST gebruikt een schaal met gehele getallen tot 10, GraphQL metadata.severity een schaal van 0 tot 1. Niet omrekenen door te delen. Beoordeel drempelwaarden opnieuw inhoudelijk aan de hand van de betreffende gegevens. Case.severity met 2/4/6/8/10 is weer een andere schaal.
• Bij Cases gebruikt de API-client de UUID id, niet de leesbare shortId in het formaat CSE#####. Oude REST-Case-ID’s worden niet vertaald en oude Cases worden niet via de nieuwe API beschikbaar. Benodigde bewijzen van oude cases worden vóór de overgang veiliggesteld via de bevestigde bestaande opvraagmethode; hieruit volgt geen universele exportknop en evenmin overdracht van de historie.
• Case-typen, status en Verdicts worden opgezocht als dynamische, licentieafhankelijke tenantreferentiegegevens en regelmatig bijgewerkt. assigneeId verwacht een Subject ID of een ondersteunde @mention, geen e-mailadres. Een assigneeSubject dat niet kan worden opgezocht, kan null zijn; daarvoor heeft de weergave een bewust gekozen alternatief nodig.
• caseEvidence levert koppelings-ID’s, geen kant-en-klare Evidence-payloads. Detections worden aanvullend opgehaald via detectionRetrieveById met het exact geschreven argument iDs, Events via hun ongewijzigde Resource Names. Afhankelijkheden van Asset en Entity Graph blijven open totdat de juiste referentie- en tenantcontrole is uitgevoerd. Detection-, Event-, Asset- en Entity Graph-ID’s zijn niet uitwisselbaar; een Entity Graph-startpunt voor een Case gebruikt de UUID daarvan als INVESTIGATION, niet de shortId.
• Case-paginatie gebruikt Offset of Cursor, niet beide in één request. Geef bij een veranderende lijst de voorkeur aan Cursor en geef deze ongewijzigd terug. keyFindings is een getypeerd document en wordt bij het afzonderlijk ophalen geleverd, niet in de Case-lijst. De bestaande filters overviewContains en escalated hebben geen directe vervanging; beslis vóór de overgang expliciet over de benodigde functies.
• Er is geen deleteCase als vervanging voor REST-DELETE. Sluiten, eventueel met het door het Case-type vereiste Verdict, en daarna optioneel archiveren zijn afzonderlijke stappen. Bij door de provider beheerde MDR-Cases zijn de daadwerkelijk toegestane schrijfvelden beperkter en moeten ze vooraf worden gecontroleerd.

Een pilot moet dezelfde inhoudelijke vraag in de juiste tenant beantwoorden met navolgbare ID’s, volledige paginatie en geëvalueerde fouten. Aanvullende GraphQL-functies zoals opmerkingen, bestanden, links, regels, Templates en Split/Merge zijn afzonderlijke uitbreidingen, geen voorwaarde voor elke overgang. Ontbrekende veldtegenhangers of onduidelijke historie blijven een openstaand besluit voor de client; ze worden niet gepasseerd op basis van veronderstelde gelijkwaardigheid.

Reikwijdte: XDR, MDR en licenties

Een integratie vervangt geen XDR- of MDR-licentie. XDR biedt analysefuncties waarmee een eigen beveiligingsteam gegevens onderzoekt in het Threat Analysis Center en het Data Lake. MDR voegt daar de beheerde Sophos-service aan toe. Welke integraties in de tenant beschikbaar zijn, hangt af van de Sophos-overeenkomst, het product, het integratietype en eventueel de licentie van het externe product.

Voor langere gegevensbewaring of eigen gegevensbronnen legt Sophos Next-Gen SIEM uit hoe je de optionele add-on beoordeelt en een retentie-inventaris per bron opstelt.

De uitspraak dat bepaalde integraties gratis zijn, betekent niet dat de volledige Marketplace gratis is. Voor MSP Flex gelden afzonderlijke Integration License Packs voor categorieën zoals Endpoint, Network, Email en Firewall. De bestaande MSP Flex-regel noemde bij een XDR-licentie Sophos NDR, Sophos Cloud Optix, Microsoft Graph Security en de Microsoft 365 audit appliance zonder aanvullend Integration License Pack. Deze regel geldt uitdrukkelijk alleen voor MSP Flex-klanten. Cloud Optix is hierin nu alleen nog een historische vermelding: het End of Life op 30 september 2026 maakt nieuwe productieplannen met deze service niet mogelijk. Controleer de rechten in de tenant en het contract in plaats van algemene kosteloosheid te veronderstellen.

