Sophos Next-Gen SIEM: kiedy XDR lub MDR nie wystarcza?

Podejrzany dostęp zostaje odkryty dopiero po kilku miesiącach. Teraz IT musi ustalić, które konta brały w nim udział, do jakich systemów uzyskano dostęp i czy zdarzenia są ze sobą powiązane. Przejrzysty dashboard niewiele pomoże, jeśli istotne dane zostały już usunięte lub nigdy nie dotarły do systemu.

Sophos Next-Gen SIEM rozszerza XDR i MDR o dodatkowe pozyskiwanie danych, analizy oraz dłuższe przechowywanie. Może to wypełnić rzeczywistą lukę. Może jednak również oznaczać kolejną licencję na dane, których przydatności nikt wcześniej nie określił.

Czym jest SIEM i co tutaj dochodzi?

SIEM oznacza Security Information and Event Management. SIEM zbiera dzienniki zdarzeń, w skrócie logi, z różnych systemów IT w jednym centralnym miejscu. Należą do nich na przykład logowania w Microsoft Entra ID, połączenia na firewallu, alerty ochrony Endpoint oraz zmiany na serwerach lub w aplikacjach. Log zapisuje, co i kiedy wydarzyło się w danym systemie oraz jakie konto lub urządzenie brało w tym udział.

Zbieranie danych i nadawanie im wspólnej struktury

Każdy produkt rejestruje zdarzenia inaczej. Firewall opisuje połączenie za pomocą adresu źródłowego, celu i działania; usługa tożsamości zapisuje na przykład użytkownika, czas logowania i wynik. SIEM wczytuje dostarczone dane i przypisuje istotne pola do wspólnego schematu. Taka normalizacja umożliwia wspólne przeszukiwanie zdarzeń z różnych źródeł. Działa tylko wtedy, gdy potrzebne informacje znajdują się w oryginalnym logu.

Rozpoznawanie i badanie powiązań

Właściwa korzyść pojawia się wtedy, gdy można powiązać pojedyncze zdarzenia. Na przykład po kilku nieudanych próbach logowania następuje udane logowanie na to samo konto. Wkrótce potem konto otrzymuje dodatkowe uprawnienia i uzyskuje dostęp do serwera. Każde zdarzenie z osobna może mieć wyjaśnienie; cała sekwencja zasługuje na zbadanie.

Reguły wykrywania i korelacje mogą wyróżniać takie kombinacje i generować alerty. Analitycy sprawdzają następnie, czy chodzi o atak, niewłaściwe zachowanie czy prawidłową operację. W tym celu przeszukują dane, filtrują je według kont lub urządzeń i odtwarzają przebieg zdarzeń w czasie. Fałszywe alarmy wymagają oceny, a reguły dostosowania do środowiska. SIEM nie rozumie automatycznie każdego procesu biznesowego.

Przechowywanie, analiza i reagowanie

Zapisane logi pomagają również wtedy, gdy podejrzenie pojawia się dopiero później. Raporty pokazują na przykład wzorce logowania, zmiany uprawnień lub luki w podłączonych źródłach. To, jak daleko w przeszłość może sięgnąć dochodzenie, zależy od faktycznie zebranych danych i okresu ich przechowywania.

Sam alert nie zatrzymuje jeszcze ataku. Zablokowanie konta lub odizolowanie urządzenia wymaga odpowiedniej integracji reakcji, uprawnień i ustalonej procedury. Automatyczne reakcje są możliwe, jeśli używane rozwiązanie i podłączone systemy je obsługują oraz jeśli zostały skonfigurowane. W przeciwnym razie musi zadziałać osoba odpowiedzialna.

Gdzie dochodzi Sophos Next-Gen SIEM

Sophos integruje te funkcje w Sophos Fusion, wcześniej Sophos Central. Dostępne źródła, analizy i reakcje zależą od zakupionych produktów i skonfigurowanych integracji.

