Malwarebytes Endpoint Protection

記錄收集器

您可以將 Malwarebytes Endpoint Protection 與 Sophos Central 整合，以便其將資料傳送到 Sophos 進行分析。

此整合使用虛擬機 (VM) 上託管的記錄收集器。它們一起被稱為設備。設備接收協力廠商資料，並將資料傳送到 Sophos Data Lake。

主要步驟描述如下：

• 設定此產品的整合。這將設定要在 VM 上使用的映像。
• 在 VM 上下載並部署映像。這將成為您的設備。
• 設定 Malwarebytes Endpoint Protection 以將資料傳送到設備。

需求

設備具有系統和網路存取要求。要檢查您是否滿足這些要求，請參閱 設備要求。

設定整合

若要將 Endpoint Protection 整合到 Sophos Central，請依照以下步驟操作：

1. 在 Sophos Central 中，移至威脅分析中心 > 整合 > 市場。

2. 按一下 Malwarebytes Endpoint Protection。

   Malwarebytes Endpoint Protection 頁面隨即打開。您可以在此處設定整合並查看已設定的所有整合清單。

3. 在資料擷取（安全警示）中，按一下新增設定。

   注意

   如果這是您新增的第一個整合，我們可能會要求您提供內部網域和 IP 的詳細資料。請參閱我的網域和 IP。

   螢幕上將顯示整合步驟。

設定 VM

在整合設定步驟中，您可以將 VM 設定為設備以從 Endpoint Protection 接收資料。您可以使用現有的 VM，也可以建立新的 VM。

要設定 VM，請執行以下動作：

1. 為新整合新增名稱和說明。

2. 輸入設備的名稱和說明。

   如果您已經設定了 Sophos 設備，可以從清單中選擇它。

3. 選取虛擬平台。目前我們支援 VMware ESXi 6.7 Update 3 或更新版本以及 Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) 或更新版本。

4. 指定面向網際網路的網路連接埠的 IP 設定。這將為 VM 設定管理介面。

   • 選取 DHCP 可自動指派 IP 位址。

     注意

     如果選取 DHCP，則必須保留 IP 位址。

   • 選取手動以指定網路設定。

5. 選取 Syslog IP 版本並輸入 Syslog IP 位址。

   稍後設定 Endpoint Protection 以向設備傳送資料時，您將需要該 syslog IP 位址。

6. 選取一項通訊協定。

   設定 Endpoint Protection 以向設備傳送資料時，必須使用相同的通訊協定。

7. 按一下儲存。

   我們會建立整合，整合會顯示在您的清單中。

   在整合詳細資料中，您可以看到設備的連接埠號。稍後設定 Endpoint Protection 以向其傳送資料時，您將需要該編號。

   VM 映像可能需要幾分鐘的時間才能準備就緒。

部署虛擬機

使用 VM 映像部署 VM。若要執行此操作，請依照以下步驟操作。

1. 在整合清單的動作中，按一下適用於您的平台的下載動作，例如，若是 ESXi，則按一下下載 OVA。
2. 映像下載完成後，請將其部署在 VM 上。請參閱部署 VM 進行整合。

設定 Endpoint Protection

Endpoint Protection 取得事件資料並轉寄資料的方式如下：

• 端點會將威脅偵測、隔離及其他事件報告給 Malwarebytes Endpoint Protection。
• Malwarebytes syslog Communicator 端點會從 Malwarebytes Endpoint Protection 擷取事件。
• 通訊端點以 CEF 格式將事件轉寄到 syslog 伺服器。

您的設備可充當 Syslog 伺服器。

操作前準備事項

您需要以下：

• 下列其中一個 Malwarebytes Endpoint Protection 平台產品的有效訂閱或試用：

  • Malwarebytes Endpoint Detection and Response
  • Malwarebytes Endpoint Protection
  • Malwarebytes Incident Response

• 設備的 IP 位址。

• 您的其中一個 Malwarebytes syslog 通訊端點與 SIEM 或 syslog 伺服器之間的網路存取。預設情況下使用連接埠 514 上的 TCP。

設定

1. 移至設定 > Syslog 記錄。
2. 按一下新增 > Syslog 設定。

3. 填寫有關設備的下列資訊：

   • IP 位址/主機：虛擬機的 IP 位址或主機名稱。
   • 連接埠：虛擬機上的連接埠。

   • 通訊協定：選擇 TCP 或 UDP 通訊協定。

     新增整合時，必須輸入在 Sophos Central 中輸入的相同設定。

   • 嚴重性: 從清單中選擇嚴重性。這將確定所有傳送到 syslog 的 Malwarebytes 事件的嚴重性。

   • 通訊間隔：確定通訊端點從 Malwarebytes 伺服器收集 syslog 資料的頻率（單位：分鐘）。

   如果端點無法連線 Malwarebytes，它將緩衝過去 24 小時的資料。24 小時之前的資料不會傳送。

4. 按一下儲存。

5. 移至端點。
6. 按一下虛擬機。

在代理程式資訊區段中，您會看到 SIEM 版本號碼。這可確認端點上的 SIEM 外掛程式為使用中。

現在，端點會將資料傳送至您的設備。驗證後，它應顯示在 Sophos Data Lake 中。

變更 syslog 設定

如需變更設備，請依照以下動作操作：

1. 移至設定 > Syslog 記錄。
2. 按一下移除以降階虛擬機。
3. 按一下新增以升階新虛擬機。請參閱設定區段中的步驟。

您可以使用開/關切換來暫時降階通訊端點。對 syslog 設定進行疑難排解時，暫時降階通訊端點非常有用。