集成Vectra AI

您可以將 Vectra AI 與 Sophos Central 整合，以便將資料傳送到 Sophos。

此整合使用虛擬機 (VM) 上託管的記錄收集器。它們一起被稱為設備。設備接收協力廠商資料，並將資料傳送到 Sophos Data Lake。

關鍵步驟

設定整合的主要步驟如下：

• 新增此產品的整合。在此步驟中，您將創建設備的映像。
• 在 VM 上下載並部署映像。這將成為您的設備。
• 設定 Vectra AI 以將資料傳送到設備。

需求

設備具有系統和網路存取要求。要檢查您是否滿足這些要求，請參閱 設備要求。

新增整合

若要新增整合，請依照以下步驟操作：

1. 在 Sophos Central 中，移至威脅分析中心 > 整合 > 市場。

2. 單擊 Vectra AI。

   **** 此時將打開Vectra AI頁面。您可以在此處設定整合並查看已設定的所有整合清單。

3. 在資料擷取（安全警示）中，按一下新增設定。

   注意

   如果這是您新增的第一個整合，我們可能會要求您提供內部網域和 IP 的詳細資料。請參閱提供您的域和IP詳細資訊。

   螢幕上將顯示整合設定步驟。

配置設備

在 集成設定步驟中，您可以配置新設備或使用現有設備。

我們假定您在此配置新設備。要執行此操作，請按以下步驟創建映像：

1. 輸入整合的名稱和說明。
2. 按一下建立新設備。
3. 輸入設備的名稱和說明。
4. 選取虛擬平台。目前我們支援 VMware ESXi 6.7 Update 3 或更新版本以及 Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) 或更新版本。

5. 指定面向網際網路的網路連接埠的 IP 設定。這將為 VM 設定管理介面。

   • 選取 DHCP 可自動指派 IP 位址。

     注意

     如果選取 DHCP，則必須保留 IP 位址。

   • 選取手動以指定網路設定。

6. 選取 Syslog IP 版本並輸入 Syslog IP 位址。

   稍後設定 Vectra AI 以向設備傳送資料時，您將需要該 syslog IP 位址。

7. 在通訊協定中，預先選取了 TCP。不能變更。

   當您設定 Vectra AI 以傳送資料至設備時，您必須確保其使用相同的通訊協定。

8. 按一下儲存。

   我們會建立整合，整合會顯示在您的清單中。

   在整合詳細資料中，您可以看到設備的連接埠號。稍後設定 Vectra AI 以向其傳送資料時，您將需要該編號。

   VM 映像可能需要幾分鐘的時間才能準備就緒。

部署設備

使用映像部署設備，如下所示：

1. 在整合清單的動作中，按一下適用於您的平台的下載動作，例如，若是 ESXi，則按一下下載 OVA。
2. 映像下載完成後，請將其部署在 VM 上。請參閱部署設備。

配置Vectra AI

現在，您可以將 Vectra AI 設定為使用 syslog 轉寄功能向我們傳送警示。

要設定警示轉寄功能，請執行以下動作：

1. 使用管理員ID登入Vectra平台(Brain) Web UI。
2. 移至設定 > SYSLOG。
3. 滾動到 Syslog 部分。

4. 單擊✎Edit (編輯)圖標以添加Syslog目標。

   1. 目的地：輸入遠程syslog伺服器的IP地址。此項為 Sophos 預設值。使用您在Sophos Central中指定的相同IP地址。
   2. 連接埠：輸入設備正在偵聽的埠號。使用您在Sophos Central中指定的相同埠。
   3. 通訊協定選擇 TCP。
   4. 格式：選擇 CEF。
   5. 日誌類型：選擇 帳戶檢測 和 主機檢測。

   

5. 按一下儲存。

6. 單擊 測試 以檢查轉發是否工作。

   

如果測試成功，您將看到如下消息：

詳細資訊

Vectra Syslog指南