XDR łączy dane bezpieczeństwa na potrzeby wykrywania i badania zagrożeń. MDR dodaje zarządzaną usługę z analitykami i uzgodnionymi działaniami reakcji. Next-Gen SIEM rozszerza bazę danych i ich użyteczność w dłuższym czasie. Posiadanie XDR nie oznacza jeszcze całodobowej usługi analitycznej; przy MDR licencja SIEM nie dodaje automatycznie każdej możliwej analizy jako nowego świadczenia usługi.

Omówienie techniczne w naszej bazie wiedzy pomaga w planowaniu. Przed zakupem powinno być znane konkretne pytanie, na które nie da się wiarygodnie odpowiedzieć w obecnym zakresie XDR/MDR.

Kiedy dodatkowe przechowywanie danych ma sens?

Przykładem są incydenty tożsamości sprzed dłuższego czasu. Mogą wymagać danych logowania, zmian uprawnień i odpowiadających im zdarzeń firewalla. W tym celu wszystkie trzy źródła muszą być podłączone, dostarczać potrzebne pola, a dane muszą być zachowane za odpowiedni okres. Kolejny rok telemetrii Endpoint nie zastąpi brakujących zdarzeń logowania.

Drugie zastosowanie to dokumentacja dla audytorów wewnętrznych lub klientów. Gotowe analizy mogą pomóc czytelnie pokazać zdarzenia i zakres monitorowania. Dashboard zgodności nie wystawia jednak certyfikatu i nie zapewnia automatycznego spełnienia żadnego przepisu. Organizacja musi merytorycznie określić, jakich danych potrzebuje i na jak długo, oraz zweryfikować to względem swoich wymagań.

Zacząłbym więc od dwóch lub trzech rzeczywistych pytań dochodzeniowych. Na przykład: czy można odtworzyć wcześniejsze dostępy usługodawcy, który zakończył współpracę? Czy można wykazać zmiany na kontach uprzywilejowanych za wymagany okres? Dopiero z tego wynikają źródła, pola, okres przechowywania i koszty.

Co oznacza „do dziesięciu lat”?

Techniczna pomoc administracyjna z 1 października 2026 r. podaje 13 miesięcy standardowego przechowywania i rozszerzenia do trzech, pięciu, siedmiu lub dziesięciu lat. Aktualna strona produktu Sophos podaje natomiast jeden rok. Według stanu weryfikacji na 28 października ta rozbieżność nie jest jednoznacznie wyjaśniona. W technicznym omówieniu kierujemy się 13 miesiącami z pomocy administracyjnej tego produktu; wiążący okres dla własnego tenanta i potrzebnych danych musi jednak zostać potwierdzony w ofercie.

„Do dziesięciu lat” nie oznacza zakresu powszechnie zawartego w podstawie. Nasz artykuł KB o planowaniu retencji oddziela informacje producenta, zamówiony okres przechowywania i późniejsze potwierdzenie działania. Jeśli potrzebne jest ponad dwanaście miesięcy historii, dodatkowy okres należy wyraźnie uzgodnić przed zakupem.

Równie istotne: źródło skonfigurowane dzisiaj nie uzupełni automatycznie brakujących zdarzeń z przeszłości. Przy badaniu danego okresu liczy się to, od kiedy dane rzeczywiście były zbierane. Dlatego przy migracji trzeba ustalić, co stanie się z dotychczasowymi logami i jak długo pozostaną dostępne.

Przechowywanie to także nie to samo co odtwarzanie. SIEM nie zastępuje kopii zapasowej danych biznesowych. Nawet po dobrze udokumentowanym incydencie potrzebne są sprawne backupy, aby przywrócić działanie dotkniętych aplikacji.

Jak trafiają tam właściwe zdarzenia?

