Utilizar Sophos AI Assistant y AI Search en XDR

Sophos AI Search y los asistentes Security Analyst y Threat Hunter son herramientas de investigación XDR en Sophos Fusion (antes Sophos Central). No son funciones generales del agente Endpoint ni realizan remediación autónoma. AI Search convierte búsquedas en lenguaje natural en consultas del Data Lake; los asistentes de investigación ayudan a los analistas mediante un chat. Como tercer asistente, Firewall Assistant está disponible para reglas y políticas de firewall. Utiliza los datos de un dispositivo Sophos Firewall seleccionado y gestionado de forma centralizada, y se describe por separado más abajo.

AI Assistant completo en el flujo de investigación XDR requiere Sophos XDR, Sophos MDR, Sophos MDR Plus o Sophos Network Detection and Response. Sophos EDR incluye AI Case Summary, AI Command Analysis y AI Search, pero no XDR AI Assistant. Estos requisitos de licencia de XDR no indican qué licencia requiere Firewall Assistant. Según Sophos, el acceso completo a las funciones de IA requiere el rol Super Admin o Admin. Actualmente solo se admiten entradas y salidas en inglés.

Elegir la herramienta adecuada

• AI Search: busca datos en Sophos Data Lake. En la vista Classic de Threat Analysis Center se selecciona Detections o Endpoint Data; allí, las búsquedas de Endpoint Data se limitan a Windows. En Security Operations > Data Lake Search, AI Search genera, en cambio, consultas de Advanced Search en QL. La restricción de Windows del procedimiento Classic no se aplica a esta nueva interfaz de búsqueda.
• Security Analyst: investiga un Sophos-managed o Self-managed Case específico y adopta su contexto de Case y Detection.
• Threat Hunter: busca actores o Indicators of Compromise en el Data Lake y solo funciona con Self-managed Cases.
• Firewall Assistant: ayuda a configurar reglas de firewall y analizar políticas de un firewall gestionado en Sophos Central a partir de SFOS 23.0. El chat comienza seleccionando el firewall, no una ID de Case.
• AI Case Summary: resume Detections, dispositivos, usuarios, tácticas MITRE ATT&CK y posibles pasos siguientes de un Case.
• AI Command Analysis: explica y desofusca líneas de comandos de las Detections.

Los asistentes de investigación XDR Security Analyst y Threat Hunter pueden recuperar y analizar actualmente datos integrados en XDR de Sophos Endpoint y Sophos Server en Windows. No pueden remediar amenazas ni ejecutar acciones de respuesta. El aislamiento, Live Response, bloqueo, autorización y cierre del Case siguen siendo decisiones humanas conscientes. Estas fuentes de datos de Windows y estos límites de respuesta describen el flujo de investigación, no la configuración de firewall con Firewall Assistant.

Utilizar AI Search de forma segura

Compruebe primero qué interfaz utiliza su tenant. Threat Analysis Center es la Classic view de Security Operations, que sigue disponible. El procedimiento SQL siguiente corresponde a esa vista Classic; la nueva Data Lake Search se describe después por separado. Un nuevo elemento de menú no justifica reescribir sin comprobarlas las consultas Classic que funcionan.

Classic: AI Search en Threat Analysis Center

1. Abrir Threat Analysis Center > AI Search.
2. Seleccionar Detections o Endpoint Data a la izquierda. Endpoint Data requiere un dispositivo Windows.
3. Elegir una búsqueda sugerida o escribir una pregunta en inglés. Especificar dispositivo, usuario, indicador e intervalo de tiempo.
4. Seleccionar Search y revisar la tabla de resultados.
5. Expandir Generated Query y comprobar el SQL generado. La fuente, campos, filtros e intervalo deben corresponder con la pregunta de investigación.

Sin un intervalo explícito, AI Search utiliza 24 horas. Sophos recomienda empezar con unas horas o como máximo un día y ampliar gradualmente. Las consultas de días o semanas pueden volverse lentas o agotar el tiempo.

La tabla muestra como máximo 1.000 resultados. Sophos indica una retención del Data Lake de 90 días, o un año con la licencia adicional Central Data 1-Year Storage Pack. Por tanto, 1.000 filas no demuestran que solo existan 1.000 eventos; una tabla vacía tampoco demuestra que no hubiera actividad durante todo el incidente.

