Sophos Endpoint Data Collection och Live Discover

Data Collection and Investigation Policy styr två oberoende funktioner: Live Response-anslutningar och uppladdning av endpointtelemetri till Sophos Data Lake. Live Discover använder därefter aktuella data från en ansluten enhet eller historiska data från Data Lake.

Funktionerna kräver Sophos EDR, XDR eller MDR. Live Response har egna rättigheter och behandlas dessutom i den separata Response-artikeln.

Snabbt arbetsflöde för Classic: Under Threat Analysis Center > Live Discover väljer du först lämplig Data source och därefter Query category och Query. För en Endpoint Query begränsar du avsiktligt målenheterna under Devices och väljer sedan Run Query. Resultatet är inte tillförlitligt förrän resultatraderna och Telemetry stämmer överens med vald källa, tidsperiod och förväntade enheter.

Kontrollera före frågan om tenanten använder Threat Analysis Center eller Security Operations. Threat Analysis Center finns kvar som Classic view. Security Operations skiljer Data Lake Search för historiska data från Live Endpoint Search för frågor på anslutna enheter. De befintliga Live Discover-stegen, SQL-exemplen, uppgifterna om schemaläggning och gränserna i gränssnittet nedan beskriver Classic, om inget annat gränssnitt uttryckligen anges. En tenantuppgradering gör dem inte automatiskt ogiltiga och översätter dem inte automatiskt till QL.

Security Operations: Data Lake Search

Under Security Operations > Data Lake Search kan du söka i tenantens Detections och händelser med tre metoder. Gränssnittet använder Advanced Search query language, eller QL; kopiera inte in Classic-vyns Data Lake-SQL oförändrad.

• AI Search översätter en fråga på naturligt språk till en sökfråga. Skriv en fråga eller en förberedd prompt, välj Search och kontrollera den genererade frågan tillsammans med resultaten. Browse Prompts eller View All öppnar promptarna; Sophos Only, kategorifilter och en sökterm begränsar urvalet. Förtydliga vid behov prompten och sök igen.
• Query Builder bygger frågan visuellt med fält och operatorer. Ange datum och tidsperiod före Search eller Shift + Enter. Använd vid en första kontroll en kort period med en känd händelse och kontrollera att källan och filtren faktiskt fångar den.
• Query Editor låter dig skriva egna QL-frågor. Basics visar syntaxens grunder och exempel, och Cheat Sheet visar operatorer och funktioner. Via Search Help finns kontextanpassad Build With Me-hjälp för scheman och fält. Ange även här datum och tidsperiod före Search eller Shift + Enter. SQL-exemplen i de senare Classic-avsnitten är inte QL-mallar.

Fästknappen bredvid metodnamnet anger önskad sökmetod. Varje utförd sökning läggs automatiskt till i tenantens sökhistorik; den är alltså inte bara ett lokalt utkast. Begränsa promptar och frågor till undersökningsfrågan och ange inga hemligheter. En tom resultattabell är meningsfull först efter kontroll av tidsperiod, källa och filter; den bevisar inte att det saknas en incident.

För att spara i AI Search och Query Editor väljer du Save Query; i Query Builder väljer du först Save Search. Ange namn och kategori, lägg vid behov till beskrivning och Bookmark this Query och avsluta med Save Query. Öppna och kontrollera den sparade frågan under Saved Queries. Ett bokmärke placerar den också i My Bookmarked Queries.

Full Screen förstorar resultatvyn. Menyn i kolumnrubriken erbjuder Pin, Autosize, Reset, Filter samt visning och döljning av kolumner; ändra ordningen genom att dra kolumnrubrikerna. Via Actions ovanför tabellen kan du exportera alla resultat eller en vald delmängd. Kontrollera sedan exportstatus och nedladdning på Data Exports. Dokumentera inte en filtrerad vy eller delmängdsexport som undersökningens fullständiga omfattning.

Skilj Live Endpoint Search från API:er för historiska data

Live Endpoint Search kör fortfarande osquery-liknande SQL-frågor på aktuella, anslutna endpoints. Live Discover-migreringen från REST till GraphQL gäller den här livevägen, inte historiska Data Lake-frågor. Att LES-katalogen kan lista sparade frågor med källan dataLake bevisar inte att LES kan köra Data Lake-frågor. Migrera därför inte en befintlig API-integration för historiska data enbart på grundval av den här migreringsguiden.

