Requisitos del recopilador de datos

Si sus integraciones utilizan un recopilador de datos, la máquina virtual (VM) donde se ejecuta debe cumplir estos requisitos.

Los requisitos se aplican a Sophos NDR y a integraciones de recopiladores de registros de terceros. Incluyen los siguientes:

• Plataformas compatibles
• Requisitos mínimos del sistema
• Requisitos de CPU
• Tamaño de VM
• Exclusiones de puertos y dominios

Plataformas compatibles

Puede ejecutar recopilador de datos en VMware ESXi o Microsoft Hyper-V.

Requisitos de VMware ESXi

Si utiliza VMware ESXi, los requisitos son los siguientes:

• VMware ESXi 6.7 o posterior
• Hardware de VM versión 11 o posterior

Admitimos los modos EVC (Enhanced vMotion Compatibility) de VMware si cumple con los requisitos de CPU. Consulte Requisitos de CPU.

Para comprobar su versión de VMware ESXi, consulte estos artículos:

• Determinar el número de compilación de VMware ESX/ESXi y VMware vCenter Server
• Números de compilación y versiones de VMware ESXi/ESX

Requisitos de Microsoft Hyper-V

Si utiliza Microsoft Hyper-V, los requisitos son los siguientes:

• Hyper-V versión 6.0.6001.18016 (Windows Server 2016) o posterior

No admitimos el modo de compatibilidad del procesador.

Para comprobar la versión de Microsoft Hyper-V, consulte Identificar la versión de Hyper-V.

Requisitos mínimos del sistema

Los requisitos mínimos del sistema son los mismos en todas las plataformas.

En VMware, nuestra imagen OVA está preconfigurada para cumplir con los requisitos mínimos tanto para Sophos NDR como para las integraciones de recopiladores de registros.

Los requisitos son los siguientes:

• 4 procesadores
• 16 GB de RAM
• 160 GB de almacenamiento

El recopilador de datos también requiere microarquitecturas de CPU específicas. Consulte los requisitos de CPU.

Es posible que necesite redimensionar la VM si su recopilador de datos gestiona un gran volumen de datos o ejecuta varias integraciones. Consulte Tamaño de VM.

Requisitos de CPU

El sistema que ejecuta la VM debe utilizar una de las microarquitecturas de CPU que se muestran a continuación.

Si tiene Sophos NDR, también debe asegurarse de que los siguientes indicadores de CPU estén configurados:

• pdpe1gb: La tecnología de captura de paquetes lo necesita.
• avx2: Las funciones de Machine Learning de Sophos lo necesitan.

Ambos indicadores están disponibles en las CPU de Intel y AMD que se muestran aquí.

CPU Intel

Para ayudarle a identificar las CPU, a continuación se muestran las convenciones de nomenclatura de CPU de Intel.

Modo EVC de Vmware

Si su dispositivo está en un host VMware ESXi que se ejecuta en un clúster EVC (Enhanced vMotion Compatibility), debe asegurarse de que ha seleccionado:

• CPU de generación Skylake o posterior
• Hardware de VMware versión 11 o posterior

CPU AMD

Para ayudarle a identificar las CPU, a continuación se incluyen las convenciones de nomenclatura de CPU de AMD.

Tamaño de VM

Las directrices de tamaño de VM dependen de si tiene Sophos NDR, integraciones de recopiladores de registros o ambos en la VM.

Solo Sophos NDR

Es posible que tenga que configurar la máquina virtual para asegurarse de que el dispositivo virtual de Sophos NDR ofrece el mejor rendimiento y el menor impacto en la red.

Estas son nuestras recomendaciones, basadas en su tráfico de red.

Si sus estadísticas de red son superiores a las de la configuración de Tráfico elevado, despliegue varias VM en toda la red.

Las recomendaciones anteriores son para una VM que solo ejecute Sophos NDR. Si también ejecuta integraciones de recopiladores de registros en condiciones de carga elevada, es posible que necesite añadir más CPU virtuales. Consulte Sophos NDR e integraciones de recopiladores de registros.

Integraciones del recopilador de registros

Por lo general, no es necesario redimensionar una VM si ejecuta una única integración de recopilador de registros. La configuración predeterminada es suficiente.

Sin embargo, es posible que necesite cambiar la configuración o añadir más VM si tiene varias integraciones o si se envía un gran volumen de eventos a sus recopiladores de registros.

Memoria

Necesita hasta 400 MB de memoria para cada integración.

Puede ejecutar hasta cuatro integraciones por recopilador de registros. La memoria máxima predeterminada para el contenedor del recopilador de registros es 2 GB.

Si desea ejecutar más integraciones, aumente la memoria máxima. Para ello, edite la configuración del puerto SYSLOG en la consola del recopilador de datos. Consulte Puerto de red Syslog.

Volumen de eventos

La VM puede aceptar un máximo de 8000 eventos por segundo. Esto se aplica sin importar cuántas integraciones tenga en la VM.

Si tiene varias integraciones y cree que va a superar este límite, despliegue varias VM.

Si una única integración de recopilador de registros supera el límite, utilice la configuración de syslog en el dispositivo de origen para intentar reducir el número de eventos.

Sophos NDR e integraciones de recopiladores de registros

Si tiene Sophos NDR e integraciones de recopiladores de registros en la misma VM, no hay una única solución de tamaño. Le recomendamos que comience con el tamaño de NDR y luego considere lo que necesitan las integraciones de recopiladores de registros.

Estos son algunos factores que pueden afectar al tamaño:

• NDR puede tomar CPU y establecer la prioridad dada a otras integraciones que lo utilizan. Si tiene 4 CPU, NDR toma 2. Si tiene 8 CPU, NDR toma 3.
• Incluso cuando NDR toma una CPU, otras integraciones pueden seguir usándola, lo que afectará a la cantidad de tráfico que NDR puede gestionar.
• Si tiene 16 GB de memoria, no permitimos que la integración de recopilador de registros use más de 2 GB. Esto garantiza que NDR tendrá suficiente memoria.
• Cuando una integración de recopilador de registros procesa el número máximo de eventos, utiliza la misma potencia de procesamiento que Sophos NDR en condiciones de carga moderadamente elevada. En este caso se presupone que la VM tiene las 4 CPU por defecto.

Exclusiones de puertos y dominios

Asegúrese de que los puertos y dominios siguientes están permitidos en su firewall. Esto permite que el dispositivo virtual de Sophos arranque y descargue actualizaciones.

Los dominios que debe permitir dependen de si su firewall admite comodines.