Skicka Windows Event Log till Sophos XDR och SIEM

Microsoft Windows Event Log kan skickas med en stödd forwarder i Snare-over-syslog till en Sophos XDR Data Collector. Detta är en separat väg vid sidan av Sophos Endpoint-agenten. Ett lokalt Event ID eller grön Endpoint-status bevisar inte att händelsen tagits emot genom denna integration.

Driftsätt collectorn, bestäm Windows-händelser och auditkrav, rikta forwardern med rätt format mot UDP/514 och verifiera en bestämd händelse i Sophos.

Bestäm omfång och licenser före driftsättning

Beroende på faktiskt vidarebefordrade händelser kan integrationen hämta autentisering, konto-/gruppändringar, processer, Defender-fynd, administration, kataloggranskning och andra händelser. Scheman som dokumenteras är auth, process, antivirus, managementevent, cloudaudit, thirdpartyalert, encrypt och netflow.

SIEM-kravet gäller netflow-telemetri, exempelvis anslutningshändelser från Windows Filtering Platform som 5156. Det gör inte övriga uppräknade Windows-händelser SIEM-exklusiva. Nödvändiga integrations- och källrättigheter måste ändå finnas för XDR/MDR-tenanten. SIEM och integrationsguiden förklarar kontrollen.

Förbered collector, forwarder och dataskydd

Det krävs en fungerande XDR Data Collector, godkänd nätväg från Windows och programvara som skickar Snare-over-syslog. Sophos nämner Snare Enterprise, NXLog Enterprise, TIBCO Universal Collector, Syslog-ng Agent for Windows och NXLog Community Edition. Det innebär inte identiska fält, licenser eller konfigurationsfiler.

Collectorns runbook behandlar resurser, DNS, tid och uplinks. Tillåt här inkommande UDP/514 endast från avsedda Windows-nät. UDP bekräftar inte varje meddelande; ett nät- eller porttest ersätter inte händelsebevis.

Dokumentera källdatorer eller domänkontrollanter, nödvändiga Event IDs, befintliga auditinställningar, ansvarigt team och tidigare väg före konfiguration. Händelser kan innehålla användarnamn, sökvägar eller processargument. Samla bara godkänt innehåll och kopiera inte råloggar eller inloggningsuppgifter till offentliga ärenden.

Konfigurera Windows-vidarebefordran

1. Identifiera collectorn i rätt tenant under Security Operations > Integrations > Data Collectors. Använd IP-adressen som nås från Windows, inte en regional Sophos-uppladdningsadress eller en annan appliance.
2. Installera vald forwarder på en godkänd pilotdator enligt produktens instruktioner. Spara befintlig konfiguration och identifiera andra utgångar före ändring av en gemensam fil.
3. Ställ uttryckligen in Snare-over-syslog. Sophos kräver formatet; godtycklig JSON, CEF eller Windows Event XML är inga bekräftade ersättningar för denna väg.
4. Ange riktig collector-IP och UDP-port 514. Valda kanaler och filter måste omfatta nödvändiga händelser.
5. Skicka källtider i UTC och kontrollera Windows-tidsynkronisering. Lokal Event Viewer-visning bevisar inte vilken tidszon forwardern skickar.
6. Aktivera och kontrollera lokala fel. Slutför nedanstående händelsejämförelse innan fler datorer ansluts.

För NXLog CE, hämta konfigurationsmallen nxlog_wel.txt som Sophos tillhandahåller. Mallen är en utgångspunkt för det dokumenterade Snare-formatet, inte en okontrollerad ersättning för varje befintlig NXLog-konfiguration. Collector-mål, valda händelser och befintliga utgångar måste passa miljön.

