Sophos SIEM: Azure Event Hubs en Blob-logs aansluiten

Sophos Next-Gen SIEM neemt eigen logbronnen op via Azure Event Hubs of een Azure Storage Account. Event Hubs levert een stream; bij Storage leest een geleverde Azure Function bestanden uit een blobpad en stuurt ze door. De setups zijn niet uitwisselbaar.

Beide vereisen een Next-Gen SIEM-subscriptie, actieve Azure-subscriptie en benodigde Sophos Fusion-/Azure-rechten. De voorbereide bron moet daadwerkelijk logs naar hub/container schrijven. Algemene integratieconfiguratie vereist passende Admin/Super Admin-rechten; beperk Azure-rechten tot goedgekeurde resources en implementatie.

De transportkeuze helpt bij selectie. Dit is geen syslogcollector in Azure of automatische vervanging voor een bestaande cloud-/Microsoft 365-integratie.

Event Hubs: voorwaarden en toegang

Ondersteund zijn Standard, Premium, Dedicated, niet Basic. De huidige Sophos-handleiding vereist bereikbaarheid vanaf internet en noemt alle IPv4-adressen. Dit is een beveiligingsrelevante architectuurvoorwaarde, geen algemeen advies om een bestaande private hub open te stellen. Bij strijd met netwerkbeleid eerst afstemmen met verantwoordelijken en Sophos, vóór firewallwijzigingen.

Gekozen logcategorieën moeten al naar de hub stromen, bijvoorbeeld via Azure Monitor-diagnostiek. De bronconfiguratie bepaalt de gegevens; verbinden schakelt niet achteraf alle auditlogs in.

1. Open in Azure de gewenste Event Hubs namespace en noteer Host name bij Overview.
2. Open bij Entities > Event Hubs de juiste hub en noteer Name; verwar deze niet met de namespace.
3. Open Settings > Shared access policies > Add en maak een eigen Sophos-policy.
4. Kies Listen. Deze leesroute vereist geen extra verzend- of beheerrechten.
5. Open de policy en bewaar Primary Connection String veilig. Deze bevat een geheim; namespace, policynaam en eventuele EntityPath moeten de juiste hub aanwijzen.

Kopieer de echte connection string niet naar tickets of KB. Leg eigenaar en Azure’s ondersteunde rotatieprocedure vast.

Event Hubs in Sophos Fusion verbinden

1. Open Security Operations > Integrations > Marketplace > Custom.
2. Kies bij Azure Event Hubs Set Up en een unieke naam in Add an integration.
3. Vul de gecontroleerde Event Hubs Namespace Hostname, Event Hubs Name, Event Hubs Primary Connection String in.
4. Maak aan met Done en controleer Configured integrations.
5. Volg een nieuw goedgekeurd event tot hub en Sophos: bron, tenant, tijd en velden moeten overeenkomen.

De Sophos-consumer gebruikt beschikbare partities dynamisch tot 200 partities, zonder doorvoergarantie. De hubbeheerder verzorgt servercapaciteit. ServerBusyException in API Query Log kan een limiet aangeven. Controleer volume en Azure-capaciteit vóór extra partities/consumers; voor meer parallelle consumers verwijst Sophos naar support. Herhaaldelijk opnieuw aanmaken lost capaciteit niet op.

Storage: blobpad en Function-plan

Nodig zijn Storage Account, Blob Container met logs en een ondersteund Azure Function-serviceplan. Isolated is uitgesloten. Gedocumenteerd zijn:

• Basic: B1, B2, B3.
• Dynamic: Y1.
• Premium: P0V3, P1MV3, P1V2, P1V3, P2MV3, P2V2, P2V3, P3MV3, P3V2, P3V3, P4MV3, P5MV3.

Deze lijst dateert van 5 oktober 2026. Controleer aangeboden plan, regio, capaciteit en kosten vóór implementatie. Een Event Hubs-tier is geen Function-plankeuze.

Data Source Key is de containermap waarin logbestanden ontstaan. Bij MicrosoftInsights/2024-02-03/02hr/part=01/00004.json noemt Sophos MicrosoftInsights als sleutel. Gebruik de eigen prefix, niet blind het voorbeeld of de volledige bestandsnaam. Een verkeerde prefix mist relevante bestanden of neemt andere data op.

Storage en Azure Function implementeren

1. Bepaal account, container, prefix en plan in het juiste Azure-account. Toon eerst een recent testobject in het bedoelde pad aan.
2. Open in Sophos Security Operations > Integrations > Marketplace > Custom en Set Up onder Azure Storage Accounts.
3. Vul integratienaam, Storage Account Name, Function App Name en Data Source Key in. Een functienaam beschrijft het doel, bijvoorbeeld BedrijfsapplicatieLogsForwarder, maar vervangt resourcecontrole niet.
4. Kies Azure Function Service Plan Type, Azure Function Service Plan Code, Azure Function Service Plan Num Workers. Gedocumenteerde standaard 1, maximaal 3 voor Basic B2/B3. Extra workers zijn geen universele reparatie.
5. Genereer met Done het automatisch gedownloade AzureFunction.json. Bewaar veilig en controleer resources, rechten en kosten vóór uitvoering.
6. Open in Azure implementatie van een eigen sjabloon, kies Build your own template in the editor, laad AzureFunction.json, klik Save.
7. Kies/maak de Resource Group. Storage mag in een andere subscription of groep dan de Function staan; pas Storage Account Subscription ID en Storage Account Resource Group alleen daarop aan.
8. Controleer met Review + Create en kies na interne goedkeuring Create. Controleer implementatie, werkelijke Function en Sophos-integratie.

De bron moet logs naar de juiste container blijven schrijven. Een geslaagde ARM bewijst geen bronpad of forwarding. Veronderstel geen volledige terugwerkende opname van oude bestanden; bevestig gewenste historie apart.

Gegevensstroom valideren en fouten isoleren

Sophos noemt Azure Commercial Cloud en gedocumenteerde US Government/DoD/GCC/GCC-High-omgevingen. Dat garandeert geen beschikbaarheid in elke tenant/regio; controleer omgeving en endpoint vooraf.

Leg per transport een nieuw onschadelijk event vast. Bij Event Hubs controleert men bron, stream, Listen-policy en verbinding; bij Storage blobpad en vervolgens Function-implementatie/fouten. Vergelijk daarna integratiestatus en de voor deze bron bevestigde zoekroute in Sophos.

Ondersteunde logtypen volgen hun normalisatie; andere kunnen generic worden. De SIEM-handleiding over parsers en detectiegrenzen beschrijft aanvullende controles. Groen, een bestand of Event Hubs-teller bewijst geen volledige normalisatie of detectie. Controleer bij deels ontbrekende events categorieën, tijd en velden vóór ruimere credentials.

Pauze en verwijdering plannen

Leg bronnen vast die hub, container, policy of Function delen. Pauzeer via het ondersteunde bronexportproces en controleer het resultaat. Verwijder hiervoor geen gedeelde hub of Storage Account.

Verwijder de eigen verbinding, ongebruikte resources en geheimen pas nadat historie, bewijs, afhankelijkheden en herstart zijn uitgeklaard, via hun gedocumenteerde procedures. Verwijderen in Sophos garandeert geen historisch wissen of einde van alle Azure-kosten. Valideer na terugdraaien het benodigde oude logpad met een testevent.