Monitorowanie i utrzymanie Sophos XDR Data Collectors

Sophos XDR Data Collectors monitoruje się w Security Operations > Integrations > Data Collectors. Wiarygodny odbiór operacyjny obejmuje trzy poziomy: collector jest osiągalny, oczekiwane źródła wysyłają i zdarzenia trafiają poprawnie do backendu. Stan Online odpowiada tylko na część tych pytań.

Instrukcja dotyczy już wdrożonych collectorów. Instrukcja migracji opisuje zastępowanie starszych SVA Log Collectors i wdrożenie lokalne. Nowe instancje AWS, Azure i GCP wdraża się zgodnie z instrukcją chmurową. Na appliance nie wolno instalować dodatkowych aplikacji innych dostawców.

Łączna kontrola stanu i źródeł

W tabeli lub widoku kart wskazać właściwy collector według nazwy, platformy i tenanta. Znaczenie stanów:

• Online: Collector zgłosił się; aplikacje są wdrożone i sprawne.
• Warning: Część aplikacji nie zgłosiła się ostatnio albo nie została poprawnie wdrożona.
• Offline: Wcześniej wdrożony collector nie zgłosił się ostatnio.
• Provisioning: Collector nie został jeszcze wdrożony.

Last Log Seen pokazuje odbiór logu w ostatniej godzinie. N/A oznacza brak zgłoszeń w tej godzinie. Dla celowo cichego źródła może to być oczekiwane; dla aktywnego firewalla trzeba zbadać przyczynę. Inny nadający host może sprawiać wrażenie aktywności collectora, mimo braku pojedynczego ważnego źródła.

Otworzyć collector i w Summary > Current Data Sources porównać liczbę źródeł sprawnych, z ostrzeżeniem i bez danych. Kliknięcie metryki otwiera odpowiednio przefiltrowaną listę. W Health wykres wejścia i tabela źródeł syslog pokazują faktycznych nadawców. Domyślny okres to godzina, z możliwością rozszerzenia do 30 dni, aby porównać wcześniejszą aktywność źródła z obecną przerwą.

Total Events opisuje zdarzenia zebrane przez collector w ostatnich 24 godzinach. Data Usage pokazuje natomiast wykorzystanie tenanta w bieżącym miesiącu; nie przypisywać go wyłącznie temu collectorowi. Do zewnętrznej inwentaryzacji służy Actions > Export All as CSV. Status i pobranie eksportu sprawdzić na Data Exports.

Przy odbiorze źródła skorelować oczekiwane zatwierdzone zdarzenie z systemem i czasem, a następnie sprawdzić je właściwą ścieżką wyszukiwania XDR. Aktywność wejściowa nie dowodzi prawidłowej normalizacji ani detekcji. Format i parsowanie wyjaśnia instrukcja Custom Parsers.

Interpretacja zaległości i przepustowości

Na Performance wybrać ten sam okres co przy źródłach. Backlog Age to wiek najstarszego pliku oczekującego na wysłanie do backendu, Backlog Count to liczba plików w kolejce. Sophos grupuje i kompresuje zdarzenia przed wysłaniem; wartości te nie określają bezpośrednio liczby utraconych logów.

Pojedyncze krótkie skoki, przy wysokim obciążeniu zwykle poniżej minuty, mogą się zdarzać. Ważniejszy jest trend: ciągły wzrost wieku i liczby albo wzrost w godzinach pracy ze spadkiem dopiero nocą oznacza, że przetwarzanie lub wysyłanie nie nadąża. Łącznie sprawdzić pasmo wyjściowe, QoS, proxy i obciążenie collectora. Restart nie wyjaśnia ani nie rozwiązuje trwałego niedoboru wydajności.

Ingress / Egress pokazuje bajty odebrane i wysłane przez główny interfejs. Większy ruch wejściowy niż wyjściowy nie jest automatycznie błędem ze względu na kompresję. Jeżeli rośnie kolejka, a egress osiąga plateau, sprawdzić uplink i ograniczenia. Zapisać MIN, MAX, AVG i LAST wraz z okresem i źródłami, zamiast zachowywać tylko pojedynczy zrzut ekranu.

Collector ma spool 200 GB na przejściowo opóźnione lub przerwane wysyłanie. To nie jest nieograniczony bufor ani zamiennik retencji SIEM. Także wartość do 200 000 EPS dotyczy tylko odpowiednio skonfigurowanych systemów i nie gwarantuje wydajności każdej VM czy łącza. Przy stale rosnącej kolejce przed zmianą zasobów ustalić faktyczne wąskie gardło.

Okna konserwacji w UTC

Zwykłe aktualizacje przebiegają automatycznie, zazwyczaj co 24 godziny przy zdrowym połączonym collectorze. Service maintenance obejmuje większe zmiany, np. systemu operacyjnego lub kernela, i może wymagać restartu. Cotygodniowe preferowane okno nie oznacza konserwacji każdego tygodnia.