Ook het andere platform kan licenties vereisen. De Sophos-pagina’s spreken elkaar tegen over Microsoft 365: de overzichtspagina stelt dat Management Activity-auditlogs voor alle Microsoft 365-klanten beschikbaar zijn, terwijl de concrete configuratiepagina Purview Audit (Standard of Premium), een van de daar genoemde gebruikerslicenties en actieve Auditing vereist. Houd voor de configuratie deze concrete vereisten aan. De Detections die Graph Security V2 levert, hangen bovendien af van de Microsoft-licentieomvang en de beschikbare Defender XDR-functies. Voor Microsoft 365 Response Actions via de Classic/TAC-route vermeldt Sophos geen Microsoft-licentievereiste; wel zijn een Microsoft 365-beheerder en de hieronder expliciet als Classic genoemde Graph-machtigingen vereist. Voor Actions in de uitgebreide oplossing gelden in plaats daarvan de hierboven beschreven vereisten en de daadwerkelijk gevraagde rechten van de tweestapsautorisatie; de Classic-lijst bepaalt niet de nieuwe consent.

Cloud Optix na End of Life: telemetrie en CSPM afzonderlijk behandelen

Sophos Cloud Optix bereikte op 30 september 2026 zijn End of Life. Daarna verzamelt de service geen nieuwe gegevens, genereert hij geen bevindingen en stuurt hij geen telemetrie meer door naar MDR of XDR. Op de controledatum 11 oktober 2026 is het eerdere advies om vóór EOL te exporteren en parallel om te schakelen geen uitvoerbare toekomstige stap meer.

Controleer nu welke AWS-, Azure-, GCP- of OCI-omgevingen voorheen uitsluitend via Cloud Optix verbonden waren en welke al een directe verbinding met de uitgebreide XDR-/MDR-oplossing hebben. Deze directe cloudintegraties moeten per platform worden ingesteld; de productupgrade doet dit niet automatisch. Zonder gecontroleerde nieuwe verbinding mag voor de periode na 30 september geen ononderbroken telemetriedekking worden geclaimd. Bespreek bij een nog niet overgezette tenant of ontbrekende producttegel de status met het Sophos-account- of partnerteam.

Een directe cloud-API-integratie is niet hetzelfde als een Syslog Data Collector die in AWS, Azure of GCP draait. Kies in de Marketplace de integratie voor de benodigde cloudgegevensstroom, controleer de concrete bronmachtigingen en toon vervolgens gegevens en verwachte detections aan. De controle moet cloudaccount, gegevensbron en tijdvak herkenbaar maken; een groene verbinding alleen volstaat niet.

Cloud Security Posture Management (CSPM) wordt niet overgenomen: beoordeling van cloudconfiguraties, compliancebenchmarkrapporten en bevindingen over configuratiedrift zijn geen toegezegde functies van de nieuwe telemetrie-integraties. Documenteer deze behoefte afzonderlijk en bespreek vervanging en resterende contractuele rechten met het accountteam. Ook Cloud Optix-rapporten, de bevindingengeschiedenis, compliancebewijs en inventarisgegevens worden niet naar het nieuwe systeem gemigreerd. Bewaar bestaande exports en controleer hun volledigheid; een mogelijkheid om achteraf te exporteren of te herstellen is hier niet bevestigd.

Integratietypen en vereiste toegangsgegevens

REST API

Een API-integratie haalt gegevens op uit de cloudservice van de fabrikant of verzendt daar een Response Action. Afhankelijk van het product vraagt de installatiewizard bijvoorbeeld om een tenant- of organisatie-ID, API-URL, Client ID, Client Secret, token of certificaat. Voor API-integraties is geen Sophos-appliance nodig.

