Monitorizar e manter Sophos XDR Data Collectors

Os Sophos XDR Data Collectors são monitorizados em Security Operations > Integrations > Data Collectors. Uma validação operacional fiável verifica três níveis: collector acessível, origens esperadas a enviar e eventos a chegar corretamente ao backend. O estado Online responde apenas a parte desta verificação.

Este runbook trata de collectors já implementados. O runbook de migração explica a substituição de antigos SVA Log Collectors e a implementação local. Novas instâncias AWS, Azure ou GCP seguem o guia cloud. Não se podem instalar aplicações adicionais de terceiros nestes appliances.

Verificar estado e origens em conjunto

Na vista de tabela ou cartões, identificar o collector correto pelo nome, plataforma e tenant. Os estados significam:

Online: O collector comunicou; as aplicações estão implementadas e saudáveis.
Warning: Algumas aplicações não comunicaram recentemente ou não foram implementadas corretamente.
Offline: Um collector anteriormente implementado não comunicou recentemente.
Provisioning: O collector ainda não foi implementado.

Last Log Seen mostra receção de logs na última hora. N/A significa que nada foi comunicado nessa hora. Pode ser esperado numa origem intencionalmente silenciosa; numa firewall ativa, investigar a causa. Outro host a enviar pode fazer o collector parecer ativo mesmo quando falta uma origem importante.

Abrir o collector e comparar em Summary > Current Data Sources as quantidades de origens saudáveis, com avisos e sem dados. Clicar numa métrica abre a lista filtrada correspondente. Em Health, o gráfico de entrada e a tabela de origens syslog mostram quem efetivamente envia. O período predefinido é uma hora e pode ser alargado até 30 dias, permitindo comparar atividade anterior com a falha atual.

Total Events descreve eventos recolhidos pelo collector nas últimas 24 horas. Data Usage mostra o consumo do tenant no mês corrente e não deve ser atribuído apenas a esse collector. Para inventário externo, usar Actions > Export All as CSV. Verificar estado e download da exportação em Data Exports.

Para aceitar uma origem, correlacionar um evento esperado e autorizado com sistema e hora e verificá-lo no caminho de pesquisa XDR previsto. Atividade à entrada do collector não comprova normalização correta nem deteção. O runbook de Custom Parsers trata de formatos e parsers.

Interpretar backlog e débito

Em Performance, selecionar primeiro o mesmo período da verificação das origens. Backlog Age é a idade do ficheiro mais antigo à espera de envio ao backend; Backlog Count é a quantidade de ficheiros em fila. A Sophos agrupa e comprime eventos antes de enviar; estes valores não indicam diretamente quantos logs se perderam.

Podem ocorrer picos breves isolados, normalmente inferiores a um minuto sob carga elevada. A tendência é mais importante: se idade e quantidade aumentam continuamente ou durante o horário de trabalho e só diminuem à noite, o processamento ou envio não acompanha a carga. Investigar em conjunto largura de banda de saída, QoS, proxy e carga do collector. Reiniciar não explica nem resolve uma insuficiência permanente de capacidade.

Ingress / Egress mostra bytes recebidos e enviados na interface principal. Mais bytes de entrada do que de saída não constituem automaticamente um erro devido à compressão. Se o backlog aumenta e o egress atinge um patamar, verificar uplink e limitações. Registar MIN, MAX, AVG e LAST com período e origens afetadas, não apenas uma captura isolada.

O collector tem um spool de 200 GB para atrasos ou interrupções temporárias. Não é um buffer ilimitado nem substitui a retenção SIEM. A indicação até 200.000 EPS também se aplica apenas a sistemas devidamente configurados e não garante qualquer VM ou ligação. Identificar o estrangulamento real antes de alterar recursos para tratar uma fila que cresce continuamente.

Definir janelas de manutenção em UTC

As atualizações normais são automáticas, tipicamente a cada 24 horas com o collector ligado e saudável. Service maintenance abrange alterações maiores, como upgrades de sistema operativo ou kernel, podendo exigir reinício. Uma janela preferida semanal não significa manutenção desse tipo todas as semanas.

