Sophos Endpoint Data Collection e Live Discover

Data Collection and Investigation Policy controla duas funções independentes: Live Response Connections e upload de Endpoint Telemetry para o Sophos Data Lake. Live Discover usa dados atuais do dispositivo ou dados históricos do Data Lake.

As funções exigem Sophos EDR, XDR ou MDR. Live Response possui permissões próprias e é descrito no artigo Response.

Procedimento rápido: Em Threat Analysis Center > Live Discover, selecione primeiro a Data source adequada e, em seguida, Query category e Query. Numa Endpoint Query, limite deliberadamente os dispositivos de destino em Devices e selecione depois Run Query. O resultado só é fiável quando as linhas de resultados e Telemetry correspondem à origem, ao período e aos dispositivos esperados.

Live Endpoint ou Data Lake

Live Endpoint Queries baseiam-se em osquery e executam-se nos dispositivos. Data Lake Queries usam telemetria enviada, podem ser agendadas e abrangem até 30 ou 90 dias conforme a licença.

O intervalo de tempo do Data Lake em Live Discover define o período histórico consultado, não um agendamento de execução. Uma Query individual abrange no máximo 30 dias. Para 90 dias usam-se várias Queries delimitadas.

Selecionar e testar Queries

Em Threat Analysis Center > Live Discover existem Endpoint e Data Lake Queries preparadas. O procedimento separa deliberadamente a origem, a Query e o destino:

1. Em Data source, selecione Endpoint para consultar o estado atual dos dispositivos ligados ou Data Lake para consultar telemetria histórica já enviada.
2. Em Query category, selecione uma categoria e, em Query, a consulta pretendida. Nos detalhes da Query, verifique os sistemas operativos suportados e o System Impact indicado pela Sophos.
3. Numa Endpoint Query, selecione primeiro um único dispositivo-piloto em Devices. Se necessário, utilize Show filters e atualize depois a lista de dispositivos selecionados. Numa Data Lake Query, defina antes um período curto e conhecido.
4. Selecione Run Query e aguarde o resultado.

Teste primeiro uma Query nova ou alterada num único dispositivo-piloto ou num período curto do Data Lake. As linhas de resultados devem corresponder ao dispositivo ou período escolhido. Em Telemetry, verifique também se o destino respondeu, qual foi o System Impact e que volume de dados foi transferido. Se o resultado continuar vazio, verifique primeiro Data source, o período, o sistema operativo suportado e, no caso de Endpoint Queries, o estado da ligação do dispositivo. Numa Data Lake Query, confirme também se o upload está ativo em My Products > Endpoint > Policies > Data Collection and Investigation ou, para servidores, em My Products > Server.

Designer Mode permite criar Queries osquery ou SQL próprias. Sophos Support apoia as Sophos Queries preparadas e o caminho dos dados, mas não o desenvolvimento especializado de quaisquer Custom Queries. Para esse efeito, estão disponíveis Community e Professional Services.

Query Results oferecem Pivots, Enrichments e Actions. Um SHA-256 suspeito pode passar para outra Query, uma verificação Intelix ou VirusTotal, um Threat Graph ou Live Response.

Para consultar dados de DNS Protection, consulte Analisar relatórios e Live Discover do Sophos DNS Protection para obter a seleção DNS Protection, o respetivo esquema do Data Lake e as verificações específicas de DNS.

Controlar o envio para o Data Lake

O envio está ativo por predefinição para Endpoint Protection. Em My Products > Endpoint > Policies > Data Collection and Investigation pode ser limitado por grupos.

Desativá-lo reduz as deteções disponíveis e a capacidade de investigação histórica. Uma exceção de recolha de eventos só é usada por instrução do Sophos Support, porque reduz a telemetria e, consequentemente, as capacidades de deteção ou investigação.

Após a ativação, o tráfego de rede pode aumentar temporariamente. Em ligações de baixa capacidade ou segmentos sensíveis, a alteração deve ser observada num grupo-piloto.

Event Journals no dispositivo

A Sophos guarda Event Journals localmente em Windows, macOS e Linux. Fornecem dados para Endpoint Queries. Não possuem um período de retenção fixo; este depende da plataforma, da atividade e do armazenamento configurado.

Em Global Settings > Products and Services > Endpoint and Server > Event Journals, define-se entre 300 e 30'000 MB. O padrão é 5'250 MB. Também pode limitar-se a percentagem do disco; se ambos se aplicarem, a Sophos usa o valor inferior.

A configuração central destes limites está disponível apenas com uma licença XDR, MDR ou MDR Plus. Os Event Journals locais continuam a existir em dispositivos Windows, macOS e Linux protegidos, mas sem a licença adequada os seus limites não podem ser ajustados em todo o tenant.

A definição aplica-se a todos os dispositivos abrangidos e não pode variar por dispositivo. Reduzi-la pode descartar dados existentes dos diários e encurtar o período de investigação.

Retenção e limites de armazenamento

XDR guarda dados do Data Lake até 90 dias e EDR até 30. O pacote opcional Central Data Storage – 1 yr amplia o período para um ano. É um máximo; quando a capacidade de armazenamento se esgota, os dados antigos são removidos mais cedo.

Cada dispositivo pode enviar no máximo 2 GB por dia. Ao atingir o limite, o envio é interrompido até à reposição. No Windows, o limite é reposto à meia-noite, hora local; no Linux, a cada 24 horas após o arranque do agente XDR. Os dados não enviados não são carregados mais tarde, mas continuam disponíveis para uma consulta direta ao endpoint.

