Vai al contenuto
Il supporto che offriamo per MDR.

Link permanente della pagina

Utilizza sempre il seguente link permanente quando fai riferimento a questa pagina. Rimarrà invariato nelle versioni future della guida.

https://docs.sophos.com/central/customer/help/it-it/index.html?contextId=darktrace

Darktrace DETECT

Agente di raccolta log

Per utilizzare questa funzionalità, occorre un pacchetto di licenza per l’integrazione “Rete”.

Darktrace DETECT può essere integrato con Sophos Central per l’invio di avvisi a Sophos.

Questa integrazione utilizza un agente di raccolta log ospitato su una virtual machine (VM). Insieme, vengono chiamati “appliance”. L’appliance riceve dati da prodotti di terze parti e li invia al Sophos Data Lake.

Nota

È possibile aggiungere più istanze di Darktrace DETECT sulla stessa appliance.

Per farlo, occorre configurare l’integrazione di Darktrace DETECT in Sophos Central e successivamente configurare un’istanza di Darktrace DETECT per l’invio dei log. A questo punto, sarà necessario configurare le altre istanze di Darktrace DETECT per l’invio dei log alla stessa appliance Sophos.

Non occorre ripetere i passaggi di configurazione che riguardano Sophos Central.

I passaggi chiave sono:

  • Configurare un’integrazione per questo prodotto. Questa azione configura un’immagine da utilizzare su una VM.
  • Scaricare e distribuire l’immagine sulla propria VM, che diventa l’appliance.
  • Configurare Darktrace DETECT in modo che invii dati all’appliance.

Requisiti

Le appliance hanno requisiti specifici per l’accesso al sistema e alla rete. Per verificare che siano soddisfatti, vedere Requisiti dell’appliance.

Configurazione di un’integrazione

Per configurare l’integrazione, procedere come segue:

  1. In Sophos Central, selezionare Centro di analisi delle minacce > Integrazioni > Marketplace.

  2. Cliccare su Darktrace. Assicurarsi di cliccare sulla scheda di Darktrace DETECT, non Darktrace Email.

    Si apre la pagina Darktrace. Qui è possibile configurare le integrazioni e visualizzare un elenco delle integrazioni che sono già state configurate.

  3. In Inserimento dei dati (Avvisi di sicurezza), cliccare su Aggiungi configurazione.

    Nota

    Se questa è la prima integrazione aggiunta, chiederemo dei dettagli sui domini e sugli IP interni. Vedere I miei domini e IP.

    Verranno visualizzati i Passaggi di configurazione dell’integrazione.

Configurazione della VM

Nei Passaggi di configurazione dell’integrazione è possibile configurare la propria VM come appliance, in modo che riceva dati da Darktrace DETECT. Si può utilizzare una VM esistente oppure crearne una nuova.

Per configurare la VM, procedere come segue:

  1. Inserire un nome e una descrizione per l’integrazione.

  2. Inserire un nome e una descrizione per l’appliance.

    Se è già stata configurata un’integrazione per l’appliance Sophos, è possibile sceglierla da un elenco.

  3. Selezionare la piattaforma virtuale. Attualmente supportiamo VMware ESXi 6.7 Update 3 o versione successiva e Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) o versione successiva.

  4. Specificare le impostazioni dell’IP per le Porte di rete con connessione Internet. Verrà così configurata l’interfaccia di gestione per la VM.

    • Selezionare DHCP per assegnare automaticamente l’indirizzo IP.

      Nota

      Se si seleziona DHCP, occorrerà riservare l’indirizzo IP.

    • Selezionare Manuale per specificare le impostazioni di rete.

  5. Seleziona la Versione dell’IP del syslog e immettere l’indirizzo IP del syslog.

    L’indirizzo IP del syslog sarà necessario in un secondo momento, durante la configurazione di Darktrace DETECT per l’invio dei dati all’appliance.

  6. Selezionare un Protocollo.

    Utilizzare lo stesso protocollo quando si configura Darktrace DETECT per l’invio dei dati all’appliance.

  7. Cliccare su Salva.

    L’integrazione verrà creata e visualizzata nell’elenco.

    Nei dettagli dell’integrazione, verrà visualizzato il numero di porta per l’appliance. Sarà necessario in un secondo momento, durante la configurazione di Darktrace DETECT per l’invio dei dati a quell’agente di raccolta dati.

    Potrebbero trascorrere alcuni minuti prima che l’immagine VM sia pronta.

Distribuzione della VM

Restrizione

Per ESXi, il file OVA viene verificato con Sophos Central, quindi può essere utilizzato una sola volta. Se si deve distribuire un’altra VM, occorrerà ricreare il file OVA in Sophos Central.

Utilizzare l’immagine VM per distribuire la VM. Per farlo, procedere come segue:

  1. Nell’elenco delle integrazioni, sotto Azioni, cliccare sull’azione di download corrispondente alla propria piattaforma, ad esempio Scarica OVA per ESXi.
  2. Al termine del download dell’immagine, distribuirla sulla propria VM. Vedere Implementazione di una VM per le integrazioni.

Configurazione di Darktrace DETECT

È ora possibile configurare Darktrace DETECT utilizzando l’inoltro di syslog, in modo che invii avvisi a Sophos.

Per configurare l’inoltro degli avvisi, procedere come segue:

  1. Accedere a Darktrace DETECT.
  2. Nel Threat Visualizer (Visualizzatore minacce), selezionare Admin (Amministrazione).
  3. Sotto System Configuration (Configurazione del sistema), cliccare su Modules (Moduli).
  4. Nella pagina Modules, cliccare su Workflow Integrations (Integrazioni per il flusso di lavoro).
  5. Trovare Syslog e cliccarci sopra.
  6. Nella pagina Syslog, selezionare la scheda Syslog CEF.

  7. Cliccare su New (Nuovo).

    Verranno visualizzate le impostazioni di configurazione di Syslog. Si consiglia di eseguire tutte le operazioni di configurazione prima di attivare Send Alerts (Invia avvisi).

  8. In Server, l’*IP* address (Indirizzo IP) della propria appliance.

  9. In Server Port (Porta server), immettere la Port (Porta) di ascolto della propria appliance.

    Occorrerà inserire le stesse impostazioni per indirizzo IP e porta che sono state specificate in Sophos Central al momento dell’aggiunta dell’integrazione.

  10. Attivare Send AI Analyst Alerts (Invia avvisi di analisi basata su IA).

  11. Impostare il Minimum AI Analyst Incident Event Score (Punteggio minimo per gli eventi nell’analisi basata su IA) e Minimum AI Analyst Incident Score (Punteggio minimo per gli incidenti nell’analisi basata su IA) su 0. In questo modo Sophos riceverà tutti gli avvisi.
  12. Cliccare su Add (Aggiungi).
  13. Tornare all’inizio della pagina e cliccare su *Verify alert sending* (Verifica invio degli avvisi). Con questa operazione, verrà inviato un avviso di test all’appliance.
  14. Attivare Send Alerts e salvare le modifiche.

Gli avvisi di Darktrace DETECT verranno visualizzati nel Sophos Data Lake dopo la convalida.