Förstå Sophos Next-Gen SIEM och planera datalagringen
Next-Gen SIEM kompletterar XDR och MDR med längre datalagring och egna integrationer. En inventering av datakällorna och en dokumenterad pilot visar …
Sophos SIEM
Sophos Next-Gen SIEM kompletterar XDR och MDR med längre datalagring och egna datakällor. Anvisningarna går från planering via Collector och transport till normalisering och verifierbar sökning.
SIEM-arbetsflöden
Från källinventering till verifierad händelse
Klargör först licens och databehov. Konfigurera sedan rätt dataväg och verifiera transport, fältmappning och önskad analys separat. XDR-/SIEM-anvisningarna finns också kvar i sina tidigare produktkategorier.
Planering, licens och lagring 1
Bedöm mervärdet jämfört med XDR och MDR. Dokumentera datamängder, sökfönster, retention och driftansvar före anslutningen.
Windows-, nätverks- och molntelemetri 3
Läs in källor som används av både XDR och SIEM med rätt format och Collector. SIEM-behörigheten beror på händelsetypen.
Skicka Windows Event Log till Sophos XDR och SIEM
Anslut Windows Event Log med en stödd forwarder och verifiera inhämtning; skilj processkommandorad från netflow-licens.
Samla nätverkstelemetri med Sophos XDR Collector
Fyra konkreta syslogvägar med format, förutsättningar, tidsstämplar, godkännande och kontrollerad avveckling.
Anslut molnets flödesloggar till Sophos XDR och SIEM
Fyra konkreta molnvägar med konfiguration, behörigheter, format och verifiering. Kontrollera SIEM-kravet för varje telemetrischema.
Transportera egna källor 3
Välj HTTP Ingest, någon av de tre S3-varianterna eller Azure Event Hubs och Storage utifrån befintlig källväg och kontrollera varje väg separat.
Sophos SIEM: välj transport och konfigurera HTTP Ingest
HTTP Ingest ansluter en POST-kapabel loggkälla till Sophos Fusion. Transportval, hemlighetshantering och tester skiljer leverans från användbara …
Sophos SIEM: anslut egen och Sophos-hanterad S3
Tre S3-transporter skiljer sig i ägarskap, behörigheter och verifiering. Guiden separerar konfiguration och godkännande av data.
Sophos SIEM: anslut Azure Event Hubs och Blob-loggar
Event Hubs och Blob Storage använder olika integrationer. Krav, konfiguration, drift och gränser för båda vägarna.
Parser, sökning och praktisk verifiering 2
Förbered Custom Parsers med rätt schema och kontrollera råmeddelande, normalisering och sökning. Ett praktiskt labbexempel binder ihop stegen.
Skapa, testa och förvalta Sophos SIEM Custom Parsers
Fungerande loggtransport innebär ännu inte användbar normalisering. Runbooken följer källexempel och schemaval genom testning till kontrollerad …
Sophos SIEM: verifiera HTTP Ingest och parser i ett exempel
En liten egen JSON-källa gör transport, tidsstämplar, resultatmappning och sökning separat verifierbara. Med säker hantering av hemligheter, motprov …
Välj rätt ingång
En ny SIEM-pilot börjar med produkt- och retentionsplanering. Dokumentera vilken datakälla som ska leverera vilken händelse och vem som ska vidta en åtgärd utifrån den. Kategorierna nedan ordnar befintliga anvisningar efter detta arbetsflöde; de ändrar varken licenskraven eller befintliga artikel-URL:er.
Collector och Custom-transport har olika uppgifter. För stödda Syslog-källor beskriver migreringen till XDR Data Collector insamlingsvägen. Ett eget program som kan skicka POST använder däremot exempelvis HTTP Ingest. Grön transportstatus bekräftar aldrig i sig korrekt fältmappning eller detektion.
Det sammanhängande praktiska HTTP-/parserexemplet beskriver en syntetisk testkälla, Auth-mappning, sökfråga och återställning av labbet. För verkliga data måste källformat, parser och framgångskriterier bekräftas i en godkänd pilot.
För vidare analys beskriver guiden till Data Lake Search sökning och fält. Automatisk detektion och egna regler är separata uppgifter; deras gränser behandlas i genomgången av Custom Rules. En vanlig testinloggning behöver inte utlösa ett larm.