Otworzyć Maintenance na stronie szczegółów:

1. W Maintenance Window wybrać dzień tygodnia i godzinę startu w UTC. Osobno sprawdzić lokalny czas z uwzględnieniem czasu letniego.
2. Wybrać czas trwania od dwóch do sześciu godzin. Najlepszy jest okres niskiego obciążenia z dostępną obsługą.
3. Zapisać przez Submit Update i ponownie odczytać pokazane okno.
4. Osobno sprawdzić już zaplanowane prace w Logs > Upcoming. Późniejsza zmiana preferencji ich nie przesuwa.

Nadchodzącą konserwację można odroczyć raz na kolejny tydzień przez checkbox i Defer Maintenance. Stany Pending, Download Ready, Upgrade Ready, Upgrade Running i Upgrade Running Rebooting pokazują przebieg. W History sprawdzić Complete lub Failed, czasy i wynik. Jeśli collector jest niesprawny lub nieosiągalny o wyznaczonej porze, konserwacja nie rozpocznie się.

Przed konserwacją poznać źródła i ich buforowanie oraz retransmisję. Restart może przerwać wysyłkę logów. Sam TCP nie gwarantuje zachowania i ponownego wysłania wszystkich zdarzeń przez aplikację; UDP niesie odpowiednie ryzyko utraty. Po pracach sprawdzić świeże zdarzenia i luki czasowe dla każdego źródła. Sophos zaleca kontakt z Support, jeśli collector pozostaje nieosiągalny ponad 30 minut po restarcie.

Najpierw odczyt z Admiral

Admiral jest lokalną konsolą tekstową collectora. Lokalnie otwiera się ją przez konsolę VM. W AWS wybrać instancję EC2 i Actions > Monitor and troubleshoot > EC2 serial console > Connect; potrzebne są zatwierdzone uprawnienia AWS. W Azure Serial console znajduje się przy VM pod Help, w GCP Connect to serial console w szczegółach instancji. Wyłączony dostęp uzgodnić z właścicielem chmury, zamiast spontanicznie dodawać uprawnienia lub nowy kanał zdalnego dostępu.

W wierszu poleceń help, uzupełnianie Tab i ? pokazują dostępną składnię. Ctrl-C otwiera nową linię bez wykonania rozpoczętego polecenia. Poniższe udokumentowane komendy show według Sophos odczytują stan bez generowania ruchu sieciowego:

show system info
show network
show routes
show date
show ntp status
show disk
show memory
show uptime

Porównać tożsamość, sieć, trasy, czas, dyski i zasoby z oczekiwanym stanem. Diagnostyka może zawierać wewnętrzne informacje sieciowe, więc zapisywać ją oczyszczoną w dokumentacji.

Komendy run mogą natomiast wykonywać akcje i tworzyć połączenia sieciowe. Ukierunkowana zatwierdzona diagnostyka obejmuje run dns check, run ntp check, run tunnel check i run e2e check. run dns check with verbose output daje dokładniejszą diagnostykę DNS. Nie upoważnia to do wszystkich działań: run reboot i run shutdown planują restart lub wyłączenie po minucie. Polecenia menu maintenance, np. restarty usług, należą do uzgodnionego wsparcia lub konserwacji, nie do pierwszej diagnostyki tylko do odczytu.

Zmiana konfiguracji i przygotowanie ponownego wdrożenia

Actions > Edit Collector Configuration jest dostępne tylko dla działającego zdrowego collectora ze stanem Ready. Przed zapisem zanotować poprzednie wartości, niezbędne zmiany sieci, źródła i drogę ponownego wdrożenia. Zmiana konfiguracji może odciąć collector.

Po wysłaniu banner wskazuje oczekującą zmianę; dalsza edycja jest zablokowana do zakończenia. Sophos testuje łączność i przy błędzie próbuje odtworzyć poprzednią konfigurację. Automatyczne wycofanie także może się nie udać, np. podczas równoległych zmian sieciowych. Wtedy może być potrzebne ponowne wdrożenie. Banner sukcesu potwierdzić dodatkowo stanem, źródłami i wynikiem wyszukiwania.

Potem zapisać aktualne pliki przez Actions > Download Collector Files. Dla collectorów chmurowych zaktualizować również template lub deployment Terraform, aby wymiana instancji nie przywróciła starej konfiguracji. Dla działającego lokalnego collectora nie trzeba ponownie montować nowej ISO; zachować ją do przyszłego wdrożenia.

Actions > Delete nie służy do diagnozowania stanu offline. Przed planowym wycofaniem przełączyć źródła, wykazać świeże zdarzenia na zamienniku i wyjaśnić rollback oraz retencję. Do Support przygotować identyfikację collectora/tenanta, przedział czasu, listę źródeł, stan i oczyszczoną diagnostykę Admiral. Credentials, pełne konfiguracje i zbędne dane osobowe z logów nie należą do publicznych zgłoszeń.