Sophos XDR Data Lake Search en exports controleren

Data Lake Search onder Security Operations > Data Lake Search doorzoekt events en detections die in de tenant zijn opgenomen. Bepaal vóór de eerste query de onderzoeksvraag, benodigde bron en het tijdvenster. Een leeg resultaat is pas betekenisvol nadat ingestion, schema en filters zijn gecontroleerd.

Deze handleiding beschrijft de actuele Security Operations-interface. Live Discover en Live Endpoint Search onderscheiden historische data van een directe apparaatquery en behouden de afwijkende Classic-procedures. De QL-voorbeelden zijn syntaxsjablonen; pas de waarden aan de eigen bron aan en controleer de resultaten.

Databron en zoekmethode kiezen

Controleer vóór het zoeken onder Integrations > Configured Data Sources of de verwachte bron actuele data levert die aan het benodigde schema wordt gekoppeld. Een groene verbinding alleen is onvoldoende. Integraties accepteren legt dit onderscheid uit.

Data Lake Search biedt AI Search, Query Builder en Query Editor. AI Search maakt een voorstel uit een vraag in gewone taal. Controleer schema, voorwaarden en periode vóór gebruik; AI vervangt geen bronacceptatie. Query Builder toont voorwaarden visueel, Query Editor gebruikt Advanced Search Query Language. Met het pinsymbool kan de voorkeursmethode als standaard worden ingesteld.

Begin met een kleine bekende bron en een korte periode. Kies in Query Builder eerst Detections of Events, en bij events daarna het eventtype. In Query Editor bepaalt FROM het schema. Meng detections en events niet in dezelfde query.

Schema Library en logische velden begrijpen

Een schema is een gestructureerde eventcategorie, zoals auth, process of netflow. Schema Library toont schema’s, doorzoekbare velden en Logical Types. Niet ieder door de parser gevuld veld is noodzakelijk doorzoekbaar. Controleer mapping daarom op werkelijk doorzoekbare velden, niet alleen op een gelijknamig fabrikantveld.

Logische velden met @, zoals @ip of @user, combineren passende velden uit meerdere schema’s. Een multischemazoekactie voegt resultaten per schema samen; een voorwaarde geldt alleen voor schema’s die het veld bevatten. Dit is geen relationele join. Een filter op eventvelden in een detectionzoekactie vereist het bijbehorende schemaprefix, bijvoorbeeld process.commandline.

Het volgende onschuldige sjabloon toont een korte zoekactie in het authenticatieschema. example-user is een vrij gekozen placeholder en moet worden vervangen door een identiteit die voor het onderzoek is goedgekeurd:

FROM auth WHERE @user CONTAINS 'example-user' earliest=-1h

CONTAINS zoekt op deelstrings en garandeert geen exacte identiteitsmatch. Als ondubbelzinnig accountbewijs nodig is, controleer dan het echte identiteitsveld, de vergelijkingsoperator en bron. Tel gelijknamige lokale en domeinaccounts niet zonder controle samen.

Periode, bewaring en Raw-grens onderscheiden

Voor genormaliseerde Events staat de schemahelp van 2 oktober 2026 een venster van maximaal 31 dagen per query toe. De startdatum kan overal binnen werkelijk bewaarde data liggen. Gebruik voor langere onderzoeken op elkaar afgestemde vensters met gedocumenteerde grenzen. Detections kunnen voor elke periode worden gezocht; beschikbare historie en rechten moeten nog steeds worden gecontroleerd.

Deze 31 dagen zijn geen bewaartermijn. Next-Gen SIEM kan langere bewaring bieden zonder één onbeperkte query mogelijk te maken.

Voor @raw en original_data beschrijft de SQL-naar-QL-gids van 15 september 2026 afzonderlijke toegang tot de laatste 20 dagen. Een Raw-aanvraag buiten dit bereik wordt geweigerd en niet stilzwijgend ingekort. De oudere Query Language-pagina noemt ook stappen van 20 dagen. Dat garandeert niet dat opsplitsen oudere ruwe data beschikbaar maakt. Voor historisch Raw-bewijs buiten het gedocumenteerde bereik moet eerst een bevestigd productpad bestaan. Dit is geen algemene bewaring van 20 dagen en geen bewijs van fysieke verwijdering.

