跳至內容
查找我們如何支持MDR

Malwarebytes Endpoint Protection

記錄收集器

此功能可能尚未針對所有客戶提供。

您可以將 Malwarebytes Endpoint Protection 與 Sophos Central 整合,以便其將資料傳送到 Sophos 進行分析。

此整合使用虛擬機 (VM) 上的記錄收集器。記錄收集器接收協力廠商資料,並將資料傳送到 Sophos Data Lake。

注意

您可以將多個 Malwarebytes Endpoint Protection 執行個體新增到同一個記錄收集器。

為此,請在 Sophos Central 中設定 Malwarebytes Endpoint Protection 整合,然後設定一個執行個體以向其傳送記錄。然後設定其他 Malwarebytes Endpoint Protection 執行個體,將記錄傳送到同一 Sophos 記錄收集器。

您不需要重複設定的 Sophos Central 部分。

新增整合的主要步驟如下:

  • 新增此產品的整合。這將設定開放式虛擬設備 (OVA) 檔案。
  • 將 OVA 檔案部署至 ESXi 伺服器。這會成為您的記錄收集器。
  • 設定 Malwarebytes Endpoint Protection 以將資料傳送到記錄收集器。

新增整合

若要將 Endpoint Protection 整合到 Sophos Central,請依照以下步驟操作:

  1. 在 Sophos Central 中,移至威脅分析中心,然後按一下整合
  2. 按一下 Malwarebytes Endpoint Protection

    如果您已設定與 Endpoint Protection 的連線,您可以在這裡看到這些連線。

  3. 按一下新增整合

    注意

    如果這是您新增的第一個整合,我們可能會要求您提供內部網域和 IP 的詳細資料。請參閱我的網域和 IP

    螢幕上將顯示整合步驟

設定 VM

整合步驟中,您可以設定 VM 以從 Endpoint Protection 接收資料。您可以使用現有的 VM,也可以建立新的 VM。

要設定 VM,請執行以下動作:

  1. 為新整合新增名稱和說明。
  2. 輸入 VM 的名稱和說明。
  3. 選取虛擬平台。(目前我們僅支援 VMware)。
  4. 指定面向網際網路的網路連接埠。

    • 選取 DHCP 可自動指派 IP 位址。

      注意

      如果選取 DHCP,則必須保留 IP 位址。

    • 選取手動以指定網路設定。

    稍後設定 Endpoint Protection 以向其傳送資料時,您將需要 VM 的位址。

  5. 選取一項通訊協定

  6. 填寫表單上的所有剩餘欄位。
  7. 按一下儲存

    我們會建立整合,整合會顯示在您的清單中。OVA 檔案可能需要幾分鐘的時間才能下載。

部署虛擬機

限制

OVA 檔案透過 Sophos Central 驗證,因此只能使用一次。部署之後,將無法再使用。

如果必須部署新的 VM,則必須再次執行所有步驟,將此整合連結到 Sophos Central。

使用 OVA 檔案部署 VM。若要執行此操作,請依照以下步驟操作。

  1. 在整合清單的動作中,按一下下載 OVA
  2. OVA 檔案下載完成後,請將其部署在 ESXi 伺服器上。助理將引導您完成所有步驟。請參閱部署 VM 進行整合

部署 VM 後,整合將顯示為已連線

設定 Endpoint Protection

Endpoint Protection 取得事件資料並轉寄資料的方式如下:

  • 端點會將威脅偵測、隔離及其他事件報告給 Malwarebytes Endpoint Protection。
  • Malwarebytes syslog Communicator 端點會從 Malwarebytes Endpoint Protection 擷取事件。
  • 通訊端點以 CEF 格式將事件轉寄到 syslog 伺服器。

記錄收集器充當 syslog 伺服器。

操作前準備事項

您需要以下:

  • 下列其中一個 Malwarebytes Endpoint Protection 平台產品的有效訂閱或試用:
    • Malwarebytes Endpoint Detection and Response
    • Malwarebytes Endpoint Protection
    • Malwarebytes Incident Response
  • 虛擬機的 IP 位址。
  • 您的其中一個 Malwarebytes syslog 通訊端點與 SIEM 或 syslog 伺服器之間的網路存取。預設情況下使用連接埠 514 上的 TCP。

設定

  1. 移至設定 > Syslog 記錄
  2. 按一下新增 > Syslog 設定
  3. 填寫有關虛擬機的下列資訊:

    • IP 位址/主機:虛擬機的 IP 位址或主機名稱。
    • 連接埠:虛擬機上的連接埠。
    • 通訊協定:選擇 TCP 或 UDP 通訊協定。
    • 嚴重性: 從清單中選擇嚴重性。這將確定所有傳送到 syslog 的 Malwarebytes 事件的嚴重性。
    • 通訊間隔:確定通訊端點從 Malwarebytes 伺服器收集 syslog 資料的頻率(單位:分鐘)。

    如果端點無法連線 Malwarebytes,它將緩衝過去 24 小時的資料。24 小時之前的資料不會傳送。

  4. 按一下儲存

  5. 移至端點
  6. 按一下虛擬機。

代理程式資訊區段中,您會看到 SIEM 版本號碼。這可確認端點上的 SIEM 外掛程式為使用中。

現在,端點會將資料傳送至您的記錄收集器。驗證後,它應顯示在 Sophos Data Lake 中。

變更 syslog 設定

如需變更記錄收集器,請依照以下動作操作:

  1. 移至設定 > Syslog 記錄
  2. 按一下移除以降階虛擬機。
  3. 按一下新增以升階新虛擬機。請參閱設定區段中的步驟。

您可以使用開/關切換來暫時降階通訊端點。對 syslog 設定進行疑難排解時,暫時降階通訊端點非常有用。