Compreender o Sophos Next-Gen SIEM e planear a retenção
O Next-Gen SIEM acrescenta ao XDR e ao MDR uma conservação de dados mais longa e integrações personalizadas. Um inventário de fontes e um piloto …
Sophos SIEM
Sophos Next-Gen SIEM acrescenta ao XDR e ao MDR retenção mais longa e fontes próprias. Os guias acompanham o planeamento, o Collector e o transporte até à normalização e à pesquisa verificável.
Procedimentos SIEM
Do inventário de fontes ao evento validado
Esclarecer primeiro licença e necessidades de dados. Depois, configurar o percurso adequado e validar separadamente transporte, associação de campos e análise pretendida. Os guias XDR/SIEM continuam acessíveis nas categorias anteriores.
Planeamento, licença e retenção 1
Avaliar o benefício adicional face a XDR e MDR. Registar volumes, janelas de pesquisa, retenção e responsabilidades operacionais antes da integração.
Telemetria Windows, de rede e da cloud 3
Recolher fontes comuns a XDR e SIEM com o formato e o Collector corretos. O direito SIEM depende do tipo de evento.
Enviar Windows Event Log ao Sophos XDR e SIEM
Ligar Windows Event Log com um forwarder suportado e confirmar ingestão; distinguir command line de processo e licença netflow.
Recolher telemetria de rede com Sophos XDR Collector
Quatro percursos syslog concretos com formatos, requisitos, horas dos eventos, aceitação e remoção controlada.
Ligar registos de fluxos cloud ao Sophos XDR e SIEM
Quatro percursos cloud concretos com configuração, permissões, formatos e aceitação. Verificar o requisito SIEM por esquema de telemetria.
Transportar fontes próprias 3
Escolher HTTP Ingest, as três variantes S3 ou Azure Event Hubs e Storage segundo o percurso da fonte e verificá-los individualmente.
Sophos SIEM: escolher transporte e configurar HTTP Ingest
HTTP Ingest liga uma origem com POST ao Sophos Fusion. Escolha, proteção de segredos e testes distinguem entrega de eventos utilizáveis.
Sophos SIEM: ligar S3 próprio e gerido pela Sophos
Três transportes S3 diferem em propriedade, permissões e verificação. O guia separa configuração e aceitação dos dados.
Sophos SIEM: ligar Azure Event Hubs e registos Blob
Event Hubs e Blob Storage usam integrações diferentes. Requisitos, configuração, operação e limites para ambos os percursos.
Parsers, pesquisa e validação prática 2
Preparar Custom Parsers com schemas adequados e verificar mensagem original, normalização e pesquisa. Um exemplo prático de laboratório liga estas etapas.
Criar, testar e operar Custom Parsers do Sophos SIEM
Um transporte de logs funcional ainda não garante normalização útil. Este runbook vai dos exemplos da origem e da escolha do schema aos testes e à …
Sophos SIEM: verificar HTTP Ingest e parser com um exemplo
Uma pequena fonte JSON própria permite verificar separadamente transporte, tempo, resultado e pesquisa. Com segredos protegidos, contraprovas e …
Escolher o ponto de partida correto
Um novo piloto SIEM começa pelo planeamento do produto e da retenção. Registar que fonte deve fornecer que evento e quem determina uma medida a partir dele. As categorias seguintes organizam os guias segundo este percurso; não alteram requisitos de licença nem URLs existentes.
Collector e transporte personalizado cumprem funções diferentes. Para fontes syslog suportadas, a migração para XDR Data Collector explica o percurso de recolha. Uma aplicação própria capaz de enviar POST utiliza, por exemplo, HTTP Ingest. Um estado de transporte verde nunca confirma, por si só, a associação correta dos campos ou uma deteção.
O exemplo completo de HTTP e parser descreve uma fonte sintética, mapeamento Auth, consulta e desativação controlada. Para dados reais, confirmar formato, parser e critérios de sucesso num piloto aprovado.
Para análise mais aprofundada, o guia de Data Lake Search explica pesquisa e campos. Deteção automática e regras próprias continuam a ser uma tarefa separada; a explicação de Custom Rules aborda os seus limites. Um login de teste normal não tem necessariamente de gerar um alerta.