Save Query guarda una consulta útil en la nueva categoría AI Search de Live Discover; Export descarga el SQL y los resultados en CSV. Sophos Live Discover y las consultas del Data Lake explica la diferencia entre Live Endpoint y Data Lake y los límites operativos.

Security Operations: AI Search en Data Lake Search

En Security Operations > Data Lake Search > AI Search, introduzca una pregunta de investigación en lenguaje natural o seleccione un prompt preparado y pulse Search. Browse Prompts o View All abre los prompts preparados; Sophos Only, los filtros de categoría y la búsqueda permiten acotar la selección. Una vez cargado, el prompt se puede adaptar al dispositivo, al indicador y al periodo de la investigación.

Debajo de los resultados aparece la consulta generada en Advanced Search query language, denominado aquí QL, no la consulta SQL de Classic de Generated Query. Compruebe que la fuente de datos, los campos, los filtros y el periodo corresponden a la pregunta de investigación. Si el resultado no encaja, ajuste el prompt y seleccione de nuevo Search. El límite de filas y la restricción de Windows de Classic no son límites confirmados de esta interfaz.

Save Query exige un nombre y una categoría; la descripción y Bookmark this Query son opcionales. Guarde con Save Query y compruebe en Saved Queries que puede volver a encontrar la consulta. La sección Data Lake Search del runbook de consultas describe el procedimiento completo con Query Builder, Query Editor, historial de búsquedas y exportación.

Iniciar AI Assistant desde un Case

El acceso al Case descrito a continuación corresponde a la vista Classic. Security Operations también dispone de Cases; eso no confirma que allí estén disponibles el mismo botón, las mismas pestañas o la misma transferencia al chat. Este artículo trata el asistente de investigación XDR, no un asistente general de Endpoint ni funciones de Sophos AI Defense.

Es más seguro partir de un Case revisado que de un chat sin contexto:

1. Abrir Threat Analysis Center > Cases y seleccionar la ID del Case.
2. Revisar la Detection, dispositivos afectados e intervalo relevante.
3. Seleccionar Ask Sophos AI arriba a la derecha. Central abre Security Analyst con el contexto del Case.
4. Editar un Prompt predefinido o formular una pregunta en inglés. / abre los Prompts preparados y guardados.
5. Hacer preguntas de seguimiento en el mismo chat. Assistant considera el Thread actual; un chat nuevo no conserva ese contexto.

También se puede abrir AI > Assistant, seleccionar New y después Security Analyst o Threat Hunter. Security Analyst pide entonces una ID de Case. Ask AI también puede transferir filas seleccionadas de una tabla como contexto. Antes de enviar, comprobar qué selección se transferirá realmente.

Firewall Assistant: seleccionar un firewall y continuar el trabajo

Firewall Assistant en Sophos Fusion admite SFOS 23.0 o posterior y requiere un firewall gestionado de forma centralizada. La versión mínima por sí sola no garantiza la disponibilidad general en todos los tenants o builds; la disponibilidad efectiva y la aprobación del build de destino deben ser adecuadas para el entorno propio. Este chat de configuración no es el Sophos Assistant local de WebAdmin para buscar documentación y realizar procedimientos guiados.

En AI > Assistant > New > Firewall Assistant aparece la lista de firewalls gestionados en Sophos Fusion. Los dispositivos con versiones anteriores de SFOS aparecen atenuados y no pueden seleccionarse para este flujo de trabajo. Cada chat pertenece a un único firewall. Para otro dispositivo se inicia un chat independiente; pueden coexistir varios chats para distintos firewalls. El acceso a los datos sigue limitado a los permisos del administrador con sesión iniciada para el firewall correspondiente.

1. Comprobar el nombre y la versión de firmware del firewall previsto y seleccionar su entrada. Así, el chat comienza con el dispositivo correcto en lugar de un Threat Case.
2. Elegir un Prompt predefinido o escribir una pregunta en inglés. / permite mostrar otros Prompts preparados; Send envía la pregunta.
3. Contrastar la respuesta con las reglas y políticas del firewall seleccionado. Las preguntas de seguimiento en el mismo chat conservan el contexto de la conversación. Después de cerrar la página o seleccionar New, el chat anterior sigue disponible en la lista de la izquierda y puede volver a abrirse desde allí.

