Aislar Sophos Endpoint e investigar con Live Response

Durante una investigación activa, el aislamiento separa un endpoint de la red mientras el dispositivo sigue siendo administrable desde Sophos Fusion (antes Sophos Central). Las exclusiones de aislamiento configuradas aún pueden permitir comunicaciones limitadas. Live Response abre después una shell remota privilegiada para investigar y corregir. Ambas funciones afectan de inmediato al funcionamiento: el aislamiento modifica el tráfico de red y Live Response permite terminar procesos, reiniciar dispositivos, recorrer carpetas y eliminar archivos.

Flujo seguro resumido

1. Contraste dispositivo, usuario, alerta y Threat Graph con el ticket o incidente.
2. Si existe riesgo inmediato de propagación, aísle administrativamente el dispositivo. La contención suele ser prioritaria ante ransomware, robo de credenciales o actividad command-and-control.
3. Inicie Live Response solo con licencia, política, rol y MFA correctos.
4. Capture el estado y las pruebas antes de efectuar cambios dirigidos.
5. Finalice con End Session y conserve los registros de auditoría y sesión.
6. Limpie o bloquee la amenaza, compruebe el análisis y el estado, y retire después el aislamiento administrativo.

Distinguir aislamiento administrativo y automático

El aislamiento automático usa el estado comunicado por el dispositivo. El rojo puede indicar una amenaza, software obsoleto, incumplimiento de la política o protección incompleta. El estado general mostrado en Sophos Fusion puede diferir porque Sophos Fusion considera otros factores. Los dispositivos aislados automáticamente no aparecen en Admin Isolated Devices y no pueden liberarse manualmente desde allí.

Sophos recomienda pilotar Device Isolation mediante una Threat Protection policy aplicada a un grupo representativo. Pruebe también el soporte para dispositivos que se ponen en rojo por problemas de protección o actualización, no por un ataque. Los archivos de red de Windows almacenados localmente pueden seguir visibles durante el aislamiento; esto no demuestra que haya una conexión activa.

La lógica completa se explica en Configurar correctamente Sophos Fusion Threat Protection. Si una excepción es imprescindible, permita solo dirección, dirección IP y puerto necesarios para un fin concreto. Consulte ejemplos y límites en Planificar de forma segura las exclusiones de Sophos Endpoint.

Requisitos y permisos de Live Response

Live Response requiere Sophos EDR, XDR o MDR. Para equipos, permita las conexiones en My Products > Endpoint > Policies > Data Collection and Investigation > Policy > Settings mediante Allow Live Response connections to computers. La Base Policy se aplica de forma predeterminada a todos los equipos. Cuando proceda, coloque los dispositivos sensibles en un grupo con una política que mantenga Live Response desactivado. Live Response está activado por defecto con MDR y desactivado con las demás licencias válidas.

Habilite los servidores por separado: El ajuste para equipos no se aplica a servidores. Antes de modificarlo, compruebe la política realmente asignada al servidor de destino y todos los servidores afectados; la Base Policy para servidores se aplica de forma predeterminada a todos ellos y no debe habilitarse de forma inadvertida para toda la flota. Si solo necesita Live Response para un grupo limitado de servidores, revise primero la Base Policy y todas las demás políticas de servidor vigentes y desactive Live Response fuera de ese grupo; con MDR puede estar activado por defecto. Después, asigne una política adecuada al grupo de destino y active Allow Live Response connections to servers solo allí, en My Products > Server > Policies > Data Collection and Investigation > [Policy] > Settings, y seleccione Save. Compruebe el ajuste efectivo tanto en el servidor de destino como en servidores ajenos al grupo. La política de servidor admite servidores Windows y Linux.

La gestión de la política y el inicio de una sesión son permisos distintos:

• Cambiar ajustes: Super Admin o Custom Role con Manage Data Collection and Investigation settings for computers.
• Cambiar ajustes de servidores: Super Admin o Custom Role con Manage Data Collection and Investigation settings for servers.
• Iniciar una sesión en un equipo: Super Admin o Custom Role con Start Live Response sessions on computers.
• Iniciar una sesión en un servidor: Super Admin o Custom Role con Start Live Response sessions on servers.
• Para iniciar sesiones, la Custom Role necesita una Base Role Full o Help Desk y el permiso adicional correspondiente. Las guías de Sophos discrepan sobre el acceso al producto: la guía general de Custom Roles permite Full o Help Desk para Endpoint Protection o Server Protection, mientras que la guía específica de Live Response indica Full. Por ello, antes de utilizar acceso Help Desk al producto, compruebe los permisos efectivos en su propio tenant. Para cambiar la política de servidores, la Custom Role necesita acceso Full a Server Protection y Manage Data Collection and Investigation settings for servers.
• Actualmente un MSP no puede crear esta Custom Role en la cuenta del cliente desde Sophos Fusion Partner.