Bij sommige integraties voer je de referenties rechtstreeks in de wizard in. Andere vragen om een herbruikbare Integration Credential. Aan de optie om in de configuratiewizard een bestaande referentie te kiezen of een nieuwe te maken, zie je of de connector dit ondersteunt. De Integration Credential Manager is slechts voor een beperkt deel van de API-integraties beschikbaar; niet elk secret kan dus centraal worden hergebruikt.

Log collector

De volgende appliancebeschrijving geldt voor de Classic-SVA-route. In de uitgebreide XDR-oplossing verzamelen XDR Data Collectors sysloggegevens; zij hebben eigen resource- en netwerkvereisten. Neem de oude SVA-minimumwaarden niet over voor de nieuwe VM. De migratie maakt configuraties aan, maar start geen gebruiksklare vervanger. SVA-syslogomschakeling en XDR Data Collector-beheer legt adresvarianten, uitgesloten instellingen en veilige omschakeling uit. NDR wordt hierbij niet automatisch meegemigreerd.

Bij een Log Collector-integratie exporteert het bronsysteem gebeurtenissen via Syslog naar een Sophos appliance. De Log Collector verwerkt de gegevens en uploadt ze naar het Sophos Data Lake. De appliance draait op ESXi, Hyper-V, AWS of Nutanix, of op geschikte Dell-, NUC- of OnLogic-hardware. Reserveer voor ESXi of Hyper-V minimaal 4 CPU’s, 16 GB RAM en 160 GB opslag; ondersteund zijn ESXi 6.7 Update 3 met VM-hardwareversie 11 of hoger en Hyper-V op Windows Server 2016 of hoger. Sophos beheert de besturingssysteem- en beveiligingsupdates; installeer geen andere Sophos- of antimalware-agent. Schaal op bij veel data of meerdere integraties en valideer DNS, proxy en vereiste poort- en domeinuitsluitingen vóór goedkeuring. Configureer het externe product om naar deze appliance te sturen, niet naar een willekeurige Syslog-server.

Meerdere integraties kunnen dezelfde appliance gebruiken. Toch moeten protocol, poort, indeling en bron voor elk product volgens de bijbehorende integratiehandleiding worden geconfigureerd. Een groene appliance bewijst op zichzelf niet dat het juiste gebeurtenistype binnenkomt.

Sophos-producten

Producten zoals Sophos Firewall en Sophos NDR hebben productspecifieke configuratieroutes. Sophos NDR- en Log Collector-integraties vereisen een Integration Appliance, maar niet noodzakelijk een klassieke VM. Een zuivere REST API-integratie heeft geen appliance nodig. Gebruik de Marketplace van de betreffende tenant als beschikbaarheidscontrole: elke producttegel toont de aangeboden methoden en opent de juiste wizard.

NDR-workload en gedeelde appliance veilig afbakenen

De volgende gedeelde appliancetopologie geldt voor Classic SVA/TAC, niet voor de nieuwe XDR Data Collector. Die vervangt het sysloggedeelte; NDR blijft een afzonderlijk beheerde applianceworkload en wordt niet naar de nieuwe collector overgezet.

Per appliance is slechts één Sophos NDR-integratie toegestaan. Dezelfde appliance kan daarnaast meerdere appliancegebaseerde integraties van derden als Log Collectors hosten. Klap daarom vóór iedere wijziging onder Configured > Integration Appliances de appliancevermelding open en controleer alle toegewezen integraties. Noch de waarde Integrations, noch een groene appliancestatus vervangt deze controle.

Een gerichte NDR-herstart onderbreekt de NDR-sensor, terwijl de Log Collectors blijven werken. Restart of Shutdown van de volledige VM onderbreekt daarentegen NDR en alle Log Collectors op deze appliance. Plan zulke acties in een onderhoudsvenster, documenteer vooraf de status van alle workloads en controleer ze achteraf afzonderlijk. De procedure staat in Sophos NDR Appliance en sensor veilig beheren.

Delete in het appliancemenu verwijdert niet slechts één afzonderlijke integratie. Verwijder de appliance niet zolang NDR of een Log Collector eraan is toegewezen. De menuoptie geeft bovendien niet aan dat de geïmplementeerde VM wordt verwijderd of dat reeds opgenomen Data Lake-gegevens worden gewist. Verduidelijk vóór de buitengebruikstelling de toewijzingen, gegevensretentie, ontmanteling van platformresources, herstelroute en eindcontrole. Tot die tijd blijft de appliance bestaan.

