Appliance-Anforderungen

Wenn Ihre Integrationen eine Appliance verwenden, muss die VM, auf der dieser ausgeführt wird, diese Anforderungen erfüllen.

Die Anforderungen gelten für Sophos NDR und die Integration von Protokollsammlern von Drittanbietern. Hierzu zählen:

• Unterstützte Plattformen
• Mindestsystemanforderungen
• CPU-Anforderungen
• VM-Dimensionierung
• Port- und Domänenausschlüsse

Unterstützte Plattformen

Sie können die Appliance auf VMware ESXi oder Microsoft Hyper-V ausführen.

Voraussetzungen für VMware ESXi

Wenn Sie VMware ESXi verwenden, gelten folgende Anforderungen:

• VMware ESXi 6.7 Update 3 oder höher
• VM-Hardwareversion 11 oder höher

VMware Cloud-Bereitstellungen werden nicht unterstützt.

Wir unterstützen VMware Enhanced vMotion Compatibility (EVC)-Modi, wenn Sie die CPU-Anforderungen erfüllen. Siehe CPU-Voraussetzungen.

Um Ihre Version von VMware ESXi zu überprüfen, lesen Sie diese Artikel:

• Ermitteln der Build-Nummer von VMware ESX/ESXi und VMware vCenter Server
• Build-Nummern und -Versionen von VMware ESXi/ESX

Voraussetzungen für Microsoft Hyper-V

Wenn Sie Microsoft Hyper-V verwenden, gelten folgende Anforderungen:

• Hyper-V-Version 6.0.6001.18016 (Windows Server 2016) oder höher

Der Prozessor-Kompatibilitätsmodus wird nicht unterstützt.

Informationen zum Überprüfen Ihrer Version von Microsoft Hyper-V finden Sie unter Identifizieren Ihrer Hyper-V-Version.

Mindestsystemanforderungen

Die Mindestsystemanforderungen sind auf allen Plattformen gleich.

Unter VMware ist unser OVA-Image vorkonfiguriert, um die Mindestanforderungen für die Integration von Sophos NDR und Protokollsammlern zu erfüllen.

Es gelten folgende Anforderungen:

• 4 CPUs
• 16 GB RAM
• 160 GB Speicher

Die Appliance benötigt außerdem spezielle CPU-Mikroarchitekturen. Siehe CPU-Voraussetzungen.

Möglicherweise müssen Sie die Dimensionierung der VM ändern, wenn Ihre Appliance große Datenmengen verarbeitet oder mehrere Integrationen ausführt. Siehe VM-Dimensionierung.

CPU-Voraussetzungen

Das System, auf dem die VM ausgeführt wird, muss eine der unten dargestellten CPU-Mikroarchitekturen verwenden.

Wenn Sie über Sophos NDR verfügen, müssen Sie außerdem sicherstellen, dass die folgenden CPU-Flags gesetzt sind:

• pdpe1gb: Die Paketerfassungstechnologie benötigt dies.
• avx2: Die Machine-Learning-Funktionen von Sophos benötigen dies.

Beide Flags sind in den hier gezeigten Intel- und AMD-CPUs verfügbar, wie in der Tabelle unten gezeigt.

NDR kann auch auf VMs mit aktuelleren CPUs wie Intel Core i5 ausgeführt werden, solange die CPU-Flags gesetzt sind. Jede CPU, die seit Q1'15 gestartet wurde, sollte funktionieren.

Intel-CPUs

Um Ihnen die Identifizierung von CPUs zu erleichtern, sind die CPU-Benennungskonventionen von Intel unten aufgeführt.

VMware EVC-Modus

Wenn sich Ihre Appliance auf einem VMware ESXi-Host befindet, der in einem EVC-Cluster (Enhanced vMotion Compatibility) ausgeführt wird, müssen Sie sicherstellen, dass Sie Folgendes ausgewählt haben:

• Skylake oder spätere CPU
• VMware-Hardwareversion 11 oder höher

AMD-CPUs

Um Ihnen die Identifizierung von CPUs zu erleichtern, sind die CPU-Benennungskonventionen von AMD unten aufgeführt.

VM-Dimensionierung

Die Richtlinien zur VM-Dimensionierung hängen davon ab, ob Sie Sophos NDR, Integrationen von Protokollsammlern oder beides auf der VM haben.

