Sophos XDR Data Collectors bewaken en onderhouden

Sophos XDR Data Collectors worden bewaakt onder Security Operations > Integrations > Data Collectors. Betrouwbare operationele validatie controleert drie niveaus: de collector is bereikbaar, de verwachte bronnen verzenden en gebeurtenissen komen correct in de backend aan. De status Online beantwoordt slechts een deel daarvan.

Dit runbook behandelt al uitgerolde collectors. Het migratierunbook beschrijft de vervanging van oude SVA-logcollectors en on-premises deployment. Nieuwe AWS-, Azure- of GCP-instanties worden met de cloudhandleiding uitgerold. Op de appliances mogen geen aanvullende programma’s van derden worden geïnstalleerd.

Status en bronnen samen controleren

Identificeer in tabel- of kaartweergave de juiste collector aan de hand van naam, platform en tenant. De statuswaarden betekenen:

• Online: De collector heeft zich gemeld; de applicaties zijn uitgerold en gezond.
• Warning: Sommige applicaties hebben zich niet recent gemeld of zijn niet correct uitgerold.
• Offline: Een eerder uitgerolde collector heeft zich niet recent gemeld.
• Provisioning: De collector is nog niet uitgerold.

Last Log Seen toont logontvangst binnen het laatste uur. N/A betekent dat in dat uur niets is gemeld. Bij een bewust stille bron kan dit verwacht zijn; bij een actieve firewall moet de oorzaak worden onderzocht. Een andere verzendende host kan de collector actief laten lijken terwijl een afzonderlijke belangrijke bron ontbreekt.

Open de collector en vergelijk onder Summary > Current Data Sources het aantal gezonde bronnen, waarschuwingen en bronnen zonder gegevens. Een klik op een getal opent de overeenkomstig gefilterde bronnenlijst. Onder Health tonen de ingangsgrafiek en syslog-bronnentabel wie werkelijk naar de collector verzendt. De standaardperiode is één uur en kan tot 30 dagen worden uitgebreid. Zo is eerdere activiteit van een bron met de huidige storing te vergelijken.

Total Events betreft de door deze collector verzamelde gebeurtenissen van de afgelopen 24 uur. Data Usage toont daarentegen het verbruik van de tenant in de lopende maand; schrijf dit niet uitsluitend aan deze collector toe. Voor een externe inventaris is Actions > Export All as CSV beschikbaar. Controleer exportstatus en download op Data Exports.

Correleer voor bronvalidatie een verwacht, toegestaan event met bronsysteem en tijdstip en controleer het via het bedoelde XDR-zoekpad. Inkomende activiteit bij de collector bewijst geen juiste normalisatie of detectie. Het Custom-Parser-runbook behandelt formaat- en parservragen.

Backlog en doorvoer interpreteren

Kies op Performance eerst dezelfde periode als bij de broncontrole. Backlog Age is de leeftijd van het oudste bestand dat op verzending naar de backend wacht; Backlog Count is het aantal wachtende bestanden. Sophos bundelt en comprimeert events voor verzending; deze waarden tonen niet rechtstreeks het aantal verloren logs.

Korte uitschieters, bij hoge belasting meestal korter dan een minuut, kunnen voorkomen. Belangrijker is het verloop: als leeftijd en aantal voortdurend of tijdens kantooruren toenemen en pas ’s nachts afnemen, houdt verwerking of verzending de huidige belasting niet bij. Onderzoek uitgaande bandbreedte, QoS, proxy en collectorbelasting samen. Een herstart verklaart of verhelpt geen structureel capaciteitstekort.

Ingress / Egress toont ontvangen en verzonden bytes op de primaire netwerkinterface. Door compressie is meer inkomend dan uitgaand verkeer niet automatisch een fout. Groeit tegelijk de backlog en bereikt egress een plateau, controleer dan uplink en beperkingen daarvan. Noteer MIN, MAX, AVG en LAST met periode en betrokken bronnen in plaats van alleen een los screenshot te bewaren.

De collector heeft een spool van 200 GB voor tijdelijk vertraagde of onderbroken verzending. Dit is geen onbeperkte buffer en geen vervanging voor SIEM-retentie. Ook de leverancierswaarde tot 200.000 EPS geldt alleen voor passend geconfigureerde systemen en is geen garantie voor elke VM of verbinding. Bepaal bij blijvend groeiende achterstand de echte bottleneck voordat resources worden gewijzigd.

Onderhoudsvensters in UTC vastleggen

Normale software-updates verlopen automatisch, doorgaans elke 24 uur bij een gezonde, verbonden collector. Service maintenance omvat grotere wijzigingen zoals OS- of kernelupgrades en kan een herstart vereisen. Een wekelijks voorkeursvenster betekent niet dat dergelijk onderhoud iedere week plaatsvindt.