Vóór de configuratie

1. Meld je bij Sophos Fusion aan als Admin of Super Admin. Sophos noemt deze rollen als vereiste voor de algemene configuratie.
2. Controleer welke licentie, beheerdersrol, API-functie of Syslog-uitvoer het externe product vereist.
3. Bepaal of je Data Ingest, Response Action of beide nodig hebt. Een Response-integratie levert niet automatisch de telemetrie waarop een onderzoek is gebaseerd.
4. Maak voor API-toegang waar mogelijk een specifieke app of serviceaccount aan. Geef alleen de rechten die de producthandleiding vereist en documenteer de eigenaar, vervaldatum en rotatieroute van het secret.
5. Vereist het externe product een allowlist met bron-IP-adressen voor administratieve API-aanroepen, bepaal dan eerst de Central-regio onder My Environment > Installers: beweeg over een downloadlink onder Endpoint Protection of Server Protection en lees de regio uit de getoonde URL, bijvoorbeeld eu-central-1. Sta daarna alleen de adressen van die regio uit onderstaande tabel toe. Dit zijn bronnen van Sophos-API-aanroepen, geen uitgaande bestemmingen voor de Integration Appliance.
6. Controleer voor een integratie-appliance het eigen uitgaande netwerkpad, DNS en indien nodig de proxy volgens de appliancevereisten.
7. Plan een reproduceerbare, ongevaarlijke testgebeurtenis. Een aanmeldings- of auditgebeurtenis is geschikter dan een echte malwarepoging.

Bron-IP-adressen voor API-allowlisting

Deze tabel toont de Classic-IP-set die op 14 september 2026 is gecontroleerd. Deze staat los van de actuele XDR-allowlist hierboven en vormt op zichzelf geen voldoende onderbouwing voor een productieallowlistwijziging.

Controleer vóór een wijziging de integratiegeneratie, tenantregio en volledige vereiste IP-set tegen de actuele Sophos-gegevens. Neem bij afwijkingen geen oude waarden over en combineer geen regio’s. Laat de regiokoppeling en wijziging volgens het eigen goedkeuringsproces controleren, sta alleen het benodigde bereik toe en valideer daarna de betrokken integratie met een ongevaarlijke API-synchronisatie of testgebeurtenis. Leg uitgangssituatie, goedkeuring, resultaten en herstelpad vast in de wijziging.

Sophos labelt momenteel zowel de rij São Paulo als de rij Dubai als sa-east-1. Onderscheid ze aan de tenantlocatie en de IP-set; combineer nooit regio’s. Leg de goedgekeurde lijst vast in de wijziging.

Een integratie toevoegen in de Marketplace

1. Open Threat Analysis Center > Integrations > Marketplace.
2. Zoek op fabrikant of product. Controleer bij vergelijkbare vermeldingen op de productpagina de categorie, productnaam, het integratietype en het doel. Cisco Meraki en Fortinet FortiAnalyzer worden bijvoorbeeld zowel als API-variant als Log Collector-variant aangeboden.
3. Open de gewenste integratie.
4. Kies het vereiste type, bijvoorbeeld Data Ingest, en klik op Add Configuration.
5. Volg de stappen onder Integration setup. Bij API-integraties voer je de gegevens uit het bronsysteem in of geef je OAuth-toestemming. Bij Log Collector-integraties maak of selecteer je een appliance en richt je vervolgens de Syslog-export van het bronsysteem op deze appliance.
6. Als Sophos bij de eerste integratie om interne domeinen en IP-bereiken vraagt, voer dan alleen de eigen interne bereiken in. Deze gegevens markeren eigen adressen, groeperen gerelateerde alerts en voorkomen zoekopdrachten bij derden; ze mogen niet worden verward met de allowlist van Sophos-bronadressen.
7. Sla de configuratie op en rond een externe consentdialoog volledig af. Noteer de integratienaam, brontenant, verantwoordelijke persoon en datum van de volgende credentialrotatie.
8. Open Threat Analysis Center > Integrations > Configured. De nieuwe configuratie moet daar verschijnen. Hier kun je deze later bewaken of bewerken; onder Connection Method zie je ook of je bij troubleshooting het API- of Log Collector-pad moet volgen.

