Sophos Next-Gen SIEM: när räcker inte XDR eller MDR?

En misstänkt åtkomst upptäcks först flera månader senare. Nu måste IT ta reda på vilka konton som var inblandade, vilka system som nåddes och om händelserna hänger ihop. En överskådlig dashboard hjälper föga om relevanta data redan har raderats eller aldrig kommit in.

Sophos Next-Gen SIEM utökar XDR och MDR med ytterligare datainhämtning, analyser och längre lagring. Det kan fylla en verklig lucka. Men det kan också bli ytterligare en licens för data vars nytta ingen har definierat i förväg.

Vad är ett SIEM och vad tillkommer här?

SIEM står för Security Information and Event Management. Ett SIEM samlar händelseprotokoll, kort kallade loggar, från olika IT-system på en central plats. Det kan exempelvis vara inloggningar i Microsoft Entra ID, anslutningar i brandväggen, varningar från endpointskyddet och ändringar på servrar eller i applikationer. En logg registrerar vad som hände, när och på vilket system samt vilket konto eller vilken enhet som var inblandad.

Samla in data och göra dem begripliga

Varje produkt loggar på sitt sätt. En brandvägg beskriver en anslutning med källadress, mål och åtgärd; en identitetstjänst registrerar exempelvis användare, inloggningstid och resultat. SIEM läser in levererade data och mappar relevanta fält till ett gemensamt schema. Denna normalisering gör det möjligt att söka gemensamt i händelser från olika källor. Det fungerar bara om de nödvändiga uppgifterna finns i ursprungsloggen.

Upptäcka och undersöka samband

Den verkliga nyttan uppstår när enskilda händelser går att koppla samman. Flera misslyckade inloggningar följs exempelvis av en lyckad inloggning på samma konto. Kort därefter får kontot ytterligare behörigheter och ansluter till en server. Varje händelse för sig kan ha en förklaring, men följden av händelser bör undersökas.

Detektionsregler och korrelationer kan lyfta fram sådana kombinationer och utlösa varningar. Analytiker kontrollerar sedan om det handlar om en attack, felaktigt beteende eller en legitim aktivitet. För detta söker de i data, filtrerar på konton eller enheter och rekonstruerar tidsförloppet. Falsklarm måste bedömas och regler anpassas till miljön. Ett SIEM förstår inte automatiskt varje affärshändelse.

Lagra, analysera och reagera

De lagrade loggarna är också till hjälp när en misstanke uppstår först senare. Rapporter visar exempelvis inloggningsmönster, behörighetsändringar eller luckor i de anslutna källorna. Hur långt tillbaka en undersökning kan gå beror på vilka data som faktiskt har samlats in och hur länge de lagras.

En varning stoppar inte i sig en attack. Att spärra ett konto eller isolera en enhet kräver en lämplig response-integration, behörigheter och en fastställd rutin. Automatiserade åtgärder är möjliga om den använda lösningen och de anslutna systemen stöder dem och de har konfigurerats. Annars måste den ansvariga personen ingripa.

Var Sophos Next-Gen SIEM kommer in

Sophos integrerar funktionerna i Sophos Fusion, tidigare Sophos Central. Vilka källor, analyser och responsåtgärder som är tillgängliga beror på de beställda produkterna och de konfigurerade integrationerna.

XDR kopplar samman säkerhetsdata för upptäckt och undersökning. MDR tillför en driftad tjänst med analytiker och överenskomna responsåtgärder. Next-Gen SIEM utökar dataunderlaget och möjligheten att använda det över längre tidsperioder. Den som har XDR får därmed inte en analystjänst som arbetar dygnet runt; den som har MDR får inte automatiskt varje tänkbar analys som en ny tjänst genom en SIEM-licens.

Den tekniska genomgången i vår KB hjälper vid planeringen. Före ett köp bör det finnas en konkret fråga som inte kan besvaras tillförlitligt med den befintliga XDR-/MDR-omfattningen.

När är den extra datalagringen användbar?

Ett exempel är identitetsincidenter som ligger långt tillbaka i tiden. Kanske behövs inloggningsdata, ändringar av behörigheter och tillhörande brandväggshändelser. Då måste alla tre källor vara anslutna, leverera nödvändiga fält och lagras under den relevanta perioden. Ytterligare ett år med endpointtelemetri ersätter inte saknade inloggningshändelser.

Ett andra användningsfall är dokumentation för interna revisorer eller kunder. Färdiga analyser kan hjälpa till att visa händelser och täckning på ett begripligt sätt. En compliance-dashboard utfärdar däremot ingen certifiering och uppfyller inte automatiskt några regelkrav. Organisationen måste utifrån verksamheten fastställa vilka data som behövs och hur länge, och kontrollera detta mot sina krav.

Jag skulle därför börja med två eller tre verkliga undersökningsfrågor. Går det exempelvis att spåra tidigare åtkomst från en tjänsteleverantör som har avslutat sitt uppdrag? Kan ändringar av privilegierade konton visas under den period som behövs? Först utifrån detta följer källor, fält, lagring och kostnader.

