Zum Inhalt
Klicken Sie hier für Support-Informationen zu MDR.

Permalink für diese Seite

Verwenden Sie immer den folgenden Permalink, um auf diese Seite zu verweisen. Der Link bleibt auch in zukünftigen Versionen dieser Hilfe unverändert.

https://docs.sophos.com/central/customer/help/de-de/index.html?contextId=darktrace

Darktrace DETECT

Protokollsammler

Sie benötigen das Integrations-Lizenz-Paket „Netzwerk“, um diese Funktion nutzen zu können.

Sie können Darktrace DETECT in Sophos Central integrieren, sodass Warnmeldungen an Sophos gesendet werden.

Diese Integration verwendet einen auf einer virtuellen Maschine (VM) gehosteten Protokollsammler. Zusammen werden sie als Appliance bezeichnet. Die Appliance empfängt Daten von Drittanbietern und sendet sie an den Sophos Data Lake.

Hinweis

Sie können mehrere Instanzen von Darktrace DETECT zu derselben Appliance hinzufügen.

Richten Sie dazu Ihre Darktrace DETECT-Integration in Sophos Central ein und konfigurieren Sie dann eine Darktrace DETECT-Instanz, um Protokolle an sie zu senden. Konfigurieren Sie dann Ihre anderen Darktrace DETECT-Instanzen, um Protokolle an dieselbe Sophos-Appliance zu senden.

Sie müssen den Sophos Central-Abschnitt des Setups nicht wiederholen.

Die Hauptschritte:

  • Konfigurieren Sie eine Integration für dieses Produkt. Dadurch wird ein Image zur Verwendung auf einer VM konfiguriert.
  • Laden Sie das Image herunter und stellen Sie es auf Ihrer VM bereit. Dies wird zu Ihrer Appliance.
  • Konfigurieren Sie Darktrace DETECT so, dass Daten an die Appliance gesendet werden.

Voraussetzungen

Appliances haben System- und Netzwerkzugriffsanforderungen. Um zu überprüfen, ob Sie diese erfüllen, lesen Sie Appliance-Anforderungen.

Integration konfigurieren

Um die Integration zu konfigurieren, gehen Sie wie folgt vor:

  1. Gehen Sie in Sophos Central zu Bedrohungsanalyse-Center > Integrationen > Marketplace.

  2. Klicken Sie auf Darktrace. Achten Sie darauf, dass Sie auf die Karte für Darktrace DETECT klicken, nicht für Darktrace Email.

    Dies öffnet die Seite Darktace. Sie können hier Integrationen konfigurieren und eine Liste aller bereits konfigurierten Integrationen anzeigen.

  3. Klicken Sie unter Datenerfassung (Sicherheitsalarme) auf Konfiguration hinzufügen.

    Hinweis

    Wenn dies die erste Integration ist, die Sie hinzugefügt haben, werden Sie zur Angabe von Details zu Ihren internen Domänen und IP-Adressen aufgefordert. Siehe Meine Domänen und IPs.

    Integrations-Einrichtungsschritte wird angezeigt.

VM konfigurieren

In den Integrations-Einrichtungsschritten konfigurieren Sie Ihre VM als Appliance so, dass sie Daten von Darktrace DETECT empfängt. Sie können eine vorhandene VM verwenden oder eine neue erstellen.

Um die VM zu konfigurieren, gehen Sie wie folgt vor:

  1. Geben Sie einen Integrationsnamen und eine Beschreibung ein.

  2. Geben Sie einen Namen und eine Beschreibung für die Appliance ein.

    Wenn Sie bereits eine Sophos-Appliance eingerichtet haben, können Sie diese aus einer Liste auswählen.

  3. Wählen Sie die virtuelle Plattform aus. Derzeit unterstützen wir VMware ESXi 6.7 Update 3 und neuer sowie Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) und neuer.

  4. Legen Sie die IP-Einstellungen für die internetseitigen Netzwerk-Ports fest. Dadurch wird die Verwaltungsschnittstelle für die VM eingerichtet.