Den aktuellt länkade mallen anger define PORT 601 och använder i blocket MSWINEVENTLOGOUT Module om_tcp; den är därför inte lämplig oförändrad för den UDP/514-väg som beskrivs här. För denna väg:

1. Ersätt i define XDR A.B.C.D endast platshållaren A.B.C.D med Collectorns faktiska IP; behåll define XDR.
2. Ange portraden som define PORT 514.
3. I utgångsblocket MSWINEVENTLOGOUT, kommentera ut raden Module om_tcp och aktivera den befintliga raden Module om_udp. Låt endast en utgångsmodul vara aktiv i detta block; bevara andra befintliga utgångar separat.

Kontrollera sedan syntax och händelseleverans i piloten. Sophos erbjuder best-effortstöd; mer avancerade forwarderproblem hanteras av dess leverantör.

Processkommandorad i händelse 4688

Vissa detektioner kräver fält som Windows inte loggar som standard. För att inkludera kommandoraden vid processkapande i händelse 4688 anger Sophos denna Windows-policy:

Administrative Templates > System > Audit Process Creation > Include command line in process creation events

Aktivera den endast inom godkänt omfång efter granskning av innehållet. Kommandorader kan innehålla känsliga värden. Inställningen ersätter varken nödvändig processauditing eller forwarderns filter för 4688.

Starta en godkänd ofarlig process utan hemligheter i argumenten för verifiering. Kontrollera först förväntad kommandorad i Windows 4688 och jämför sedan normaliserat process i Sophos. Collectorn kan inte återskapa ett fält som saknas vid källan.

Visa inhämtning med en källhändelse

En godkänd inloggning med separat testkonto passar som första test. 4624 och 4625 kan visa lyckad respektive misslyckad autentisering. Ett avsiktligt fel får inte utlösa kontolåsning. Använd bara en händelse som faktiskt uppstår inom valt audit- och vidarebefordringsomfång.

1. Anteckna Event ID, dator, användare, resultat och tid i Windows-loggen. Använd bara rensade värden i testprotokollet.
2. Kontrollera att forwardern skickar kategorin utan lokala format-, rättighets- eller anslutningsfel.
3. Kontrollera källflödet och posten i rätt schema i rätt Sophos-tenant. Jämför dator, tid, användare och resultat med Windows. auth förväntas vid login, process för 4688.
4. Upprepa för andra nödvändiga kategorier. Ett login bevisar inte inhämtning av Defender, kataloggranskning eller netflow.
5. Jämför nya poster under en lämplig period och dokumentera omfång, ägare och nästa kontroll vid godkännandet.

Händelsen behöver inte skapa detection eller MDR-case. Lyckad inhämtning i dag bevisar inte historisk fullständighet eller garanterad retention för alla data. Licenser och lagring kontrolleras separat.

Utred saknade fält och luckor

Ingen Windows-händelse: kontrollera först auditinställningar, kanal och verklig aktivitet. Utan källhändelse finns inget att skicka.

Källhändelse finns, inget i Sophos: jämför filter, Snare-over-syslog, UTC, IP och UDP/514. Kontrollera sedan collector och flöde för rätt tidsperiod. Lägg inte förebyggande till en andra forwarder för samma ström.

Händelsen finns men ett fält saknas: jämför Windows-original, forwarderutdata och normaliserad post. Kontrollera 4688 och godkänd policy för argument. Hitta inte på ett standardvärde.

Bara netflow saknas: kontrollera Windows Filtering Platform-händelser, urval och SIEM-rättigheter separat. Ett fungerande login bevisar inte det ytterligare omfånget.

Återställ piloten eller lämna över driften

Stoppa bara ny utgång eller pilotfilter vid rollback och återställ sparad konfiguration kontrollerat. Behåll övriga utgångar och gemensamma collectors. Återställ en auditpolicy först efter jämförelse med dokumenterat ursprungsläge och godkännande; andra säkerhets- eller beviskrav kan bero på den.

Kontrollera därefter att tidigare nödvändig loggväg fungerar och att oavsiktlig dubbelinhämtning saknas. Att stoppa forwardern återställer inte förlorade UDP-händelser och bevisar inte radering av skickad telemetri. Det utsedda teamet ansvarar i drift för omfång, tid, flöde, malländringar och forwarderuppdateringar.