Sophos Next-Gen SIEM: ocena możliwości i planowanie retencji
Next-Gen SIEM rozszerza XDR i MDR o dłuższe przechowywanie danych oraz integracje niestandardowe. Inwentaryzacja źródeł i udokumentowany pilotaż …
Sophos SIEM
Sophos Next-Gen SIEM rozszerza XDR i MDR o dłuższe przechowywanie danych oraz własne źródła. Instrukcje prowadzą od planowania przez Collector i transport do normalizacji i weryfikowalnego wyszukiwania.
Procedury SIEM
Od inwentarza źródeł do zweryfikowanego zdarzenia
Najpierw należy ustalić licencję i zapotrzebowanie na dane. Następnie skonfigurować odpowiednią ścieżkę i osobno odebrać transport, mapowanie pól oraz zamierzoną analizę. Instrukcje XDR/SIEM pozostają dostępne także w dotychczasowych kategoriach produktów.
Planowanie, licencja i przechowywanie 1
Ocena dodatkowych korzyści względem XDR i MDR. Przed podłączeniem należy określić ilość danych, okna wyszukiwania, retencję i odpowiedzialność operacyjną.
Telemetria Windows, sieci i chmury 3
Pobieranie źródeł wspólnych dla XDR i SIEM z właściwym formatem i Collectorem. Uprawnienie SIEM zależy od typu zdarzenia.
Wysyłaj Windows Event Log do Sophos XDR i SIEM
Połącz Windows Event Log obsługiwanym forwarderem i potwierdź odbiór; odróżnij polecenia procesu od licencji netflow.
Zbieraj telemetrię sieciową przez Sophos XDR Collector
Cztery konkretne ścieżki syslog z formatami, wymaganiami, czasem zdarzeń, odbiorem i kontrolowanym wycofaniem.
Połącz logi przepływów chmurowych z Sophos XDR i SIEM
Cztery konkretne ścieżki chmurowe: konfiguracja, uprawnienia, formaty i odbiór. Wymagania SIEM sprawdza się dla każdego schematu telemetrii.
Transport własnych źródeł 3
Dobór HTTP Ingest, trzech wariantów S3 albo Azure Event Hubs i Storage do istniejącej ścieżki źródłowej oraz osobna kontrola każdego połączenia.
Sophos SIEM: wybór transportu i konfiguracja HTTP Ingest
HTTP Ingest łączy źródło obsługujące POST z Sophos Fusion. Wybór transportu, ochrona sekretów i testy oddzielają dostarczenie od użytecznych zdarzeń.
Sophos SIEM: własny S3 i S3 zarządzany przez Sophos
Trzy transporty S3 różnią się własnością, uprawnieniami i jej weryfikacją. Instrukcja oddziela konfigurację od odbioru danych.
Sophos SIEM: Azure Event Hubs i logi Blob
Event Hubs i Blob Storage korzystają z różnych integracji. Wymagania, konfiguracja, utrzymanie i ograniczenia obu metod.
Parsery, wyszukiwanie i odbiór praktyczny 2
Przygotowanie Custom Parsers z odpowiednimi schematami oraz kontrola surowej wiadomości, normalizacji i wyszukiwania. Przykład laboratoryjny łączy te kroki.
Tworzenie, testowanie i obsługa Custom Parsers w Sophos SIEM
Działający transport logów nie oznacza jeszcze użytecznej normalizacji. Instrukcja prowadzi od próbek źródła i schematu przez testy do kontrolowanego …
Sophos SIEM: przykład kontroli HTTP Ingest i parsera
Małe własne źródło JSON pozwala osobno sprawdzić transport, czas, mapowanie wyniku i wyszukiwanie. Z bezpieczną obsługą sekretów, próbami negatywnymi …
Wybór właściwego punktu wyjścia
Nowy pilotaż SIEM zaczyna się od planowania produktu i retencji. Określa się przy tym, jakie zdarzenie ma dostarczać dane źródło i kto ma na jego podstawie podjąć działanie. Poniższe kategorie porządkują istniejące instrukcje według tej procedury; nie zmieniają wymagań licencyjnych ani dotychczasowych adresów artykułów.
Collector i transport niestandardowy mają różne zadania. Dla obsługiwanych źródeł Syslog migracja do XDR Data Collector wyjaśnia ścieżkę pobierania. Własna aplikacja obsługująca POST może natomiast korzystać na przykład z HTTP Ingest. Zielony stan transportu w żadnym przypadku nie potwierdza prawidłowego mapowania pól ani wykrycia.
Kompletny przykład HTTP i parsera opisuje syntetyczne źródło testowe, mapowanie Auth, zapytanie i wycofanie środowiska. Dla rzeczywistych danych format źródła, parser i kryteria powodzenia muszą zostać potwierdzone w zatwierdzonym pilotażu.
Dalszą analizę opisuje instrukcja Data Lake Search, obejmująca wyszukiwanie i pola. Automatyczne wykrywanie oraz własne reguły pozostają osobnym zadaniem; ich ograniczenia wyjaśnia omówienie Custom Rules. Zwykłe logowanie testowe nie musi wywołać alarmu.