Asigne estos derechos según el principio de mínimo privilegio y verifique la asignación efectiva antes de un incidente. Planificar roles y permisos de Sophos Fusion Endpoint explica el acceso a productos y los derechos adicionales.

Al iniciar Live Response, Sophos Fusion normalmente solicita un desafío MFA. Con autenticación federada, IdP Enforced MFA permite evitarlo cuando un proveedor de identidad compatible impone MFA. La ruta documentada es Global Settings > Access Control > Sign-in and Identity > Federated identity providers.

Aislar administrativamente un dispositivo

La ruta documentada oficialmente desde un Threat Graph es:

1. Abra Threat Analysis Center > Threat Graphs y seleccione el gráfico correspondiente.
2. Revise Summary y Suggested next steps y confirme que gráfico y dispositivo pertenecen al incidente.
3. En un gráfico de prioridad alta, seleccione Isolate this device. La acción requiere Sophos XDR y no se ofrece si el dispositivo se ha aislado automáticamente.
4. Confirme en Sophos Fusion que el dispositivo correcto está aislado y sigue siendo administrable.
5. Registre en el ticket la hora, el operador, el motivo y el impacto esperado.

Otros resultados pueden aislarse con Isolate device en Item Search Results. Contraste cada dispositivo con el incidente: un aislamiento amplio sin alcance confirmado puede interrumpir innecesariamente el negocio.

Los dispositivos aislados administrativamente figuran en Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Allí también está disponible Remove from Isolation. Una excepción para RDP, SSH o un servidor de limpieza amplía deliberadamente las comunicaciones, por lo que debe ser temporal y lo más limitada posible.

Ejecutar una sesión Live Response de forma segura

Antes de conectar

Registre como mínimo ID del ticket, nombre del dispositivo, sistema operativo previsto, objetivo, comprobaciones de solo lectura, posibles cambios y vía de reversión. Coordine las acciones locales con Sophos MDR u otro equipo de respuesta para no perder pruebas ni interferir con trabajos paralelos.

Abrir la sesión

1. Abra My Environment > Computers & Servers.
2. Seleccione el dispositivo verificado y abra su página de detalles. Si es un servidor, compruebe además la identidad del destino, la política de servidor efectiva y el permiso para iniciar sesiones.
3. Elija Actions > Live Response.
4. Introduzca un propósito preciso.
5. Use el terminal de la nueva pestaña. Si no se abre, compruebe la configuración de ventanas emergentes para Sophos Fusion.

La ruta de la política de servidores indicada arriba sirve únicamente para habilitar Live Response, no para iniciar una sesión. La comprobación MFA se aplica tanto a equipos como a servidores.

La shell espera comandos DOS, UNIX o Linux adecuados para el dispositivo conectado. Una conexión correcta solo confirma el acceso; no demuestra que el endpoint esté limpio.

Observar antes de cambiar

Un proceso defendible separa observación y corrección:

1. Capture contexto temporal, usuarios conectados, procesos y conexiones de red.
2. Documente archivos, rutas, hashes, firmas y mecanismos de persistencia sospechosos.
3. Conserve logs y artefactos relevantes y anote dónde están guardados.
4. Antes de cada cambio, reconfirme destino, impacto, dependencias y reversión.
5. Termine o elimine solo actividad maliciosa confirmada.
6. Repita el análisis central y revise Threat Graph, alertas y estado de salud.

No experimente con comandos en producción. Si una ruta, proceso o artefacto no está atribuido con claridad, mantenga aislado el endpoint y escale a Sophos Support, MDR o al equipo de respuesta a incidentes.

Finalizar y auditar la sesión

Use End Session para cerrar deliberadamente la conexión. También se cierra al cerrar o actualizar la pestaña, navegar a otra sección de Sophos Fusion o tras 30 minutos de inactividad.

En Reports > Logs > Audit Logs, las entradas de inicio y final muestran administrador, dispositivo y propósito. El historial completo de comandos está disponible como gzip en Reports > Logs > Live Response session audit > Download session log. Para descargarlo, una Custom Role necesita tanto Manage Live Response settings for computers como Manage Live Response settings for servers; alternativamente puede conservarlo un Super Admin.