QL-limieten en vergelijkingsvalkuilen meenemen

De Query Language-help noemt 100 gelijktijdig draaiende Query Units per tenant en een scanlimiet van 10 TB per query. Eén zoekactie kan meerdere Query Units bezetten; honderd gebruikers krijgen niet elk honderd parallelle zoekacties. Beperk daarom brede logische zoekacties en lange perioden. Een mislukte of begrensde zoekactie mag niet als nul events worden uitgelegd.

Reguliere expressies voor events gebruiken een Java-compatibele engine; detectionzoekacties een Lucene-engine. Kopieer een opgeslagen expressie niet blind tussen deze paden. Hostnaamresolutie is bovendien een bijzonder geval met hoofdlettergevoelige letterlijke vergelijking en beperkte operatoren.

Bij arrays kunnen voorwaarden verschillende items binnen hetzelfde event raken. Een match op headernaam en headerwaarde bewijst bijvoorbeeld niet dat beide bij hetzelfde headeritem horen. Als deze koppeling voor de bevinding doorslaggevend is, moeten de onderliggende gegevens afzonderlijk worden gecontroleerd.

Resultaten controleren en zoekactie opslaan

Voer na selectie van de periode uit met Search of Shift + Enter. Full Screen vergroot de resultaten. Via het kolomkopmenu kunnen velden worden gefilterd, getoond/verborgen, vastgezet of geschaald; kolommen worden door slepen gerangschikt.

Controleer voor betrouwbare bevindingen representatieve regels op juiste tenant, bron, eventtijd met tijdzone, identiteit en actie. Aantallen zichtbare regels of een positieve detection vervangen deze veldcontrole niet. Vergelijk bij een brontest het event met het oorspronkelijke bewijs.

Bij AI Search en Query Editor opent Save Query de opslagdialoog. Kies in Query Builder eerst Save Search. Vul daarna naam, categorie en optionele beschrijving in en sla op met Save Query; Bookmark this Query voegt toe aan persoonlijke bladwijzers. Een nuttige naam benoemt doel en bron zonder secrets of persoonlijke ruwe data. Zoekacties worden in de tenanthistorie vastgelegd. Opgeslagen querytekst is geen permanent resultatenarchief.

Volledige exports vóór afloop veiligstellen

Exporteer via Actions boven de resultatentabel de volledige set of een bewust gekozen deelverzameling. Open vervolgens Security Operations > Data Exports. Controleer de status afzonderlijk van een geslaagde zoekuitvoering:

• Processing: export loopt nog.
• Completed: bestand kan worden gedownload.
• Errored: onderzoek de fout en gebruik bij een geschikte oorzaak Retry in het driepuntenmenu.
• Cancelled: export afgebroken, geen volledig bewijs.

Exportbestanden zijn beperkt tot 100.000 regels per bestand. Deel voor grotere hoeveelheden tijdvensters, filters of zoekparameters zinvol op en documenteer meerdere aanvragen. Aantal en dekking van de deelbestanden moeten samen overeenkomen met de gewenste onderzoeksscope. Een gedownload bestand bewijst niet de volledigheid van een grotere zoekactie.

File Expiration toont wanneer het bestand vervalt. Sla het vóór dat moment met Download op de goedgekeurde locatie op. Leid geen universele vaste TTL af uit één voorbeeld. Cancel stopt een lopende export; Delete verwijdert de export onherroepelijk. Geen van beide bevestigt dat oorspronkelijke telemetrie uit het Data Lake is verwijderd.

Het exportbewijs bevat query, expliciete tijdgrenzen en tijdzone, geselecteerde bronnen/schema’s, exportbereik, status, regelaantal en bewaring in het doelsysteem. Regel toegang en delen van gevoelige telemetrie vooraf. Voor een eigen volledig gepagineerde client legt het Search GraphQL-runbook Search-URN, deelstoringen, cursors en verloop uit.

Onverwachte resultaten onderzoeken

Ontbreken matches, controleer dan eerst tenant, bron, schema, tijdvenster en voorwaarden. Veronderstel na een Raw-fout geen oudere beschikbaarheid door telkens nieuwe vensters te proberen. Verminder bij een scan-/paralleliteitsgrens de aanvraag en documenteer de verdeling in plaats van ongecontroleerde herhalingen te starten.

Als de preview klopt maar een actieve detection- of suppressionregel anders reageert, controleer dan actueel regelbeheer. Streaming- en suppressionengines verwerken data op andere momenten en met andere grenzen dan een historische zoekactie.