Windows Event Log verzenden naar Sophos XDR en SIEM

Microsoft Windows Event Log kan via een ondersteunde forwarder in Snare-over-syslog naar een Sophos XDR Data Collector worden verzonden. Dit is een aparte route naast de Sophos Endpoint-agent: een lokale Event ID of groene Endpoint-status bewijst geen inname via deze integratie.

Deploy de collector, bepaal events en Windows-auditinstellingen, richt de correct geformatteerde forwarder op UDP/514 en verifieer een bepaald event in Sophos.

Bereik en licenties vooraf bepalen

Afhankelijk van werkelijk doorgestuurde events kunnen authenticatie, account-/groepswijzigingen, processen, Defender-bevindingen, beheerwijzigingen, directory-audits en andere events binnenkomen. Gedocumenteerde schema’s zijn auth, process, antivirus, managementevent, cloudaudit, thirdpartyalert, encrypt en netflow.

De SIEM-licentie-eis betreft netflow-telemetrie, bijvoorbeeld Windows Filtering Platform-verbindingen zoals event 5156. Dit maakt niet alle andere genoemde Windows-events SIEM-plichtig. Vereiste integratie- en bronrechten voor de XDR/MDR-tenant moeten wel aanwezig zijn. SIEM en de integratiegids verklaren de controle.

Collector, forwarder en gegevensbescherming voorbereiden

Nodig zijn een werkende XDR Data Collector, een goedgekeurd netwerkpad vanaf Windows en software die gegevens in Snare-over-syslog-formaat kan uitsturen. Sophos noemt Snare Enterprise, NXLog Enterprise, TIBCO Universal Collector, Syslog-ng Agent for Windows en NXLog Community Edition. Dat betekent niet dat velden, licenties en configuratiebestanden identiek zijn.

Het collector-runbook behandelt resources, DNS, tijd en uplinks. Sta hier inkomende UDP/514 alleen vanuit bedoelde Windows-netwerken toe. UDP bevestigt geen individuele berichten; een netwerk- of poorttest vervangt eventbewijs niet.

Leg vooraf broncomputers of domaincontrollers, benodigde Event IDs, bestaande auditinstellingen, verantwoordelijke team en oude route vast. Events kunnen gebruikersnamen, paden of procesargumenten bevatten. Verzamel alleen goedgekeurde inhoud en kopieer geen ruwe logs of credentials naar openbare tickets.

Windows-forwarding configureren

1. Zoek in de juiste tenant de collector onder Security Operations > Integrations > Data Collectors. Gebruik het vanaf Windows bereikbare IP, niet een regionaal Sophos-uploadadres of andere appliance.
2. Deploy de gekozen forwarder op een goedgekeurde pilotcomputer volgens de producthandleiding. Bewaar de bestaande configuratie en inventariseer andere uitgangen voordat een gedeeld bestand verandert.
3. Kies uitdrukkelijk Snare-over-syslog. Sophos vereist dit formaat; willekeurige JSON, CEF of Windows Event XML zijn geen bevestigde vervanging.
4. Vul de werkelijke collector-IP en UDP-poort 514 in. Kanalen en filters moeten de benodigde events omvatten.
5. Stuur brontijden in UTC en controleer Windows-tijdsynchronisatie. De lokale Event Viewer-weergave bewijst niet welke tijdzone de forwarder verzendt.
6. Activeer de configuratie en controleer lokale forwarderfouten. Rond onderstaande vergelijking af voordat meer computers aansluiten.

Download voor NXLog CE de door Sophos geleverde configuratietemplate nxlog_wel.txt. Deze template is een beginpunt voor het gedocumenteerde Snare-formaat, geen ongecontroleerde vervanging van iedere bestaande NXLog-configuratie. Het Collector-doel, de geselecteerde gebeurtenissen en bestaande uitgangen moeten bij de eigen omgeving passen.

De momenteel gekoppelde template stelt define PORT 601 in en gebruikt in het blok MSWINEVENTLOGOUT Module om_tcp; deze is daarom ongewijzigd niet geschikt voor het hier beschreven UDP/514-pad. Voor dit pad:

1. Vervang in define XDR A.B.C.D alleen de placeholder A.B.C.D door het werkelijke Collector-IP; behoud define XDR.
2. Stel de poortregel in op define PORT 514.
3. Maak in het uitvoerblok MSWINEVENTLOGOUT van de regel Module om_tcp commentaar en activeer de bestaande regel Module om_udp. Laat in dit blok slechts één uitvoermodule actief; behoud andere bestaande uitgangen afzonderlijk.

