Sophos Endpoint Data Collection och Live Discover

Data Collection and Investigation Policy styr två oberoende funktioner: Live Response Connections och Upload av Endpoint Telemetry till Sophos Data Lake. Live Discover använder därefter aktuella data från en ansluten enhet eller historiska data från Data Lake.

Funktionerna kräver Sophos EDR, XDR eller MDR. Live Response har egna rättigheter och behandlas dessutom i den separata Response-artikeln.

Snabbt arbetsflöde: Under Threat Analysis Center > Live Discover väljer du först lämplig Data source och därefter Query category och Query. För en Endpoint Query begränsar du avsiktligt målenheterna under Devices och väljer sedan Run Query. Resultatet är inte tillförlitligt förrän resultatraderna och Telemetry stämmer överens med vald källa, tidsperiod och förväntade enheter.

Live Endpoint eller Data Lake

Live Endpoint Queries bygger på osquery och körs direkt på målenheterna. Data Lake Queries körs mot telemetri som enheterna har laddat upp, kan schemaläggas och når beroende på licens upp till 30 eller 90 dagars data.

Ett Data Lake Time Span i Live Discover anger det historiska intervallet som frågas. Det är inget körschema. En enskild Query kan omfatta högst 30 dagar. För 90 dagar används flera avgränsade Queries.

Välj och testa Queries

Förberedda Endpoint- och Data Lake Queries finns under Threat Analysis Center > Live Discover. Arbetsflödet håller avsiktligt isär källa, Query och mål:

1. Under Data source väljer du Endpoint för det aktuella tillståndet på anslutna enheter eller Data Lake för historisk telemetri som redan har laddats upp.
2. Under Query category väljer du en kategori och under Query önskad Query. Kontrollera i Query-informationen vilka operativsystem som stöds och vilken System Impact Sophos anger för frågan.
3. För en Endpoint Query väljer du först en enda pilotenhet under Devices. Använd vid behov Show filters och uppdatera sedan listan över valda enheter. För en Data Lake Query anger du i stället ett kort, känt tidsintervall.
4. Välj Run Query och invänta resultatet.

Testa först en ny eller ändrad Query på en enda pilotenhet eller under ett kort Data Lake-intervall. Resultatraderna ska motsvara den valda enheten eller tidsperioden. Under Telemetry kontrollerar du även om målet svarade, hur hög System Impact var och vilken datamängd som överfördes. Om resultatet förblir tomt kontrollerar du först Data source, tidsperioden, vilket operativsystem som stöds och, för Endpoint Queries, enhetens anslutningsstatus. För en Data Lake Query kontrollerar du också att uppladdning är aktiverad under My Products > Endpoint > Policies > Data Collection and Investigation eller, för servrar, under My Products > Server.

Designer Mode tillåter egna osquery- eller SQL Queries. Sophos Support hjälper med förberedda Sophos Queries och datavägen, men inte med specialistutveckling av godtyckliga Custom Queries. För det finns Community och Professional Services.

Query Results erbjuder Pivots, Enrichments och Actions. En misstänkt SHA-256 kan leda till ytterligare en Query, en Intelix- eller VirusTotal-kontroll, en Threat Graph eller Live Response.

Den som frågar DNS Protection-data hittar valet DNS Protection, tillhörande Data Lake-schema och DNS-specifika kontroller i Analysera Sophos DNS Protection-rapporter och Live Discover.

Styr Data Lake Upload

Upload är aktiverad som standard för Endpoint Protection. Den kan begränsas för grupper under My Products > Endpoint > Policies > Data Collection and Investigation.

Avstängning minskar tillgängliga Detections och historisk Investigation. Ett Event Collection-undantag används endast på instruktion från Sophos Support eftersom det minskar telemetri och därmed Detection- eller Investigation-möjligheter.

Nätverkstrafiken kan tillfälligt öka efter aktivering. På små förbindelser eller känsliga segment observeras ändringen därför först i en pilotgrupp.

