Sophos SIEM: anslut Azure Event Hubs och Blob-loggar

Sophos Next-Gen SIEM läser in egna källor via Azure Event Hubs eller Azure Storage Account. Event Hubs ger en ström; med Storage läser en levererad Azure Function filer från en Blob-sökväg och skickar vidare. Konfigurationerna är inte utbytbara.

Båda kräver Next-Gen SIEM-prenumeration, aktiv Azure-prenumeration och rättigheter i Sophos Fusion/Azure. Förberedd källa måste faktiskt skriva loggar till hubb/container. Allmän konfiguration kräver lämpliga Admin/Super Admin-rättigheter; begränsa Azure till godkända resurser och distribution.

Transportvalet hjälper. Detta är ingen syslogcollector i Azure eller automatisk ersättning av befintlig moln-/Microsoft 365-integration.

Event Hubs: krav och åtkomst

Standard, Premium, Dedicated stöds, inte Basic. Nuvarande Sophos-guide kräver internetåtkomlig hubb och nämner alla IPv4-adresser. Det är ett säkerhetsrelevant arkitekturkrav, ingen generell rekommendation att öppna privata hubbar. Vid konflikt med nätpolicy måste ansvariga och Sophos rådfrågas före brandväggsändring.

Valda kategorier måste redan strömma till hubben, exempelvis via Azure Monitor-diagnostik. Källkonfigurationen bestämmer data; anslutningen aktiverar inte alla auditloggar retroaktivt.

Öppna avsedd Event Hubs namespace i Azure och anteckna Host name i Overview.
Under Entities > Event Hubs, öppna rätt hubb och notera Name, separat från namespace.
Öppna Settings > Shared access policies > Add, skapa en särskild policy.
Välj Listen. Läsningen kräver inte ytterligare sändnings- eller hanteringsrättigheter.
Öppna policyn och skydda Primary Connection String. Den innehåller en hemlighet; namespace, policynamn och eventuell EntityPath måste identifiera rätt hubb.

Kopiera inte verklig anslutningssträng till ärenden eller KB. Dokumentera ägare och Azure-stödd rotation.

Anslut Event Hubs i Sophos Fusion

Öppna Security Operations > Integrations > Marketplace > Custom.
Vid Azure Event Hubs, Set Up, unikt namn i Add an integration.
Ange kontrollerade Event Hubs Namespace Hostname, Event Hubs Name, Event Hubs Primary Connection String.
Skapa med Done, kontrollera Configured integrations.
Följ nytt godkänt event till hubb och Sophos: källa, tenant, tid och fält ska stämma.

Sophos-consumern använder tillgängliga partitioner dynamiskt upp till 200 partitioner, utan genomströmningsgaranti. Hubboperatören ansvarar för serverkapacitet. ServerBusyException i API Query Log kan visa en gräns. Kontrollera volym och Azure-kapacitet före fler partitioner/consumers; för fler parallella consumers hänvisar Sophos till support. Upprepad återskapning löser inte kapacitet.

Storage: Blob-sökväg och Function-plan

Det behövs Storage Account, Blob Container med loggar och stödd Azure Function-serviceplan. Isolated stöds inte. Dokumenterade val:

Basic: B1, B2, B3.
Dynamic: Y1.
Premium: P0V3, P1MV3, P1V2, P1V3, P2MV3, P2V2, P2V3, P3MV3, P3V2, P3V3, P4MV3, P5MV3.

Listan är från 5 oktober 2026. Kontrollera erbjuden plan, region, kapacitet och kostnader före distribution. Event Hubs-nivå väljer inte Function-plan.

Data Source Key anger containermappen där filer skapas. För MicrosoftInsights/2024-02-03/02hr/part=01/00004.json anger Sophos MicrosoftInsights. Använd eget prefix, inte blint exemplet eller hela filnamnet. Fel prefix kan missa relevanta filer eller läsa in annan data.

Distribuera Storage och Azure Function

Fastställ konto, container, prefix och plan i rätt Azure-konto. Visa först ett aktuellt testobjekt i avsedd sökväg.
I Sophos, Security Operations > Integrations > Marketplace > Custom, Set Up under Azure Storage Accounts.
Ange namn, Storage Account Name, Function App Name, Data Source Key. Namnet beskriver syftet, exempelvis VerksamhetsappLogsForwarder, men ersätter inte resurskontroll.
Välj Azure Function Service Plan Type, Azure Function Service Plan Code, Azure Function Service Plan Num Workers. Dokumenterat standardvärde 1, högst 3 för Basic B2/B3. Fler workers är ingen generell reparation.
Generera med Done automatiskt nedladdad AzureFunction.json. Skydda och granska resurser, rättigheter och kostnader före körning.
Öppna egen malldistribution i Azure, Build your own template in the editor, läs in AzureFunction.json, Save.
Välj/skapa Resource Group. Storage får finnas i annan subscription/grupp än Function; anpassa Storage Account Subscription ID och Storage Account Resource Group endast efter faktisk skillnad.
Granska Review + Create, sedan Create efter internt godkännande. Kontrollera distribution, skapad Function och Sophos-integrationen.

Källan måste fortsätta skriva till rätt container. Lyckad ARM bevisar inte källväg eller vidarebefordran. Anta inte fullständig retroaktiv inläsning av gamla filer; bekräfta önskad historik separat.

Godkänn flödet och isolera fel

Sophos anger Azure Commercial Cloud och dokumenterade US Government/DoD/GCC/GCC-High-miljöer. Det betyder inte automatisk tillgänglighet i varje tenant/region; kontrollera miljö och endpoint före distribution.

Dokumentera nytt ofarligt event per transport. För Event Hubs kontrolleras källa, ström, Listen-policy och anslutning; för Storage Blob-sökväg och därefter Function-distribution/fel. Jämför sedan status och den för källan bekräftade sökvägen i Sophos.

Stödda loggtyper normaliseras enligt sin integration; andra kan hamna i generic. SIEM-guiden om parsers och detektionsgränser förklarar ytterligare kontroll. Grönt, fil eller Event Hubs-räknare bevisar inte full normalisering eller detektion. Vid delvis saknade events granskas kategorier, tid och fält före utökade rättigheter.

Planera paus och avveckling

Dokumentera källor som delar hubb, container, policy eller Function. Pausa export enligt källans stödda metod och kontrollera resultatet. Radera inte gemensam hubb eller Storage Account för att pausa.

När historik, bevis, beroenden och omstart klarlagts tas egen anslutning, onödiga resurser och hemligheter bort med respektive dokumenterad process. Att radera Sophos-posten garanterar inte historisk radering eller slut på alla Azure-kostnader. Kontrollera efter återgång den gamla nödvändiga loggvägen med ett testevent.