Si un dispositivo aparece atenuado, comprobar primero su versión de SFOS. Si no aparece en la lista, comprobar la gestión centralizada y que se esté en el tenant correcto. No se debe actualizar el firmware únicamente para habilitar el asistente; la compilación de destino y la aprobación de la actualización deben ser adecuadas para el entorno propio.

Para la transición operativa a la gestión de reglas, la descripción general de Sophos Firewall v23 explica el asistente de IA y la importancia de la posición de las reglas. Una respuesta del chat no constituye una autorización para activar una regla en producción. Antes de cada cambio, se comprueban de forma consciente el firewall de destino, los objetos, la posición de la regla y las comprobaciones de seguridad; ni la selección del Assistant ni un Prompt ejecutado correctamente implican una activación autónoma.

Revisar el borrador de la regla, aplicarlo de forma controlada y auditar la acción

En el alcance documentado de la fase 1, las acciones se centran en las reglas de firewall y son de solo lectura, con una excepción: un prompt puede crear una nueva regla de firewall. El Assistant muestra primero un borrador con un resumen JSON y vistas de los objetos utilizados. Solo tras la confirmación se crea la regla en el firewall, de forma predeterminada desactivada al final de la tabla de reglas. Esto ya constituye un cambio de configuración, pero todavía no una autorización efectiva de tráfico.

⚠️ Utilizar un prompt de creación solo para un cambio planificado y autorizado. Antes de confirmar, documentar el dispositivo de destino, las reglas y los objetos existentes y el estado actual de la configuración. La activación posterior puede permitir o bloquear tráfico; por eso deben definirse previamente el flujo de paquetes deseado, la inspección de seguridad, la ventana de mantenimiento y el procedimiento de recuperación.

1. En el chat del firewall correcto, especificar con precisión la versión IP necesaria, los nombres de los objetos existentes y el flujo de paquetes deseado. Responder a las preguntas aclaratorias en lugar de permitir indiscriminadamente redes enteras o cualquier servicio.
2. En la vista previa, comparar el resumen JSON y las vistas de objetos con la regla prevista: origen, destino, servicios, acción y opciones de seguridad deben coincidir. Si hay discrepancias, pedir que se corrija el borrador o no confirmarlo.
3. Confirmar la creación solo después de revisar el borrador. Después, independientemente del chat, abrir Rules and policies en WebAdmin en el mismo firewall y comprobar la lista de reglas IPv4 o IPv6 correspondiente. La nueva regla debe estar desactivada al final de la tabla. Si falta o su estado es distinto, no volver a crearla a ciegas ni activarla; contrastar el dispositivo, la lista y la confirmación de creación.
4. Comprobar los ajustes realmente guardados y los objetos necesarios. Solo tras la aprobación, determinar la posición técnicamente correcta y activar la regla manualmente. Una regla adecuada al final de la tabla puede no tener efecto debido a una regla anterior; una situada demasiado arriba puede eludir la restricción prevista. Comprobar el flujo de paquetes permitido y el que debe seguir bloqueado mediante la prueba de reglas con Log Viewer, Policy Test y Packet Capture.
5. Para obtener evidencia de la acción del Assistant, abrir Log Viewer desde Logs and policy test y filtrar por el componente AI Assistant. Contrastar los eventos de auditoría con el firewall de destino, la hora del cambio y la regla realmente guardada. La entrada de auditoría demuestra la acción del Assistant, no su efecto correcto sobre el flujo de paquetes. Si falta la entrada prevista, comprobar el periodo y los filtros e investigar la discrepancia en lugar de suponer que no hubo cambios.

Si el efecto es inesperado, volver a desactivar la regla recién activada y comprobar el estado documentado previamente. Desactivar la regla no elimina ni el borrador ni los objetos que se hayan creado y no constituye una reversión completa de la configuración. Un borrador no aprobado permanece desactivado; antes de una limpieza posterior deben comprobarse sus dependencias de objetos.