Sophos oferuje integracje produktowe i możliwości podłączania własnych źródeł danych. Obecność źródła w katalogu nie oznacza jednak jeszcze, że żądana kategoria zdarzeń dociera do tenantu. Licencja, dostęp do interfejsu, connector i faktycznie dostarczane pola muszą do siebie pasować. Nasza instrukcja integracji MDR/XDR opisuje weryfikację operacyjną.

W przypadku własnej aplikacji trzeba na przykład ustalić, jaki format wysyła, jak przypisywani są użytkownicy i znaczniki czasu oraz czy kluczowe działania są w ogóle rejestrowane. Technicznie czytelny rekord bez jednoznacznej tożsamości może mimo wszystko okazać się bezużyteczny w dochodzeniu. Parser wspiera przyporządkowanie, lecz nie tworzy zdarzeń, których system źródłowy nigdy nie dostarczył.

Połączenie Syslog z Sophos Firewall to przykład drogi przesyłania. Udana wysyłka potwierdza początkowo tylko transport. Przy odbiorze znane zdarzenie testowe musi pojawić się w analizie z właściwym czasem, systemem i operacją, a następnie pozostawać możliwe do odnalezienia przez przewidziany okres.

Ile naprawdę kosztuje Next-Gen SIEM?

Dodatek jest przeznaczony dla klientów XDR lub MDR i jest licencjonowany na użytkownika oraz serwer. Według polityki licencyjnej Sophos liczba musi odpowiadać łącznej liczbie odpowiednich subskrypcji XDR/MDR. Uwzględnienie tylko administratorów lub małej grupy pilotażowej nie stanowiłoby więc pełnej kalkulacji.

Sophos promuje model bez opłat za ingest zależnych od wolumenu. Oznacza to, że cena nie jest naliczana jak w klasycznym modelu za każdy pobrany gigabajt. Nie oznacza to nieograniczonego pozyskiwania danych: polityka licencyjna podaje limit 1 GB surowych danych dziennie łącznie ze wszystkich źródeł; sposób zastosowania tego limitu do zakupionej liczby licencji trzeba jednoznacznie wyjaśnić w ofercie.

Cena całkowita obejmuje też wybrane rozszerzenia retencji, ewentualne licencje źródeł danych, konfigurację i bieżącą obsługę. Aby porównanie było miarodajne, oferta musi obejmować taki sam zakres danych i okres przechowywania jak alternatywa.

Kto bada zebrane dane?

Obsługa SIEM obejmuje monitorowanie źródeł, utrzymanie mapowania pól i zapewnienie możliwości analiz. Awaria integracji nie może zostać zauważona dopiero podczas incydentu. Ktoś musi wiedzieć, jakie dane dotarły ostatnio i kiedy oraz które zmiany w systemie źródłowym wpływają na ich przepływ.

MDR zapewnia już analityków w ramach uzgodnionej usługi bezpieczeństwa. Nie oznacza to jednak automatycznej obsługi każdego raportu zgodności lub każdego własnego źródła danych. Przed rozszerzeniem trzeba ustalić, jakie dodatkowe dane Sophos bada w zakupionej usłudze i jakie analizy pozostają po stronie własnego IT. Wspólny magazyn danych nie znosi tego podziału obowiązków.

Kiedy kupiłbym ten dodatek?

Next-Gen SIEM może mieć sens, jeśli potrzebne dochodzenie lub przechowywanie nie jest możliwe w obecnym zakresie. Pilotaż powinien mieć reprezentatywne źródło, konkretne pytanie i wskazaną osobę odpowiedzialną. Wynikiem ma być przejrzysta analiza, dla której znana jest kompletność danych i nakład pracy.

Jeśli ktoś nie reaguje już na bieżące ostrzeżenia, samo dłuższe przechowywanie niewiele mu da. Najpierw muszą działać podział obowiązków i posiadane mechanizmy kontroli. Kupiłbym dodatek, gdy wypełnia określoną lukę, a nie wyłącznie dlatego, że „więcej logów” brzmi jak większe bezpieczeństwo.

Najczęstsze pytania