Sedan 12 oktober 2026 är Search GraphQL API v1 publicerat för historiska QL-sökningar i Fusion Data Lake. Förloppet består av sökstart, statuskontroll och paginerad resultathämtning; det är skilt från LES och dess osquery-liknande live-SQL. Körinstruktionen för Search GraphQL beskriver begäranden, Search-URN, delresultat, markörer, förfallotid och jämförelse med en befintlig SQL-klient. Data Lake Search förblir den interaktiva vägen och XDR Query API är fortsatt tillgängligt. Varken denna publicering eller LES-migreringsguiden översätter Classic-SQL automatiskt till QL eller kräver ett omedelbart API-byte.

Befintliga REST-klienter och ett valfritt byte till LES

Live Discover REST är uttryckligen undantaget från utfasningen av Classic Cases/Detections APIs. En befintlig klient behöver inte ändras enbart på grund av detta tillkännagivande. För en ny Live Endpoint-klient eller ett medvetet planerat byte utvärderas LES separat; XDR Query API för historiska data och de Classic-SQL-frågor som behålls ovan hålls åtskilda från detta.

LES kopplar målenheterna till en session innan frågan startas: kör först createLiveDiscoverSession, spara det returnerade sessionsnamnet och tilldela sedan de valda enheterna till sessionen med endpointSessions. Först därefter startar du runLiveDiscoverQuery med detta namn som sessionId och det fortsatt obligatoriska matchEndpoints: { all: false }. Använd inte direkta filter i matchEndpoints som genväg, även om schemat tillåter dem: migreringsguiden anger endast sessionsflödet som en integrationsmetod som stöds. Börja med en enda godkänd pilotenhet och en snävt avgränsad, enbart läsande SQL-fråga; stäm av måltilldelning, körningsstatus, resultatrader och Telemetry.

Före bytet kontrolleras om sparade fråge- och kategori-ID:n är portabla; guiden bekräftar inte att de kan överföras oförändrade. Klargör också med den API-ansvarige hur resultaten lagras, hur slutförda körningar blir tillgängliga senare och vad som ska ersätta den tidigare hanteringen av Enrichment Pivots. LES accepterar endast en filtergrupp per urvalsanrop; betydelsen av flera tidigare REST-filtergrupper får inte gissas. tamperProtectionEnabled blir tamperProtection som en lista, och löst strukturerade sträng-/JSON-filter kräver en egen kontroll av värdena.

Paginering för körningar, katalog och resultat implementeras separat för var och en. Resultaten innehåller SQL-utdatakolumnerna som en JSON-kodad sträng additionalColumns; metadata.columns beskriver namn och typer. För efterföljande sidor ska det returnerade pages.nextKey skickas tillbaka oförändrat som params.pageFromKey. HTTP 200 räcker inte: kontrollera också GraphQL-arrayen errors och faktisk körnings-/endpointstatus. LES delar gränsen på 1'000 körningar per dag och 10 per minut med schemalagda frågor; REST-API:et anger däremot 500 körningar per dag och 10 per minut. Dessa API-specifika värden ersätter inte generellt de Classic-UI-gränser som beskrivs längre ned. Datamängd, Device Watchdog och resultatgränser måste fortfarande beaktas i piloten.

Live Endpoint eller Data Lake

Live Endpoint Queries bygger på osquery och körs direkt på målenheterna. Data Lake Queries körs mot telemetri som enheterna har laddat upp, kan schemaläggas och når beroende på licens upp till 30 eller 90 dagars data.

Ett tidsintervall för Data Lake i Live Discover anger vilket historiskt intervall som genomsöks. Det är inget körschema. En enskild Query kan omfatta högst 30 dagar. För 90 dagar används flera avgränsade Queries.

Välj och testa Queries

Förberedda Endpoint- och Data Lake Queries finns under Threat Analysis Center > Live Discover. Arbetsflödet håller avsiktligt isär källa, Query och mål:

1. Under Data source väljer du Endpoint för det aktuella tillståndet på anslutna enheter eller Data Lake för historisk telemetri som redan har laddats upp.
2. Under Query category väljer du en kategori och under Query önskad Query. Kontrollera i Query-informationen vilka operativsystem som stöds och vilken System Impact Sophos anger för frågan.
3. För en Endpoint Query väljer du först en enda pilotenhet under Devices. Använd vid behov Show filters och uppdatera sedan listan över valda enheter. För en Data Lake Query anger du i stället ett kort, känt tidsintervall.
4. Välj Run Query och invänta resultatet.

