Darktrace DETECT

您可以將 Darktrace DETECT 與 Sophos Central 整合，以便將警示傳送到 Sophos。

此整合使用虛擬機 (VM) 上託管的記錄收集器。它們一起被稱為集成設備。設備接收協力廠商資料，並將資料傳送到 Sophos Data Lake。

關鍵步驟

集成的關鍵步驟如下：

• 新增此產品的整合。在此步驟中，您將創建設備的映像。
• 在 VM 上下載並部署映像。這將成為您的設備。
• 設定 Darktrace DETECT 以將資料傳送到設備。

需求

設備具有系統和網路存取要求。要檢查您是否滿足這些要求，請參閱 設備要求。

新增整合

若要新增整合，請依照以下步驟操作：

1. 在 Sophos Central 中，移至威脅分析中心 > 整合 > 市場。

2. 按一下 Darktrace。確保您按的是 Darktrace DETECT 卡，而不是 Darktrace Email 卡。

   Darktrace 頁面隨即打開。您可以在此處添加集成，並查看已添加的所有集成列表。

3. 在資料擷取（安全警示）中，按一下新增設定。

   注意

   如果這是您新增的第一個整合，我們可能會要求您提供內部網域和 IP 的詳細資料。請參閱提供您的域和IP詳細資訊。

   螢幕上將顯示整合設定步驟。

配置設備

在 集成設定步驟中，您可以配置新設備或使用現有設備。

我們假定您在此配置新設備。要執行此操作，請按以下步驟創建映像：

1. 輸入整合名稱和說明。
2. 按一下建立新設備。
3. 輸入設備的名稱和說明。
4. 選取虛擬平台。目前我們支援 VMware ESXi 6.7 Update 3 或更新版本以及 Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) 或更新版本。

5. 指定面向網際網路的網路連接埠的 IP 設定。這將為 VM 設定管理介面。

   • 選取 DHCP 可自動指派 IP 位址。

     注意

     如果選取 DHCP，則必須保留 IP 位址。

   • 選取手動以指定網路設定。

6. 選取 Syslog IP 版本並輸入 Syslog IP 位址。

   稍後設定 Darktrace DETECT 以向設備傳送資料時，您將需要該 syslog IP 位址。

7. 在通訊協定中，預先選取了 TCP。不能變更。

   當您設定 Darktrace DETECT 以傳送資料至設備時，您必須確保其使用相同的通訊協定。

8. 按一下儲存。

   我們會建立整合，整合會顯示在您的清單中。

   在整合詳細資料中，您可以看到設備的連接埠號。稍後設定 Darktrace DETECT 以向其傳送資料時，您將需要該編號。

   設備映像可能需要幾分鐘時間才能準備就緒。

部署設備

使用映像部署設備，如下所示：

1. 在整合清單的動作中，按一下適用於您的平台的下載動作，例如，若是 ESXi，則按一下下載 OVA。
2. 映像下載完成後，請將其部署在 VM 上。請參閱部署設備。

設定 Darktrace DETECT

現在，您可以將 Darktrace DETECT 設定為使用 syslog 轉寄功能向我們傳送警示。

要設定警示轉寄功能，請執行以下動作：

1. 登入 Darktrace DETECT。
2. 在 Threat Visualizer 中，移至管理員。
3. 在系統組態下，按一下模組。
4. 在模組頁面上，按一下工作流程整合。
5. 找到 Syslog 並按一下它。
6. 在 Syslog 頁面上，選取 Syslog CEF 索引標籤。

7. 按一下新建。

   此時將顯示 Syslog 組態設定。建議您在開啟傳送警示之前完成所有組態設定。

8. 在伺服器中，輸入設備的 IP 位址。

9. 在伺服器連接埠中，輸入設備偵聽的連接埠。

   您必須輸入新增整合時在 Sophos Central 中輸入的相同的 IP 位址和連接埠設定。

10. 開啟顯示進階選項。

    在第一部分中，開啟使用 TCP 傳送警示。

11. 開啟傳送 AI Analyst 警示。

12. 將最低 AI Analyst 事件分數和最低 AI Analyst 安全事件分數設定為 0。這將最大程度提高傳送至 Sophos 的警示。
13. 按一下新增。
14. 返回頁面頂部並按一下驗證警示傳送。這會傳送測試警示至您的設備。
15. 開啟傳送警示並儲存變更。

驗證後，Darktrace DETECT 警示會顯示在 Sophos Data Lake 中。