Sophos SIEM: ligar S3 próprio e gerido pela Sophos

Sophos Next-Gen SIEM oferece três transportes S3: bucket na própria conta AWS ou destino Sophos com/sem token de propriedade. Escolher conforme exportador e modelo operacional. Um bucket, só por si, não produz eventos XDR normalizados e utilizáveis.

Exigem-se subscrição Next-Gen SIEM, acesso à configuração e direitos AWS/fornecedor específicos. A seleção de transportes explica alternativas. Transferir só registos aprovados, conservando destinos anteriores até aceitação.

Variante e responsabilidades

Customer-Managed S3 mantém ficheiros no bucket da própria conta AWS. O operador fornece bucket, recursos CloudFormation/Lambda e trigger, com responsabilidade pelos custos e modelo IAM revisto.

Com Sophos-Managed S3, Sophos gere o destino. A origem precisa de alias, caminho e possíveis parâmetros de função. Se o fornecedor exige ficheiro/token de propriedade antes da exportação, escolher with token; caso contrário without token. O token não é credencial API geral nem prova da chegada completa de registos futuros.

Documentar origem, conta/região AWS, prefixo, formato, identidade e responsáveis. ARN IAM e tokens reais vêm da configuração própria do fornecedor/AWS, nunca de exemplos alheios. Proteger segredos e parâmetros de acesso.

Bucket próprio: integração e Lambda

1. Preparar Sophos Fusion

1. Abrir Security Operations > Integrations > Marketplace > Custom.
2. Em Customer-Managed S3, selecionar Set Up.
3. Ler informações S3, Next, nome único e Done.
4. Descarregar e proteger o modelo CloudFormation gerado para Lambda. Não confundir com modelo de collector ou NDR.

2. Executar CloudFormation na conta correta

O bucket já deve conter os registos. Implementar na mesma região, com direitos CloudFormation, Lambda, IAM e outros recursos declarados. Rever modelo, segurança e custos antes de executar.

1. Na região correta, CloudFormation > Create stack; a partir da lista, With new resources (standard).
2. Em Prepare template, escolher modelo existente e carregar YAML em Specify template. Pode usar URL S3 aprovada; nenhum bucket precisa de ficar público.
3. Dar nome sem espaços. Escolher IntegrationType adequado; com tipos múltiplos ou associação incerta, Sophos indica generic, sem garantir deteção.
4. Em NotificationBucket, apenas nome do bucket, não URL/URI S3. Para SNS escolhido deliberadamente em vez de notificações S3, indicar ARN em SNSNotificationarn. Alterar outros valores só segundo requisitos revistos.
5. Verificar recursos IAM, confirmar explicitamente a criação e iniciar com Submit após rever parâmetros.
6. Verificar eventos e CREATE_COMPLETE. Stack concluído não comprova trigger correto ou eventos úteis.

No percurso padrão, bucket, stack e Lambda ficam na mesma conta/região. Não se confirmam outras arquiteturas.

3. Adicionar bucket como trigger

1. Em Lambda, abrir a função realmente criada. O padrão Sophos é {STACKNAME}-sophos-xdr-lambda-{INTEGRATIONTYPE}.
2. Abrir Function overview > Add Trigger > S3. Alternativa SNS exige tópico preparado separadamente.
3. Escolher bucket e All Object Create Events em Event Type.
4. Em Prefix, apenas prefixo previsto, ou vazio se inexistente. Deixar Suffix vazio. Prefixo demasiado estreito omite ficheiros; demasiado amplo pode ingerir dados indevidos e aumentar custos.
5. Rever aviso de custos Lambda, Add, depois associação e novo objeto de teste.

Object Create não comprova ingestão retroativa automática de todo o conteúdo. Confirmar histórico separadamente sem reescrever ficheiros indiscriminadamente.

Destino Sophos sem token

1. Abrir Security Operations > Integrations > Marketplace > Custom, Set Up em S3 Ingest – Sophos-Managed (without Ownership token).
2. Escolher IAM User, Canonical User ID ou IAM Role conforme fornecedor, introduzir o valor e criar com Done.
3. Abrir integração e Details, guardando parâmetros protegidos.
4. No exportador usar AccessPointAlias como bucket, LogFolderPath como caminho e AWSRegion se necessário. A identidade deve coincidir com a inicial. Com função, usar também IAMAssumeRole como ARN a assumir na origem.
5. Iniciar com novo evento e validar ingestão. Não adicionar desafio de propriedade a esta variante.

Destino Sophos com token

Mesmo acesso, escolhendo S3 Ingest – Sophos-Managed (with token). Após Set Up, indicar tipo de identidade e valor do fornecedor, depois Details.

A origem usa AccessPointAlias, AWSRegion, LogFolderPath e identidade correta; com IAM Role, também IAMAssumeRole. Usar OwnershipToken segundo a verificação do fornecedor.

Podem existir várias etapas: o fornecedor escreve ficheiro de desafio ou objeto equivalente no destino. Recarregar Details em Sophos, obter o novo OwnershipToken e fornecê-lo para concluir a verificação. Seguir o processo do fornecedor, sem token inventado ou objeto improvisado. Só depois validar registos.

Aceitação e remoção das variantes

A integração aparece em Configured integrations. Verificar evento novo e inofensivo na origem, depois tenant, origem, hora e campos em Sophos. Em S3 próprio verificar também objeto, trigger e erros Lambda/stack; em gerido primeiro identidade, alias, caminho e propriedade quando exigida.

Custom S3 assegura inicialmente transporte. Tipos suportados usam a normalização da integração; outros podem chegar a generic. O guia SIEM separa transporte, parser e deteção. Verde ou ficheiro escrito não provam histórico completo nem deteção.

Para retirar, parar exportação/trigger dedicado e verificar percurso anterior necessário. Não apagar indiscriminadamente buckets, identidades IAM, tópicos ou dependências Lambda partilhados. Esclarecer conservação, custos restantes, dependências e procedimento suportado antes de remover integração/recursos. Eliminar integração não comprova apagar histórico SIEM nem terminar todos os custos AWS.