En sesiones de servidores, coteje el servidor de destino y el propósito de las entradas de auditoría con el ticket y compruebe en el registro de sesión descargado los comandos realmente ejecutados. Una conexión correcta por sí sola no confirma que el servidor de destino esté limpio.

En entornos sensibles documente también ID del ticket, comandos, artefactos, hashes, resultado y decisión de liberación.

Crear opcionalmente un Forensic Snapshot

Un Forensic Snapshot captura actividad reciente. Sophos crea automáticamente datos para un Threat Graph en determinadas detecciones; también puede solicitarse:

1. Abra My Environment > Computers & Servers > dispositivo > Summary.
2. Seleccione More actions > Create forensic snapshot > Create now.
3. En Windows, el snapshot manual se guarda por defecto en:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\

Los datos guardados automáticamente tras detecciones se encuentran en:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\

Con Tamper Protection activo, el acceso local requiere un símbolo del sistema elevado. Convierta el snapshot a SQLite o JSON con SDR Exporter; no es un informe directamente legible. Registre el archivo de entrada, formato de salida y un hash calculado por su organización para el original, sin presentarlo como una certificación generada por Sophos.

Por defecto, el snapshot abarca las dos semanas anteriores. Cambie el periodo o seleccione All log data en Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots.

Carga en AWS S3

La carga a S3 desde Sophos Fusion solo está disponible desde Windows con XDR o MDR. La política IAM documentada por Sophos necesita s3:ListBucket y s3:PutObject para el bucket previsto. Sophos Fusion muestra AWS Account ID y External ID para la Trust Policy; un rol IAM nuevo puede tardar hasta cinco minutos en propagarse.

Guarde el nombre del bucket, directorio opcional y Role ARN en Forensic Snapshots. Sophos también recomienda una Bucket Policy restrictiva, cifrado AES-256 y una Lifecycle Rule para cargas multipart incompletas. No se admiten buckets cifrados con KMS ni caracteres especiales en el nombre. Las reglas del firewall deben permitir la conexión al bucket S3.

Una prueba piloto correcta no termina con el mensaje de Sophos Fusion. Compruebe que el objeto esperado está en el bucket y prefijo correctos y protegido por su política de conservación.

Limpiar, liberar y supervisar

Retire el aislamiento administrativo solo después de:

• investigar procesos y persistencia sospechosos;
• limpiar o bloquear aplicaciones maliciosas;
• rotar credenciales comprometidas cuando proceda;
• verificar el estado de actualización del agente y del sistema;
• confirmar que análisis, alertas, Threat Graph y Health no muestran amenazas activas sin explicar;
• definir responsable y periodo de supervisión.

Seleccione entonces Suggested next steps > Remove from isolation en el Threat Graph o el dispositivo en Admin Isolated Devices y Remove from Isolation. En el dispositivo correcto, compruebe que funcionan las conexiones empresariales necesarias, Sophos Fusion sigue recibiendo datos actuales y no aparece una nueva detección o aislamiento.

No libere manualmente el aislamiento automático. Resuelva la causa del estado local rojo. Si el dispositivo permanece rojo o no se libera automáticamente, conserve horas, eventos y detalles de Health y escale en vez de eludir el aislamiento o la protección con exclusiones amplias.

Errores habituales y pasos seguros

• La pestaña Live Response no se abre: permita ventanas emergentes de Sophos Fusion e inicie de nuevo la conexión de forma deliberada.
• La sesión termina inesperadamente: compruebe si se cerró, actualizó o abandonó la pestaña, o pasaron 30 minutos. Antes de reconectar, contraste la última entrada de auditoría y los cambios ya realizados.
• El dispositivo no aparece en Admin Isolated Devices: revise el estado local y la Threat Protection policy. Los dispositivos aislados automáticamente no aparecen allí.
• Live Response no conecta: revise asignación de política, licencia, rol, MFA y acceso al canal de gestión Sophos. Mantenga el aislamiento y no cree una excepción de red amplia.
• Un comando o artefacto no está claro: no modifique nada. Finalice y documente la sesión y continúe con Sophos Support, MDR o respuesta a incidentes.
• Falta el objeto S3: revise requisitos de Windows/licencia, bucket, Role ARN, Trust/IAM Policies y firewall, y repita la validación con un dispositivo piloto.