Sophos Next-Gen SIEM: quando XDR ou MDR não chegam?

Um acesso suspeito só é descoberto meses depois. Agora, a equipa de TI tem de descobrir que contas estiveram envolvidas, a que sistemas se acedeu e se os eventos estão relacionados. Um painel claro ajuda pouco quando os dados relevantes já foram eliminados ou nunca chegaram.

O Sophos Next-Gen SIEM amplia XDR e MDR com ingestão adicional de dados, análises e retenção prolongada. Pode colmatar uma lacuna real. Mas também pode tornar-se mais uma licença para dados cuja utilidade ninguém definiu previamente.

O que é um SIEM e o que acrescenta este produto?

SIEM significa Security Information and Event Management. Um SIEM recolhe registos de eventos, ou logs, de diferentes sistemas de TI num local central. Incluem, por exemplo, inícios de sessão no Microsoft Entra ID, ligações na firewall, alertas da proteção de Endpoint e alterações em servidores ou aplicações. Um log regista o que aconteceu, quando, em que sistema e que conta ou dispositivo esteve envolvido.

Recolher dados e torná-los compreensíveis

Cada produto regista os eventos de forma diferente. Uma firewall descreve uma ligação com endereço de origem, destino e ação; um serviço de identidade regista, por exemplo, o utilizador, a hora de início de sessão e o resultado. O SIEM ingere os dados fornecidos e associa os campos relevantes a um esquema comum. Esta normalização permite pesquisar em conjunto eventos de diferentes fontes. Só funciona se as informações necessárias estiverem presentes no log original.

Identificar relações e investigá-las

O verdadeiro benefício surge quando é possível relacionar eventos individuais. Por exemplo, a vários inícios de sessão falhados segue-se um início de sessão bem-sucedido da mesma conta. Pouco depois, essa conta recebe permissões adicionais e acede a um servidor. Cada evento, isoladamente, pode ter uma explicação; a sequência merece uma investigação.

As regras de deteção e as correlações podem destacar estas combinações e gerar alertas. Os analistas verificam depois se se trata de um ataque, um comportamento indevido ou uma atividade legítima. Para isso, pesquisam os dados, filtram por contas ou dispositivos e reconstituem a sequência temporal. É necessário avaliar os falsos positivos e adaptar as regras ao ambiente. Um SIEM não compreende automaticamente todas as operações de negócio.

Conservar, analisar e responder

Os logs armazenados também ajudam quando uma suspeita surge mais tarde. Os relatórios mostram, por exemplo, padrões de início de sessão, alterações de permissões ou lacunas nas fontes ligadas. Até onde uma investigação pode recuar depende dos dados efetivamente recolhidos e da sua retenção.

Um alerta, por si só, não trava um ataque. Bloquear uma conta ou isolar um dispositivo exige uma integração de resposta adequada, permissões e um procedimento definido. As respostas automatizadas são possíveis se a solução utilizada e os sistemas ligados as suportarem e se tiverem sido configuradas. Caso contrário, a pessoa responsável tem de intervir.

Onde se enquadra o Sophos Next-Gen SIEM

A Sophos integra estas funções no Sophos Fusion, anteriormente Sophos Central. As fontes, análises e respostas disponíveis dependem dos produtos contratados e das integrações configuradas.

XDR liga dados de segurança para deteção e investigação. MDR acrescenta um serviço gerido com analistas e prestações de resposta acordadas. Next-Gen SIEM amplia a base de dados e a sua utilização ao longo de períodos mais extensos. Quem tem XDR não dispõe, só por isso, de um serviço de analistas a trabalhar permanentemente; quem tem MDR não recebe automaticamente, por adquirir uma licença SIEM, todas as análises imagináveis como novas prestações do serviço.

A explicação técnica na nossa KB ajuda no planeamento. Antes de comprar, deve estar definida uma pergunta concreta à qual o âmbito existente de XDR/MDR não permite responder de forma fiável.

Quando é útil conservar dados adicionais?

Um exemplo são incidentes de identidade ocorridos há muito tempo. Podem ser necessários registos de início de sessão, alterações de permissões e eventos correspondentes da firewall. Para isso, as três fontes têm de estar ligadas, fornecer os campos necessários e ser conservadas durante o período relevante. Mais um ano de telemetria de Endpoint não substitui eventos de início de sessão em falta.

Um segundo caso de utilização é a apresentação de provas a auditores internos ou clientes. As análises predefinidas podem ajudar a mostrar eventos e cobertura de forma compreensível. Mas um painel de conformidade não emite uma certificação nem cumpre automaticamente qualquer requisito regulamentar. A organização tem de determinar, segundo as suas necessidades, que dados são necessários e durante quanto tempo, e verificar a sua adequação aos requisitos.

Por isso, começaria por duas ou três perguntas de investigação reais. Por exemplo: é possível reconstituir acessos anteriores de um prestador de serviços que já saiu? É possível mostrar alterações a contas privilegiadas ao longo do período necessário? Só daí resultam as fontes, os campos, a retenção e os custos.

