IT-Wissen · IT-Sicherheit

Sophos-Integration von Secureworks Taegis

Kurz zusammengefasst: Secureworks Taegis unterstützt Sophos Endpoint Agent und Sophos XGS Firewall über unterschiedliche Integrationswege. Sophos Endpoint kann als nativer Endpoint Agent mit Taegis XDR und MDR eingesetzt werden. Die Sophos XGS Firewall übermittelt Protokolle per Syslog an einen Taegis XDR Collector. Welche Ereignisse tatsächlich verfügbar sind, hängt von Produkt, Konfiguration, Lizenz und Version ab. Unternehmen sollten Datenabdeckung, Zuständigkeiten und Reaktionsfreigaben vor dem Rollout prüfen.

Einordnung: Welche Sophos-Komponenten werden verbunden?

Die Secureworks-Dokumentation führt den Sophos Endpoint Agent als verfügbaren Endpoint Agent für Taegis auf. Für bestehende Taegis-Endpoint-Agent-Installationen beschreibt Secureworks außerdem den Umstieg auf Sophos Endpoint. Sophos Endpoint kann im Detection-Only-Modus neben einem anderen Endpoint-Schutz oder im Detection-and-Protection-Modus betrieben werden. Secureworks bezeichnet Sophos Endpoint als native Integrationsoption für Taegis XDR und MDR.

Die Sophos XGS Firewall wird separat über Syslog an einen Taegis XDR Collector angebunden. Die Integrationsanleitung nennt UDP-Port 514, das Standard-Syslog-Format und die Übermittlung an die Management-IP des Collectors. Damit sind zwei konkrete Integrationspfade beschrieben: ein Endpoint Agent für Sophos Endpoint und eine Syslog-Anbindung für Sophos XGS Firewall.

Diese Angaben belegen keine allgemeine Unterstützung sämtlicher Sophos-Produkte und keinen beliebigen Datenfluss aus Endgeräten, Servern, Netzwerken oder weiteren Sicherheitskomponenten. Für jedes weitere Sophos-Produkt muss die konkrete Taegis-Dokumentation geprüft werden.

Welche Ereignisse können in Taegis verfügbar werden?

Für die Sophos XGS Firewall nennt Secureworks als normalisierte Daten Antivirus, DHCP und Managementevent. Als Erkennungen werden Auth, HTTP und Netflow aufgeführt; Email und NIDS sind als herstellerspezifische Erkennungen genannt. Die Dokumentation weist zugleich darauf hin, dass ein Detektor trotz normalisierter Daten nicht garantiert ausgelöst wird. Eigene Erkennungsregeln können auf normalisierten Daten aufbauen.

Beim Sophos Endpoint Agent beschreibt Secureworks die Integration als Möglichkeit für verbesserte Telemetrie und Reaktion. Die öffentlich zugängliche Dokumentation legt jedoch nicht für jede Sophos-Endpoint-Funktion eine vollständige Liste übertragbarer Ereignistypen, Aufbewahrungsfristen oder Reaktionsaktionen fest. Diese Punkte müssen für die konkrete Version, Lizenz und Konfiguration bestätigt werden.

Der Nutzen entsteht deshalb durch die Auswertung der tatsächlich gelieferten Daten. Ein einzelnes Endpoint- oder Firewall-Ereignis kann in Taegis mit weiteren, separat angebundenen Datenquellen korreliert werden. Ob daraus eine belastbare Angriffskette entsteht, hängt von Datenqualität, Zeitbezug und Abdeckung ab.

Welcher Nutzen entsteht im Alltag?

Ein gemeinsames Lagebild kann helfen, Sophos-Endpoint- und Sophos-XGS-Ereignisse zentral zu sichten und mit anderen unterstützten Quellen zu vergleichen. Dadurch lassen sich einzelne Meldungen besser priorisieren und untersuchen, sofern die benötigten Daten tatsächlich ankommen.

Für kleine Unternehmen und den Mittelstand kann ein Taegis-MDR-Dienst die Überwachung, Triage und Eskalation ergänzen. Taegis ersetzt dabei weder die Sophos-Verwaltung noch interne Entscheidungen. Richtlinien, Schutzfunktionen und lokale Betriebsverantwortung bleiben zu klären.

Der praktische Mehrwert hängt daher von drei Punkten ab: der passenden Sophos-Komponente, einer nachweisbar funktionierenden Datenübermittlung und einem abgestimmten Prozess für Bewertung und Reaktion.

Wie die Integration fachlich arbeitet

Beim Sophos Endpoint Agent wird der von Taegis unterstützte Agent nach den Secureworks-Vorgaben bereitgestellt. Die Dokumentation nennt Windows, Linux und macOS als unterstützte Betriebssystembereiche des Sophos Endpoint Agent. Vor der Bereitstellung müssen die jeweils aktuellen Installationsvoraussetzungen und Systemempfehlungen geprüft werden.

Bei der Sophos XGS Firewall werden Logs per Syslog an den Taegis XDR Collector gesendet. Die Secureworks-Anleitung nennt UDP/514, das Standard-Syslog-Protokoll, die Collector-IP und den Schweregrad Info. Taegis normalisiert die in der Anleitung beschriebenen Daten und kann darauf basierende Detektionen oder eigene Regeln verwenden.

Für die Prüfung sollte dokumentiert werden, welche Sophos-Komponente eingesetzt wird, welche Ereignistypen erwartet werden, welche Lizenz und Version vorliegt und wie die Daten im Taegis-Tenant sichtbar sind. Ein aktiver Connector allein belegt keine vollständige Erkennung.