Nur Sophos NDR

Möglicherweise müssen Sie die VM konfigurieren, um sicherzustellen, dass die virtuelle Sophos NDR-Appliance die beste Performance und die geringsten Auswirkungen auf das Netzwerk bietet.

Hier finden Sie unsere Empfehlungen, die auf Ihrem Netzwerkverkehr basieren.

Wenn Ihre Netzwerkstatistiken höher sind als die der Konfiguration mit hohem Datenverkehr, stellen Sie mehrere VMs im gesamten Netzwerk bereit.

Die oben genannten Empfehlungen sind nur für eine VM mit Sophos NDR vorgesehen. Wenn Protokollsammler-Integrationen unter hoher Last ausgeführt werden, müssen Sie möglicherweise weitere virtuelle CPUs hinzufügen. Siehe Sophos NDR und Integrationen von Protokollsammlern.

Nur Protokollsammler-Integrationen

Sie müssen die Dimensionierung einer VM normalerweise nicht ändern, wenn Sie eine Integration mit einem einzelnen Protokollsammler ausführen. Die Standardeinstellungen sind ausreichend.

Sie müssen jedoch möglicherweise Einstellungen ändern oder weitere VMs hinzufügen, wenn Sie mehrere Integrationen haben oder eine große Anzahl von Ereignissen an Ihre Protokollsammler gesendet wird.

Speicher

Sie benötigen bis zu 400 MB Speicher für jede Integration.

Sie können bis zu vier Integrationen je Protokollsammler ausführen. Der standardmäßige maximale Speicher für den Protokollsammler-Container ist 2 GB.

Wenn Sie mehr Integrationen ausführen möchten, erhöhen Sie den maximalen Speicher. Bearbeiten Sie dazu das SYSLOG-Speicherlimit in der Appliance-Konsole. Siehe Syslog-Speicherlimit.

Ereignis-Volumen

Die VM kann maximal 8.000 Ereignisse pro Sekunde annehmen. Dies gilt unabhängig davon, wie viele Integrationen Sie auf der VM haben.

Wenn Sie mehrere Integrationen haben und glauben, dass Sie diese Grenze überschreiten werden, stellen Sie mehrere VMs bereit.

Wenn die Integration eines einzelnen Protokollsammlers den Grenzwert überschreitet, verwenden Sie die Syslog-Einstellungen auf dem Quellgerät, um die Anzahl der Ereignisse zu reduzieren.

Sophos NDR und Integrationen von Protokollsammlern

Wenn Sie Sophos NDR und Integrationen von Protokollsammlern auf derselben VM haben, gibt es keine universelle Lösung für die Dimensionierung. Wir empfehlen Ihnen, mit der NDR-Dimensionierung zu beginnen und dann zu überlegen, was die Integrationen von Protokollsammlern erfordern.

Hier sind einige Faktoren, die Ihre Dimensionierung beeinflussen können:

• NDR kann CPUs übernehmen und die Priorität festlegen, die anderen Integrationen zugewiesen wird, die sie verwenden. Wenn Sie 4 CPUs haben, übernimmt NDR 2. Wenn Sie 8 CPUs haben, übernimmt NDR 3.
• Selbst wenn NDR eine CPU übernimmt, können andere Integrationen sie weiterhin nutzen und beeinflussen, wie viel Datenverkehr NDR verarbeiten kann.
• Wenn Sie über 16 GB Speicher verfügen, lassen wir nicht zu, dass die Protokollsammler-Integration mehr als 2 GB verwendet. Dadurch wird sichergestellt, dass NDR genug Speicher zur Verfügung steht.
• Wenn eine Protokollsammler-Integration die maximale Anzahl von Ereignissen verarbeitet, verwendet sie unter einer mäßig hohen Last dieselbe Verarbeitungsleistung wie Sophos NDR. Dabei wird davon ausgegangen, dass die VM über die standardmäßigen 4 CPUs verfügt.

Port- und Domänenausschlüsse

Stellen Sie sicher, dass die unten aufgeführten Ports und Domänen von Ihrer Firewall zugelassen werden. Dadurch kann die Sophos Virtual Appliance gestartet und Aktualisierungen können heruntergeladen werden.

Die Domänen, die Sie zulassen müssen, hängen davon ab, ob Ihre Firewall Platzhalter unterstützt.