Integrazione di Vectra AI

Per utilizzare questa funzionalità, occorre un pacchetto di licenza per l’integrazione “Rete”.

Vectra AI può essere integrato con Sophos Central per l’invio di avvisi a Sophos.

Questa integrazione utilizza un agente di raccolta log ospitato su una virtual machine (VM). Insieme, vengono chiamati “appliance di integrazione”. L’appliance riceve dati da prodotti di terze parti e li invia al Sophos Data Lake.

In questa pagina viene descritta l’integrazione mediante un’appliance su ESXi o Hyper-V. Se si desidera eseguire l’integrazione utilizzando un’appliance su AWS, vedere Aggiunta di integrazioni in AWS.

Passaggi principali

I passaggi principali in un’integrazione sono i seguenti:

Aggiungere un’integrazione per questo prodotto. In questo passaggio viene creata un’immagine dell’appliance.
Scaricare e distribuire l’immagine sulla propria VM. Questa diventa l’appliance.
Configurare Vectra AI in modo che invii dati all’appliance.

Requisiti

Le appliance hanno requisiti specifici per l’accesso al sistema e alla rete. Per verificare che siano soddisfatti, vedere Requisiti dell’appliance.

Aggiunta di un’integrazione

Per aggiungere l’integrazione, procedere come segue:

In Sophos Central, selezionare Centro di analisi delle minacce > Integrazioni > Marketplace.
Cliccare su Vectra AI.

Si aprirà la pagina Vectra AI. Qui è possibile aggiungere integrazioni e visualizzare un elenco delle integrazioni che sono già state aggiunte.
In Inserimento dei dati (Avvisi di sicurezza), cliccare su Aggiungi configurazione.

Nota

Se questa è la prima integrazione aggiunta, chiederemo dei dettagli sui domini e sugli IP interni. Vedere Immissione dei dettagli di dominio e IP.

Verranno visualizzati i Passaggi di configurazione dell’integrazione.

Configurazione dell’appliance

In Passaggi di configurazione dell’integrazione, è possibile configurare una nuova appliance o utilizzarne una esistente.

In queste istruzioni si presuppone che si stia configurando una nuova appliance. Per farlo, creare un’immagine procedendo come segue:

Immettere un nome e una descrizione per l’integrazione.
Cliccare su Crea nuova appliance.
Inserire un nome e una descrizione per l’appliance.
Selezionare la piattaforma virtuale. Attualmente supportiamo VMware ESXi 6.7 Update 3 o versione successiva e Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) o versione successiva.
Specificare le impostazioni dell’IP per le Porte di rete con connessione Internet. Verrà così configurata l’interfaccia di gestione per l’appliance.
- Selezionare DHCP per assegnare automaticamente l’indirizzo IP.
  
  Nota
  
  Se si seleziona DHCP, occorrerà riservare l’indirizzo IP.
- Selezionare Manuale per specificare le impostazioni di rete.
Selezionare la Versione dell’IP del syslog e immettere l’indirizzo IP del syslog.

L’indirizzo IP del syslog sarà necessario in un secondo momento, durante la configurazione di Vectra AI per l’invio dei dati all’appliance.
In Protocollo, TCP è preselezionato. Non potrà essere modificato.

Quando si configura Vectra AI per l’invio dei dati all’appliance, è necessario assicurarsi che utilizzi lo stesso protocollo.
Cliccare su Salva.

L’integrazione verrà creata e visualizzata nell’elenco.

Nei dettagli dell’integrazione, verrà visualizzato il numero di porta per l’appliance. Sarà necessario in un secondo momento, durante la configurazione di Vectra AI per l’invio dei dati a quell’agente di raccolta dati.

Potrebbero trascorrere alcuni minuti prima che l’immagine dell’appliance sia pronta.

Distribuzione dell’appliance

Restrizione

Per ESXi, il file OVA viene verificato con Sophos Central, quindi può essere utilizzato una sola volta. Se si deve distribuire un’altra VM, occorrerà ricreare il file OVA in Sophos Central.

Utilizzare l’immagine per distribuire l’appliance, procedendo come segue:

Nell’elenco delle integrazioni, sotto Azioni, cliccare sull’azione di download corrispondente alla propria piattaforma, ad esempio Scarica OVA per ESXi.
Al termine del download dell’immagine, distribuirla sulla propria VM. Vedere Distribuzione delle appliance.

Configurazione di Vectra AI

È ora possibile configurare Vectra AI utilizzando l’inoltro di syslog, in modo che invii avvisi a Sophos.

Nota

È possibile configurare più istanze di Vectra AI per l’invio di dati a Sophos attraverso la stessa appliance. Una volta completata l’integrazione, ripetere i passaggi descritti in questa sezione per le altre istanze di Vectra AI. Non è necessario ripetere i passaggi in Sophos Central.

Per configurare l’inoltro degli avvisi, procedere come segue:

Accedere all’interfaccia utente web della piattaforma Vectra (Brain) con un ID di amministrazione.
Selezionare Settings (Impostazioni) > Notification (Notifica).
Scorrere fino alla sezione Syslog.
Cliccare sull’icona di modifica ✎ per aggiungere la destinazione Syslog.
1. Destination (destinazione): inserire l’indirizzo IP del server syslog remoto, che è l’appliance Sophos. Utilizzare lo stesso indirizzo IP specificato in Sophos Central.
2. PORT (PORTA): inserire il numero di porta sulla quale l’appliance è in ascolto. Utilizzare la stessa porta specificata in Sophos Central.
3. PROTOCOL (PROTOCOLLO): selezionare TCP.
4. FORMAT (FORMATO): selezionare CEF.
5. LOG TYPES (TIPI DI LOG): selezionare Account Detections (Rilevamenti degli account) e *Host Detections* (Rilevamenti degli host).
Cliccare su Save (Salva).
Cliccare su Test per verificare che l’inoltro funzioni correttamente.

Se il test ha esito positivo, verrà visualizzato un messaggio simile al seguente:

Maggiori informazioni

Guida ai Syslog di Vectra