Samla nätverkstelemetri med Sophos XDR Collector

För OPNsense, pfSense, Netskope SSE och NetScaler ADC går den dokumenterade vägen via en Sophos XDR Data Collector. Driftsätt collectorn först, anslut källan med rätt syslogformat och kontrollera faktisk insamling. En generell syslogadress räcker inte: Sophos måste tolka format och händelsekategori korrekt.

De netflow-data som beskrivs här kräver en Sophos Next-Gen SIEM-prenumeration. Netskope och NetScaler levererar även andra scheman som inte alla har samma SIEM-fotnot i dokumentationen. För OPNsense och pfSense består kontrollerat omfång av brandväggens anslutningshändelser i netflow. SIEM och integrationsgrunderna förklarar val och licenser.

Källorna kontrollerades den 27 oktober 2026.

Förbered collector och källomfång

Collectorn ska vara provisionerad för rätt tenant under Security Operations > Integrations > Data Collectors. Collectorns runbook förklarar resurser, regionala uplinks, DNS, tid och skillnader mot gamla SVA samt NDR. En ny XDR Data Collector tar inte automatiskt över en befintlig NDR-arbetslast.

Dokumentera tidigare loggväg, nytt mål, tillåtna källnät och avsedda händelser före ändringen. Tillåt inkommande syslog endast från dessa nät. Byt inte en dokumenterad UDP-väg mot TLS-syslog eller annat format utan kompatibilitetskontroll. UDP bekräftar inte individuell leverans; ta hänsyn till förluster när källa och mål jämförs.

Välj en godkänd ofarlig testhändelse med tid och källbevis för varje pilot. En konfigurerad receiver eller grön status bevisar inte att varje kategori hämtas eller normaliseras. Godkänn kommunikation, flöde och innehåll separat.

OPNsense: filterlog via UDP/514

OPNsense-vägen behandlar filterlog för tillåtna eller blockerade TCP-, UDP- och ICMP-anslutningar. Den kräver administrativ åtkomst och en nåbar collector.

1. Öppna OPNsense-konfigurationen för Remote Logging efter driftsättning. Navigeringen beror på versionen; värdena nedan är dokumenterade av Sophos.
2. Aktivera Enabled och välj UDP(4) i Transport.
3. Välj filter (filterlog) under Applications. Markera info, notice, warn, error, critical, alert och emergency under Levels. Lämna Facilities tomt.
4. Ange collectorns faktiska IP i Hostname och 514 i Port. Stäng av rfc5424. Dokumenterad Description är FilterLog; förväxla inte namnet med ett annat format.
5. Spara och skapa avsedd ofarlig brandväggshändelse. Källregeln måste faktiskt logga den. Kontrollera tid, käll-/måladress och åtgärd i OPNsense och jämför sedan i Sophos netflow.

Om posten saknas kontrolleras källans loggning, filterlog, UDP/IPv4, IP, port och RFC5424. Stäng inte av skyddsregler för att tvinga fram ett testflöde.

pfSense: Firewall Events i BSD-format

pfSense levererar också filterloggar för TCP, UDP och ICMP. Det dokumenterade formatet skiljer sig från andra pfSense-loggar; ett godtyckligt fjärrsyslogval ersätter det inte.

1. Öppna Log Settings i pfSense-administrationen.
2. Välj BSD (RFC 3164, default) under General Logging Options.
3. Aktivera Enable Remote Logging under Remote Logging Options.
4. Välj ett gränssnitt eller nät som når collectorn i Source Address. Sätt IP Protocol till IPv4.
5. Ange verklig collector-IP i Remote log servers och välj Firewall Events i Remote Syslog Contents.
6. Spara, skapa en godkänd händelse som faktiskt loggas och hitta den som netflow i rätt tenant. Åtgärd och anslutningsuppgifter ska motsvara källan.