Event Journals på enheten

Sophos lagrar Event Journals lokalt på Windows-, macOS- och Linux-enheter. De levererar data för Endpoint Queries. Någon fast lagringstid finns inte; den beror på plattform, aktivitet och konfigurerad lagring.

Under Global Settings > Products and Services > Endpoint and Server > Event Journals kan maximal storlek anges mellan 300 och 30 000 MB. Standard är 5 250 MB. Dessutom kan en andel av disken valfritt begränsas. Om båda gäller använder Sophos det lägre värdet.

Central konfiguration av dessa gränser är endast tillgänglig med en XDR-, MDR- eller MDR Plus-licens. Lokala Event Journals finns fortfarande på skyddade Windows-, macOS- och Linux-enheter, men utan rätt licens kan deras gränsvärden inte justeras för hela tenanten.

Inställningen gäller alla berörda enheter och kan inte avvika per Endpoint. En minskning kan kasta befintliga Journal Data och förkorta undersökningsperioden.

Lagringstid och lagringsgränser

XDR lagrar Data Lake-data i upp till 90 dagar, EDR i upp till 30 dagar. Det valfria paketet Central Data Storage – 1 yr utökar perioden till ett år. Tiderna är maxima; om Storage Pool är full tas äldre data bort tidigare.

Per enhet kan högst 2 GB laddas upp per dag. När gränsen nås pausas Upload tills gränsen återställs. I Windows sker det vid midnatt lokal tid och i Linux var 24:e timme efter att XDR-agenten startats. Data som inte laddats upp skickas inte senare men är fortfarande tillgängliga för en direkt Endpoint Query.

Endpoint Pool omfattar i genomsnitt 20 MB per licens och dag. Permanent överskridande minskar i praktiken tillgänglig historik. En tenant med formellt 90 dagar kan därför ha mindre sökbara data.

Hitta orsaken till en daglig Upload Limit

Händelsen Data Lake uploads stopped because the daily limit reached visas på Windows Endpoints och Windows- eller Linux-servrar. Schemalagda Hydration Queries på den enskilda enheten skapar dessa Uploads. XDR och MDR har båda en dagsgräns på 2 GB per enhet. När den nåtts laddas inga fler Hydration Query-data upp förrän nästa dag; kvoten återställs och Queries fortsätter till dagens slut eller tills gränsen nås igen.

För att hitta den Hydration Query som har störst uppladdningsvolym loggar du in på Sophos Fusion (tidigare Sophos Central) och öppnar Threat Analysis Center > Live Discover. Aktivera Designer Mode, välj Create a new query, ange ett namn och välj Data Lake som Source. Under Show variable editor anger du beskrivande namn och lägger till typerna Device Name och Date. Ange berörd enhet och datumet YYYY-MM-DD, och kör:

SELECT
  query_name,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date (from_unixtime($$date$$))
  AND meta_hostname = '$$hostname$$'
GROUP BY query_name, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Alternativt rangordnar denna Query utan variabler alla enheter och Queries per dag; byt ut exempeldatumet:

SELECT
  query_name,
  meta_hostname,
  date_trunc('day', ingestion_timestamp) AS date,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) >= date '2021-09-17'
GROUP BY query_name, meta_hostname, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

Det största resultatet visar vilken Hydration Query som ska undersökas, inte automatiskt en process som ska blockeras. Kontrollera i aktuell Sophos Data Lake Schema Viewer vilka kolumner den fyller och gruppera efter en användbar kolumn. Om running_processes_windows_sophos är störst, dela upp efter processökväg:

SELECT
  path,
  sum(upload_size) / (1000.0 * 1000) AS total_upload_size_bytes_mb
FROM xdr_data
WHERE date_trunc('day', ingestion_timestamp) = date '$$date$$'
  AND meta_hostname = '$$hostname$$'
  AND query_name = 'running_processes_windows_sophos'
GROUP BY path, date_trunc('day', ingestion_timestamp)
ORDER BY total_upload_size_bytes_mb DESC

