Sophos SIEM: ligar Azure Event Hubs e registos Blob

Sophos Next-Gen SIEM ingere origens próprias por Azure Event Hubs ou Azure Storage Account. Event Hubs fornece fluxo; com Storage uma Azure Function fornecida lê ficheiros de um caminho Blob e encaminha-os. As configurações não são permutáveis.

Ambas exigem subscrição Next-Gen SIEM, subscrição Azure ativa e direitos Sophos Fusion/Azure necessários. A origem preparada tem de escrever efetivamente no hub/contentor. Configuração geral requer direitos Admin/Super Admin adequados; limitar Azure aos recursos e implementação aprovados.

A seleção de transportes ajuda a escolher. Não é um collector syslog em Azure nem substituição automática de integração cloud/Microsoft 365 existente.

Event Hubs: requisitos e acesso

São suportados Standard, Premium, Dedicated, não Basic. A atual documentação Sophos exige hub acessível da Internet e refere todos os endereços IPv4. É requisito arquitetural relevante para segurança, não recomendação geral de expor hubs privados. Havendo conflito com política de rede, esclarecer com responsáveis e Sophos antes de alterar firewall.

As categorias escolhidas já devem chegar ao hub, por exemplo por diagnóstico Azure Monitor. A configuração da origem define os dados; ligar não ativa retroativamente todos os registos de auditoria.

1. Em Azure abrir Event Hubs namespace pretendido, anotar Host name em Overview.
2. Em Entities > Event Hubs, abrir hub correto, anotar Name, distinguindo de namespace.
3. Abrir Settings > Shared access policies > Add, criar política dedicada.
4. Escolher Listen. O percurso de leitura não requer direitos adicionais de envio/gestão.
5. Abrir política, proteger Primary Connection String. Contém segredo; namespace, nome e eventual EntityPath devem indicar o hub certo.

Não copiar string real para tickets ou KB. Documentar proprietário e rotação suportada por Azure.

Ligar Event Hubs no Sophos Fusion

1. Abrir Security Operations > Integrations > Marketplace > Custom.
2. Em Azure Event Hubs, Set Up, nome único em Add an integration.
3. Preencher Event Hubs Namespace Hostname, Event Hubs Name, Event Hubs Primary Connection String com valores verificados.
4. Criar por Done, verificar Configured integrations.
5. Seguir evento novo autorizado até hub e Sophos: origem, tenant, hora e campos devem coincidir.

O consumer Sophos usa dinamicamente partições disponíveis até 200 partições, sem garantia de débito. O operador dimensiona a capacidade do hub. ServerBusyException em API Query Log pode indicar limite. Rever volume e Azure antes de adicionar partições/consumers; aumentar consumers paralelos é tratado com suporte segundo Sophos. Recriar repetidamente não resolve capacidade.

Storage: caminho Blob e plano Function

São necessários Storage Account, Blob Container com registos e plano Azure Function suportado. Isolated não é suportado. Estão documentados:

• Basic: B1, B2, B3.
• Dynamic: Y1.
• Premium: P0V3, P1MV3, P1V2, P1V3, P2MV3, P2V2, P2V3, P3MV3, P3V2, P3V3, P4MV3, P5MV3.

Lista de 5 de outubro de 2026. Verificar plano oferecido, região, capacidade e custos antes da implementação. Tier Event Hubs não seleciona plano Function.

Data Source Key identifica pasta do contentor onde os ficheiros são criados. Para MicrosoftInsights/2024-02-03/02hr/part=01/00004.json, Sophos indica MicrosoftInsights. Usar prefixo próprio, não cegamente exemplo ou nome completo. Prefixo errado pode excluir ficheiros úteis ou ingerir outros dados.

Implementar Storage e Azure Function

1. Identificar conta, contentor, prefixo e plano na conta Azure correta. Confirmar primeiro objeto de teste recente no caminho previsto.
2. Em Sophos, Security Operations > Integrations > Marketplace > Custom, Set Up sob Azure Storage Accounts.
3. Introduzir nome, Storage Account Name, Function App Name, Data Source Key. O nome descreve finalidade, por exemplo AplicacaoLogsForwarder, sem substituir verificação dos recursos reais.
4. Escolher Azure Function Service Plan Type, Azure Function Service Plan Code, Azure Function Service Plan Num Workers. Valor documentado padrão 1, máximo 3 em Basic B2/B3. Mais workers não são reparação universal.
5. Por Done, gerar AzureFunction.json, descarregado automaticamente. Proteger e rever recursos, direitos e custos antes de executar.
6. Em Azure abrir implementação de modelo próprio, Build your own template in the editor, carregar AzureFunction.json, Save.
7. Escolher/criar Resource Group. Storage pode estar noutra subscription/grupo que a Function; ajustar Storage Account Subscription ID e Storage Account Resource Group só para essa diferença real.
8. Rever Review + Create, depois Create com aprovação interna. Verificar implementação, Function criada e integração Sophos.

A origem deve continuar a escrever no contentor correto. Sucesso ARM não demonstra percurso nem encaminhamento. Não pressupor ingestão retroativa completa dos ficheiros antigos; confirmar histórico à parte.

Validar fluxo e isolar falhas

Sophos enumera Azure Commercial Cloud e ambientes documentados US Government/DoD/GCC/GCC-High. Não implica disponibilidade automática em todo tenant/região; verificar ambiente e endpoint antes de implementar.

Documentar evento novo inofensivo para cada transporte. Para Event Hubs verificar origem, stream, Listen e ligação; para Storage caminho Blob, depois implementação/erros Function. Só depois comparar estado e pesquisa confirmada para a origem em Sophos.

Tipos suportados seguem a normalização própria; outros podem ser generic. O guia SIEM sobre parsers e limites de deteção explica verificações adicionais. Verde, ficheiro ou contador Event Hubs não provam normalização completa nem deteção. Em faltas parciais verificar categorias, intervalo e campos antes de alargar credenciais.

Planear pausa e remoção

Documentar origens que partilham hub, contentor, política ou Function. Parar exportação pelo método específico suportado e verificar resultado. Não eliminar hub ou Storage Account partilhado para pausar.

Após esclarecer histórico, provas, dependências e reinício, remover ligação dedicada, recursos dispensáveis e segredos pelos procedimentos próprios. Eliminar entrada Sophos não garante apagar histórico nem terminar todos os custos Azure. Após reversão, verificar percurso anterior necessário com evento de teste.