FortiAnalyzer: API-alerts zijn niet alle ontvangen Syslog-gebeurtenissen

Bij Fortinet FortiAnalyzer ondersteunt de API-connector Appliance en VM Subscription, niet FortiAnalyzer Cloud. Hij leest uitsluitend door FortiAnalyzer gegenereerde alerts uit /eventmgmt/adom/<ADOM>/alerts; <ADOM> staat voor het juiste administratieve domein van het bronsysteem. Een Syslog-gebeurtenis die FortiAnalyzer alleen ontvangt, wordt niet automatisch zo’n alert. Als Syslog-gebeurtenissen moeten worden opgenomen, wordt in plaats daarvan de FortiAnalyzer-Log Collector-integratie of de Fortinet-Fortigate-integratie voor de concrete bron beoordeeld. Deze beslissing wordt vóór het instellen van de connector genomen, niet pas bij een vermeend gegevenshiaat.

De API-connector verwijdert gegevens die niet aan het formaat voldoen en verwerpt vervolgens bepaalde alerttypen: VPN-tunnelmeldingen (vpntunnel), geblokkeerde webaanvragen naar niet-beoordeelde bestemmingen, IP-/poortscanmeldingen, verbindingen die op basis van een allowlist of adres van SSL-inspectie zijn uitgezonderd, Link Monitor-meldingen over interfaces die zijn uitgeschakeld of ingeschakeld, waarschuwingen over een vol Memory Log, Disk Quota-alerts/-waarschuwingen en geblokkeerde onveilige SSL-verbindingen. Het ontbreken van zo’n alert is daarom niet automatisch een authenticatie- of transportfout. De typetoewijzing gebruikt patroonmatching als message aanwezig is, anders de velden FTNTFGTattack, ad.subtype en cat; zonder overeenkomst wordt het message-veld opgeschoond. Een ontvangen alerttitel is niet automatisch een volledige MITRE-toewijzing.

Kies voor de acceptatie een onschadelijke, goedgekeurde gebeurtenis die aantoonbaar een FortiAnalyzer-alert genereert, bijvoorbeeld een configuratiewijziging die daarvoor in de eigen Event Handler is voorzien. Toon eerst de alert, ADOM en het tijdstip in FortiAnalyzer aan en zorg dat het formaat en het alerttype niet worden verworpen. Toon daarna dezelfde alert in de juiste tenant aan via de voor deze connector bevestigde Sophos-zoekmethode. Een willekeurige testaanmelding of een verzonden Syslog-regel zonder FortiAnalyzer-alert is geen geldige API-opnametest. Als de verwachte alert ontbreekt, controleer dan eerst de alertgeneratie, ADOM, het formaat en de typefilters en daarna de credentials en verbinding; ook bij geslaagde opname is een Sophos Detection of Case niet gegarandeerd.

Werking controleren en testen

Een opgeslagen configuratie is nog geen bewijs dat de integratie werkt. Controleer achtereenvolgens de verbinding, gegevensstroom en inhoud:

1. Verbindingsstatus: open de vermelding onder Configured of, bij een appliance, de status ervan. Voor Log Collectors betekent rood dat de integratie niet werkt, geel dat deze met fouten werkt en groen dat gebeurtenissen zonder zichtbare problemen worden ontvangen en verwerkt.
2. Gedefinieerde testgebeurtenis: maak in het bronsysteem een ongevaarlijke gebeurtenis aan die de betreffende API- of Syslog-categorie zeker registreert, bijvoorbeeld een administratieve wijziging of testaanmelding. Leg tijdstip, gebruiker en bron vast.
3. Data-Lake-bewijs: zoek na de productspecifieke vertraging in Threat Analysis Center > Live Discover. Gebruik de Live Discover-categorie of query uit de productspecifieke handleiding; als Sophos voor de connector geen dergelijke query documenteert, mag deze algemene werkwijze geen universele querytest beloven. Het Live Discover-runbook beschrijft de query, Data Lake-grenzen en resultaatcontrole. Controleer tijdstempel, tenant, gebruiker en gebeurtenistype. Eén record bewijst de verbinding; meerdere actuele records over een passende periode tonen de doorlopende gegevensstroom aan.
4. Detection-grens: niet elke ingelezen gebeurtenis genereert een Detection of Case. Data Ingest maakt gegevens analyseerbaar; Detections ontstaan alleen wanneer passende detectielogica wordt geactiveerd. Test daarom eerst de opname in het Data Lake en verwacht niet noodzakelijk een Alert.
5. Response Action: gebruik een goedgekeurd testaccount en documenteer de uitgangssituatie. Voor Microsoft 365 is Block user sign-in, gevolgd door Allow user sign-in, geschikt als omkeerbare test; Revoke all current sessions is niet omkeerbaar. Houd er bovendien rekening mee dat Entra Connect Sync een geblokkeerd hybride account later opnieuw kan activeren, de MDR Response-instelling de acties van Sophos-analisten beperkt en de namen van afzonderlijke Inbox Rules bij Response Actions hoofdlettergevoelig zijn.