Abrir Maintenance na página de detalhes:

Em Maintenance Window, escolher dia e hora de início em UTC. Confirmar separadamente a hora local, incluindo horário de verão.
Escolher duração de duas a seis horas. Preferir baixa carga e responsáveis operacionais disponíveis.
Guardar com Submit Update e reler a janela apresentada.
Verificar separadamente manutenções já agendadas em Logs > Upcoming. Uma alteração posterior da preferência não as desloca.

Uma manutenção futura pode ser adiada uma vez para a semana seguinte com a respetiva checkbox e Defer Maintenance. Estados como Pending, Download Ready, Upgrade Ready, Upgrade Running e Upgrade Running Rebooting mostram o progresso. Em History, confirmar Complete ou Failed, horários e resultado. Se o collector estiver indisponível ou não saudável na hora marcada, a manutenção não começa.

Antes da manutenção, conhecer as origens afetadas e os seus mecanismos de buffering e retransmissão. Um reinício pode interromper o envio. Mesmo TCP, por si só, não garante que a aplicação de origem preserve e retransmita todos os eventos; UDP apresenta o respetivo risco de perda. Verificar depois eventos recentes e lacunas por origem. A Sophos recomenda contactar o Support se o collector permanecer inacessível mais de 30 minutos após reiniciar.

Começar por comandos Admiral de leitura

Admiral é a consola local de texto do collector. On-premises, abre-se pela consola da VM. Em AWS, abrir a instância EC2 e Actions > Monitor and troubleshoot > EC2 serial console > Connect; são necessárias as permissões AWS autorizadas. Em Azure, Serial console encontra-se em Help na VM; em GCP, Connect to serial console nos detalhes da instância. Esclarecer acesso desativado com o responsável cloud em vez de adicionar espontaneamente permissões ou uma nova via remota.

No prompt, help, conclusão com Tab e ? mostram a sintaxe disponível. Ctrl-C abre uma nova linha sem executar um comando começado. Segundo a Sophos, os seguintes comandos show documentados leem estado sem gerar tráfego de rede:

show system info
show network
show routes
show date
show ntp status
show disk
show memory
show uptime

Comparar identidade, configuração de rede, rota, hora, discos e recursos com o esperado. A saída de diagnóstico pode incluir informação interna de rede e deve ser expurgada antes de guardar na documentação operacional.

Os comandos run podem realizar ações e criar ligações de rede. Diagnóstico direcionado e autorizado inclui run dns check, run ntp check, run tunnel check e run e2e check. run dns check with verbose output fornece mais detalhe DNS. Isto não autoriza todas as ações: run reboot e run shutdown agendam reinício ou paragem ao fim de um minuto. Comandos do menu maintenance, como reinícios de serviços, pertencem a um processo de suporte ou manutenção acordado, não ao diagnóstico inicial só de leitura.

Alterar configuração e preparar nova implementação

Actions > Edit Collector Configuration só está disponível num collector em execução, saudável e Ready. Antes de guardar, registar valores existentes, alterações de rede necessárias, origens afetadas e caminho de reimplementação. Uma alteração pode tornar o collector inacessível.

Após submeter, um banner mostra a alteração pendente; não é possível editar novamente até terminar. A Sophos testa conectividade e tenta restaurar a configuração anterior em caso de erro. Esta reversão automática também pode falhar, por exemplo com alterações de rede simultâneas. Pode então ser necessária nova implementação. Confirmar um banner de sucesso também com estado, validação das origens e pesquisa.

Depois, guardar os ficheiros atualizados em Actions > Download Collector Files. Nos collectors cloud, atualizar também o template ou deployment Terraform, para que uma substituição da instância não reponha a configuração antiga. Num collector local já em execução, não é necessário montar novamente a ISO atualizada; guardá-la para futura reimplementação.

Actions > Delete não é uma medida para investigar um collector offline. Antes de uma desativação planeada, reencaminhar origens, comprovar eventos recentes no substituto e esclarecer reversão e retenção. Para escalar ao Support, reunir identificação do collector/tenant, período, origens, estado e saída Admiral expurgada. Credentials, ficheiros de configuração completos e dados pessoais desnecessários dos logs não pertencem a tickets públicos.