Cloud-flowlogs koppelen aan Sophos XDR en SIEM

Cloud-flowlogs beschrijven netwerkverbindingen, niet de volledige pakketinhoud. Sophos XDR kan deze ontvangen uit AWS VPC Flow Logs, Azure Network Watcher, Google Cloud Platform (GCP) en Oracle Cloud Infrastructure (OCI). De route verschilt per bron: S3 en Lambda voor AWS, Azure Storage en een Function voor Network Watcher, Pub/Sub voor GCP en Streaming voor OCI.

Netflow-telemetrie uit deze integraties vereist Sophos Next-Gen SIEM. GCP en OCI leveren via dezelfde integraties ook andere schema’s; daarmee zijn niet alle cloud-audit- of beveiligingsgegevens automatisch SIEM-plichtig. Controleer eerst benodigde categorieën, tenant, Fusion-upgrade en licentierechten. SIEM en retentie plannen behandelt de commerciële afbakening.

Deze directe cloudkoppelingen verschillen van een syslogcollector die in de cloud draait. Daarvoor geldt het XDR-collector-runbook. De bronnen zijn gecontroleerd op 27 oktober 2026.

Voor de eerste cloudwijziging

Nodig zijn de juiste producttegel voor de doeltenant onder Security Operations > Integrations > Marketplace, goedgekeurde cloudbeheerrechten voor de betreffende resources en een team dat verantwoordelijk is voor doorlopende kosten, sleutels en datakwaliteit. Controleer beschikbaarheid en velden in de eigen tenant; vervang een ontbrekende tegel niet door een integratie met een vergelijkbare naam.

Leg per bron cloudaccount of abonnement, regio, gewenste logcategorieën, doelintegratie en start van de inname vast. Beperk rechten tot de bedoelde route. Beheerrechten voor de installatie rechtvaardigen niet het blijvend gebruik van een persoonlijk beheerdersaccount als integratie-identiteit. Lambda, Storage en Pub/Sub kunnen afzonderlijke cloudkosten veroorzaken.

Een groene integratiestatus bevestigt communicatie, niet volledige inname. Acceptatie vereist een goedgekeurde onschadelijke testgebeurtenis met bronbewijs en tijdstip, gevolgd door het bijbehorende genormaliseerde record. De integratiehandleiding behandelt rechten, datastromen en het onderscheid met responseacties.

AWS VPC Flow Logs via een eigen S3-bucket

AWS VPC Flow Logs wordt uit een eigen Amazon S3-bucket opgehaald. Sophos levert een CloudFormation-template die een doorsturende Lambda-functie maakt. Vereist zijn een AWS-account, een bucket met flowlogs en rechten om de benodigde Lambda-, CloudFormation- en IAM-resources te maken.

Open AWS VPC Flow Logs in de Sophos Marketplace. Lees onder Configured integrations > Add new de S3-informatie, kies Next, voer een herkenbare naam in en kies Done. Download de na provisioning gegenereerde template en bewaar deze met beperkte toegang.
Laat AWS de bedoelde VPC-flowlogs naar deze bucket exporteren. De bestemming moet Amazon S3 zijn. Gebruik uitsluitend het standaard AWS-formaat; een aangepast formaat kan normalisatie en detectie verstoren.
Open in dezelfde AWS-regio als de logbucket CloudFormation > Create stack, upload de template en kies een stacknaam zonder spaties. Stel IntegrationType in op awsvpcflow. Vul bij NotificationBucket de bucketnaam in, geen URL of S3-URI. Wordt bewust SNS in plaats van S3-notificaties gebruikt, vul dan de ARN in bij SNSNotificationarn. Controleer de overige parameters tegen de geplande route.
Controleer en bevestig de aanmaak van IAM-resources, maak de stack en wacht op CREATE_COMPLETE. Een aparte bucket voor de template hoeft niet openbaar te worden gemaakt.
Open onder Lambda de door de stack gemaakte functie. Voeg via Function overview > Add Trigger de logbucket als S3-bron toe. Kies Event Type: All Object Create Events. Prefix bevat alleen de werkelijke logprefix; laat het leeg als geen prefix wordt gebruikt. Laat Suffix leeg. Controleer de kosten en voeg de trigger toe.
Genereer een passende onschadelijke netwerkflow in het gekozen VPC-bereik. Controleer eerst het record in de bucket en vergelijk daarna tijdvak en verbindingskenmerken in het Sophos-schema netflow.