Testa först en ny eller ändrad Query på en enda pilotenhet eller under ett kort Data Lake-intervall. Resultatraderna ska motsvara den valda enheten eller tidsperioden. Under Telemetry kontrollerar du även om målet svarade, hur hög System Impact var och vilken datamängd som överfördes. Om resultatet förblir tomt kontrollerar du först Data source, tidsperioden, vilket operativsystem som stöds och, för Endpoint Queries, enhetens anslutningsstatus. För en Data Lake Query kontrollerar du också att uppladdning är aktiverad under My Products > Endpoint > Policies > Data Collection and Investigation eller, för servrar, under My Products > Server.

Designer Mode tillåter egna osquery- eller SQL Queries. Sophos Support hjälper med förberedda Sophos Queries och datavägen, men inte med specialistutveckling av godtyckliga Custom Queries. För det finns Community och Professional Services.

Query Results erbjuder Pivots, Enrichments och Actions. En misstänkt SHA-256 kan leda till ytterligare en Query, en Intelix- eller VirusTotal-kontroll, en Threat Graph eller Live Response.

Den som frågar DNS Protection-data hittar valet DNS Protection, tillhörande Data Lake-schema och DNS-specifika kontroller i Analysera Sophos DNS Protection-rapporter och Live Discover.

Styr Data Lake Upload

Upload är aktiverad som standard för Endpoint Protection. Den kan begränsas för grupper under My Products > Endpoint > Policies > Data Collection and Investigation.

Avstängning minskar tillgängliga Detections och historisk Investigation. Ett Event Collection-undantag används endast på instruktion från Sophos Support eftersom det minskar telemetri och därmed Detection- eller Investigation-möjligheter.

Nätverkstrafiken kan tillfälligt öka efter aktivering. På små förbindelser eller känsliga segment observeras ändringen därför först i en pilotgrupp.

Event Journals på enheten

Sophos lagrar Event Journals lokalt på Windows-, macOS- och Linux-enheter. De levererar data för Endpoint Queries. Någon fast lagringstid finns inte; den beror på plattform, aktivitet och konfigurerad lagring.

Under Global Settings > Products and Services > Endpoint and Server > Event Journals kan maximal storlek anges mellan 300 och 30 000 MB. Standard är 5 250 MB. Dessutom kan en andel av disken valfritt begränsas. Om båda gäller använder Sophos det lägre värdet.

Central konfiguration av dessa gränser är endast tillgänglig med en XDR-, MDR- eller MDR Plus-licens. Lokala Event Journals finns fortfarande på skyddade Windows-, macOS- och Linux-enheter, men utan rätt licens kan deras gränsvärden inte justeras för hela tenanten.

Inställningen gäller alla berörda enheter och kan inte avvika per Endpoint. En minskning kan medföra att befintliga journaldata raderas och att undersökningsperioden förkortas.

Lagringstid och lagringsgränser

XDR lagrar Data Lake-data i upp till 90 dagar, EDR i upp till 30 dagar. Det valfria paketet Central Data Storage – 1 yr utökar perioden till ett år. Tiderna är maxima; om Storage Pool är full tas äldre data bort tidigare.

Per enhet kan högst 2 GB laddas upp per dag. När gränsen nås pausas Upload tills gränsen återställs. I Windows sker det vid midnatt lokal tid och i Linux var 24:e timme efter att XDR-agenten startats. Data som inte laddats upp skickas inte senare men är fortfarande tillgängliga för en direkt Endpoint Query.

Endpoint Pool omfattar i genomsnitt 20 MB per licens och dag. Permanent överskridande minskar i praktiken tillgänglig historik. En tenant med formellt 90 dagar kan därför ha mindre sökbara data.

Hitta orsaken till en daglig Upload Limit

Händelsen Data Lake uploads stopped because the daily limit reached visas på Windows Endpoints och Windows- eller Linux-servrar. Schemalagda Hydration Queries på den enskilda enheten skapar dessa Uploads. XDR och MDR har båda en dagsgräns på 2 GB per enhet. När den nåtts laddas inga fler Hydration Query-data upp förrän nästa dag; kvoten återställs och Queries fortsätter till dagens slut eller tills gränsen nås igen.

