Planificar roles y permisos de Sophos Fusion Endpoint
Los roles de Sophos Fusion (antes Sophos Central) afectan a más elementos que los menús visibles para un administrador de Endpoint. El acceso al producto, el Access Type y las capacidades adicionales determinan conjuntamente si puede modificar políticas, iniciar Live Response, activar cargas en Data Lake, desactivar Tamper Protection o sacar un equipo del aislamiento.
El runbook de Central sobre roles administrativos explica la selección, asignación y revisión de los roles predefinidos y personalizados para todo el tenant. Este artículo se centra en sus efectos sobre Endpoint y XDR, sin repetir la creación de usuarios, los cambios de rol ni el offboarding.
Utilizar un Endpoint Custom Role en lugar de acceso completo general
Solo un Super Admin puede crear un Custom Role en Global Settings > Access Control > Admins and Roles > Roles > Add role. Se basa en un rol estándar y recibe para cada producto un Access Type como Full, Help Desk, Read-only o None.
Introduzca un Name claro y una Description que indique el propósito, seleccione el Base role y defina el Access Type de cada producto. En las opciones adicionales de acceso y administración del Custom Role, active únicamente las capacidades necesarias y seleccione Save. Después, abra el rol, seleccione Edit junto a Role Members, elija los administradores y vuelva a guardar. Las opciones adicionales solo se aplican a los productos seleccionados; Enable global search management requiere Endpoint Protection o Server Protection con Full.
Un rol práctico de Help Desk para Endpoint puede configurarse así:
- rol base
Help Desk - producto
Endpoint Protection - Access Type adecuado para la tarea real
- todos los productos innecesarios configurados como
None - Logs y Reports solo cuando sean necesarios para la operación
- decidir por separado la administración y la asignación de políticas
- no habilitar automáticamente Live Response, Data Collection y el aislamiento
Después de cada cambio de rol, se comprueba con una cuenta de prueba qué menús, dispositivos y acciones están realmente disponibles. El nombre del rol no demuestra sus permisos.
Shared Settings requieren permisos para varios productos
Algunos ajustes son compartidos por Endpoint y Server. Si un Custom Role no tiene acceso a ambos productos, parte de estos Shared Settings permanece en modo de solo lectura. Algunas funciones requieren además acceso a Encryption.
Entre los ajustes compartidos se encuentran:
- Tamper Protection
- aplicaciones permitidas
- Website Management
- configuración de proxy
- Blocked Items
- uso del ancho de banda
- reglas DLP y Content Control Lists
- rechazo de conexiones de red hacia dispositivos no seguros
- XDR Threat Analysis Center
Esta es una causa frecuente por la que un supuesto rol Endpoint Full no puede modificar una exclusión global o un ajuste compartido. La solución no es asignar automáticamente Super Admin, sino ampliar deliberadamente el Custom Role.
Asignar por separado los permisos de políticas
Sophos distingue entre administrar y asignar políticas:
- Enable policy management permite crear, editar y eliminar políticas.
- Enable policy assignment permite activar o desactivar políticas existentes y asignar usuarios, grupos, dispositivos o grupos de dispositivos.
Por tanto, un equipo de operaciones puede asignar políticas sin poder modificar la propia línea base de protección. A la inversa, un equipo de seguridad puede mantener el contenido de las políticas mientras que las asignaciones productivas siguen un proceso de cambios. Estructurar correctamente las políticas de Sophos Fusion Endpoint describe la estructura y la prioridad.
Live Response y recopilación de datos
El permiso para iniciar una sesión de Live Response se asigna expresamente. Un rol personalizado necesita el rol base Full o Help Desk, Endpoint Protection con el tipo de acceso Full y permiso para iniciar sesiones en equipos. El permiso para servidores se configura por separado y requiere Server Protection. Live Response requiere una licencia de Sophos EDR, XDR o MDR.
La administración de Live Response y las cargas en Data Lake también constituye un permiso independiente. Manage Data Collection and Investigation settings for computers requiere Endpoint Protection con Full; la opción equivalente para servidores requiere Server Protection. Por tanto, Start Live Response sessions on computers, la opción separada para servidores y la activación en la Policy son tareas distintas.
Existe una limitación actual para los MSP: quien abra el tenant del cliente desde Sophos Fusion Partner no puede crear actualmente este Live Response Custom Role. En ese contexto, la ausencia del botón no es un error de permisos local.
Live Response proporciona una potente consola remota. La autorización por roles, MFA, la auditoría y el desarrollo de la sesión se explican en Aislar un Sophos Endpoint e investigarlo con Live Response.
Tamper Protection y aislamiento
La desactivación de Tamper Protection y la retirada de un equipo del Admin Isolation no se habilitan de forma implícita mediante el acceso general de Help Desk. Para estas opciones, Sophos exige un Custom Role con el rol base Help Desk, Endpoint Protection y el Access Type Full.
Estos permisos solo se conceden a personas que ejecuten un proceso documentado de mantenimiento o incidente. Rara vez resulta apropiado concederlos permanentemente a todo el soporte de primer nivel.
Permisos XDR adicionales
Con una licencia XDR, los roles estándar obtienen posibilidades adicionales:
- Super Admin y Admin pueden solicitar Intelligence Reports, administrar entradas de Clean and block, consultar Blocked Items, solicitar On-Demand Threat Graphs, aislar o liberar dispositivos y solicitar Forensic Snapshots.
- Help Desk puede solicitar Intelligence Reports y Threat Graphs, consultar Blocked Items y solicitar Forensic Snapshots, pero no ejecutar todas las acciones de respuesta.
- Read-only puede consultar Intelligence Reports, Blocked Items y On-Demand Threat Graphs existentes.
La interfaz real también depende de la licencia, la asignación del producto y la fuente de datos. Por ello, las funciones XDR se prueban con un dispositivo representativo. Administrar Sophos XDR Cases y Detection Suppression Rules explica Cases, Suppression Rules y datos de exposición.
Validación y resolución de problemas
Realice la aceptación con un administrador de prueba y un ordenador representativo; añada un servidor para los permisos de servidor. Compruebe por separado el inicio de sesión, los productos visibles, Logs & Reports, la edición y asignación de Policies y cada acción de respuesta autorizada. Las pruebas negativas deben confirmar que los productos, ajustes y acciones no autorizados no aparecen o son de solo lectura. Documente la pertenencia al rol y revise los Audit Logs.
Si falta una función o aparece desactivada, compruebe primero la licencia y la fuente de datos. Verifique Role Members, vuelva a iniciar sesión y compare Base role, producto, Access Type y opción adicional. Para Shared Settings, compruebe el acceso combinado a Endpoint, Server y, si corresponde, Encryption. Para Live Response, compruebe también la Policy Data Collection and Investigation: el permiso para iniciar una sesión no activa la función. Por último, descarte el acceso mediante Sophos Fusion Partner y el bloqueo de la nueva pestaña por el navegador. Registre tenant, usuario, rol, página de producto, dispositivo, hora y resultado de la prueba negativa antes de escalar.