Naar de inhoud
Avanet
Aanmelden

Sophos SIEM: eigen en door Sophos beheerde S3 aansluiten

Sophos Fusion Admin Sophos SIEM

Sophos Next-Gen SIEM biedt drie S3-transports: een bucket in het eigen AWS-account of een Sophos-bestemming met of zonder ownership-token. Kies op basis van exporter en beheermodel. Een bucket alleen levert geen genormaliseerde bruikbare XDR-events op.

Nodig zijn een Next-Gen SIEM-subscriptie, toegang tot integratieconfiguratie en de AWS-/leveranciersrechten voor de gekozen methode. De transportkeuze beschrijft alternatieven. Verstuur alleen goedgekeurde logs en behoud bestaande bestemmingen tot acceptatie.

Variant en verantwoordelijkheid kiezen

Customer-Managed S3 houdt bestanden in het eigen AWS-account. De beheerder levert bucket, CloudFormation/Lambda-resources en trigger, inclusief kostenverantwoordelijkheid en gecontroleerd IAM-model.

Bij Sophos-Managed S3 beheert Sophos de bestemming. De bron heeft alias, pad en eventueel rolparameters nodig. Eist de leverancier vooraf een bestand/token als eigendomsbewijs, kies with token; anders without token. Dit token is geen algemene API-credential of bewijs van volledige latere aflevering.

Leg vóór de pilot bron, AWS-account/regio, prefix, formaat, identiteit en eigenaren vast. Echte IAM-ARNs en tokens komen uit de eigen leverancier-/AWS-configuratie, niet uit andermans voorbeelden. Bescherm geheimen en toegangsparameters.

Eigen bucket: integratie en Lambda-forwarding

1. Sophos Fusion voorbereiden

  1. Open Security Operations > Integrations > Marketplace > Custom.
  2. Kies Set Up bij Customer-Managed S3.
  3. Lees de S3-informatie, kies Next, geef een unieke naam en sluit af met Done.
  4. Download en bescherm het gegenereerde Lambda-CloudFormation-sjabloon. Verwar dit niet met een collector- of NDR-sjabloon.

2. CloudFormation in het juiste AWS-account uitvoeren

De bucket moet de bedoelde logs al bevatten. Implementeer in dezelfde regio, met rechten voor CloudFormation, Lambda, IAM en overige genoemde resources. Toets het sjabloon vooraf aan beveiligings- en kosteneisen.

  1. Open in de juiste regio CloudFormation > Create stack; kies vanuit de lijst With new resources (standard).
  2. Selecteer onder Prepare template een bestaand sjabloon en upload de YAML onder Specify template. Een goedgekeurde S3-URL kan ook; geen bucket hoeft openbaar te worden.
  3. Geef een naam zonder spaties. Kies de passende IntegrationType; bij meerdere typen of onduidelijke toewijzing noemt Sophos generic, zonder detectiegarantie.
  4. Vul in NotificationBucket alleen de bucketnaam in, geen URL/S3-URI. Gebruik bij bewust gekozen SNS de ARN in SNSNotificationarn. Wijzig andere waarden alleen volgens gecontroleerde sjablooneisen.
  5. Controleer IAM-resources, bevestig de aanmaak expliciet en start na parametercontrole met Submit.
  6. Controleer events en CREATE_COMPLETE. Een voltooide stack bewijst geen juiste trigger of bruikbare events.

Deze standaardroute plaatst bucket, stack en Lambda in hetzelfde account en dezelfde regio; andere architecturen worden hiermee niet bevestigd.

3. De bucket als trigger toevoegen

  1. Open in Lambda de werkelijk aangemaakte functie. Sophos noemt {STACKNAME}-sophos-xdr-lambda-{INTEGRATIONTYPE} als naampatroon.
  2. Open Function overview > Add Trigger > S3. De SNS-variant vereist een apart voorbereid topic.
  3. Kies de logbucket en All Object Create Events bij Event Type.
  4. Vul in Prefix alleen de bedoelde prefix in, of laat leeg als er geen is. Laat Suffix leeg. Een te smalle prefix mist bestanden; een te brede kan ongewenste data en extra kosten opleveren.
  5. Beoordeel de Lambda-kostenmelding, klik Add en controleer koppeling en een nieuw testobject.

Object Create bewijst geen automatische opname van alle bestaande inhoud. Bevestig gewenste historie apart zonder bestaande bestanden ongecontroleerd opnieuw te schrijven.

Sophos-bestemming zonder ownership-token

  1. Open Security Operations > Integrations > Marketplace > Custom en Set Up bij S3 Ingest – Sophos-Managed (without Ownership token).
  2. Kies de door de leverancier vereiste IAM User, Canonical User ID of IAM Role, vul de waarde in en kies Done.
  3. Open integratie en Details; bewaar de parameters beschermd.
  4. Gebruik in de exporter AccessPointAlias als bucketnaam, LogFolderPath als pad en zo nodig AWSRegion. De identiteit moet overeenkomen met de aanmaak. Gebruik bij een rol ook IAMAssumeRole als aan te nemen rol-ARN aan bronzijde.
  5. Start met een nieuw testevent en valideer opname. Voeg geen ownership-challenge toe aan deze variant.

Sophos-bestemming met ownership-token

Gebruik dezelfde ingang maar kies S3 Ingest – Sophos-Managed (with token). Voer na Set Up identiteitstype en leverancierswaarde in en open Details.

De bron gebruikt AccessPointAlias, AWSRegion, LogFolderPath en de juiste identiteit; bij IAM Role ook IAMAssumeRole. Gebruik daarnaast OwnershipToken volgens de verificatieprocedure van de leverancier.

Dit kan meerdere stappen vergen: de leverancier schrijft een challengebestand of gelijkwaardig object naar de bestemming. Vernieuw Details in Sophos, lees de nieuwe OwnershipToken en geef die aan de leverancier om verificatie te voltooien. Volg diens proces zonder verzonnen token of zelfbedacht object. Controleer logs pas na geslaagde verificatie.

Alle varianten accepteren en terugbouwen

De integratie staat in Configured integrations. Controleer een nieuw onschadelijk event in de bron en daarna tenant, bron, tijd en velden in Sophos. Bij eigen S3 ook object, trigger en Lambda-/stackfouten; bij beheerde S3 eerst identiteit, alias, pad en vereiste eigendomscontrole.

Custom S3 biedt aanvankelijk transport. Ondersteunde typen volgen hun productnormalisatie; andere kunnen in generic belanden. De SIEM-handleiding scheidt transport, parser en detectie. Groen of een geschreven bestand bewijst geen volledige historie of detectie.

Stop vóór verwijdering eerst export of de eigen trigger en controleer het benodigde oude pad. Verwijder gedeelde buckets, IAM-identiteiten, topics of Lambda-afhankelijkheden niet zomaar. Bepaal bewaartermijnen, resterende kosten, afhankelijkheden en ondersteunde verwijderprocedure. Een verwijderde integratie bewijst niet dat historische SIEM-data weg zijn of alle AWS-kosten zijn gestopt.