Datensammler-Anforderungen

Wenn Ihre Integrationen einen Datensammler verwenden, muss die VM, auf der dieser ausgeführt wird, diese Anforderungen erfüllen.

Die Anforderungen gelten für Sophos NDR und die Integration von Protokollsammlern von Drittanbietern. Hierzu zählen:

• Mindestanforderungen
• CPU-Anforderungen
• VM-Dimensionierung
• Port- und Domänenausschlüsse

Mindestanforderungen

Die Mindestsystemanforderungen sind auf allen Plattformen gleich.

Unter VMware ist unser OVA-Image vorkonfiguriert, um die Mindestanforderungen für die Integration von Sophos NDR und Protokollsammlern zu erfüllen.

Es gelten folgende Anforderungen:

• 4 CPUs
• 16 GB RAM
• 160 GB Speicher

Der Datensammler benötigt außerdem spezielle CPU-Mikroarchitekturen. Siehe CPU-Anforderungen.

Möglicherweise müssen Sie die Dimensionierung der VM ändern, wenn Ihr Datensammler große Datenmengen verarbeitet oder mehrere Integrationen ausführt. Siehe VM-Dimensionierung.

CPU-Anforderungen

Das System, auf dem die VM ausgeführt wird, muss eine der unten dargestellten CPU-Mikroarchitekturen verwenden.

Wenn Sie über Sophos NDR verfügen, müssen Sie außerdem sicherstellen, dass die folgenden CPU-Flags gesetzt sind:

• pdpe1gb: Die Paketerfassungstechnologie benötigt dies.
• avx2: Die Machine-Learning-Funktionen von Sophos benötigen dies.

Beide Flags sind in den hier gezeigten Intel- und AMD-CPUs verfügbar.

Intel-CPUs

Um Ihnen die Identifizierung von CPUs zu erleichtern, sind die CPU-Benennungskonventionen von Intel unten aufgeführt.

VMware EVC-Modus

Wenn sich Ihre Appliance auf einem VMware ESXi-Host befindet, der in einem EVC-Cluster (Enhanced vMotion Compatibility) ausgeführt wird, müssen Sie sicherstellen, dass Sie Folgendes ausgewählt haben:

• Skylake oder spätere CPU
• VMware-Hardwareversion 11 oder höher

AMD-CPUs

Um Ihnen die Identifizierung von CPUs zu erleichtern, sind die CPU-Benennungskonventionen von AMD unten aufgeführt.

VM-Dimensionierung

Die Richtlinien zur VM-Dimensionierung hängen davon ab, ob Sie Sophos NDR, Integrationen von Protokollsammlern oder beides auf der VM haben.

Nur Sophos NDR

Möglicherweise müssen Sie die VM konfigurieren, um sicherzustellen, dass die virtuelle Sophos NDR-Appliance die beste Performance und die geringsten Auswirkungen auf das Netzwerk bietet.

Hier finden Sie unsere Empfehlungen, die auf Ihrem Netzwerkverkehr basieren.

Wenn Ihre Netzwerkstatistiken höher sind als die der Konfiguration mit hohem Datenverkehr, stellen Sie mehrere VMs im gesamten Netzwerk bereit.

Die oben genannten Empfehlungen sind nur für eine VM mit Sophos NDR vorgesehen. Wenn Protokollsammler-Integrationen unter hoher Last ausgeführt werden, müssen Sie möglicherweise weitere virtuelle CPUs hinzufügen. Siehe Sophos NDR und Integrationen von Protokollsammlern.

Nur Protokollsammler-Integrationen

Sie müssen die Dimensionierung einer VM normalerweise nicht ändern, wenn Sie eine Integration mit einem einzelnen Protokollsammler ausführen. Die Standardeinstellungen sind ausreichend.

Sie müssen jedoch möglicherweise Einstellungen ändern oder weitere VMs hinzufügen, wenn Sie mehrere Integrationen haben oder eine große Anzahl von Ereignissen an Ihre Protokollsammler gesendet wird.

Speicher

Sie benötigen bis zu 400 MB Speicher für jede Integration.

Sie können bis zu vier Integrationen je Protokollsammler ausführen. Der standardmäßige maximale Speicher für den Protokollsammler-Container ist 2 GB.

Wenn Sie mehr Integrationen ausführen möchten, erhöhen Sie den maximalen Speicher. Bearbeiten Sie dazu die SYSLOG-Port-Einstellungen in der Datensammler-Konsole. Siehe SYSLOG-Netzwerk-Port.

Ereignis-Volumen

Die VM kann maximal 8.000 Ereignisse pro Sekunde annehmen. Dies gilt unabhängig davon, wie viele Integrationen Sie auf der VM haben.

Wenn Sie mehrere Integrationen haben und glauben, dass Sie diese Grenze überschreiten werden, stellen Sie mehrere VMs bereit.

Wenn die Integration eines einzelnen Protokollsammlers den Grenzwert überschreitet, verwenden Sie die Syslog-Einstellungen auf dem Quellgerät, um die Anzahl der Ereignisse zu reduzieren.

Sophos NDR und Integrationen von Protokollsammlern

Wenn Sie Sophos NDR und Integrationen von Protokollsammlern auf derselben VM haben, gibt es keine universelle Lösung für die Dimensionierung. Wir empfehlen Ihnen, mit der NDR-Dimensionierung zu beginnen und dann zu überlegen, was die Integrationen von Protokollsammlern erfordern.

Hier sind einige Faktoren, die Ihre Dimensionierung beeinflussen können:

• NDR kann CPUs übernehmen und die Priorität festlegen, die anderen Integrationen zugewiesen wird, die sie verwenden. Wenn Sie 4 CPUs haben, übernimmt NDR 2. Wenn Sie 8 CPUs haben, übernimmt NDR 3.
• Selbst wenn NDR eine CPU übernimmt, können andere Integrationen sie weiterhin nutzen und beeinflussen, wie viel Datenverkehr NDR verarbeiten kann.
• Wenn Sie über 16 GB Speicher verfügen, lassen wir nicht zu, dass die Protokollsammler-Integration mehr als 2 GB verwendet. Dadurch wird sichergestellt, dass NDR genug Speicher zur Verfügung steht.
• Wenn eine Protokollsammler-Integration die maximale Anzahl von Ereignissen verarbeitet, verwendet sie unter einer mäßig hohen Last dieselbe Verarbeitungsleistung wie Sophos NDR. Dabei wird davon ausgegangen, dass die VM über die standardmäßigen 4 CPUs verfügt.

Port- und Domänenausschlüsse

Stellen Sie sicher, dass die unten aufgeführten Ports und Domänen von Ihrer Firewall zugelassen werden. Dadurch kann die Sophos Virtual Appliance gestartet und Aktualisierungen können heruntergeladen werden.