Het vereiste standaardformaat is:

${version} ${account-id} ${interface-id} ${srcaddr} ${dstaddr} ${srcport} ${dstport} ${protocol} ${packets} ${bytes} ${start} ${end} ${action} ${log-status}

Komen geen gegevens binnen, vergelijk dan exportbestemming, nieuwe objecten, regio en triggerprefix. De template stelt Reserved Concurrency standaard in op 5; dit is geen dimensioneringsgarantie. Beoordeel belasting en CloudWatch-metrieken. Rate Exceeded kan een AWS-concurrencyquotum betreffen; herhaald opnieuw aanmaken van de Sophos-integratie verhelpt dat niet.

Azure Network Watcher via Storage en Azure Function

Network Watcher schrijft NSG Flow Logs of VNet Flow Logs naar een Azure Storage Account. Nieuwe NSG Flow Logs kunnen niet meer worden aangemaakt. Plan voor nieuwe bronnen VNet Flow Logs. Bestaande NSG Flow Logs kunnen tot hun vervanging worden aangesloten; Microsoft beëindigt de functie op 30 september 2027. Plan hun migratie naar VNet Flow Logs vóór die datum. De twee typen vereisen afzonderlijke Sophos-integraties, omdat ze verschillende Blob-containers of Data Source Keys gebruiken.

Nodig zijn een actief Azure-abonnement, het Storage Account met Blob-container en ingeschakelde flowlogs, en een ondersteund Azure Function-serviceplan. Gedocumenteerd zijn Basic met B1, B2 of B3, Dynamic met Y1 en bepaalde Premium-codes. Isolated wordt niet ondersteund. Kies een Premium-code uit de momenteel aangeboden lijst; leid ondersteuning niet af uit een vergelijkbare plannaam.

Laat Network Watcher voor een nieuwe bron VNet Flow Logs naar het bedoelde Storage Account schrijven; gebruik bestaande NSG Flow Logs alleen als overgang tot de migratie. Noteer account- en containernamen en controleer of daadwerkelijk nieuwe objecten binnenkomen.
Open in Sophos Marketplace Microsoft Azure Network Watcher - Azure Storage Account en maak een integratie onder Azure Storage Accounts > Set Up.
Neem Storage Account Name exact over. Function App Name is een eigen beschrijvende naam, bijvoorbeeld NSGFlowLogsForwarder, geen vaste productwaarde. Stel Data Source Key in op insights-logs-networksecuritygroupflowevent voor NSG of insights-logs-flowlogflowevent voor VNet.
Kies Azure Function Service Plan Type, de bijbehorende Service Plan Code en Num Workers. Standaard is één worker ingevuld. Voor Basic B2/B3 zijn maximaal drie workers gedocumenteerd; pas die grens niet algemeen toe op andere plannen.
Kies Done om AzureFunction.json te genereren en downloaden. Laad deze in Azure via Deploy a custom template > Build your own template in the editor. Controleer Resource Group en parameters, kies vervolgens Review + Create en Create.
Storage Account en Function mogen verschillende Subscription IDs of Resource Groups gebruiken. Vul dan expliciet Storage Account Subscription ID en Storage Account Resource Group van de daadwerkelijke bron in.
Verifieer na deployment een verwachte flow in de juiste container en daarna als netflow in Sophos. Accepteer beide integraties afzonderlijk wanneer beide typen worden gebruikt.

Is de Function gedeployed maar ontbreken gegevens, vergelijk dan container, Data Source Key, Subscription-/Resource-Group-koppeling en serviceplan. Een tweede integratie voor dezelfde stroom kan duplicaten veroorzaken en is geen algemene reparatie.

GCP via Pub/Sub

GCP levert cloudaudit, thirdpartyalert en, met SIEM, netflow. Ondersteunde bronnen zijn Cloud Audit Logs, Security Command Center Findings, VPC Flow Logs en GKE Dataplane V2. Neem alleen bewust gekozen categorieën op.

