Zum Inhalt
Klicken Sie hier für Support-Informationen zu MDR.

Darktrace

Protokollsammler

Sie benötigen das Integrations-Lizenz-Paket „Netzwerk“, um diese Funktion nutzen zu können.

Sie können Darktrace in Sophos Central integrieren, sodass Warnmeldungen an Sophos gesendet werden.

Diese Integration verwendet einen Protokollsammler auf einer virtuellen Maschine (VM). Der Protokollsammler empfängt Daten von Drittanbietern und sendet sie an den Sophos Data Lake.

Hinweis

Sie können mehrere Instanzen von Darktrace zu demselben Protokollsammler hinzufügen.

Richten Sie dazu Ihre Darktrace-Integration in Sophos Central ein und konfigurieren Sie dann eine Darktrace-Instanz, um Protokolle an sie zu senden. Konfigurieren Sie dann Ihre anderen Darktrace-Instanzen, um Protokolle an denselben Sophos Protokollsammler zu senden.

Sie müssen den Sophos Central-Abschnitt des Setups nicht wiederholen.

Die wichtigsten Schritte zum Hinzufügen einer Integration sind die Folgenden:

  • Fügen Sie eine Integration für dieses Produkt hinzu. Damit wird eine Open Virtual Appliance (OVA)-Datei konfiguriert.
  • Stellen Sie die OVA-Datei auf Ihrem ESXi-Server bereit. Dies wird zu Ihrem Protokollsammler.
  • Konfigurieren Sie Darktrace so, dass Daten an den Protokollsammler gesendet werden.

Eine neue Integration hinzufügen

Um die Integration hinzuzufügen, gehen Sie folgendermaßen vor:

  1. Melden Sie sich bei Sophos Central an.
  2. Gehen Sie zu Bedrohungsanalyse-Center > Integrationen.
  3. Klicken Sie auf Darktrace.

    Wenn Sie bereits Verbindungen zu Darktrace eingerichtet haben, sehen Sie diese hier.

  4. Klicken Sie unter Integrationen auf Integration hinzufügen.

    Hinweis

    Wenn dies die erste Integration ist, die Sie hinzugefügt haben, werden Sie zur Angabe von Details zu Ihren internen Domänen und IP-Adressen aufgefordert. Siehe Meine Domänen und IPs.

    Integrationsschritte wird angezeigt.

VM konfigurieren

In den Integrationsschritten konfigurieren Sie Ihre VM so, dass sie Daten von Darktrace empfängt. Sie können eine vorhandene VM verwenden oder eine neue erstellen.

Um die VM zu konfigurieren, gehen Sie wie folgt vor:

  1. Geben Sie einen Integrationsnamen und eine Beschreibung ein.
  2. Geben Sie den Namen der virtuellen Appliance und eine Beschreibung der virtuellen Appliance ein.
  3. Wählen Sie die virtuelle Plattform aus. (Derzeit unterstützen wir nur VMware).
  4. Geben Sie die internetseitigen Netzwerk-Ports an.

    • Wählen Sie DHCP, um die IP-Adresse automatisch zuzuweisen.

      Hinweis

      Wenn Sie DHCP auswählen, müssen Sie die IP-Adresse reservieren.

    • Wählen Sie Manuell, um die Netzwerkeinstellungen festzulegen.

    Sie benötigen die Adresse der VM später, wenn Sie Darktrace so konfigurieren, dass Daten an die VM gesendet werden.

  5. Wählen Sie ein Protokoll aus.

  6. Füllen Sie alle übrigen Felder im Formular aus.
  7. Klicken Sie auf Speichern.

    Wir erstellen die Integration und sie wird in Ihrer Liste angezeigt. Es kann einige Minuten dauern, bis die OVA-Datei bereit ist.

VM bereitstellen

Einschränkung

Die OVA-Datei wird von Sophos Central verifiziert und kann nur einmal verwendet werden. Nachdem Sie die VM bereitgestellt haben, können Sie die Datei nicht noch einmal verwenden.

Wenn Sie eine neue VM bereitstellen wollen, müssen Sie alle diese Schritte wiederholen, um diese Integration mit Sophos Central zu verbinden.

Verwenden Sie die OVA-Datei, um die VM bereitzustellen. Gehen Sie dazu wie folgt vor:

  1. Klicken Sie in der Liste der Integrationen unter Aktionen auf OVA herunterladen.
  2. Wenn der Download der OVA-Datei abgeschlossen ist, stellen Sie sie auf Ihrem ESXi-Server bereit. Ein Assistent führt Sie durch den Prozess. Siehe VM für Integrationen bereitstellen.

Wenn Sie die VM bereitgestellt haben, wird die Integration als Verbunden angezeigt.

Darktrace konfigurieren

Jetzt konfigurieren Sie Darktrace mit Hilfe der Syslog-Weiterleitung so, dass Alarme an uns gesendet werden.

Um die Alarm-Weiterleitung zu konfigurieren, gehen Sie wie folgt vor:

  1. Gehen Sie in Darktrace zu System Config > Alerting.
  2. Setzen Sie Advanced Options auf True.
  3. Setzen Sie CEF Syslog Alerts auf True.
  4. Verwenden Sie die Eingabetaste, um zusätzliche Felder zu öffnen. Wenn das nicht funktioniert, setzen Sie den Cursor in ein Feld und drücken Sie erneut die Eingabetaste.
  5. Geben Sie in CEF Syslog Server die IP-Adresse Ihres Syslog-Servers ein, und verwenden Sie die Eingabetaste.
  6. Geben Sie in CEF Syslog Server Portden Port für Ihren Listener ein und verwenden Sie erneut die Eingabetaste.
  7. Darktrace-Alarme hängen davon ab, wie Ereignisse bewertet werden. Um die an Sophos weitergeleiteten Warnmeldungen zu maximieren, stellen Sie sicher, dass Minimum Alert Priority und Score auf 1eingestellt sind.

Darktrace-Alarme sollten nach der Validierung im Sophos Data Lake angezeigt werden.