Sophos SIEM: custom transport kiezen en HTTP Ingest instellen

HTTP Ingest ontvangt logberichten via een HTTPS-endpoint van Sophos. De bron moet HTTP POST naar een webhook of HTTP-endpoint met bearer-token-authenticatie ondersteunen. Hiervoor is een Sophos Next-Gen SIEM-subscriptie nodig; alleen een bestaande XDR-licentie volstaat niet.

Er zijn drie afzonderlijke taken: transport kiezen, bron verbinden en werkelijke events controleren. Een succesvol aangemaakte connector bewijst geen juiste normalisatie of detectie. Controleer daarom vóór de pilot de SIEM-basis en licentievoorwaarden.

Welk custom transport past bij de bron?

Custom is bedoeld voor bronnen zonder passende geoptimaliseerde Sophos-integratie. Controleer eerst de productintegratie en feitelijke eventcategorieën in Marketplace. Een bekende leveranciersnaam betekent niet dat elk logtype wordt ondersteund.

Er zijn zes mogelijkheden:

• HTTP Ingest: rechtstreeks HTTPS POST met Bearer, zonder zelf beheerde cloudinfrastructuur.
• Customer-Managed S3: logs in een bucket van het eigen AWS-account; de geleverde Lambda/CloudFormation-configuratie stuurt ze door.
• S3 Ingest – Sophos-Managed (with token): een Sophos-bestemming waarvoor de leverancier eigendomsverificatie verlangt.
• S3 Ingest – Sophos-Managed (without token): hetzelfde eigendomsmodel zonder deze controle.
• Azure Event Hubs: een eventstream in een bereikbare hub.
• Azure Storage Account: logbestanden in Blob Storage, doorgestuurd door een Azure Function.

De S3-handleiding onderscheidt drie bucketvarianten. De Azure-handleiding scheidt Event Hubs van Storage/Function. Een syslog-apparaat kan een XDR Data Collector nodig hebben; diens IP-adres vervangt het HTTP Ingest-endpoint niet.

Pilot en toegangsgegevens voorbereiden

Leg tenant, SIEM-entitlement, bron, logcategorie en verantwoordelijke vast. Algemene integratieconfiguratie vereist een passende Admin- of Super Admin-rol en toegang tot de bronexport. De brondocumentatie moet URL, Bearer-token, berichtformaat en verzendgedrag toelichten. Deze handleiding veronderstelt geen universeel JSON-formaat.

Gebruik een goedgekeurde testbron en een onschadelijk herkenbaar event. Noteer brontijd met tijdzone, testkenmerk en verwachte velden. Behoud bestaande logpaden tot acceptatie; extra forwarding mag geen onbedoelde duplicaten of ongeoorloofde persoonsgegevensoverdracht veroorzaken.

Integration Key en URL verschijnen slechts eenmaal. Zorg vooraf voor een goedgekeurde geheimenkluis. Sleutels horen niet in screenshots, tickets, openbare repositories of testcommando’s die in shellgeschiedenis blijven staan. Leg eigenaar en gecontroleerde rotatie vast. De Integration Credential Manager ondersteunt specifieke typen en is geen universele opslag voor ingestiesleutels.

HTTP Ingest in Sophos Fusion aanmaken

1. Open Security Operations > Integrations > Marketplace > Custom.
2. Klik bij HTTP Ingest op Set Up.
3. Geef een unieke naam, bijvoorbeeld Bedrijfsapplicatie-Test-HTTP, en kies Done. De vrij gekozen naam moet bron en omgeving herkenbaar maken.
4. Sla Integration Key en URL onmiddellijk veilig op. Beide verschijnen niet opnieuw. Zijn ze niet veilig bewaard, stop dan de bronaansluiting en bepaal de ondersteunde vervangingsroute; later opnieuw opvragen wordt niet beloofd.
5. Configureer de gedocumenteerde HTTPS-export van de bron met exact deze waarden. Controleer Bearer, formaat en eventuele retries/buffering in de bronhandleiding. Gebruik geen verzonnen payload of sjabloon van een andere API.
6. Zoek de verbinding onder Configured integrations op de Custom-pagina, stuur het geplande event en controleer de opname afzonderlijk.

Een eigen synthetische bron met volledige parsertemplate en zoekopdrachten staat in het HTTP-/parserpraktijkvoorbeeld. Verwachte resultaten en de nog uitstaande praktische tenanttest worden daar uitdrukkelijk gescheiden.

Transport, normalisatie en analyse accepteren

Een Custom Integration verzorgt eerst transport naar XDR. Ondersteunde logtypen gebruiken bestaande normalisatie; eigen of niet-ondersteunde formaten kunnen in generic terechtkomen. Het parsermodel in de SIEM-handleiding legt uit waarom een custom parser en vereiste velden nodig kunnen zijn.

Open voor de acceptatie Security Operations > Integrations > Configured Data Sources en selecteer de eigen bron. In de brondetails toont Advanced Search een voorbereide zoekopdracht voor de sensor-ID van die bron over de afgelopen 24 uur. Beperk het tijdvenster tot het testmoment en vergelijk tenant, bronkenmerk, eventtijd, actie en vereiste velden met de verzonden gebeurtenis. Integraties accepteren beschrijft het startpunt en Data Lake Search het verder verfijnen van de zoekopdracht.

Groen wijst op verbinding, niet op volledige gegevens of het juiste schema. Gevonden generieke ruwe tekst bewijst niet dat een gewenste detector deze kan gebruiken. Geen resultaat in eenvoudig zoeken sluit generic-data niet uit.

Accepteer de pilot pas wanneer transport, bruikbare veldtoewijzing en gewenste zoekopdracht afzonderlijk aantoonbaar zijn. Test alleen een detectie als passende ondersteunde logica voor de bron is voorzien. Een normaal audit- of aanmeldevent hoeft geen alarm te veroorzaken.

Fouten en gecontroleerde verwijdering

Controleer bij ontbrekende data eerst werkelijk verzenden, endpoint en gebruik van de opgeslagen sleutel als vereiste Bearer-credential. Daarna bronfouten, netwerk, tijdvenster en status. HTTP-succes vervangt eventcontrole niet. Bij verkeerde toewijzing onderzoekt men formaat/parser, in plaats van preventief een tweede connector aan te maken.

Stop voor een pauze de export volgens de bronhandleiding. Bepaal vóór verwijdering afhankelijkheden, historisch bewijs en bewaarplichten. Stop alleen dit pad en controleer het benodigde oude logpad. Integratie verwijderen, sleutel intrekken en historische gegevens wissen zijn afzonderlijke handelingen zonder beloofde universele knop. Laat bij verlies of compromittering de ondersteunde vervangings-/intrekkingsroute met Sophos vaststellen; improviseer geen ongeteste rotatie.