Sophos SIEM: Azure Event Hubs i logi Blob

Sophos Next-Gen SIEM pobiera własne źródła przez Azure Event Hubs lub Azure Storage Account. Event Hubs daje strumień; przy Storage dostarczona Azure Function czyta pliki ze ścieżki Blob i przekazuje je dalej. Konfiguracje nie są zamienne.

Obie wymagają subskrypcji Next-Gen SIEM, aktywnej Azure i praw w Sophos Fusion/Azure. Przygotowane źródło musi rzeczywiście zapisywać logi do hubu/kontenera. Ogólna konfiguracja wymaga odpowiednich praw Admin/Super Admin; Azure ograniczyć do zatwierdzonych zasobów i wdrożenia.

Wybór transportów pomaga zdecydować. Nie jest to collector syslog w Azure ani automatyczny zamiennik istniejącej integracji cloud/Microsoft 365.

Event Hubs: wymagania i dostęp

Obsługiwane są Standard, Premium, Dedicated, nie Basic. Obecna dokumentacja Sophos wymaga hubu dostępnego z Internetu i wymienia wszystkie adresy IPv4. To istotny wymóg architektury bezpieczeństwa, a nie ogólna rada otwarcia prywatnego hubu. W razie konfliktu z polityką sieci najpierw uzgodnić z odpowiedzialnymi i Sophos, przed zmianą firewalla.

Wybrane kategorie muszą już płynąć do hubu, np. przez diagnostykę Azure Monitor. Konfiguracja źródła określa dane; samo połączenie nie włącza wstecz wszystkich audytów.

1. W Azure otworzyć właściwy Event Hubs namespace, zapisać Host name w Overview.
2. W Entities > Event Hubs otworzyć hub i zapisać Name, odróżniając od namespace.
3. Otworzyć Settings > Shared access policies > Add i utworzyć dedykowaną politykę.
4. Wybrać Listen. Ten odczyt nie wymaga dodatkowych praw wysyłania ani zarządzania.
5. Otworzyć politykę i zabezpieczyć Primary Connection String. Zawiera sekret; namespace, nazwa polityki i ewentualny EntityPath muszą wskazywać właściwy hub.

Nie kopiować prawdziwego ciągu do zgłoszeń ani KB. Udokumentować właściciela i rotację obsługiwaną przez Azure.

Połączenie Event Hubs w Sophos Fusion

1. Otworzyć Security Operations > Integrations > Marketplace > Custom.
2. Przy Azure Event Hubs wybrać Set Up i nazwę w Add an integration.
3. Wpisać sprawdzone Event Hubs Namespace Hostname, Event Hubs Name, Event Hubs Primary Connection String.
4. Utworzyć przez Done, sprawdzić Configured integrations.
5. Prześledzić nowe zatwierdzone zdarzenie do hubu i Sophos: źródło, tenant, czas i pola muszą się zgadzać.

Consumer Sophos dynamicznie używa dostępnych partycji do 200 partycji, bez gwarancji przepustowości. Operator odpowiada za pojemność hubu. ServerBusyException w API Query Log może oznaczać limit. Przed dodaniem partycji/consumerów sprawdzić wolumen i Azure; zwiększenie równoległych consumerów wymaga kontaktu z supportem według Sophos. Ciągłe odtwarzanie integracji nie naprawia wydajności.

Storage: ścieżka Blob i plan Function

Potrzebne są Storage Account, Blob Container z logami i wspierany plan Azure Function. Isolated nie jest wspierany. Dokumentacja wymienia:

• Basic: B1, B2, B3.
• Dynamic: Y1.
• Premium: P0V3, P1MV3, P1V2, P1V3, P2MV3, P2V2, P2V3, P3MV3, P3V2, P3V3, P4MV3, P5MV3.

Lista z 5 października 2026. Przed wdrożeniem sprawdzić ofertę, region, pojemność i koszty. Tier Event Hubs nie wybiera planu Function.

Data Source Key oznacza folder kontenera, gdzie powstają pliki. Dla MicrosoftInsights/2024-02-03/02hr/part=01/00004.json Sophos podaje MicrosoftInsights. Użyć własnego prefiksu, nie ślepo przykładu ani całej nazwy pliku. Błędny prefiks pomija właściwe pliki lub pobiera inne dane.

Wdrożenie Storage i Azure Function

1. Ustalić konto, kontener, prefiks i plan we właściwym Azure. Najpierw potwierdzić świeży obiekt testowy w przewidzianej ścieżce.
2. W Sophos otworzyć Security Operations > Integrations > Marketplace > Custom, Set Up pod Azure Storage Accounts.
3. Podać nazwę, Storage Account Name, Function App Name, Data Source Key. Nazwa opisuje cel, np. AplikacjaLogsForwarder, ale nie zastępuje kontroli rzeczywistych zasobów.
4. Wybrać Azure Function Service Plan Type, Azure Function Service Plan Code, Azure Function Service Plan Num Workers. Udokumentowany domyślny 1, maksimum 3 dla Basic B2/B3. Więcej workerów nie jest uniwersalną naprawą.
5. Przez Done wygenerować automatycznie pobierany AzureFunction.json. Chronić i sprawdzić zasoby, prawa i koszty przed uruchomieniem.
6. W Azure otworzyć własny template, Build your own template in the editor, wczytać AzureFunction.json, Save.
7. Wybrać/utworzyć Resource Group. Storage może być w innej subscription/grupie niż Function; Storage Account Subscription ID i Storage Account Resource Group zmienić tylko zgodnie z tą rzeczywistą różnicą.
8. Sprawdzić Review + Create, potem Create po wewnętrznej zgodzie. Skontrolować wdrożenie, utworzoną Function i integrację Sophos.

Źródło musi dalej zapisywać do właściwego kontenera. Sukces ARM nie dowodzi ścieżki ani przekazywania. Nie zakładać pełnej wstecznej ingestii starych plików; historię potwierdzić osobno.

Odbiór przepływu i diagnostyka

Sophos wymienia Azure Commercial Cloud i dokumentowane US Government/DoD/GCC/GCC-High. Nie oznacza to automatycznej dostępności każdego tenantu/regionu; sprawdzić środowisko i endpoint przed wdrożeniem.

Dla obu transportów zapisać nowe nieszkodliwe zdarzenie. Przy Event Hubs sprawdzić źródło, strumień, Listen i połączenie; przy Storage ścieżkę Blob, następnie wdrożenie/błędy Function. Dopiero potem porównać status oraz potwierdzoną metodę wyszukiwania w Sophos.

Obsługiwane typy mają własną normalizację, inne mogą być generic. Instrukcja SIEM o parserach i granicach wykrywania opisuje dalsze kontrole. Zielony konektor, plik czy licznik Event Hubs nie dowodzą pełnej normalizacji lub detekcji. Przy częściowych brakach sprawdzić kategorie, czas i pola przed poszerzeniem praw.

Planowanie przerwy i wycofania

Zapisać źródła współdzielące hub, kontener, politykę lub Function. Zatrzymać eksport metodą obsługiwaną przez źródło i zweryfikować. Nie usuwać do tego wspólnego hubu ani Storage Account.

Po wyjaśnieniu historii, dowodów, zależności i ponownego startu usuwać dedykowane połączenie, zbędne zasoby i sekrety według ich procedur. Usunięcie wpisu Sophos nie gwarantuje skasowania historii ani końca wszystkich kosztów Azure. Po cofnięciu sprawdzić potrzebną starą ścieżkę zdarzeniem testowym.