Vad innebär ”upp till tio år”?

Den tekniska administratörshjälpen från den 1 oktober 2026 anger 13 månaders standardlagring och förlängningar till tre, fem, sju eller tio år. Den aktuella Sophos-produktsidan anger däremot ett år. Vid granskningen den 28 oktober är denna avvikelse inte entydigt förklarad. I den tekniska bedömningen utgår vi från de 13 månaderna i den produktspecifika administratörshjälpen; den bindande perioden för den egna tenanten och de data som behövs måste ändå bekräftas i erbjudandet.

”Upp till tio år” beskriver ingen generell grundomfattning som ingår. Vår KB om planering av lagringstid skiljer tillverkarens uppgifter från den beställda lagringstiden och den senare verifieringen. Om mer än tolv månaders historik behövs bör den extra perioden uttryckligen klargöras före inköp.

Lika viktigt: en källa som konfigureras i dag levererar inte automatiskt saknade händelser från det förflutna i efterhand. För undersökningsperioden är det avgörande sedan när data faktiskt har samlats in. Vid en migrering måste det därför klargöras vad som händer med tidigare loggar och hur länge de förblir tillgängliga.

Lagring är dessutom inte samma sak som återställning. Ett SIEM ersätter ingen säkerhetskopia av verksamhetsdata. Även efter en väldokumenterad incident krävs fungerande säkerhetskopior för att åter ta drabbade applikationer i drift.

Hur kommer rätt händelser in?

Sophos erbjuder produktintegrationer och möjligheter för egna datakällor. En källa i katalogen innebär dock inte att önskad händelsekategori når klientorganisationen. Licens, gränssnittsåtkomst, connector och de fält som faktiskt levereras måste passa ihop. Vår guide till MDR-/XDR-integrationer beskriver driftskontrollen.

För en egen applikation måste det exempelvis vara fastställt vilket format den skickar, hur användare och tidsstämplar kopplas ihop och om de avgörande åtgärderna över huvud taget loggas. En tekniskt läsbar datapost utan entydig identitet kan ändå vara oanvändbar för undersökningen. En parser stöder mappningen men skapar inga händelser som källsystemet aldrig har levererat.

Syslog-anslutningen av en Sophos Firewall är ett exempel på transportvägen. En lyckad överföring bevisar till att börja med bara transporten. För godkännande måste en känd testhändelse med rätt tidpunkt, system och åtgärd visas i analysen och förbli sökbar under den avsedda perioden.

Vad kostar Next-Gen SIEM egentligen?

Tillägget är avsett för XDR- eller MDR-kunder och licensieras per användare och server. Enligt Sophos licenspolicy måste antalet motsvara det totala antalet tillhörande XDR-/MDR-abonnemang. Att bara räkna administratörerna eller en liten pilotgrupp skulle därför inte ge en fullständig kalkyl.

Sophos marknadsför modellen utan volymbaserade avgifter för datainhämtning. Det innebär att priset inte beräknas per inläst gigabyte som i en klassisk modell. Det innebär inte obegränsad datainhämtning: licenspolicyn anger en gräns på 1 GB rådata per dag över alla datakällor; hur gränsen tillämpas på det beställda antalet måste tydligt klargöras i offerten.

Totalpriset omfattar också önskade utökningar av lagringstiden, eventuella licenser för datakällorna, konfigurering och löpande drift. För en användbar jämförelse måste en offert omfatta samma datainnehåll och lagringstid som alternativet.

Vem undersöker de insamlade uppgifterna?

Ett SIEM kräver att källor övervakas, fältmappningar underhålls och analyser möjliggörs. Om en integration slutar fungera får det inte upptäckas först vid en incident. Någon måste veta vilka data som senast kom in och när, samt vilka ändringar i källsystemet som påverkar dataflödet.

Med MDR finns redan analytiker för den avtalade säkerhetstjänsten. Det innebär dock inte generell hantering av varje compliance-rapport eller egen datakälla. Före utökningen måste det vara klart vilka extra data Sophos undersöker inom den beställda tjänsten och vilka analyser den egna IT-avdelningen ansvarar för. En gemensam datalagring upphäver inte dessa ansvarsgränser.

När skulle jag köpa tillägget?

Om nödvändig undersökning eller lagring inte är möjlig med befintlig omfattning kan Next-Gen SIEM vara användbart. En pilot bör ha en representativ källa, en konkret fråga och en utsedd ansvarig. Resultatet är en spårbar analys där datans fullständighet och arbetsinsatsen är kända.

Den som redan saknar respons på aktuella varningar vinner lite på enbart längre lagring. Först måste ansvarsfördelningen och befintliga kontroller fungera. Jag skulle köpa tillägget om det fyller en namngiven lucka, inte enbart för att ”fler loggar” låter som högre säkerhet.

Vanliga frågor