O que significa «até dez anos»?

A ajuda técnica de administração de 1 de outubro de 2026 indica 13 meses de retenção padrão e extensões para três, cinco, sete ou dez anos. Em contrapartida, a página atual do produto Sophos indica um ano. À data da verificação, em 28 de outubro, esta divergência não está claramente explicada. Para o enquadramento técnico, seguimos os 13 meses da ajuda de administração específica do produto; ainda assim, a proposta tem de confirmar o prazo vinculativo para o próprio tenant e para os dados necessários.

«Até dez anos» não descreve um âmbito básico incluído de forma geral. A nossa KB sobre planeamento da retenção distingue as indicações do fabricante, a conservação contratada e a sua posterior comprovação. Quem precisar de mais de doze meses de histórico deve esclarecer expressamente o período adicional antes da compra.

Igualmente importante: uma fonte configurada hoje não fornece automaticamente os eventos históricos em falta. Para o período de investigação, conta desde quando os dados foram efetivamente recolhidos. Numa migração, é necessário esclarecer o destino dos logs anteriores e durante quanto tempo continuarão acessíveis.

Além disso, retenção não é o mesmo que recuperação. Um SIEM não substitui uma cópia de segurança dos dados de negócio. Mesmo após um incidente bem documentado, são necessárias cópias de segurança funcionais para voltar a colocar em funcionamento as aplicações afetadas.

Como entram os eventos certos?

A Sophos disponibiliza integrações de produtos e possibilidades para fontes de dados próprias. Mas uma fonte no catálogo não significa que a categoria de eventos pretendida chegue ao tenant. A licença, o acesso à interface, o conector e os campos efetivamente fornecidos têm de ser compatíveis. O nosso guia de integrações MDR/XDR descreve a verificação operacional.

Numa aplicação própria, por exemplo, deve estar definido o formato enviado, como são associados os utilizadores e as marcas temporais e se as ações decisivas são sequer registadas. Um registo tecnicamente legível, mas sem uma identidade inequívoca, pode continuar a ser inútil para a investigação. Um parser ajuda na associação dos campos, mas não cria eventos que o sistema de origem nunca forneceu.

A ligação Syslog de uma Sophos Firewall é um exemplo de via de transporte. Um envio bem-sucedido demonstra, em primeiro lugar, apenas o transporte. Para a aceitação, um evento de teste conhecido tem de aparecer na análise com o momento, sistema e ação corretos e continuar a poder ser encontrado durante o período previsto.

Quanto custa realmente o Next-Gen SIEM?

O complemento destina-se a clientes de XDR ou MDR e é licenciado por utilizador e servidor. Segundo a política de licenciamento da Sophos, a quantidade tem de corresponder ao número total das subscrições XDR/MDR relevantes. Contar apenas os administradores ou um pequeno grupo piloto não constitui, por isso, um cálculo completo.

A Sophos promove o modelo sem taxas de ingestão dependentes do volume. Isto significa que o preço não é calculado por gigabyte ingerido, como num modelo clássico. Não significa ingestão ilimitada de dados: a política de licenciamento indica um limite de 1 GB de dados em bruto por dia entre todas as fontes; a forma como este limite se aplica à quantidade contratada tem de ficar claramente definida na proposta.

O preço total inclui também as extensões de retenção pretendidas, eventuais licenças das fontes de dados, a configuração e o funcionamento contínuo. Para uma comparação útil, a proposta tem de abranger o mesmo âmbito de dados e a mesma retenção que a alternativa.

Quem investiga os dados recolhidos?

Um SIEM exige monitorizar fontes, manter associações de campos e permitir análises. Se uma integração falhar, isso não deve ser descoberto apenas durante um incidente. Alguém tem de saber que dados chegaram pela última vez, quando chegaram e que alterações no sistema de origem afetam o fluxo de dados.

Com MDR, já existem analistas para o serviço de segurança acordado. Daí não resulta, porém, o tratamento generalizado de todos os relatórios de conformidade ou de cada fonte de dados própria. Antes da extensão, é necessário definir que dados adicionais a Sophos investiga no serviço contratado e que análises continuam a cargo da própria equipa de TI. Um repositório de dados partilhado não elimina estes limites de responsabilidade.

Quando compraria o complemento?

Se a investigação ou a retenção necessárias não forem possíveis com o âmbito existente, Next-Gen SIEM pode fazer sentido. Um piloto deve ter uma fonte representativa, uma pergunta concreta e um responsável designado. O resultado é uma análise verificável, cuja completude dos dados e esforço necessário são conhecidos.

Quem já não reage aos alertas atuais ganha pouco apenas com uma conservação mais prolongada. Primeiro, as responsabilidades e os controlos existentes têm de funcionar. Eu compraria o complemento se colmatasse uma lacuna identificada, e não apenas porque «mais logs» soa a mais segurança.

Perguntas frequentes