Controleer daarna de syntaxis en de aflevering van gebeurtenissen in de pilot. Sophos biedt best-effortondersteuning; geavanceerdere forwarderproblemen horen bij de betreffende leverancier.

Procescommandoregel bij event 4688

Sommige detecties vereisen velden die Windows niet standaard logt. Om bij procesaanmaak in event 4688 de commandoregel vast te leggen, noemt Sophos deze Windows-policy:

Administrative Templates > System > Audit Process Creation > Include command line in process creation events

Schakel dit alleen binnen goedgekeurd bereik in na beoordeling van de inhoud. Commandoregels kunnen gevoelige waarden bevatten. De instelling vervangt noch de benodigde procesauditing noch het event 4688-filter van de forwarder.

Start voor verificatie een goedgekeurd onschadelijk proces zonder geheimen in de argumenten. Controleer eerst de verwachte commandoregel in Windows-event 4688 en vergelijk daarna het genormaliseerde process-event in Sophos. Een bij de bron ontbrekend veld kan de collector niet reconstrueren.

Inname met een bronevent aantonen

Een goedgekeurde login met een apart testaccount is geschikt voor een eerste test. Events 4624 en 4625 kunnen geslaagde of mislukte authenticatie bewijzen; een bewust veroorzaakte fout mag geen accountblokkade uitlokken. Gebruik alleen events die daadwerkelijk binnen het gekozen audit- en forwardingbereik ontstaan.

1. Noteer Event ID, computer, gebruiker, resultaat en tijd in het Windows-log. Neem alleen opgeschoonde gegevens in het testverslag op.
2. Controleer of de forwarder deze categorie doorstuurt zonder lokale formaat-, rechten- of verbindingsfouten.
3. Bekijk in de juiste Sophos-tenant de bronstroom en het record in het verwachte schema. Vergelijk computer, tijd, gebruiker en resultaat met Windows. Voor login geldt auth, voor 4688 process.
4. Herhaal voor andere benodigde categorieën. Een login bewijst geen inname van Defender, directory-audits of netflow.
5. Vergelijk nieuwe records gedurende een passende periode en leg bereik, eigenaar en volgende review vast voor acceptatie.

Het event hoeft geen detection of MDR-case op te leveren. Geslaagde inname vandaag bewijst evenmin historische volledigheid of retentierecht voor alle gegevens. Controleer licenties en retentie afzonderlijk.

Ontbrekende velden en gaten onderzoeken

Geen Windows-event: controleer eerst auditing, kanaal en daadwerkelijke activiteit. Zonder bronevent valt niets door te sturen.

Wel bronevent, niets in Sophos: vergelijk filters, Snare-over-syslog, UTC, IP en UDP/514. Controleer daarna collectorstatus en stroom in de juiste periode. Voeg niet preventief een tweede forwarder aan dezelfde stroom toe.

Event aanwezig, verplicht veld ontbreekt: vergelijk Windows-origineel, forwarderuitvoer en genormaliseerd record. Controleer voor argumenten 4688 en de goedgekeurde policy. Verzin geen standaardwaarde.

Alleen netflow ontbreekt: controleer Windows Filtering Platform-events, selectie en SIEM-recht afzonderlijk. Een werkende login bewijst dit aanvullende bereik niet.

Pilot terugdraaien of beheer overdragen

Stop voor rollback alleen de nieuwe uitvoer of pilotfilter en herstel de bewaarde configuratie gecontroleerd. Behoud andere uitgangen en gedeelde collectors. Draai een auditpolicy alleen na vergelijking met de gedocumenteerde beginstand en goedkeuring terug; andere veiligheids- of bewijsvereisten kunnen ervan afhangen.

Controleer vervolgens dat de oude benodigde route werkt en geen ongewenste dubbele inname bestaat. De forwarder stoppen herstelt geen verloren UDP-events en bewijst geen verwijdering van verzonden telemetrie. Het aangewezen team blijft in beheer verantwoordelijk voor bereik, tijd, stroom, templatewijzigingen en updates.