Hoppa till innehållet
Avanet
Logga in

Sophos SIEM: anslut egen och Sophos-hanterad S3

Sophos Fusion Admin Sophos SIEM

Sophos Next-Gen SIEM erbjuder tre S3-transporter: en bucket i det egna AWS-kontot eller ett Sophos-mål med eller utan ägarskapstoken. Välj utifrån exportverktyg och driftmodell. En bucket skapar inte ensam normaliserade, användbara XDR-händelser.

Det behövs Next-Gen SIEM-prenumeration, åtkomst till konfiguration och metodens AWS-/leverantörsbehörigheter. Transportvalet beskriver alternativ. Skicka bara godkända loggar och behåll befintliga mål till godkännandet.

Välj alternativ och ansvar

Customer-Managed S3 behåller filer i det egna AWS-kontot. Operatören tillhandahåller bucket, CloudFormation/Lambda-resurser och trigger, med kostnadsansvar och granskad IAM-modell.

Med Sophos-Managed S3 hanterar Sophos målet. Källan behöver alias, sökväg och eventuella rollparametrar. Kräver leverantören fil/token som ägarskapsbevis före export, välj with token, annars without token. Token är ingen allmän API-inloggningsuppgift eller bevis på fullständig senare leverans.

Dokumentera källa, AWS-konto/region, prefix, format, identitet och ägare. Riktiga IAM-ARN och token kommer från egen leverantörs-/AWS-konfiguration, inte andras exempel. Skydda hemligheter och åtkomstparametrar.

Egen bucket: integration och Lambda

1. Förbered Sophos Fusion

  1. Öppna Security Operations > Integrations > Marketplace > Custom.
  2. Välj Set Up vid Customer-Managed S3.
  3. Läs S3-information, Next, unikt namn och Done.
  4. Ladda ned och skydda den genererade CloudFormation-mallen för Lambda. Förväxla den inte med collector- eller NDR-mallar.

2. Kör CloudFormation i rätt konto

Bucketen måste redan innehålla loggarna. Distribuera i samma region med rättigheter för CloudFormation, Lambda, IAM och övriga angivna resurser. Granska mall, säkerhet och kostnader före körning.

  1. I rätt region, CloudFormation > Create stack; från listan With new resources (standard).
  2. Välj befintlig mall under Prepare template, ladda upp YAML under Specify template. Godkänd S3-URL kan också användas; ingen bucket behöver bli offentlig.
  3. Ange namn utan blanksteg. Välj rätt IntegrationType; vid flera typer eller oklar mappning anger Sophos generic, utan detektionsgaranti.
  4. I NotificationBucket anges endast bucketnamn, ingen URL/S3-URI. Använd vid avsiktligt vald SNS dess ARN i SNSNotificationarn. Ändra annat endast enligt granskade mallkrav.
  5. Granska IAM-resurser, bekräfta uttryckligen skapandet och starta med Submit efter parameterkontroll.
  6. Kontrollera händelser och CREATE_COMPLETE. Färdig stack bevisar inte rätt trigger eller användbara events.

Standardvägen placerar bucket, stack och Lambda i samma konto/region. Andra arkitekturer bekräftas inte av detta.

3. Lägg till bucket som trigger

  1. Öppna i Lambda den faktiskt skapade funktionen. Sophos anger {STACKNAME}-sophos-xdr-lambda-{INTEGRATIONTYPE} som namnmönster.
  2. Öppna Function overview > Add Trigger > S3. SNS-alternativet kräver separat förberett topic.
  3. Välj loggbucket och All Object Create Events i Event Type.
  4. Ange endast avsett prefix i Prefix, eller lämna tomt om inget används. Lämna Suffix tomt. För smalt prefix missar filer, för brett kan läsa in oönskade data och öka kostnader.
  5. Bedöm Lambda-kostnadsvarningen, välj Add, kontrollera koppling och nytt testobjekt.

Object Create bevisar inte automatisk retroaktiv inläsning av allt befintligt innehåll. Bekräfta önskad historik separat utan att okontrollerat skriva om filer.

Sophos-mål utan ägarskapstoken

  1. Öppna Security Operations > Integrations > Marketplace > Custom, sedan Set Up vid S3 Ingest – Sophos-Managed (without Ownership token).
  2. Välj leverantörens IAM User, Canonical User ID eller IAM Role, ange värdet och skapa med Done.
  3. Öppna integrationen och Details, lagra parametrarna skyddat.
  4. Använd AccessPointAlias som bucket, LogFolderPath som sökväg och vid behov AWSRegion i exportverktyget. Identiteten måste motsvara den ursprungliga. Vid roll används även IAMAssumeRole som roll-ARN att anta på källsidan.
  5. Starta med nytt event och verifiera inläsningen. Lägg inte till ägarskapsutmaning för denna variant.

Sophos-mål med ägarskapstoken

Samma ingång, men S3 Ingest – Sophos-Managed (with token). Efter Set Up anges identitetstyp och leverantörsvärde; öppna sedan Details.

Källan använder AccessPointAlias, AWSRegion, LogFolderPath och rätt identitet; vid IAM Role även IAMAssumeRole. Använd OwnershipToken enligt leverantörens verifieringsprocess.

Flera steg kan krävas: leverantören skriver en challenge-fil eller motsvarande objekt till målet. Ladda om Details i Sophos, hämta den nya OwnershipToken och ge den till leverantören för slutförande. Följ dess process utan påhittad token eller egenkonstruerat objekt. Kontrollera loggar först efter godkänd verifiering.

Godkänn och avveckla alternativen

Integrationen visas i Configured integrations. Kontrollera nytt ofarligt event vid källan och sedan tenant, källa, tid och fält i Sophos. För egen S3 även objekt, trigger och Lambda-/stackfel; för hanterad först identitet, alias, sökväg och erforderlig ägarskapskontroll.

Custom S3 ger först transport. Stödda typer följer produktens normalisering; andra kan bli generic. SIEM-guiden skiljer transport, parser och detektion. Grönt eller skriven fil bevisar inte komplett historik eller detektion.

Stoppa export/egen trigger före avveckling och kontrollera den gamla nödvändiga vägen. Radera inte gemensamma buckets, IAM-identiteter, topics eller Lambda-beroenden utan genomgång. Klargör lagring, kvarstående kostnader, beroenden och stödd raderingsprocess. Raderad integration bevisar inte raderad SIEM-historik eller slut på alla AWS-kostnader.