Maak in het juiste GCP-project een topic onder Pub/Sub > Topics en een abonnement onder Subscriptions. Stel Acknowledgement deadline in op 300 seconden.
Maak onder Logging > Log router > Create Sink een sink naar dat Cloud Pub/Sub topic. Beperk inclusion filters tot de benodigde bronnen. Organisatie- en folderlogs vereisen een passende aggregated sink; een projectsink dekt ze niet automatisch.
Maak een apart serviceaccount. Geef de serviceaccount-ID onder Add Principal op het Pub/Sub-abonnement de rol Pub/Sub Subscriber.
Maak ook een aangepaste rol met monitoring.timeSeries.list en wijs deze toe aan het account. Een al voor Sophos XDR gebruikt account mag worden hergebruikt als ook dit benodigde recht is goedgekeurd.
Genereer een JSON-sleutel en bewaar deze veilig. Open in Sophos Marketplace GCP > Configured integrations > Add new, voer naam, Project ID en Pub/Sub-Subscription ID in en upload de juiste JSON via Upload Key File.
Schakel de geselecteerde bronnen daadwerkelijk in: kies voor Data Access-auditlogs expliciet de diensten onder IAM & Admin > Audit Logs. SCC-findings gebruiken hun eigen Pub/Sub-export. Schakel VPC Flow Logs op subnetniveau in; sampling beperkt de bewijskracht ten opzichte van een volledige pakketcapture.
GKE Dataplane V2 moet tijdens de clusteraanmaak zijn geselecteerd. Controleer daarna Network Policy Logging en de sinkfilter. Vervang geen bestaand cluster ongepland alleen voor een loggingpilot.
Genereer per ingeschakelde categorie een geschikte testgebeurtenis. Controleer bronbewijs, Pub/Sub-route en genormaliseerd schema afzonderlijk.

Maak bij sleutelrotatie eerst de nieuwe JSON-sleutel en werk de bestaande Sophos-integratie bij. In API Query Log duidt secrets cache invalidated. Integration was updated. Restarting. op de wijziging. Verwijder de oude GCP-sleutel pas na opnieuw bewezen gegevensinname. Alleen een geslaagde upload volstaat niet.

OCI via Streaming

OCI levert cloudaudit, http, nids en, met SIEM, netflow. Nodig zijn een OCI-stream, de gewenste logs en een serviceconnector. De integratie-identiteit heeft stream-pull nodig om te lezen; algemene beheerrechten zijn niet nodig voor de doorlopende inname.

Bereid een aparte logginggebruiker en goedgekeurde groep-/compartmentstructuur voor. Geef alleen de nodige leestoegang tot de bedoelde stream.
Kies onder OCI Streams > Create Stream de juiste Stream Pool. Noteer de Stream Pool OCID; deze is niet uitwisselbaar met een willekeurige stream- of compartment-ID.
Routeer via Connector Hub de goedgekeurde audit-, flow-, load-balancer-, WAF- of firewalllogs naar de stream. Controleer vóór Sophos of de connector aan de juiste Streaming-bestemming levert. Een andere bestemming vult deze stream niet automatisch.
Open in Sophos Marketplace OCI > Configured integrations > Add new. Vul Name, de aparte Username, het Auth token, Stream Pool ID, Tenant Name, de Topic Name van de stream en Region in.
Bij geneste compartments is Tenant Name de tenancy-naam zonder compartmentketen. Voor federated users in het gedocumenteerde OracleIdentityCloudService-geval geldt bijvoorbeeld acme/OracleIdentityCloudService; acme staat voor de eigen tenancy. Verwar deze situaties niet.
Kies Done en verifieer een passend bronevent in OCI, de Streaming-route en het verwachte Sophos-schema. Een cloud-audit-event test geen aanvullende netflow-stroom.

Ontbreekt de inname, controleer eerst Stream Pool, streamnaam, regio, token en stream-pull. Ontbreekt slechts één categorie, bekijk bronselectie en connectorrouting voordat de hele integratie opnieuw wordt gemaakt.

Datakwaliteit en gecontroleerde verwijdering

Leg per categorie bron, start van inname, tijdvak, genormaliseerd schema en een reproduceerbaar voorbeeld vast. Vergelijk tijd en tijdzone met het bronbewijs. Een gewone flow of auditrecord hoeft geen detection of MDR-case te veroorzaken. Een groene verbinding of gevonden record bewijst evenmin jarenlange retentie.

Inventariseer vóór verwijdering de route en gedeelde resources. Stop alleen de goedgekeurde export, sink, trigger of connector; verwijder niet zomaar een gedeelde bucket, topic, Storage Account of stream. Controleer dat geen nieuwe records binnenkomen en verwijder pas daarna de betreffende Sophos-configuratie en uitsluitend daarvoor gebruikte sleutels of resources volgens de change- en retentiebesluiten. Verwijderen van de verbinding bewijst niet dat historische telemetrie is gewist.

Houd tijdens een mislukte pilot eerdere benodigde loggingroutes beschikbaar. Rollback draait de gedocumenteerde nieuwe routerings- of exportwijziging terug en controleert de uitkomst. Reeds verzonden gegevens, cloudkosten en verloren events worden daardoor niet automatisch ongedaan gemaakt.