A capacidade atribuída aos endpoints corresponde, em média, a 20 MB por licença e dia. Um excesso permanente reduz o histórico efetivamente disponível; um tenant com 90 dias formais pode conter menos dados consultáveis.

Encontrar a causa de um limite diário de envio

O evento Data Lake uploads stopped because the daily limit reached aparece em endpoints Windows e servidores Windows ou Linux. As Hydration Queries agendadas do dispositivo produzem estes envios. XDR e MDR têm um limite diário de 2 GB por dispositivo. Depois de atingido, não são enviados mais dados de Hydration Query até ao dia seguinte; o limite é reposto e as Queries retomam até ao fim do dia ou até novo alcance do limite.

Para encontrar a Hydration Query com o maior volume de upload, inicie sessão no Sophos Fusion (anteriormente Sophos Central) e abra Threat Analysis Center > Live Discover. Ativar Designer Mode, escolher Create a new query, dar um nome e selecionar Data Lake como Source. Em Show variable editor, atribuir nomes descritivos e adicionar os tipos Device Name e Date. Introduzir dispositivo e data YYYY-MM-DD, e executar:

SELECT
  query_name,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
  AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Em alternativa, esta Query sem variáveis ordena todos os dispositivos e Queries por dia; substituir a data de exemplo:

SELECT
  query_name,
  meta_hostname,
  date_trunc('day', ingestion_timestamp) AS date,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

O maior resultado identifica a Hydration Query a investigar, não identifica automaticamente um processo que deva ser bloqueado. Verificar no Sophos Data Lake Schema Viewer atual as colunas preenchidas e agrupar por uma coluna útil. Se running_processes_windows_sophos for a maior, separar por caminho:

SELECT
  path,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
  AND meta_hostname = '$$hostname$$'
  AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

No exemplo Sophos, essa Query gerou cerca de 72 MB e o caminho de um processo iniciado foi responsável por mais de 50 por cento do envio diário; os nomes reais dos processos foram ocultados por serem específicos do ambiente. Adicionar restrições ou analisar Command Line, User Name ou Parent Process para encontrar uma correção que reduza o volume. Investigar a causa, a legitimidade e uma possível configuração incorreta antes de alterar ou bloquear.

Guardrails

A Sophos limita Queries para proteger Endpoints e tenant:

• UI: no máximo 15 Queries por minuto;
• Scheduled e API juntos: 1'000 por dia e 10 por minuto;
• Watchdog: interrupção acima de 30% CPU durante 12 segundos ou 256 MB RAM;
• no máximo 10 MB de resposta por dispositivo e Query;
• no máximo 1 MB por linha;
• no máximo 100'000 linhas de todos os dispositivos.

Um resultado vazio também pode resultar de um tamanho de linha excessivo. Telemetry sob o resultado mostra o estado, o System Impact e o volume de dados por dispositivo.

Delimitar sistematicamente Query cancelled

Query cancelled não é um erro específico de HAFNIUM. No Windows, Memory Watchdog pode terminar uma Live Query. Em SophosLiveQueryService.log identificam-se Query Name e Resource Error, reduz-se o período, por exemplo de 15 para 7 dias, e testa-se num dispositivo. Persistindo, reduz-se mais ou filtra-se melhor a Query.

Após Downgrade do Sophos Core Agent 2025.2 para versão LTS ou FTS anterior, SophosOsquery.exe pode não iniciar por alteração de File Attestation. O log contém Exception whilst running LiveQueryRunner. Neste caso específico reinicia-se o dispositivo; reescrever a Query não resolve o limite da versão.

AI Search

AI Search cria Queries do Data Lake a partir de linguagem natural. As deteções e os dados dos endpoints Windows podem ser pesquisados sem SQL. A tabela mostra no máximo 1'000 resultados.

A pesquisa começa com poucas horas ou um dia. Grandes períodos podem ser lentos ou interrompidos. O SQL gerado é verificado antes de o resultado ser considerado completo.

Categorias próprias e Queries agendadas

As Queries reutilizáveis são organizadas em categorias personalizadas com nomes claros. A documentação da Query inclui descrição, sistemas suportados, origem de dados, variáveis e resultado esperado. Uma Query copiada não é considerada fiável apenas porque o SQL é sintaticamente válido. A Sophos está a disponibilizar gradualmente as categorias personalizadas, pelo que a função pode ainda não estar visível em todos os tenants.

As Queries agendadas são adequadas a hipóteses e controlos recorrentes e só estão disponíveis para Queries do Data Lake. A frequência, o dia, a data de fim e o período consultado são definidos conscientemente. Cada administrador pode ter no máximo 100 Queries ou relatórios deste formato ativamente agendados. Queries demasiado amplas ou frequentes também podem atingir os limites gerais e produzir muita telemetria com dados pessoais.

Operação e privacidade

A telemetria do Data Lake e o Live Discover podem conter nomes de processos, linhas de comandos, utilizadores, hashes de ficheiros, endereços IP e outros dados operacionais. Por isso, são documentados os papéis, a finalidade, a retenção e a exportação.

As categorias de consultas organizam as Queries frequentes. Eliminar uma categoria personalizada não elimina as Queries; estas continuam em All Queries ou noutras categorias.

Artigos relacionados

Isolation e Live Response: Isolar Sophos Endpoint e usar Live Response. Sophos Endpoint XDR: Investigation e Threat Graph descreve a avaliação posterior de Detections e Threat Graphs.

Perguntas frequentes