Sophos Next-Gen SIEM beoordelen en retentie plannen

Sophos Next-Gen SIEM is een optionele add-on voor Sophos XDR Powered by Secureworks en Sophos MDR. Vóór gebruik moet het account zijn bijgewerkt naar Sophos Fusion. De technische beheerdershelp beschrijft standaard 13 maanden gegevensbewaring en een verlengingsmogelijkheid tot maximaal 10 jaar. Daarnaast zijn er dreigings- en compliancetelemetrie en maatwerkintegraties naast de vooraf ingerichte XDR/MDR-integraties. Deze beoordeling is gebaseerd op de stand van zaken op 28 oktober 2026; de afwijkende vermelding van één jaar op de productpagina wordt hieronder in het kader van de aanschaf toegelicht.

Leg voor de keuze eerst vast welke gegevensbronnen en bewaartermijnen nodig zijn. Laat daarna de concrete mogelijkheden van de add-on voor de eigen tenant bevestigen en controleer met een kleine pilotbron of de beoogde gebeurtenissen daadwerkelijk worden opgenomen en teruggevonden. Een bestaande XDR- of MDR-licentie bewijst op zichzelf niet dat de optionele add-on is ingeschakeld.

Wanneer Next-Gen SIEM bij de taak past

SIEM staat voor Security Information and Event Management: gebeurtenisgegevens worden centraal verzameld en beschikbaar gemaakt voor analyse. Next-Gen SIEM breidt de gezamenlijke XDR/MDR-data-architectuur uit voor langere bewaring en complianceanalyses. Het is vooral zinvol om de add-on te onderzoeken als historische gebeurtenissen over langere perioden nodig zijn of als een bron via een eigen integratie moet worden opgenomen.

Gaat het eerst om het instellen van een bestaande productintegratie, begin dan met MDR- en XDR-integraties in Sophos Fusion. Dat artikel legt de gegevensstroom en de operationele controles uit. De syslog-koppeling van Sophos Firewall behandelt het transport van firewalllogs naar een ontvanger. Het beschrijft niet welke Next-Gen SIEM-mogelijkheden zijn aangeschaft of voor een bron zijn geactiveerd.

Sophos XDR blijft het primaire platform voor detectie, onderzoek, respons en automatisering. Next-Gen SIEM vult deze workflows aan met compliancegerichte gegevensverzameling, historische bewijsvoering en langere bewaring. De SIEM-add-on is daarom geen algemene voorwaarde voor XDR-detectie- of responsfuncties waarvoor al een licentie aanwezig is; omgekeerd schakelt XDR alleen de aanvullende SIEM-diensten niet in.

Avanet raadt aan de add-on niet alleen te kiezen vanwege een zo lang mogelijke retentie. Retentie betekent hier gegevensbewaring. Bepalend is welke gebeurtenissen later voor welke vraag nodig zijn, wie ze analyseert en hoelang ze daarvoor beschikbaar moeten blijven. Langer opslaan helpt weinig als de benodigde gebeurteniscategorie niet wordt aangeleverd of belangrijke velden ontbreken.

Sophos beschrijft ook vooraf ingerichte compliancedashboards. Deze analyses ondersteunen het verzamelen van bewijs, maar vervangen geen controle op de gegevensdekking, juridische beoordeling of certificering. De add-on betekent niet dat automatisch aan compliance-eisen is voldaan.

Tenant en aanbod vóór de uitvoering verduidelijken

Documenteer vóór aanschaf de juiste tenant, het gebruikte XDR/MDR-product en de daadwerkelijke status van de Fusion-upgrade. Een aankondiging of geplande upgradedatum is onvoldoende om operationeel gebruik goed te keuren. Laat vervolgens via de Sophos-partner bevestigen of Next-Gen SIEM voor dit account beschikbaar is en welke bewaring en integratiediensten het concrete aanbod omvat.

Sophos beschrijft een prijsmodel op basis van gebruikers en servers zonder ingestiekosten, dus zonder kosten op basis van het ingelezen gegevensvolume. Dit is een beschrijving van het prijsmodel, geen offerte en geen toezegging van onbeperkte technische capaciteit. Vóór bestelling moeten de telmethode, looptijd, gewenste retentieverlenging, omvang van de integraties en eventuele voorwaarden van het product van derden duidelijk zijn. Uit deze beschrijving mogen met name geen gratis licenties van derden of gegarandeerde doorvoer- of gebeurtenislimieten worden afgeleid.

