Sophos Central content pack (контент багц)

← Контент багцууд

Sophos Central content pack

Sophos Central нь сүлжээ, endpoint, сервер, гар утас, имэйлийн аюулгүй байдлын олон үйлчилгээний хувьд төвлөрсөн удирдлага, аюул илрүүлэлт, бодлого мөрдүүлэлтийг хангадаг үүлэн суурьтай, нэгдсэн аюулгүй байдлын удирдлагын платформ юм. Энэ контент багц нь Sophos Central Endpoint Protection-ийн телеметр болон үйл явдлын мессежээс талбаруудыг гаргаж аван Security Data Lake-ийн схемд нийцүүлэн normalize хийнэ.

Дэмжигдэх хувилбарууд

Sophos Central нь байнга шинэчлэгддэг удирдлагатай үйлчилгээ тул хувилбарын дугааргүй. Энэ багцыг Sophos Central SIEM Integration v1 API-тай интеграцчилахаар бүтээж, туршсан. Мөн задлан шинжлэлт нь Windows endpoint-оос ирсэн Sophos Central үйл явдлуудад тулгуурласан. macOS зэрэг бусад үйлдлийн системийн үйл явдлыг дэмжиж магадгүй ч бүрэн туршаагүй.

Шаардлага

• Endpoint Protection бодлого идэвхжсэн клиент хостууд дээр суулгасан Sophos Endpoint agent
• Security Data Lake-ийн Sophos Central input-д зориулж үүсгэсэн Sophos Central API credentials

Юу багтсан бэ

• Sophos Central Endpoint Protection үйл явдлын логуудаас талбар гаргах, normalize хийх, баяжуулах (enrichment)
• Аюул илрүүлэлт болон өртсөн endpoint-уудыг хянах dashboard

Stream-ийн тохиргоо

Энэ technology pack нь нэг stream агуулна:

"Illuminate:Sophos Messages"

Index set-ийн тохиргоо

Энэ technology pack нь нэг index set тодорхойлолт агуулна:

"Sophos Device Log Messages"

Лог цуглуулах

Лог өгөгдлийг татахын тулд Security Data Lake дахь Sophos Central input-ийг Sophos Central SIEM Integration API-д аюулгүй хандахаар тохируулж болно.

Sophos Central input тохируулах

Security Data Lake нь Sophos Central-ийн логт API-аар хандахын тулд API credentials шаардлагатай:

1. 1
   Sophos Central Admin дотор API credentials үүсгэнэ. Оноосон дүр (role) нь унших эрхтэй, queries-д хандах боломжтой байх ёстой, жишээ нь Service Principal Super Admin. Дэлгэрэнгүйг Sophos Central баримтын API Credentials хэсгээс харна уу.
2. 2
   Үүссэн Client ID болон Client Secret-ийг хуулж аюулгүй газар хадгална.
3. 3
   Security Data Lake дотор Sophos Central input-ийг ажиллуулна. Асуувал өмнө авсан Sophos Client ID болон Secret-ийг оруулна.
4. 4
   Хүсвэл дараах input сонголтуудыг тохируулна:

   • Ingest Alerts: Үйл явдлаас гадна Sophos alert-уудыг ingest хийх эсэх.
   • Polling Interval: Input шинэ лог өгөгдөл хэдэн минут тутамд шалгах. Анхдагч утга болох 5 минутыг ашиглахыг зөвлөж байна.
   • Enable Throttling: Идэвхжүүлбэл систем мессеж боловсруулалтаараа хоцорч, гүйцэх шаардлагатай үед энэ input шинэ өгөгдөл унших ажиллагаагаа зогсооно.
5. 5
   Input-ийн тохиргоог хадгална.
6. 6
   Input автоматаар эхлээгүй бол Start Input сонгож, тохируулсан Sophos Central сервертэй холбогдон мессеж татах, боловсруулах ажиллагааг эхлүүлнэ.

Лог форматын жишээ

{"type":"Event::Endpoint::CoreDetection","origin":"SAV","created_at":"2025-01-24T11:32:22.544Z","source_info":{"ip":"192.168.40.176"},"customer_id":"aabbccdd-1234-5678-abcd-ef1234567890","severity":"medium","endpoint_id":"10a1a0aa-aa10-10aa-1010-a01a1aaa01a0","endpoint_type":"computer","user_id":"671565c8eeddce2b21c52a24","threat":"Mal/Kryptik-DL","when":"2025-01-24T11:32:11.870Z","appSha256":"43670ae43df9e361fa15f09f611da32db104ee207ed5af3e7e7f098ad82a68e0","source":"DESKTOP-JDVP7LN\Test234","location":"DESKTOP-JDVP7LN","id":"cc29ad5d-3e42-20da-8790-03f87f291fa6","group":"MALWARE","name":"Malware detected: 'Mal/Kryptik-DL' at 'C:\Users\Test234\Downloads\43670ae43df9e361fa15f09f611da32db104ee207ed5af3e7e7f098ad82a68e0'"}

Боловсруулагдах үйл явдлын бүлгүүд

Жагсаалтад ороогүй үйл явдлын бүлгийн логуудад ерөнхий (generic) боловсруулалт хийгдэнэ:

• APPLICATION_CONTROL
• DATA_LOSS_PREVENTION
• DENC
• MALWARE
• PERIPHERALS
• PROTECTION
• PUA
• SYSTEM_HEALTH
• UPDATING
• WEB

Sophos Central Spotlight content pack

Spotlight контент багц нь Overview болон Threat Events tab-уудыг өгнө.