Annan Source Address kan ändra routing och brandväggsmatchning. Kontrollera först det valda gränssnittets utgående väg, sedan receiver och BSD om data saknas. Andra loggkategorier ingår inte automatiskt.

Netskope SSE: Cloud Log Shipper och CEF

Vägen har två steg: Netskope Cloud Log Shipper hämtar data från Netskope-API:erna och skickar CEF via syslog till Sophos. Ett Netskope-konto direkt i collectorn ersätter inte Shippern.

Integrationen kan ge webb-/molnaktivitet, malwarefynd, säkerhets-/policyvarningar och administration, bland annat som http, antivirus, thirdpartyalert, nids och auth. Ytterligare anslutnings-/tunnelhändelser i netflow kräver SIEM.

1. Driftsätt en godkänd Cloud Log Shipper för Netskope-tenanten. Konfigurera API-åtkomst och kategorier enligt rätt Netskope-rutin. Sophos anger ingen universell uppsättning API-rättigheter.
2. Välj utgående Plugin: Syslog i Shippern.
3. Använd Syslog Defaults Mapping i Mapping. Behåll dokumenterad CEF-väg; en egen mapping kan förändra normaliseringen.
4. Ange XDR Data Collectorns riktiga IP som mål. Transport och receiver måste motsvara godkänd konfiguration. Andra produkters UDP/514-krav fastställer ingen universell Netskope-port.
5. Välj en lämplig källhändelse och kontrollera att Shippern hämtade den från API:et och vidarebefordrade den. Jämför sedan schema och nödvändiga fält i Sophos.

Om bara anslutningsdata saknas kontrolleras även händelseurval och SIEM-rättigheter. En HTTP-post bevisar inte alla kategorier. Utred API-hämtning och syslogöverföring var för sig.

NetScaler ADC: auditloggar med entydig tid

NetScaler ADC, tidigare Citrix ADC, levererar webb/Application Firewall (http), autentisering/VPN-sessioner (auth) och administrativa kommandon (managementevent) via syslog. TCP-etablering och -avslut blir netflow och kräver SIEM.

1. Öppna NetScalers sysloginställningar för Audit Logging efter collectorinstallation. Anpassa server-/policykopplingen till version och omfång; Sophos-källan dokumenterar inget universellt CLI-kommando.
2. Ange rätt collector-IP som mål och kontrollera godkänd nätväg.
3. Välj datumformat MM/DD/YYYY. DD/MM/YYYY stöds inte för korrekt inhämtning.
4. Skicka händelsetider i UTC. Att senare ändra Sophos-visningen reparerar inte en feltolkad källtidsstämpel.
5. Skapa en godkänd administrativ ändring eller inloggning inom auditomfånget. Jämför källbevis, tid, användare och åtgärd med rätt schema. Netflow behöver ett eget anslutningstest.

Jämför först källtid och sökfönster om händelser verkar saknas. Fel datum eller tidszon kan placera poster utanför perioden. Kontrollera sedan auditpolicy, faktiskt skickad kategori, IP och nätväg.

Godkännande och kontrollerad avveckling

Dokumentera minst en reproducerbar händelse, källa, tenant, insamlingstid och schema per källa. Jämför adresser, portar, åtgärd och användare när de förväntas och finns. Ingen detection eller case betyder inte nödvändigtvis inga data; den faktiska posten är avgörande.

Upprepa godkännandet efter käll- eller formatändringar. Gårdagens korrekt behandlade CEF bevisar inget om dagens ändrade mapping. Kontrollera källklockan vid tidsskillnader i stället för att stänga av skyddet.

Stoppa vid avveckling den nya Remote Logging-posten eller dedikerade Shipper-utgången och kontrollera den tidigare dokumenterade vägen. Behåll gemensamma collectors, API-identiteter och övriga utgångar. Ta bort exklusivt dedikerade resurser först efter beroendekontroll. Att radera integrationen bevisar inte historisk radering och återställer inte förlorade händelser.