Voor maatwerkintegraties is bevestigd dat eigen gegevensintegraties kunnen worden gemaakt. Daarmee is nog geen onderbouwde inrichtingsprocedure voor elke bron vastgesteld. Vóór de pilot is daarom een beschrijving nodig die bij de specifieke bron past en overdracht, authenticatie, gebeurtenisformaat, veldtoewijzing en ondersteunde analyses behandelt. Bestaande connectormenu’s of query’s mogen niet zonder controle worden overgenomen voor een maatwerkintegratie. De toegang tot het dashboard wordt hieronder beschreven; hieruit wordt geen universele inrichtingsprocedure voor elke maatwerkbron afgeleid.

Licentieaantal en collectorroute expliciet bevestigen

Next-Gen SIEM is niet als zelfstandig product te koop. Het aantal subscriptions moet overeenkomen met het totale aantal gelicentieerde XDR- en MDR-gebruikers en servers; servers mogen bij het bepalen van het aantal niet ontbreken. Vergelijk de daadwerkelijk gelicentieerde aantallen en het aanbod met de partner, in plaats van alleen een pilotgroep of het gegevensvolume als licentieaantal te nemen. Naast de standaard 13 maanden zijn retentieverlengingen tot drie, vijf, zeven of 10 jaar opties die kunnen worden aangeschaft, geen automatische activering door een bestaande XDR-/MDR-licentie. Ze herstellen geen historie waarvan de bewaartermijn al is verstreken en bewijzen geen juridische compliance.

De licentierichtlijn met ingangsdatum 16 oktober 2026 noemt bovendien een gebruikslimiet van 1 GB ruwe data-ingestion per dag, opgeteld over alle databronnen. De tabel licentieert per gebruiker en server, maar de zin over het datavolume zegt niet expliciet of deze hoeveelheid per subscription of voor de tenant geldt. Reken daarom niet met 1 GB × gebruikers en servers en neem evenmin een vaste tenantlimiet van 1 GB aan. Vóór sizing of bestelling is bindende bevestiging nodig van de rekeneenheid, optelling en het gedrag bij overschrijding. Een prijs zonder volumegerelateerde ingestionkosten betekent geen onbeperkt gebruik.

Ook het aantal Retention Add-on-subscriptions moet overeenkomen met het totale aantal NG-SIEM-subscriptions. Daaruit volgt geen verlengde bewaring voor een willekeurig gekozen deelverzameling of afzonderlijke bron.

Bij Syslog-integraties ondersteunen oude Sophos Log Collectors niet de volledige retentieomvang van Next-Gen SIEM. Hiervoor raadt Sophos de overstap naar XDR Data Collectors aan; het bestaande collectormigratierunbook legt provisioning, deployment, bronomschakeling en acceptatie uit. Bestaande API-integraties hoeven niet alleen vanwege deze collectorwissel opnieuw te worden geconfigureerd. Op een gedeelde SVA blijft NDR een afzonderlijke workload die bij de Syslog-overgang niet onbedoeld mag worden uitgeschakeld. De nieuwe collector vervangt niet de controle van de rechten op de add-on, het bronformaat en de effectieve bewaring.

De SIEM-hub ordent de bestaande handleidingen naar planning, bronopname, transport en parsercontrole. Het HTTP-/parserpraktijkvoorbeeld verbindt die stappen met een synthetische laboratoriumbron; de praktische tenantacceptatie staat nog open.

Maatwerkgegevens: transport, normalisatie en detectie scheiden

Een Custom Integration transporteert gegevens uit een niet door Sophos geoptimaliseerde bron naar XDR. Daarmee is normalisatie, zoeken of detectie voor die bron nog niet bevestigd. Custom Parsers koppelen de logvelden aan de ondersteunde gestandaardiseerde XDR-gebeurtenisschema’s. Pas daarna kan worden gecontroleerd of de vereiste velden voor de gewenste zoekactie, een Detector of een Custom Detection Rule aanwezig zijn.

Voor Custom Parsers is een Next-Gen SIEM-subscription vereist. Admin en Super Admin mogen ze beheren; andere rollen kunnen alleen de lijst met geconfigureerde parsers bekijken. Berichten waarop geen parser past, vallen terug op het generic-schema. Ze kunnen context bieden voor Cases en Custom Rules, maar verschijnen alleen met geavanceerde zoekparameters in zoekresultaten. Geen resultaat bij een eenvoudige zoekactie bewijst daarom niet dat er geen gegevens zijn opgenomen.