Health Alerts zijn geen directe test. De periode van 24 uur begint bij de eerste foutmelding en resulteert alleen in een Alert met gemiddelde Severity als de fout onafgebroken aanhoudt. Een groene status of bevestiging van de Alert zet de aftelling terug. Als het probleem blijft bestaan, verschijnt de Alert daarna eenmaal per 30 dagen opnieuw.

Microsoft 365: drie afzonderlijke integraties

‘Microsoft 365 koppelen’ is geen enkele schakelaar. De volgende tabel beschrijft de afzonderlijke taken in de Classic/TAC-Marketplace, inclusief de beperking voor Response Actions daar. Voor de uitgebreide oplossing geldt de hierboven beschreven Microsoft Graph API-Actions-procedure met eigen verbindingen en nieuwe consent; de Classic-beperking tot één omgeving geldt niet voor deze nieuwe procedure.

Voor Response Actions via de Classic/TAC-route vermeldt Sophos de Microsoft Graph-machtigingen User.ManageIdentities.All, User.EnableDisableAccount.All, User.RevokeSessions.All, MailboxSettings.Readwrite en User.Read. Bij MDR blijft de gekozen MDR Response-optie bepalen of analisten zonder goedkeuring mogen handelen. In een hybride Entra ID-omgeving kan Microsoft Entra Connect Sync een in Central geblokkeerde aanmelding later opnieuw activeren.

Voorbeeld: Management Activity veilig koppelen

1. Zorg dat Auditing in Microsoft 365 actief is. Een Microsoft 365-beheerder moet de verbinding autoriseren.
2. Open Threat Analysis Center > Integrations > Marketplace en kies Microsoft - Office 365 Management Activity API.
3. Klik onder Data Ingest (Security Alerts) op Add Configuration.
4. Controleer de Auditing-melding, klik op Save and continue en daarna in Connect to Microsoft 365 op Proceed.
5. Meld je aan met het beoogde Microsoft-beheerdersaccount, controleer de gevraagde machtigingen en bevestig met Accept. Sluit de bevestiging af met Close.
6. Controleer de vermelding in Sophos Fusion. Onder Live Discover > Query moet de categorie Microsoft 365 audit data verschijnen. Maak daarna een traceerbare auditgebeurtenis aan en zoek deze met een meegeleverde query.

Microsoft garandeert geen vaste termijn waarbinnen afzonderlijke gebeurtenissen in het auditlog verschijnen. Een vertraagde regel betekent daarom niet automatisch dat de integratie defect is. Nadat Auditing voor het eerst is ingeschakeld, kan het maximaal 12 uur duren voordat gegevens zichtbaar worden.

Voor Graph Security V2 vindt de eerste synchronisatie ongeveer vijf minuten nadat de gegevens in het Microsoft Defender Security Center beschikbaar zijn plaats. Als de Alerts and Incidents-service eerst moet worden ingericht, kan alleen deze Microsoft-stap al ongeveer een uur duren.