I Sophos exempel gav denna Query cirka 72 MB och sökvägen för en startad process stod för mer än 50 procent av dess dagliga Upload; verkliga processnamn doldes eftersom de är miljöspecifika. Lägg sedan till begränsningar eller granska Command Line, User Name eller Parent Process för att hitta en korrigering som minskar volymen. Undersök orsak, legitimitet och konfiguration innan något ändras eller blockeras.

Guardrails

Sophos begränsar Queries för att skydda Endpoints och tenant:

• UI: högst 15 Queries per minut,
• Scheduled och API Queries tillsammans: 1 000 per dag och 10 per minut,
• Endpoint Watchdog: avbrott över 30 procent CPU i 12 sekunder eller mer än 256 MB RAM,
• högst 10 MB svarsdata per enhet och Query,
• högst 1 MB per rad,
• högst 100 000 rader från alla svarande enheter.

Ett tomt resultat kan därför även orsakas av överskriden radstorlek. Telemetry under Query Result visar status, System Impact och överförd datamängd per enhet.

Avgränsa Query cancelled systematiskt

Query cancelled är inget HAFNIUM-specifikt fel. I Windows kan Memory Watchdog avbryta en Live Query. Identifiera Query Name och Resource Error i SophosLiveQueryService.log, minska tidsperioden, exempelvis från 15 till 7 dagar, och testa på en enhet. Om felet kvarstår förkortas perioden igen eller Query filtreras snävare.

Efter Downgrade från Sophos Core Agent 2025.2 till en äldre LTS- eller FTS-version kan SophosOsquery.exe inte starta på grund av ändrad File Attestation. Loggen innehåller då Exception whilst running LiveQueryRunner. Starta om enheten i detta specifika fall; omskrivning av Query löser inte versionsgränsen.

AI Search

AI Search skapar Data Lake Queries från naturligt språk. Detections och Windows Endpoint Data kan sökas utan egen SQL Syntax. Resultattabellen visar högst 1 000 träffar.

Börja även här med några timmar eller en dag. Stora tidsintervall kan bli långsamma eller misslyckas. Kontrollera genererad SQL Query innan resultatet bedöms som fullständigt.

Egna kategorier och schemalagda Queries

Återanvändbara Queries placeras i tydligt namngivna egna kategorier. Beskrivning, operativsystem som stöds, datakälla, variabler och förväntad Output hör till Query Documentation. En kopierad Query betraktas inte som tillförlitlig enbart för att dess SQL körs syntaktiskt korrekt. Sophos lanserar egna kategorier stegvis, så funktionen kanske ännu inte syns i varje tenant.

Scheduled Queries passar återkommande hypoteser och kontroller och är endast tillgängliga för Data Lake Queries. Frekvens, dag, slutdatum och frågans tidsperiod anges medvetet. Varje administratör kan ha högst 100 aktivt schemalagda Queries eller rapporter som använder detta gemensamma format. För breda eller mycket frekventa Queries kan dessutom nå de allmänna gränserna och skapa stora mängder personrelaterad telemetri.

Drift och dataskydd

Data Lake Telemetry och Live Discover kan innehålla processnamn, Command Lines, användare, File Hashes, IP Addresses och andra driftdata. Roller, syfte, lagringstid och export dokumenteras därför.

Query Categories ordnar ofta använda Queries. Radering av en egen kategori raderar inte de Queries den innehåller; de finns kvar under All Queries eller andra kategorier.

Relaterade artiklar

Isolera Sophos Endpoint och undersök med Live Response förklarar Isolation och Live Response. Sophos Endpoint XDR: Investigation och Threat Graph behandlar efterföljande bedömning av Detections och Threat Graphs.

Vanliga frågor