Ook correct genormaliseerde gegevens activeren niet automatisch elke Detector die bij het schema past. Sophos noemt bepaalde ondersteunde Detector-paden met vereiste velden; andere Detectors zijn niet gegarandeerd. Daarom wordt de gewenste detectie afzonderlijk met passende testgebeurtenissen geaccepteerd. De aangekondigde AI-ondersteuning vervangt deze controle niet.

Een nieuw aangemaakte Custom Parser is standaard uitgeschakeld. Hij wordt herhaaldelijk met verschillende voorbeeldberichten getest, opgeslagen en pas daarna afzonderlijk geactiveerd. Wijzigingen aan een al actieve parser worden daarentegen direct bij het opslaan van kracht; test daarom zorgvuldig vóór het opslaan. Overlappende Confirm Strings kunnen berichten aan de verkeerde parser toewijzen; controleer daarom ook het daadwerkelijk gebruikte extractor path.

Sophos onderhoudt of actualiseert Custom Parsers niet. Een verantwoordelijke beheerder moet veldtoewijzing, tijdstempels en zoek- of detectieresultaten na wijzigingen in het bronformaat of de parser opnieuw controleren. Leg voor de pilot gegevensopname, normalisatie en de gewenste analyse vast als drie afzonderlijke resultaten; een groene transportstatus volstaat niet.

De praktische inrichting staat in Custom HTTP Ingest, de S3-varianten, Azure Event Hubs en Storage en het Custom Parser-runbook. Per variant blijven transport, schema en gewenste analyse aparte acceptatieresultaten.

Het NG-SIEM-dashboard openen voor bewijscontrole

Met de ingeschakelde add-on kan de meegeleverde weergave als volgt aan de persoonlijke dashboardlijst worden toegevoegd:

1. Open Dashboards > Manage dashboards.
2. Kies Find dashboards en voeg NG-SIEM aan de lijst toe.
3. Open het dashboard vanuit de lijst en vergelijk de getoonde gegevens met de bronneninventaris, periode en verwachte gebeurtenissen.

Het NG-SIEM-dashboard bevat widgets over toegangscontrole, netwerkbeveiliging en auditgebeurtenissen. Sophos beschrijft ook een voorbeeld van een ISO 27001-dashboard dat authenticatie, wijzigingen, netwerk- en firewallgebeurtenissen, e-mail- en bestandsactiviteit en detectie- en Case-workflows samenbrengt. Welke informatie voor de eigen bewijsvoering werkelijk beschikbaar is, hangt af van de aangesloten bronnen en hun gegevenskwaliteit; de weergave is geen ISO-certificering of automatische bevestiging van compliance.

De algemene dashboardhandleiding legt persoonlijke lijsten, beschikbare weergaven en PDF-export uit. Ontbreekt NG-SIEM, controleer dan eerst tenant, add-on en machtigingen; onderzoek een lege weergave aan de hand van de gegevensbron en periode. Noch ontbrekende, noch groene widgets vervangen de controle van de onderliggende gebeurtenissen.

De actuele productspecifieke NG-SIEM-help van 1 oktober 2026 beschrijft deze ingang. De oudere gedeelde dashboardhelp van 17 september noemt nog alleen het TAC-dashboard. Dat is een documentatieverschil, geen garantie over een ongecontroleerde tenantweergave. Ontbreekt de ingang ondanks een passende offerte, verduidelijk dan de feitelijke provisioning; maak niet op goed geluk een tweede integratie aan.

Bewaring, zoekvensters en ruwe data onderscheiden

13 maanden in de beheerdershelp, één jaar op de productpagina

Het technische overzicht van 1 oktober 2026 noemt 13 maanden standaardbewaring. De openbare productpagina noemt daarentegen één jaar, gecontroleerd op 28 oktober. Beide noemen uitbreidingen naar drie, vijf, zeven of tien jaar. Het verschil wordt niet opgevat als een bevestigde productwijziging of slechts een andere afronding; daarvoor ontbreekt een duidelijke verklaring van Sophos.

Voor de technische positionering in dit artikel gelden de 13 maanden uit de productspecifieke beheerdershelp als referentie. Laat vóór een bestelling of bindende toezegging over de bewaartermijn desondanks bevestigen welke periode voor de specifieke tenant, gegevenstypen en offerte geldt. Die bevestiging hoort in de broninventaris. Als het beheer bijvoorbeeld meer dan twaalf maanden historie nodig heeft, mag die extra tijd niet alleen op basis van algemene productreclame worden verondersteld. De retentie-inventaris en acceptatie hieronder toetsen de overeengekomen omvang; ze lossen het bronnenconflict niet op met een aangenomen termijn.