Voraussetzungen und Einführung

Vor der Aktivierung sollten Unternehmen Sophos-Produkte, Standorte, Endpoint-Betriebssysteme, Firewall-Standorte, Collector-Verbindungen, Administratorkonten und Alarmierungswege erfassen. Für Sophos XGS müssen Netzwerkpfad, UDP/514 und das Syslog-Format geprüft werden. Für Sophos Endpoint sind die dokumentierten Installations- und Systemvoraussetzungen maßgeblich.

Die Einführung sollte mit einer begrenzten, repräsentativen Umgebung beginnen. Ein kontrollierter Test sollte mindestens die Übermittlung erwarteter Endpoint- oder Firewall-Ereignisse, Zeitstempel, Gerätezuordnung, Priorisierung und den Alarmweg prüfen. Erst nach nachvollziehbarem Read-back der Ereignisse sollte der Rollout erweitert werden.

Berechtigungen und Datenschutz sind vorab festzulegen. Dazu gehören Zugriff auf den Taegis-Tenant, Aufbewahrung, Datenstandort, Unterauftragnehmer sowie die Behandlung personenbezogener Informationen. Diese Punkte müssen technisch und vertraglich bewertet werden.

Betrieb, Reaktion und Nachweis

Im laufenden Betrieb sollten Connector- und Collector-Status, ausgebliebene Daten, Parser- oder Formatänderungen und Stichproben der erwarteten Ereignisse überwacht werden. Änderungen an Sophos-Richtlinien, Firmware, Agent-Versionen, Lizenzen oder Netzwerken können die Datenlieferung beeinflussen.

Ein Runbook sollte zwischen Erkennung, Bewertung und Reaktion unterscheiden. Ein MDR-Team kann einen Vorgang bewerten und eskalieren; die zulässige Maßnahme muss das Unternehmen festlegen. Dazu gehören etwa die Isolation eines Endpoints, eine Kontosperrung oder die Prüfung einer Firewall-Regel. Ansprechpartner, Freigaben, Zeitfenster und Rückfallverfahren müssen erreichbar und dokumentiert sein.

Nach einem Vorfall sollte nachvollziehbar bleiben, welche Daten vorlagen, welche Bewertung erfolgte, wer entschieden hat und welche Maßnahme durchgeführt wurde. Das unterstützt technische Nachbereitung und interne oder vertragliche Nachweise.

Beispiel aus der Praxis

Beispiel: Ein mittelständischer Betrieb nutzt Sophos Endpoint und eine Sophos XGS Firewall. Der Endpoint Agent und die Firewall-Syslog-Anbindung werden jeweils nach den dokumentierten Taegis-Vorgaben eingerichtet. Im Test werden Endpoint-Ereignisse sowie die von Secureworks für Sophos XGS genannten normalisierten Daten und Erkennungsarten geprüft. Später bewertet ein MDR-Team eine auffällige Kombination aus einem Endpoint-Ereignis und einem Firewall-Ereignis und eskaliert sie nach dem vereinbarten Runbook. Der Ablauf ist ein mögliches Einführungsszenario und keine Kundenreferenz. Ob er funktioniert, hängt von Datenabdeckung, Versionen, Lizenzen, Konfiguration, Alarmweg und Reaktionsfreigaben ab.

Chancen für Unternehmen

• Zentrale Korrelation kann helfen, Sophos-Endpoint- und Sophos-XGS-Ereignisse im Zusammenhang mit weiteren Signalen zu bewerten.
• Ein MDR-Dienst kann Unternehmen mit begrenzten internen Ressourcen bei Überwachung, Triage und Eskalation ergänzen.
• Die dokumentierten Syslog-Daten der Sophos XGS Firewall können in Taegis normalisiert und für vorhandene oder eigene Erkennungsregeln genutzt werden.
• Die Integration kann die Grundlage für standardisierte Runbooks, nachvollziehbare Zuständigkeiten und wiederholbare Reaktionsabläufe bilden.

Grenzen und Prüfpunkte

• Die tatsächlich verfügbare Datenabdeckung ist produkt-, lizenz-, versions- und konfigurationsabhängig und muss für die konkrete Sophos-Umgebung geprüft werden.
• Für Sophos Endpoint ist öffentlich keine vollständige, versionsunabhängige Liste aller übertragbaren Ereignistypen und Reaktionsaktionen belegt.
• Die Sophos-XGS-Dokumentation beschreibt konkrete Syslog-Daten und Erkennungsarten; daraus folgt keine Unterstützung beliebiger Sophos-Produkte oder sämtlicher Firewall-Ereignisse.
• Eine Integration beseitigt keine Fehlkonfigurationen, veralteten Systeme, unzureichenden Identitätsschutz oder fehlenden Wiederherstellungspläne.
• MDR kann Entscheidungen und Maßnahmen nicht vollständig aus dem Unternehmen herauslösen: Freigaben, Verantwortlichkeiten und Eskalationskontakte müssen feststehen.
• Zusätzliche Cloud-Datenflüsse, Aufbewahrungsregeln, Berechtigungen und vertragliche Datenschutzanforderungen müssen vor der Einführung geprüft werden.
• Ein erfolgreicher technischer Connector- oder Syslog-Test ist kein Beleg für vollständige Erkennung oder wirksame Reaktion auf jeden Angriff.