Netwerktelemetrie opnemen via Sophos XDR Collector

Voor OPNsense, pfSense, Netskope SSE en NetScaler ADC loopt de gedocumenteerde route via een Sophos XDR Data Collector. Deploy eerst de collector, verbind de bron met het passende syslogformaat en verifieer de daadwerkelijke inname. Alleen een generiek syslogadres is onvoldoende: Sophos moet formaat en eventcategorie correct kunnen interpreteren.

De hier beschreven netflow-gegevens vereisen een Sophos Next-Gen SIEM-abonnement. Netskope en NetScaler leveren ook andere schema’s, die niet allemaal dezelfde SIEM-voetnoot hebben. Voor OPNsense en pfSense omvat het gecontroleerde bereik firewallverbindingsevents in netflow. SIEM en de integratiebasis verklaren selectie en licenties.

Collector en bronbereik voorbereiden

Richt de collector in voor de juiste tenant onder Security Operations > Integrations > Data Collectors. Het collector-runbook behandelt resources, regionale uplinks, DNS, tijdsynchronisatie en de verschillen met oude SVA en NDR. Een nieuwe XDR Data Collector neemt geen bestaande NDR-workload automatisch over.

Leg vóór de bronwijziging de oude logroute, nieuwe bestemming, toegestane bronnetwerken en bedoelde events vast. Laat inkomende syslog alleen uit die netwerken toe. Vervang een gedocumenteerde UDP-route niet zonder compatibiliteitscontrole door TLS-syslog of een ander formaat. UDP bevestigt geen individuele aflevering; houd rekening met verlies bij bron/doelvergelijking.

Kies per pilot een onschadelijk goedgekeurd event met tijd en bronbewijs. Een ingestelde receiver of groene status bewijst niet dat alle categorieën binnenkomen of normaliseren. Accepteer communicatie, stroom en inhoud afzonderlijk.

OPNsense: filterlog via UDP/514

De OPNsense-route verwerkt filterlog-berichten over toegestane of geblokkeerde TCP-, UDP- en ICMP-verbindingen. Beheerstoegang en een bereikbare collector zijn vereist.

1. Open na deployment de OPNsense-configuratie voor Remote Logging. De navigatie hangt af van de versie; de volgende veldwaarden zijn door Sophos gedocumenteerd.
2. Schakel Enabled in en kies UDP(4) bij Transport.
3. Kies filter (filterlog) onder Applications. Selecteer bij Levels info, notice, warn, error, critical, alert en emergency. Laat Facilities leeg.
4. Vul de echte collector-IP in bij Hostname en 514 bij Port. Schakel rfc5424 uit. De gedocumenteerde Description is FilterLog; verwar die naam niet met een ander formaat.
5. Sla op en genereer het bedoelde onschadelijke firewallevent. De bronregel moet dit daadwerkelijk loggen. Verifieer eerst tijd, bron-/doeladres en actie in OPNsense, daarna in Sophos netflow.

Controleer bij ontbrekende records bronlogging, filterlog, UDP/IPv4, IP, poort en RFC5424. Schakel geen beveiligingsregels uit om een testflow af te dwingen.

pfSense: Firewall Events in BSD-formaat

pfSense levert eveneens TCP-, UDP- en ICMP-filterlogs. Het gedocumenteerde formaat verschilt van andere pfSense-logs; een willekeurige remote-syslogselectie is geen vervanging.

1. Open Log Settings in pfSense-beheer.
2. Kies onder General Logging Options BSD (RFC 3164, default).
3. Schakel onder Remote Logging Options Enable Remote Logging in.
4. Kies bij Source Address een interface of netwerk dat de collector bereikt. Stel IP Protocol in op IPv4.
5. Vul de echte collector-IP in bij Remote log servers en kies Firewall Events bij Remote Syslog Contents.
6. Sla op, genereer een goedgekeurd event dat echt wordt gelogd en vind dit terug als netflow in de juiste tenant. Actie en verbinding moeten overeenkomen met de bron.

Een andere Source Address kan routing en firewallmatching veranderen. Controleer bij ontbrekende data eerst de uitgaande interface-route, daarna receiver en BSD-formaat. Andere logcategorieën zijn niet automatisch inbegrepen.