Zoekperiode en toegang tot ruwe data

Lange bewaring betekent niet dat een willekeurig grote query in één keer kan draaien. De huidige schemahelp staat voor genormaliseerde Events maximaal 31 dagen per query toe, met elke startdatum binnen werkelijk bewaarde data. Verdeel langere onderzoeken over geschikte vensters. Zoeken in detections is daarvan gescheiden.

Voor @raw en original_data noemt de nieuwere SQL-naar-QL-migratiegids van 15 september 2026 een aparte toegangsgrens van 20 dagen. Een aanvraag buiten dat bereik wordt geweigerd en niet stilzwijgend ingekort. De oudere Query Language-help noemt ook stappen van 20 dagen; dat garandeert geen beschikbaarheid van oudere ruwe data. Opsplitsen maakt oudere Raw-data niet automatisch toegankelijk. Deze zoekgrens bewijst noch fysieke verwijdering na 20 dagen, noch een algemene verkorting van de genormaliseerde bewaartermijn.

Data Lake Search en export legt schemakeuze, querylimieten, historische vensters en volledig exportbewijs uit. Het regelbeheer onderscheidt een geslaagde zoekactie van een continu geëvalueerde detection- of suppressionregel.

Een retentie-inventaris per bron opstellen

De inventaris hoort in de beheerdocumentatie, niet alleen in de offerte. Leg per bron de volgende gegevens vast; verschillende gebeurteniscategorieën van dezelfde toepassing kunnen afzonderlijke vermeldingen nodig hebben:

• Bronsysteem, brontenant, gebeurteniscategorieën en verantwoordelijke persoon.
• Doel van de gegevensopname en de concrete vraag voor een latere zoekactie of bewijsvoering.
• Benodigde velden, bijvoorbeeld gebeurtenistijd met tijdzone, actie, resultaat en een identiteit die geschikt is voor het onderzoek.
• Gegevensclassificatie, toegestane inhoud en goedkeuring voor overdracht en toegang.
• Gewenste bewaartermijn met onderbouwing en de bevestigde, daadwerkelijk geldende mogelijkheden.
• Integratiemethode, benodigde rechten en eigenaar van de toegangsgegevens, zonder geheimen naar de inventaris te kopiëren.
• Begin van de gegevensopname, verwachte verwerkingsvertraging en een reproduceerbare testgebeurtenis.
• Geverifieerde zoekmethode, oudste gevonden record, laatste geslaagde controle en volgende beoordelingsdatum.
• Werkwijze bij uitval, bronwijzigingen, wijzigingen in de bewaartermijn en ontmanteling.

De productspecificatie 13 maanden, verlengbaar tot maximaal 10 jaar wordt niet automatisch vastgelegd als de effectieve termijn voor elk bestaand record. Voor de eigen bron moeten toepassingsbereik, ingangsdatum en toegang tot historische gegevens duidelijk zijn. Ook het achteraf overnemen van oude gegevens of het herstellen van gegevens waarvan de bewaartermijn al is verstreken mag niet worden verondersteld.

Voorbeeld van een pilotbron

Het volgende voorbeeld is een planningsrecord, geen Sophos-configuratie en geen geverifieerde connector. De waarden zijn vrij gekozen eisen van een fictieve organisatie:

Bron: interne bedrijfsapplicatie, testomgeving
Gebeurtenissen: geslaagde aanmelding en administratieve rolwijziging
Doel: achterhalen wie een recht heeft gewijzigd
Verplichte velden: gebeurtenistijd met tijdzone, testaccount, actie, resultaat
Gewenste bewaartermijn: 24 maanden
Onderbouwing: intern goedgekeurde onderzoeksperiode
Bevestigde omvang: nog te verduidelijken vóór bestelling en pilot
Verbinding en zoekmethode: nog te bevestigen voor deze maatwerkbron
Test: goedgekeurde rolwijziging op een speciaal testaccount
Herstel: oorspronkelijke rol herstellen en de wijziging controleren
Verantwoordelijke teams: applicatieteam samen met het team voor beveiligingsoperaties

24 maanden is hier een interne eis, geen algemene wettelijke termijn en geen productstandaard. Dit is langer dan de beschreven standaardretentie; daarom moet vóór goedkeuring een passende verlenging worden bevestigd. Vervang accounts en gebeurtenissen door de eigen goedgekeurde testgegevens. Voor deze test worden geen productierechten gewijzigd.