Een integratie uitschakelen of terugdraaien

Er is geen uniforme Disable-schakelaar voor alle integratietypen. De beschikbare acties verschillen per product en Connection Method. Ga daarom niet uit van één universele knop:

1. Open Threat Analysis Center > Integrations > Configured, selecteer de configuratie en documenteer status, naam, brontenant, appliance en credential.
2. Stop bij een API-integratie eerst gecontroleerd de gegevensopname of gebruik een aangeboden Disable- of Delete-actie als de concrete productpagina die beschikbaar stelt. Trek daarna in het bronsysteem de OAuth-toestemming in of deactiveer de specifieke app of het token. Bij Response Actions voorkomt deze stap verdere acties vanuit Central.
3. Verwijder bij een Log Collector-integratie de Syslog-doelconfiguratie in het bronsysteem. Verwijder een gedeelde Sophos-appliance niet zolang andere integraties deze gebruiken.
4. Verwijder de configuratie in Central alleen als aan de eisen voor bewaring, audit en wijzigingen is voldaan. Het verwijderen van een configuratie garandeert niet dat reeds opgenomen Data Lake-gegevens worden verwijderd; verduidelijk bewaring en verwijdering daarom vooraf aan de hand van de Data Lake- en compliancevereisten die voor de tenant gelden.
5. Controleer of er geen nieuwe gebeurtenissen meer binnenkomen en geen onverwachte Response Actions mogelijk zijn. Verwijder vervolgens secrets, certificaten, serviceaccounts en allowlistvermeldingen die niet langer nodig zijn.

Stop bij een korte onderhoudsonderbreking van een Log Collector-integratie de Syslog-export zonder een gedeelde appliance te verwijderen. Bij API- en Response-integraties mag een credential alleen als onderhoudspauze worden geblokkeerd als vooraf is geverifieerd dat dezelfde configuratie opnieuw kan worden geactiveerd; anders mag uitsluitend de voor de connector beschikbare Disable-, Delete- of Reconnect-route worden gebruikt. Een geblokkeerde of verlopen credential is geen universele rollback en veroorzaakt synchronisatiefouten.

Veelvoorkomende fouten systematisch afbakenen

API-integratie synchroniseert niet

Open Configured, controleer Connection Method en lees de concrete fout. Los Invalid credentials, insufficient permission en expired credentials eerst op in het externe product: controleer ID’s, secrets, tokenlooptijden, certificaten en API-rechten. Network not reachable en invalid domain vereisen ook controles van DNS, proxy, firewall en servicestatus. Bij request throttling beperkt de provider de API; direct herhaald opslaan kan het probleem verergeren. Bij Microsoft betekent HTTP 401 ongeldige authenticatie; 429 en 509 wijzen op throttling.

Log Collector blijft rood of geel

Rood betekent uitgevallen, geel betekent actief met fouten. Controleer VM-resources, netwerk en DNS, uitgaande bereikbaarheid en het Syslog-pad van het bronsysteem naar de appliance. De melding no events received since last container restart duidt erop dat er sinds de containerstart geen Syslog-gebeurtenissen zijn ontvangen; no received events in last 10 mins kan wijzen op een onderbroken export of simpelweg een bron die weinig verzendt. Bij uploadfouten buffert de appliance gegevens op schijf. Als de upload geblokkeerd blijft en de opslag vol raakt, kunnen oudere gegevens worden verwijderd.

Microsoft 365 levert geen gegevens

Voor Management Activity moeten Microsoft 365 Auditing en bij Office 365 Management APIs de eigenschap Enabled for users to sign-in? = Yes actief zijn. Houd rekening met de aanlooptijd van maximaal 12 uur nadat Auditing is ingeschakeld. Controleer voor Graph Security V2 de toegang tot Defender XDR, consent, inrichting van de Alerts-service en de beschikbare Microsoft-licentieomvang. De oude Graph Security API is niet langer een terugvaloptie.

Geen Health Alert ondanks uitval

Controleer eerst of het om een Data Ingest-integratie gaat en of de fout sinds de eerste foutmelding al 24 uur onafgebroken bestaat. Een tussentijdse groene status of bevestiging van de Alert zet de aftelling terug. Standaard ontvangen alle Central-beheerders de e-mail; eigen Notification Rules kunnen deze distributie wijzigen.

