Sophos SIEM: własny S3 i S3 zarządzany przez Sophos

Sophos Next-Gen SIEM oferuje trzy transporty S3: bucket we własnym koncie AWS lub cel Sophos z tokenem własności albo bez niego. Wybór zależy od eksportera i modelu utrzymania. Sam bucket nie tworzy znormalizowanych, użytecznych zdarzeń XDR.

Wymagane są subskrypcja Next-Gen SIEM, dostęp do konfiguracji i uprawnienia AWS/dostawcy właściwe dla metody. Dobór transportów opisuje alternatywy. Wysyłać tylko zatwierdzone logi, zachowując stare cele do odbioru.

Wariant i odpowiedzialność

Customer-Managed S3 pozostawia pliki w buckecie własnego konta AWS. Operator zapewnia bucket, zasoby CloudFormation/Lambda i trigger, odpowiadając za koszty oraz sprawdzony IAM.

Przy Sophos-Managed S3 cel utrzymuje Sophos. Źródło wymaga aliasu, ścieżki i czasem parametrów roli. Jeśli dostawca wymaga pliku/tokena potwierdzającego własność przed eksportem, wybrać with token; inaczej without token. Token nie jest ogólnym sekretem API ani dowodem kompletności przyszłych logów.

Zapisać źródło, konto/region AWS, prefiks, format, tożsamość i właścicieli. Prawdziwe ARN IAM i tokeny pochodzą z własnej konfiguracji dostawcy/AWS, nie z cudzych przykładów. Chronić sekrety i parametry dostępu.

Własny bucket: integracja i Lambda

1. Przygotowanie Sophos Fusion

1. Otworzyć Security Operations > Integrations > Marketplace > Custom.
2. Przy Customer-Managed S3 wybrać Set Up.
3. Przeczytać informacje S3, Next, unikalna nazwa i Done.
4. Pobrać i chronić wygenerowany szablon CloudFormation dla Lambda. Nie mylić go z szablonem collectora lub NDR.

2. CloudFormation we właściwym koncie

Bucket musi już zawierać docelowe logi. Wdrożyć w tym samym regionie z prawami CloudFormation, Lambda, IAM i pozostałych deklarowanych zasobów. Sprawdzić szablon pod kątem bezpieczeństwa i kosztów przed wykonaniem.

1. We właściwym regionie CloudFormation > Create stack; z listy wybrać With new resources (standard).
2. W Prepare template wybrać istniejący szablon i wczytać YAML w Specify template. Alternatywnie użyć zatwierdzonego URL S3; żaden bucket nie musi być publiczny.
3. Podać nazwę bez spacji. Wybrać właściwy IntegrationType; przy wielu typach lub niejasnym mapowaniu Sophos wskazuje generic, bez gwarancji detekcji.
4. W NotificationBucket podać samą nazwę, bez URL/URI S3. Przy świadomym użyciu SNS zamiast powiadomień S3 wpisać ARN do SNSNotificationarn. Inne wartości zmieniać tylko według sprawdzonych wymagań szablonu.
5. Sprawdzić zasoby IAM, jawnie potwierdzić tworzenie i po kontroli parametrów uruchomić Submit.
6. Sprawdzić zdarzenia i CREATE_COMPLETE. Ukończony stack nie dowodzi poprawnego triggera ani użytecznych zdarzeń.

Standardowo bucket, stack i Lambda należą do tego samego konta/regionu. Inne architektury nie są tym potwierdzone.

3. Bucket jako trigger

1. W Lambda otworzyć faktycznie utworzoną funkcję; wzorzec Sophos to {STACKNAME}-sophos-xdr-lambda-{INTEGRATIONTYPE}.
2. Otworzyć Function overview > Add Trigger > S3. Wariant SNS wymaga osobno przygotowanego topicu.
3. Wybrać bucket i All Object Create Events w Event Type.
4. W Prefix wpisać wyłącznie planowany prefiks, a gdy brak – zostawić puste. Suffix pozostawić puste. Zbyt wąski prefiks pomija pliki, szeroki może zbierać niechciane dane i zwiększać koszty.
5. Sprawdzić ostrzeżenie o kosztach Lambda, Add, następnie powiązanie i nowy obiekt testowy.

Object Create nie potwierdza automatycznego pobrania całej wcześniejszej zawartości. Historię uzgodnić oddzielnie, bez niekontrolowanego ponownego zapisu plików.

Cel Sophos bez tokena własności

1. Otworzyć Security Operations > Integrations > Marketplace > Custom, następnie Set Up przy S3 Ingest – Sophos-Managed (without Ownership token).
2. Wybrać wymagane przez dostawcę IAM User, Canonical User ID lub IAM Role, wpisać wartość i utworzyć przez Done.
3. Otworzyć integrację i Details, bezpiecznie zachować parametry.
4. W eksporterze użyć AccessPointAlias jako bucketu, LogFolderPath jako ścieżki i w razie potrzeby AWSRegion. Tożsamość musi odpowiadać początkowej. Dla roli użyć też IAMAssumeRole jako ARN przyjmowanej roli po stronie źródła.
5. Rozpocząć nowym zdarzeniem i sprawdzić pobranie. Nie dodawać challenge własności do tego wariantu.

Cel Sophos z tokenem

Ten sam punkt wejścia, lecz S3 Ingest – Sophos-Managed (with token). Po Set Up podać typ tożsamości i wartość dostawcy, następnie Details.

Źródło używa AccessPointAlias, AWSRegion, LogFolderPath i właściwej tożsamości; przy IAM Role również IAMAssumeRole. OwnershipToken stosować zgodnie z procedurą dostawcy.

Proces może być wieloetapowy: dostawca zapisuje plik challenge lub równoważny obiekt w celu. Odświeżyć Details w Sophos, odczytać nowy OwnershipToken i przekazać dostawcy do zakończenia weryfikacji. Nie zastępować jego procesu zmyślonym tokenem lub własnym obiektem. Dopiero potem weryfikować logi.

Odbiór i wycofanie wariantów

Integracja pojawia się w Configured integrations. Sprawdzić nowe nieszkodliwe zdarzenie u źródła, potem tenant, źródło, czas i pola w Sophos. Dla własnego S3 także obiekt, trigger i błędy Lambda/stack; dla zarządzanego najpierw tożsamość, alias, ścieżkę i wymagany dowód własności.

Custom S3 zapewnia początkowo transport. Obsługiwane typy mają normalizację właściwej integracji, pozostałe mogą trafić do generic. Instrukcja SIEM rozdziela transport, parser i detekcję. Zielony status lub zapisany plik nie dowodzą pełnej historii ani wykrycia.

Przed wycofaniem zatrzymać eksport/dedykowany trigger i sprawdzić potrzebną starą ścieżkę. Nie usuwać bez rozpoznania wspólnych bucketów, tożsamości IAM, topiców czy zależności Lambda. Wyjaśnić retencję, pozostałe koszty, zależności i wspieraną procedurę usuwania. Skasowanie integracji nie dowodzi usunięcia historii SIEM ani końca wszystkich kosztów AWS.