Sophos NDR: wybór platformy i prawidłowe wymiarowanie sensora
Wybór platformy wyraźnie rozdziela sensory wirtualne i chmurowe od certyfikowanego sprzętu. Odpowiedni rozmiar określa się następnie na podstawie …
Sophos NDR
Sophos NDR pasywnie analizuje dublowany ruch sieciowy na Integration Appliance. Sensor nie działa inline, dzięki czemu może również ujawniać podejrzane połączenia, ruch Command-and-Control i aktywność urządzeń niezarządzanych. Te instrukcje prowadzą od wyboru platformy i Traffic Mirroring po eksploatację, Detections i analizę. Sophos Firewall NDR Essentials oraz NDR Active Threat Intelligence są odrębnymi funkcjami SFOS i nie należą do tej ścieżki sensora.
Spis treści
Sophos NDR od wdrożenia po analizę
Najpierw dobierz platformę i rozmiar sensora, a następnie sprawdź wdrożenie oraz Traffic Mirroring. Integracjami i zasobami appliance zarządza się w Sophos Fusion (wcześniej Sophos Central) w obszarach Threat Analysis Center > Integrations oraz My Products > NDR. Lokalny Appliance Manager służy do obsługi sensora, Threat Analysis Center > Detections do centralnej selekcji, a lokalna Investigation Console do wyszukiwania zagrożeń na sensorze. Detections i Cases pozostają odrębnymi obszarami pracy.
Planowanie i wdrażanie 6
Wybierz właściwe uprawnienia i platformę, dobierz rozmiar sensorów wirtualnych lub certyfikowanych, wdróż je na ESXi, Hyper-V, AWS, Nutanix albo certyfikowanym sprzęcie oraz zweryfikuj ruch SPAN, ERSPAN, Mirror lub Cloud aż do sensora.
Wdrażanie Sophos NDR na VMware ESXi lub Hyper-V
Wspólna procedura w Central oraz osobne ścieżki dla ESXi i Hyper-V prowadzą od wymagań wstępnych przez pierwszy start po weryfikację, rozwiązywanie …
Wdrażanie Sophos NDR w AWS
Wdrożenie w AWS rozdziela ruch zarządzający od ruchu lustrzanego: CloudFormation tworzy urządzenie, a VPC Traffic Mirroring dostarcza kopie wybranych …
Wdrażanie Sophos NDR na Nutanix AHV
Ten runbook prowadzi od konfiguracji NDR w Sophos Fusion i utworzenia maszyny wirtualnej AHV aż po potwierdzenie odbioru pierwszego pakietu SPAN lub …
Instalacja Sophos NDR na certyfikowanym sprzęcie
Wspólne przygotowanie obrazu oraz oddzielne, destrukcyjne procedury instalacji na certyfikowanych systemach Dell, NUC i OnLogic.
Planowanie i weryfikacja mirroringu ruchu dla Sophos NDR
Niezawodne przechwytywanie NDR zaczyna się od właściwego wyboru źródeł kopii lustrzanej, a kończy na wieloetapowej weryfikacji. Sam zielony status nie …
Obsługa appliances i sensorów 2
Oddzielnie sprawdzaj zasoby appliances, sensory NDR i współdzielone Log Collectors w Sophos Fusion oraz Appliance Manager, monitoruj kondycję i pojemność, a działania ograniczaj do najmniejszego dotkniętego komponentu.
Bezpieczna obsługa urządzenia i sensora Sophos NDR
Sophos Fusion udostępnia informacje inwentaryzacyjne i działania centralne, a lokalny Appliance Manager pokazuje stan urządzenia, sensora NDR i …
Monitorowanie kondycji i wydajności Sophos NDR
Runbook operacyjny służący do tworzenia wiarygodnych wartości bazowych NDR, prawidłowej interpretacji co najmniej 2% pakietów unicast i ponad 10% …
Wykrywanie i analiza 5
Interpretuj NDR Dashboard, zweryfikuj zatwierdzoną testową Detection w Threat Analysis Center > Detections i w razie potrzeby analizuj lokalne dane sensora w Investigation Console. Do selekcji Detections i Cases obowiązują podane niżej zakresy odpowiedzialności XDR i MDR.
Jak prawidłowo interpretować panel Sophos Fusion NDR
Panel NDR przedstawia przegląd zaobserwowanej aktywności sieciowej. W tym przewodniku wyjaśniono, na jakie wnioski pozwalają wykresy i kiedy należy …
Bezpieczne generowanie i weryfikacja testowej detekcji Sophos NDR
Ten podręcznik procedur pozwala wygenerować nieszkodliwą detekcję testową NDR w Appliance Manager oraz zweryfikować ścieżkę czujnika, zawartość …
Wdrażanie i podłączanie konsoli Sophos NDR Investigation Console
Ten podręcznik procedur opisuje wymagania, wdrożenie na platformie ESXi lub Hyper-V, przypisanie jednego lub większej liczby urządzeń NDR Integration …
Badanie lokalnych danych NDR w Investigation Console
Ten podręcznik pokazuje, jak badać lokalne dane NDR, zaczynając od pulpitu nawigacyjnego, a następnie korzystając z zawężonych zapytań ClickHouse …
Bezpieczna obsługa konsoli Sophos NDR Investigation Console
Investigation Console ma własną lokalną warstwę administracyjną i operacyjną. Ten przewodnik pomaga chronić dostęp, zabezpieczać dowody przed zmianami …
Rozwiązywanie problemów i granice wycofania 1
Izoluj problemy od źródła Mirror przez sensor i upload aż po analizę, zbieraj dane diagnostyczne dla supportu oraz wyraźnie unikaj nieudokumentowanych czynności wycofania lub usuwania.
Diagnostyka urządzenia Sophos NDR Integration Appliance i sensora
Ten podręcznik prowadzi od widocznego objawu przez ukierunkowane kontrole do najmniejszego właściwego działania i eskalacji do pomocy technicznej — …
Powiązane ścieżki produktów
Sophos NDR zasadniczo wymaga uprawnienia do integracji NDR. Tylko w modelu MSP Flex, przy istniejącej licencji XDR, oddzielny Integration Pack nie jest wymagany. W innych modelach umów przed wdrożeniem należy sprawdzić konkretne uprawnienie w danym tenancie i kontrakcie. Wymagania licencyjne obu funkcji firewalla opisano w podlinkowanym przewodniku dotyczącym firewalla.
Dla zadań poza tą ścieżką sensora obowiązują następujące zakresy odpowiedzialności:
- Konfiguracja integracji MDR i XDR w Sophos Fusion opisuje międzyproduktową ścieżkę integracji.
- Analiza Detections i Threat Graphs prowadzi przez merytoryczną selekcję w Threat Analysis Center > Detections.
- Obsługa XDR Cases i Detection Rules rozgranicza samodzielnie zarządzane XDR Cases od zarządzanych przez Sophos MDR Cases i ich działań Response.
- Obsługa Sophos Firewall NDR i Active Threat Response opisuje NDR Essentials, NDR Active Threat Intelligence i ich analizę na firewallu.
W przypadku lokalnego wyszukiwania zagrożeń na sensorze artykuł Wdrażanie i łączenie Sophos NDR Investigation Console opisuje dostęp, wdrożenie i rozgraniczenie od centralnych obszarów pracy.