Gegevensopname en bewaring afzonderlijk accepteren

Leg voor de pilot de beginsituatie en het begin van de gegevensopname vast. Bestaande logroutes blijven behouden totdat de nieuwe bron is geaccepteerd. Genereer vervolgens een onschadelijke, goedgekeurde gebeurtenis die bij de geplande gebeurteniscategorie hoort. In het voorbeeld wordt de rol van het testaccount gewijzigd en daarna teruggezet op de gedocumenteerde beginwaarde.

Controleer na de verwachte verwerkingstijd via de voor deze bron bevestigde zoek- of analysemethode:

1. Is precies de testgebeurtenis aanwezig in de juiste tenant?
2. Komen bronsysteem, gebeurtenistijd, actie en resultaat overeen met het bewijs uit de bron?
3. Zijn de benodigde velden begrijpelijk toegewezen, in plaats van alleen als onbruikbare ruwe tekst beschikbaar te zijn?
4. Zijn andere verwachte gebeurtenissen gedurende de pilotperiode te volgen?

Een nieuw gevonden record bewijst de gegevensopname voor deze test, niet al een meerjarige bewaring. Vergelijk voor de retentieacceptatie bovendien de bevestigde mogelijkheden met de effectieve instelling of een tenantspecifieke bevestiging. Controleer reeds aanwezige historische gegevens met een gericht tijdvenster; leg het oudste gevonden record en bekende hiaten vast. Documenteer bij een nieuwe bron zonder historie dat langdurige bewaring nog niet door verstreken tijd is aangetoond, en plan latere controles.

De opnamecontrole vereist geen beveiligingsalarm. Een gewone auditgebeurtenis kan als record nodig zijn zonder dat daaruit een incident ontstaat. Data Collection en Live Discover legt bestaande XDR-query’s uit; daaruit volgt echter geen universele query voor een nieuwe maatwerkbron.

Fouten afbakenen en wijzigingen veilig terugdraaien

Ontbreekt de add-on of een functie, controleer dan eerst de tenant, de daadwerkelijke Fusion-upgradestatus en de bevestigde mogelijkheden van de add-on. Maak niet op goed geluk een tweede integratie en wijzig geen endpointbeveiligingsbeleid om een vermoedelijk licentietekort op te lossen.

Ontbreken actuele gebeurtenissen, vergelijk dan eerst het bronbewijs met het begin van de gegevensopname, de gebeurteniscategorie, authenticatie, het formaat en de afgesproken verwerkingsvertraging. Zijn records aanwezig maar onbruikbaar, controleer dan de veldtoewijzing en tijdsreferenties. Ontbreken alleen oudere gebeurtenissen, onderzoek dan afzonderlijk het begin van de gegevensopname, hiaten in de gegevens, de effectieve retentie en het zoekvenster. Een latere retentieverlenging is geen gegarandeerde herstelmethode voor gegevens die al ontbreken.

Verduidelijk vóór het verkorten van de bewaartermijn of ontmanteling met de verantwoordelijken welke gegevens nog nodig zijn en hoe die, voor zover ondersteund en noodzakelijk, veiliggesteld kunnen worden. Ga er niet van uit dat later terugkeren naar de oude waarde verloren historie herstelt. Ook bewijst het verwijderen van een integratie niet dat reeds opgenomen gegevens zijn verwijderd.

Draai bij een mislukte pilot alleen de gedocumenteerde wijziging aan de pilotbron terug via de bevestigde herstelprocedure voor die bron. Gedeelde toegangsgegevens, collectors en andere bronnen blijven onaangetast. Controleer daarna de herstelde bronstatus en de oude logroute die nog nodig is. Het verwijderen van gegevens en het opzeggen van de add-on worden afzonderlijk met de partner of verantwoordelijke partijen afgestemd; dit artikel belooft daarvoor geen universele schakelaar.

Voor de overdracht aan beheer moeten de bronneninventaris, bevestigde mogelijkheden, pilotbewijzen, openstaande historische hiaten, verantwoordelijkheid bij uitval en beoordelingsdatum beschikbaar zijn. Zolang het gegevensformaat, de zoekmethode of de retentie voor een benodigde bron onduidelijk blijft, is die bron nog niet geaccepteerd. Voor escalatie volstaan in eerste instantie de tenanttoewijzing, het tijdvenster, de gebeurteniscategorie en opgeschoonde foutbewijzen; geheimen en onnodige onbewerkte persoonsgegevens horen niet in de aanvraag.