    • Wählen Sie DHCP, um die IP-Adresse automatisch zuzuweisen.

      Hinweis

      Wenn Sie DHCP auswählen, müssen Sie die IP-Adresse reservieren.

    • Wählen Sie Manuell, um die Netzwerkeinstellungen festzulegen.

  5. Wählen Sie die Syslog-IP-Version aus und geben Sie die Syslog-IP-Adresse ein.

    Sie benötigen diese Syslog-IP-Adresse später, wenn Sie Darktrace DETECT so konfigurieren, dass Daten an Ihre Appliance gesendet werden.

  6. Wählen Sie ein Protokoll aus.

    Sie müssen dasselbe Protokoll verwenden, wenn Sie Darktrace DETECT zum Senden von Daten an Ihre Appliance konfigurieren.

  7. Klicken Sie auf Speichern.

    Wir erstellen die Integration und sie wird in Ihrer Liste angezeigt.

    In den Integrationsdetails sehen Sie die Portnummer für die Appliance. Sie benötigen dies später, wenn Sie Darktrace DETECT so konfigurieren, dass Daten dorthin gesendet werden.

    Es kann einige Minuten dauern, bis das VM-Image bereit ist.

VM bereitstellen

Einschränkung

In ESXi wird die OVA-Datei von Sophos Central verifiziert und kann nur einmal verwendet werden. Wenn Sie eine weitere VM bereitstellen müssen, müssen Sie in Sophos Central noch eine OVA-Datei erstellen.

Verwenden Sie das VM-Image, um die VM bereitzustellen. Gehen Sie dazu wie folgt vor:

  1. Klicken Sie in der Liste der Integrationen unter Aktionen auf die Download-Aktion für Ihre Plattform, zum Beispiel OVA herunterladen für ESXi.
  2. Wenn der Download des Image abgeschlossen ist, stellen Sie es auf Ihrer VM bereit. Siehe VM für Integrationen bereitstellen.

Darktrace DETECT konfigurieren

Jetzt konfigurieren Sie Darktrace DETECT mit Hilfe der Syslog-Weiterleitung so, dass Alarme an uns gesendet werden.

Um die Alarm-Weiterleitung zu konfigurieren, gehen Sie wie folgt vor:

  1. Melden Sie sich bei Darktrace DETECT an.
  2. Gehen Sie im Threat Visualizer zu Admin.
  3. Klicken Sie unter System Configuration auf Modules.
  4. Klicken Sie auf der Seite Modules auf Workflow Integrations.
  5. Suchen Sie Syslog und klicken Sie darauf.
  6. Wählen Sie auf der Seite Syslog die Registerkarte Syslog CEF aus.

  7. Klicken Sie auf Neu.

    Die Syslog-Konfigurationseinstellungen werden angezeigt. Es wird empfohlen, dass Sie die gesamte Konfiguration vornehmen, bevor Sie Send Alerts aktivieren.

  8. Geben Sie unter Server die IP-Adresse Ihrer Appliance ein.

  9. Geben Sie unter Server Port den Port ein, den die Appliance abhört.

    Sie müssen die gleichen Einstellungen zu IP-Adresse und Port eingeben, die Sie in Sophos Central eingegeben haben, als Sie die Integration hinzugefügt haben.

  10. Aktivieren Sie AI Analyst Alerts senden.

  11. Legen Sie Minimum AI Analyst Incident Event Score und Minimum AI Analyst Incident Score auf 0 fest. Dadurch werden die an Sophos gesendeten Alarme maximiert.
  12. Klicken Sie auf Hinzufügen.
  13. Gehen Sie zurück zum Seitenanfang und klicken Sie auf Verify alert sending. Dadurch wird ein Test-Alarm an Ihr Gerät gesendet.
  14. Aktivieren Sie die Option Send Alerts und speichern Sie Ihre Änderungen.

Darktrace DETECT-Alarme werden nach der Validierung im Sophos Data Lake angezeigt.