Netskope SSE: Cloud Log Shipper en CEF

Deze route heeft twee stappen: Netskope Cloud Log Shipper haalt gegevens via Netskope-API’s op en stuurt CEF via syslog naar Sophos. Een Netskope-account op de collector vervangt de Shipper niet.

De integratie kan web-/cloudactiviteit, malware, beveiligings-/policyalerts en beheeractiviteit leveren, onder meer als http, antivirus, thirdpartyalert, nids en auth. Aanvullende verbindings-/tunnelevents in netflow vereisen SIEM.

1. Deploy een goedgekeurde Cloud Log Shipper voor de Netskope-tenant. Configureer API-toegang en categorieën volgens het passende Netskope-proces. Sophos documenteert geen universele API-rechtenset.
2. Kies in de Shipper uitvoer-Plugin: Syslog.
3. Gebruik Syslog Defaults Mapping bij Mapping. Behoud de gedocumenteerde CEF-route; een aangepaste mapping kan normalisatie veranderen.
4. Gebruik de werkelijke XDR Data Collector-IP als bestemming. Transport en receiver moeten overeenkomen met de goedgekeurde configuratie; UDP/514-eisen van andere producten bepalen geen universele Netskope-poort.
5. Kies een passend bronevent en controleer of de Shipper het via de API ophaalde en doorstuurde. Vergelijk daarna het verwachte schema en de benodigde velden in Sophos.

Ontbreken alleen verbindingen, controleer ook eventselectie en SIEM-rechten. Een HTTP-record bewijst niet dat alle categorieën binnenkomen. Onderzoek API-ophalen en syslogdoorsturen afzonderlijk.

NetScaler ADC: auditlogs met eenduidige tijd

NetScaler ADC, voorheen Citrix ADC, levert syslog voor web/Application Firewall (http), authenticatie/VPN-sessies (auth) en beheercommando’s (managementevent). TCP-opbouw en -afbraak worden netflow en vereisen SIEM.

1. Open na collector-deployment de NetScaler-syslogconfiguratie voor Audit Logging. Richt server-/policykoppeling in voor versie en bereik; de Sophos-bron beschrijft geen universeel CLI-commando.
2. Gebruik de juiste collector-IP als syslogdoel en controleer het goedgekeurde netwerkpad.
3. Stel datumformaat MM/DD/YYYY in. DD/MM/YYYY wordt niet ondersteund voor correcte verwerking.
4. Stuur eventtijden in UTC. Achteraf de Sophos-weergave wijzigen herstelt geen verkeerd geïnterpreteerd brontijdstip.
5. Genereer een goedgekeurde beheerwijziging of login binnen het auditbereik. Vergelijk bronbewijs, tijd, gebruiker en actie met het passende schema. Netflow vergt een afzonderlijke verbindingstest.

Vergelijk bij schijnbaar ontbrekende events eerst brontijd en zoekvenster. Een onjuiste datum of tijdzone kan records buiten het tijdvak plaatsen. Controleer daarna auditpolicy, feitelijk verstuurde categorie, IP en netwerk.

Acceptatie en gecontroleerde verwijdering

Documenteer per bron minstens één reproduceerbaar event, bron, tenant, innametijd en genormaliseerd schema. Vergelijk adressen, poorten, actie en gebruiker voor zover verwacht en aanwezig. Geen detection of case betekent niet per definitie geen data; het daadwerkelijke record bepaalt dat.

Herhaal acceptatie na bron- of formaatwijzigingen. Gisteren correct verwerkte CEF bewijst niets over vandaag gewijzigde mapping. Controleer bij tijdsverschil de bronklok in plaats van bescherming uit te schakelen.

Stop voor rollback de nieuwe Remote Logging-invoer of Shipper-uitgang en controleer de oude gedocumenteerde route. Behoud gedeelde collectors, API-identiteiten en overige uitgangen. Verwijder uitsluitend dedicated resources pas na afhankelijkheidscontrole. Een verwijderde integratie bewijst geen verwijdering van historie en herstelt geen verloren events.