Open Maintenance op de detailpagina:

1. Kies onder Maintenance Window weekdag en begintijd in UTC. Controleer afzonderlijk de lokale tijd, inclusief zomertijd.
2. Kies een duur van twee tot zes uur. Een periode met weinig belasting en bereikbare beheerders is geschikt.
3. Sla op met Submit Update en lees het getoonde venster terug.
4. Controleer al gepland onderhoud apart onder Logs > Upcoming. Een latere wijziging van het voorkeursvenster verschuift dit niet.

Een geplande onderhoudsbeurt kan eenmaal via de checkbox en Defer Maintenance naar de volgende week worden verplaatst. Statussen zoals Pending, Download Ready, Upgrade Ready, Upgrade Running en Upgrade Running Rebooting tonen het verloop. Controleer onder History Complete of Failed, met tijden en resultaat. Is de collector op het geplande moment ongezond of onbereikbaar, dan start het onderhoud niet.

Vooraf moeten betrokken bronnen en hun buffering en herhaalmechanismen bekend zijn. Een herstart kan logverzending onderbreken. Ook TCP alleen garandeert niet dat de verzendende applicatie alle gebeurtenissen bewaart en opnieuw verzendt; bij UDP bestaat een bijbehorend verliesrisico. Controleer daarna verse events en mogelijke hiaten per bron. Sophos adviseert Support te contacteren als de collector na een herstart langer dan 30 minuten onbereikbaar blijft.

Admiral eerst alleen-lezen gebruiken

Admiral is de lokale tekstconsole van de collector. On-premises wordt deze via de VM-console geopend. Open in AWS de EC2-instantie en kies Actions > Monitor and troubleshoot > EC2 serial console > Connect; hiervoor zijn de betreffende goedgekeurde AWS-rechten nodig. In Azure staat Serial console bij de VM onder Help, in GCP Connect to serial console in de instantiedetails. Bespreek uitgeschakelde toegang met de cloudverantwoordelijke in plaats van spontaan extra rechten of een nieuw extern toegangspad toe te voegen.

Bij de prompt helpen help, Tab-aanvulling en ? met de werkelijk beschikbare syntax. Ctrl-C opent een nieuwe invoerregel zonder een begonnen commando uit te voeren. De volgende gedocumenteerde show-commando’s lezen volgens Sophos status zonder netwerkverkeer te genereren:

show system info
show network
show routes
show date
show ntp status
show disk
show memory
show uptime

Vergelijk hiermee identiteit, netwerkinstellingen, route, tijd, opslag en resources met de verwachte toestand. Diagnose-uitvoer kan interne netwerkinformatie bevatten; bewaar deze opgeschoond in de beheerdocumentatie.

run-commando’s kunnen acties uitvoeren en netwerkverbindingen genereren. Gerichte toegestane diagnose omvat bijvoorbeeld run dns check, run ntp check, run tunnel check en run e2e check. run dns check with verbose output levert uitgebreidere DNS-diagnose. Dit geeft geen vrijbrief voor alle aangeboden acties: run reboot en run shutdown plannen na één minuut een herstart of uitschakeling. Commando’s in het maintenance-menu, zoals serviceherstarts, horen in een afgestemd support- of onderhoudsproces, niet in een alleen-lezen eerste diagnose.

Configuratie wijzigen en herdeployment voorbereiden

Actions > Edit Collector Configuration is alleen beschikbaar voor een draaiende, gezonde collector met status Ready. Leg vóór het opslaan bestaande waarden, benodigde netwerkwijzigingen, betrokken bronnen en een herdeploymentpad vast. Een configuratiewijziging kan de collector onbereikbaar maken.

Na indienen toont een banner de uitstaande wijziging; configuratie kan pas na afronding opnieuw worden bewerkt. Sophos test de verbinding en probeert bij een fout de vorige configuratie te herstellen. Ook deze automatische terugweg kan mislukken, bijvoorbeeld bij gelijktijdige netwerkwijzigingen. Dan kan opnieuw uitrollen nodig zijn. Bevestig een succesbanner daarom ook met status, bronbewijzen en zoekresultaat.

Bewaar daarna bijgewerkte deploymentbestanden via Actions > Download Collector Files. Werk bij cloudcollectors ook de bijbehorende cloudtemplate of Terraform-deployment bij, zodat instantie-vervanging niet de oude configuratie terugbrengt. Bij een draaiende on-premises collector hoeft de nieuwe ISO niet opnieuw te worden gekoppeld; bewaar deze voor toekomstige herdeployment.

Actions > Delete is geen stap om een offlineprobleem te onderzoeken. Voor geplande uitfasering moeten bronnen zijn omgezet, verse events bij de vervanger zijn aangetoond en terugweg en retentie zijn opgehelderd. Verzamel voor Support collector-/tenantidentificatie, periode, bronnenlijst, status en opgeschoonde Admiral-uitvoer. Credentials, volledige configuratiebestanden en onnodige persoonlijke loggegevens horen niet in publiek toegankelijke tickets.