Övervaka och underhåll Sophos XDR Data Collectors

Sophos XDR Data Collectors övervakas under Security Operations > Integrations > Data Collectors. Tillförlitlig driftverifiering omfattar tre nivåer: collectorn kan nås, förväntade källor skickar data och händelser kommer korrekt fram till backend. Statusen Online besvarar bara en del av detta.

Runbooken gäller redan driftsatta collectors. Migreringsrunbooken beskriver byte från äldre SVA-loggcollectors och lokal driftsättning. Nya AWS-, Azure- eller GCP-instanser driftsätts med molnguiden. Inga ytterligare tredjepartsprogram får installeras på enheterna.

Kontrollera status och källor tillsammans

Identifiera rätt collector utifrån namn, plattform och tenant i tabell- eller kortvyn. Statusvärdena betyder:

Online: Collectorn har rapporterat in; dess applikationer är driftsatta och fungerar korrekt.
Warning: Vissa applikationer har inte rapporterat nyligen eller har inte driftsatts korrekt.
Offline: En tidigare driftsatt collector har inte rapporterat nyligen.
Provisioning: Collectorn har ännu inte driftsatts.

Last Log Seen visar loggmottagning inom den senaste timmen. N/A innebär att inget rapporterats under denna timme. Det kan vara väntat för en avsiktligt tyst källa; för en aktiv brandvägg behöver orsaken undersökas. En annan sändande värd kan få collectorn att se aktiv ut trots att en enskild viktig källa saknas.

Öppna collectorn och jämför under Summary > Current Data Sources antalet friska källor, varningar och källor utan data. Klick på ett mätvärde öppnar motsvarande filtrerade källista. Under Health visar inflödesgrafen och syslog-källtabellen vilka som faktiskt skickar till collectorn. Standardperioden är en timme och kan utökas till 30 dagar. Jämför därmed källans tidigare aktivitet med aktuellt avbrott.

Total Events avser händelser som collectorn samlat in de senaste 24 timmarna. Data Usage visar däremot tenantens användning hittills under månaden; värdet får inte tillskrivas enbart denna collector. För extern inventering finns Actions > Export All as CSV. Kontrollera exportstatus och nedladdning på Data Exports.

För källacceptans korreleras en förväntad godkänd händelse med källsystem och tidpunkt, och kontrolleras via avsedd XDR-sökväg. Inflöde hos collectorn bevisar varken korrekt normalisering eller detektion. Custom Parser-runbooken behandlar format- och parserfrågor.

Tolka backlog och genomströmning

Välj på Performance först samma tidsperiod som vid källkontrollen. Backlog Age är åldern på den äldsta filen som väntar på sändning till backend; Backlog Count är antalet väntande filer. Sophos grupperar och komprimerar händelser före sändning; värdena visar inte direkt hur många loggar som förlorats.

Enstaka korta toppar, vid hög last vanligen under en minut, kan förekomma. Trenden är viktigare: om ålder och antal ökar kontinuerligt eller under arbetstid och sjunker först på natten, håller behandlingen eller sändningen inte jämna steg med lasten. Undersök utgående bandbredd, QoS, proxy och collectorbelastning tillsammans. En omstart förklarar eller löser inte en varaktig kapacitetsbrist.

Ingress / Egress visar mottagna och skickade byte på det primära nätverksgränssnittet. Mer inkommande än utgående data är inte automatiskt fel eftersom komprimering används. Om backlog samtidigt växer och egress når en platå kontrolleras uplink och begränsningar. Dokumentera MIN, MAX, AVG och LAST med tidsperiod och berörda källor, inte bara en lös skärmbild.

Collectorn har en 200 GB-spool för tillfälligt fördröjd eller avbruten sändning. Det är ingen obegränsad buffert och ingen ersättning för SIEM-retention. Även tillverkaruppgiften upp till 200 000 EPS gäller bara lämpligt konfigurerade system och garanterar inte varje VM eller förbindelse. Fastställ den faktiska flaskhalsen före resursändringar vid ständigt ökande kö.

Ange underhållsfönster i UTC

Vanliga programuppdateringar sker automatiskt, normalt var 24:e timme när collectorn är ansluten och frisk. Service maintenance omfattar större ändringar som OS- eller kärnuppgraderingar och kan kräva omstart. Ett önskat fönster varje vecka betyder inte att sådant underhåll sker varje vecka.