Beveiligings- en beheerregels

• Gebruik specifieke apps en secrets in plaats van persoonlijke beheerdersaccounts.
• Geef alleen de API-rechten die de concrete integratie vereist. Response-integraties hebben per definitie schrijfrechten nodig en verdienen een strengere goedkeuring dan zuivere gegevensopname.
• Sla secrets niet op in tickets, screenshots of KB-artikelen. Leg eigenaar en vervaldatum vast in het wachtwoord- of secretbeheer.
• Plan credentialrotatie vóór de vervaldatum. Sophos meldt verlopen credentials als synchronisatiefouten.
• Sta Sophos-IP-adressen alleen toe als de aanbieder een bronallowlist vereist en gebruik de lijst voor de werkelijke Central-regio.
• Schakel Health-meldingen in voor een verantwoordelijk team. Houd er bij het maken van een Custom Notification Rule rekening mee dat hierdoor de standaardverzending van alle e-mailalerts naar alle beheerders wordt uitgeschakeld en noodzakelijke regels afzonderlijk opnieuw moeten worden ingesteld.
• Documenteer voor elke integratie de gegevensbron, het doel, de gegevensclassificatie, bewaring, rechten, test, Owner en terugbouwroute.

Acceptatiecriteria

De integratie is pas afgerond als deze onder Configured met de verwachte methode verschijnt, een gedefinieerde testgebeurtenis aantoonbaar op de beoogde bestemming staat, tijdstempel en brontenant kloppen en een Owner verantwoordelijk is voor credentialrotatie en Health Alerts. Voor Response Actions hoort bovendien een goedgekeurde, gedocumenteerde test bij de acceptatie; alleen omkeerbare acties worden daarbij naar de uitgangssituatie teruggebracht. Onomkeerbare acties zoals het intrekken van sessies mogen niet als rollbacktest worden gebruikt. Leg onvermijdelijke vertragingen, zoals bij Microsoft 365 Auditing, vast in het beheerlogboek.

Veelgestelde vragen

Komen bij elke integratie gegevens in het Sophos Data Lake terecht?

Nee. Data Ingest stuurt gegevens naar het Data Lake. Response Action maakt een actie in het externe product mogelijk. Sommige producten bieden slechts één type, andere hebben afzonderlijke configuraties voor beide richtingen.

Zijn externe integraties gratis met XDR?

Niet in het algemeen. Sophos noemt voor MSP Flex bepaalde integraties in de categorie Sophos XDR die met XDR zonder aanvullend Integration License Pack kunnen worden gebruikt. Voor andere categorieën zijn bij Flex passende packs nodig. Daarnaast kunnen licenties van de externe aanbieder vereist zijn.

Waarom zie ik gegevens, maar geen Detection?

Opname en detectie zijn verschillende fasen. Een Data Ingest-connector kan gebeurtenissen correct naar het Data Lake schrijven zonder dat elke gebeurtenis een Sophos Detection of Case oplevert. Controleer eerst de ruwe gegevensstroom met de beoogde Live Discover-query.

Kan ik dezelfde appliance voor meerdere Syslog-integraties gebruiken?

Ja, via de Classic-SVA-route staat Sophos meerdere externe integraties en één Sophos NDR-integratie op dezelfde appliance toe. Elke bron moet desondanks met de juiste verbindings- en indelingsgegevens worden geconfigureerd. De nieuwe XDR Data Collector is daarentegen de syslogvervanger en neemt deze NDR-workload niet over en host deze niet. Volg voor de overstap de hierboven gelinkte collectormigratieprocedure; NDR wordt afzonderlijk beheerd volgens het NDR-beheerrunbook.

Waarom is de Microsoft 365 Response-integratie niet voldoende?

Deze biedt acties, maar neemt niet automatisch audit- of Defender-alerts op. Voeg daarom Microsoft 365 Management Activity en Microsoft Graph Security API V2 toe, zodat Detections en onderzoekscontext beschikbaar zijn.

Verwijdert het verwijderen van een integratie historische Data Lake-gegevens?

Verwijdering garandeert geen onmiddellijke verwijdering van gegevens die al zijn opgenomen. Behandel verwijdering daarom als het stoppen van de toekomstige gegevensstroom en verduidelijk bewaar- of verwijderingsverplichtingen afzonderlijk voordat je een bindend verwijderingstijdstip toezegt.