Redactar un Prompt verificable

Un buen Prompt indica objetivo, Scope y formato requerido. Ejemplo:

Compare the detections for endpoint WS-023 during 10 September 2026, 08:00-12:00 UTC. List process names, command lines and hashes, and mark every conclusion that still needs validation.

WS-023 es un ejemplo neutro que debe sustituirse por el dispositivo investigado. Fecha, hora y zona horaria deben coincidir con el Case. Añadir procesos, IP, usuarios o hashes solo cuando la hipótesis lo requiera. Los Prompts guardados necesitan un Alias claro; Alias y Prompt completo deben ser únicos. Un responsable, finalidad y fecha de revisión evitan que un Prompt obsoleto se convierta en un Runbook sin revisar.

Validar y documentar resultados

Las respuestas de IA pueden ser falsas o engañosas. Contrastar afirmaciones como «no hay otros dispositivos afectados» con la cronología del Case, detalles de la Detection, datos del dispositivo y resultados de consultas. Comprobar especialmente:

• ¿Coinciden el intervalo y la zona horaria con el Case?
• ¿Enviaba telemetría el dispositivo en ese periodo?
• ¿Limitan la afirmación los filtros, la compatibilidad de la plataforma o, en el procedimiento Classic de AI Search, el máximo de 1.000 filas?
• ¿Respaldan los eventos sin procesar la conclusión y Response propuestas?

Se pueden fijar respuestas, filas individuales, tablas completas y consultas. Estos Pinned Items permanecen en Workbench durante el chat y pueden incluir una nota justificativa. Son una ayuda personal, no documentación del Case. Los botones de feedback valoran la respuesta concreta; los detalles confidenciales no deben incluirse en el comentario opcional.

Se pueden añadir uno o varios resultados verificados de Security Analyst o Threat Hunter a la pestaña Notebook del Case. Este flujo de trabajo con Notebook del Case no está documentado como vía de transferencia para Firewall Assistant. Para una respuesta, usar el signo más situado debajo de ella y confirmar después que se desea añadirla. Para varias respuestas, usar menú de tres puntos > Select responses > Add to case. En Threat Hunter debe seleccionarse el Case de destino; en Security Analyst viene determinado por el Case investigado.

Un chat privado solo es visible para quien lo inició. Otros administradores con acceso al Case ven únicamente respuestas añadidas a Notebook. Para eliminar todo el Thread, abrir el menú de tres puntos junto al título y seleccionar Delete. Antes, validar las evidencias contra datos sin procesar y documentarlas en el Case o sistema de incidentes; el chat no es un archivo de auditoría.

Privacidad y límites de uso

Contraseñas, claves privadas, códigos de recuperación y datos personales innecesarios no deben incluirse en Prompts o feedback. Limitar el contexto a la investigación y aplicar las normas internas de clasificación, retención y exportación.

Las funciones de IA de XDR utilizan Azure OpenAI y Amazon Bedrock. Las entradas y salidas no se usan para entrenar los modelos ni mejorar los servicios de terceros, y todos los datos transferidos a servicios LLM de terceros se cifran durante el tránsito. Los permisos existentes de Central basados en roles siguen limitando los datos a los que puede acceder un usuario. Antes de la activación, los responsables deben revisar los datos actuales sobre tratamiento y subencargados en la ficha de privacidad de XDR.

Los límites publicados para las funciones de IA de XDR aquí descritas se aplican en una ventana móvil de 24 horas; de ellos no se deducen límites independientes para Firewall Assistant:

• AI Command Analysis: 50 por usuario, 250 por tenant
• AI Search: 20 por usuario, 100 por tenant
• AI Case Summary: 10 por usuario, 50 por tenant
• Threads de AI Assistant: 20 por usuario, 100 por tenant
• mensajes individuales de Assistant: 200 por usuario, 1.000 por tenant

Al alcanzar un límite, la función se pausa con HTTP 429. Sophos puede cambiar los valores; para planificar se debe consultar la página actual. Las investigaciones críticas siempre necesitan una vía manual mediante Cases, Detections, Live Discover y la telemetría subyacente.

Preguntas frecuentes