Öppna Maintenance på detaljsidan:

Välj veckodag och starttid i UTC under Maintenance Window. Kontrollera lokal tid inklusive sommartid separat.
Välj två till sex timmar. En period med låg last och tillgänglig driftpersonal är lämplig.
Spara med Submit Update och läs tillbaka fönstret som visas.
Kontrollera redan planerade arbeten separat under Logs > Upcoming. Senare ändring av önskat fönster flyttar dem inte.

Ett planerat underhåll kan skjutas upp en gång till följande vecka genom dess kryssruta och Defer Maintenance. Status som Pending, Download Ready, Upgrade Ready, Upgrade Running och Upgrade Running Rebooting visar förloppet. Kontrollera Complete eller Failed, tider och resultat under History. Om collectorn är ohälsosam eller onåbar vid den planerade tiden startar underhållet inte.

Före underhåll måste berörda källor samt deras buffring och omsändningsmekanismer vara kända. En omstart kan avbryta loggsändning. Inte heller TCP i sig garanterar att den sändande applikationen behåller och återsänder alla händelser; UDP innebär motsvarande risk för förlust. Kontrollera färska händelser och eventuella tidsluckor per källa efteråt. Sophos rekommenderar supportkontakt om collectorn inte kan nås inom 30 minuter efter en omstart.

Använd Admiral läsande till att börja med

Admiral är collectorns lokala textkonsol. Lokalt öppnas den via VM-konsolen. Öppna EC2-instansen i AWS och välj Actions > Monitor and troubleshoot > EC2 serial console > Connect; nödvändiga AWS-behörigheter måste vara godkända. I Azure finns Serial console under Help på VM-sidan, i GCP Connect to serial console i instansdetaljerna. Klarlägg inaktiverad åtkomst med molnansvarig i stället för att spontant lägga till behörigheter eller en ny fjärråtkomstväg.

Vid prompten visar help, Tab-komplettering och ? den syntax som faktiskt är tillgänglig. Ctrl-C ger en ny rad utan att köra ett påbörjat kommando. Följande dokumenterade show-kommandon läser enligt Sophos status utan att skapa nätverkstrafik:

show system info
show network
show routes
show date
show ntp status
show disk
show memory
show uptime

Jämför identitet, nätvärden, rutt, tid, lagring och resurser med förväntat tillstånd. Diagnostikutdata kan innehålla intern nätinformation och ska sparas rensade i driftdokumentationen.

run-kommandon kan däremot utföra åtgärder och skapa nätverksanslutningar. Riktad godkänd diagnostik omfattar exempelvis run dns check, run ntp check, run tunnel check och run e2e check. run dns check with verbose output ger utförligare DNS-diagnos. Detta ger inte tillstånd till alla åtgärder: run reboot och run shutdown schemalägger omstart respektive avstängning efter en minut. Kommandon i maintenance-menyn, exempelvis tjänsteomstarter, hör till ett överenskommet support- eller underhållsarbete, inte en läsande första diagnos.

Ändra konfiguration och förbered ny driftsättning

Actions > Edit Collector Configuration är bara tillgängligt för en körande frisk collector med Ready. Dokumentera befintliga värden, nödvändiga nätändringar, berörda källor och återdriftsättning innan sparande. Ett konfigurationsbyte kan göra collectorn onåbar.

Efter inskickning visar en banner den väntande ändringen; konfigureringen kan inte redigeras igen förrän den avslutats. Sophos testar anslutningen och försöker återställa den gamla konfigurationen vid fel. Även denna automatiska återställning kan misslyckas, exempelvis vid samtidiga nätändringar. Då kan ny driftsättning behövas. Bekräfta därför en lyckad banner även med status, källbevis och sökresultat.

Spara därefter uppdaterade installationsfiler via Actions > Download Collector Files. För molncollectors uppdateras också molnmallen eller Terraform-driftsättningen så att instansbyte inte återinför gammal konfiguration. För en redan körande lokal collector behöver den nya ISO-filen inte monteras igen; behåll den för framtida återdriftsättning.

Actions > Delete är ingen metod att undersöka ett offlineproblem. Före planerad avveckling ska källor ha flyttats, färska händelser verifierats på ersättaren samt återväg och retention klarlagts. Samla collector-/tenantidentitet, tidsperiod, källista, status och rensade Admiral-utdata för supporteskalering. Credentials, fullständiga konfigurationsfiler och onödiga personuppgifter i loggar hör inte hemma i offentliga ärenden.