För att hitta den Hydration Query som har störst uppladdningsvolym loggar du in på Sophos Fusion (tidigare Sophos Central) och öppnar Threat Analysis Center > Live Discover. Aktivera Designer Mode, välj Create a new query, ange ett namn och välj Data Lake som Source. Under Show variable editor anger du beskrivande namn och lägger till typerna Device Name och Date. Ange berörd enhet och datumet YYYY-MM-DD, och kör:

SELECT
  query_name,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
  AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Alternativt rangordnar denna Query utan variabler alla enheter och Queries per dag; byt ut exempeldatumet:

SELECT
  query_name,
  meta_hostname,
  date_trunc('day', ingestion_timestamp) AS date,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Det största resultatet visar vilken Hydration Query som ska undersökas, inte automatiskt en process som ska blockeras. Kontrollera i aktuell Sophos Data Lake Schema Viewer vilka kolumner den fyller och gruppera efter en användbar kolumn. Om running_processes_windows_sophos är störst, dela upp efter processökväg:

SELECT
  path,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
  AND meta_hostname = '$$hostname$$'
  AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

I Sophos exempel gav denna Query cirka 72 MB och sökvägen för en startad process stod för mer än 50 procent av dess dagliga Upload; verkliga processnamn doldes eftersom de är miljöspecifika. Lägg sedan till begränsningar eller granska Command Line, User Name eller Parent Process för att hitta en korrigering som minskar volymen. Undersök orsak, legitimitet och konfiguration innan något ändras eller blockeras.

Guardrails

Sophos begränsar Queries för att skydda Endpoints och tenant:

• UI: högst 15 Queries per minut,
• Schemalagda frågor och API-frågor tillsammans: 1 000 per dag och 10 per minut,
• Endpoint Watchdog: avbrott över 30 procent CPU i 12 sekunder eller mer än 256 MB RAM,
• högst 10 MB svarsdata per enhet och Query,
• högst 1 MB per rad,
• högst 100 000 rader från alla svarande enheter.

Ett tomt resultat kan därför även orsakas av överskriden radstorlek. Telemetry under Query Result visar status, System Impact och överförd datamängd per enhet.

Avgränsa Query cancelled systematiskt

Query cancelled är inget HAFNIUM-specifikt fel. I Windows kan Memory Watchdog avbryta en Live Query. Identifiera först frågans namn och det faktiska resursfelet i SophosLiveQueryService.log, minska tidsperioden, exempelvis från 15 till 7 dagar, och testa på en enhet. Om felet kvarstår förkortas perioden igen eller Query filtreras snävare.

Efter Downgrade från Sophos Core Agent 2025.2 till en äldre LTS- eller FTS-version kan starten av SophosOsquery.exe misslyckas på grund av ändrad File Attestation. Loggen innehåller då Exception whilst running LiveQueryRunner. Starta om enheten i detta specifika fall; omskrivning av Query löser inte versionsgränsen.

AI Search

I Classic-vyn under Threat Analysis Center > AI Search skapar AI Search Data Lake-frågor från naturligt språk. Detections och data från Windows-endpoints kan sökas utan att skriva egen SQL-syntax. Resultattabellen visar högst 1 000 träffar. Dessa plattforms- och resultatgränser ska inte utan vidare överföras till den nya Data Lake Search som beskrivs ovan.

Börja även här med några timmar eller en dag. Stora tidsintervall kan bli långsamma eller misslyckas. Kontrollera genererad SQL Query innan resultatet bedöms som fullständigt.

Egna kategorier och schemalagda Queries

Återanvändbara Queries placeras i tydligt namngivna egna kategorier. Beskrivning, operativsystem som stöds, datakälla, variabler och förväntat resultat hör till dokumentationen för frågan. En kopierad Query betraktas inte som tillförlitlig enbart för att dess SQL körs syntaktiskt korrekt. Sophos lanserar egna kategorier stegvis, så funktionen kanske ännu inte syns i varje tenant.

Schemalagda frågor passar återkommande hypoteser och kontroller och är endast tillgängliga för Data Lake-frågor. Frekvens, dag, slutdatum och frågans tidsperiod anges medvetet. Varje administratör kan ha högst 100 aktivt schemalagda Queries eller rapporter som använder detta gemensamma format. För breda eller mycket frekventa Queries kan dessutom nå de allmänna gränserna och skapa stora mängder personrelaterad telemetri.

Drift och dataskydd

Telemetri från Data Lake och Live Discover kan innehålla processnamn, kommandorader, användare, filhashar, IP-adresser och andra driftdata. Roller, syfte, lagringstid och export dokumenteras därför.

Frågekategorier ordnar ofta använda frågor. Radering av en egen kategori raderar inte de frågor den innehåller; de finns kvar under All Queries eller andra kategorier.

Relaterade artiklar

Isolera Sophos Endpoint och undersök med Live Response förklarar Isolation och Live Response. Sophos Endpoint XDR: Investigation och Threat Graph behandlar efterföljande bedömning av Detections och Threat Graphs.

Vanliga frågor

För den aktuella Security Operations-vyn förklarar Data Lake Search och export schemaval, 31-dagars eventfönster, separat Raw-gräns och aktuella exporter. Classic-gränserna som behålls ovan överförs inte till denna vy.