Investigar Detections y Threat Graphs de Sophos Endpoint

Una Detection muestra actividad inusual o sospechosa que Sophos no ha bloqueado ya como amenaza conocida. Por tanto, es una señal que debe investigarse, no la prueba de una defensa eficaz ni tampoco un incidente confirmado. Threat Lineage representa los procesos que llevaron a una Detection. Para una detección de malware, un Threat Graph muestra la Root Cause, la ruta del ataque y los artefactos afectados.

El flujo seguro resumido es: delimitar la Detection, leer los detalles y los datos sin procesar, examinar Lineage o Threat Graph, buscar apariciones similares y contener o corregir solo cuando haya evidencias suficientes. Cases y las acciones de respuesta se tratan aquí únicamente como puntos de transferencia; las Detection Rules personalizadas, la gestión de Cases y Live Response pertenecen a las guías enlazadas.

Requisitos, plataformas y roles

El tenant necesita Sophos EDR, XDR o MDR para Threat Analysis Center > Detections y Threat Lineage. Los productos implicados deben cargar datos en Sophos Data Lake. Sin esa telemetría no se generan Detections para este flujo.

Los Threat Graphs están disponibles con Sophos Endpoint, EDR, XDR o MDR, pero actualmente solo para dispositivos Windows y Mac. Las detecciones de Deep Learning de aplicaciones potencialmente no deseadas (ML PUA) no crean un Threat Graph. Sophos indica para ello la consulta de Live Discover Threat Hunting, en la que se busca el nombre de archivo notificado o su SHA-256; aquí no se reproduce la consulta concreta.

Ver un graph y responder desde él no requieren el mismo permiso:

• Super Admin y Admin pueden solicitar y ver Intelligence Reports, ver elementos bloqueados, solicitar y ver Threat Graphs bajo demanda, aislar dispositivos o retirar su aislamiento, gestionar Clean and block y solicitar Forensic Snapshots.
• Help Desk puede solicitar y ver Intelligence Reports, ver elementos bloqueados, solicitar y ver Threat Graphs bajo demanda y solicitar Forensic Snapshots, pero no puede aislar ni gestionar Clean and block.
• Read-only, con XDR, puede ver intelligence, elementos bloqueados y Threat Graphs bajo demanda, pero no puede ejecutar ninguna de estas acciones de respuesta.
• Un rol personalizado necesita el permiso correspondiente en cada caso. Para retirar un aislamiento administrativo, Sophos exige expresamente Super Admin, Admin o una Custom Role que tenga ese permiso.

Los botones que un administrador ve realmente dependen además de la licencia, la fuente de la Detection y la Severity. Por eso, ante una acción que no aparece, comprueba primero esos tres requisitos y solo después considera que pueda tratarse de un error de la interfaz.

1. Hacer el triaje de Detections

Abre Threat Analysis Center > Detections. Las Detections pueden proceder de productos Sophos y, mediante integraciones MDR/XDR, también de productos de terceros. El gráfico de barras y la lista muestran de forma predeterminada las últimas 24 horas. En el gráfico, el control deslizante acorta o amplía el periodo visible; al pasar el cursor sobre un segmento de una barra aparece el número de coincidencias y, al hacer clic, se filtra por esa Severity. En el menú temporal, elige un intervalo habitual o absoluto y revisa Severity, Type, Detection, Time, Entity, Category, Source y la asignación MITRE ATT&CK. Actualmente, Type distingue entre Threat y Vulnerability; Category identifica el tipo de fuente, como Endpoint, Network, Firewall, Email, Cloud, ID provider o Platform. Las Platform Detections correlacionan eventos de varias fuentes que parecen no estar relacionados. En Show filters puedes limitar, entre otros criterios, por Severity, Type, usuario, dispositivo y MITRE ATT&CK Tactic. Los nombres de usuario y dispositivo se introducen libremente; en listas de selección largas está disponible Select all. Apply aplica los filtros y Reset to defaults los elimina. El filtrado y la ordenación funcionan tanto en la vista agrupada como en la no agrupada; Severity se ordena por Priority.

Para una NDR Detection, correlaciona Category, Source, el intervalo de tiempo, la IP de origen y la IP de destino con los datos del appliance o sensor que registraste antes de la prueba autorizada. Una detección de prueba de Sophos NDR autorizada solo demuestra que funciona la ruta de captura y detección comprobada en esa prueba. No demuestra una cobertura completa de la red ni un incidente real.

Asocia a la prueba únicamente la coincidencia correlacionada de forma inequívoca. Las señales NDR adicionales o divergentes deben seguir el triaje XDR o MDR habitual. Sophos Support puede aislar errores de producto o de la ruta de datos, pero no investiga una Detection. La vista Detections sigue requiriendo una licencia EDR, XDR o MDR; NDR por sí solo no es suficiente.

Group by > Detection ID agrupa los eventos que han coincidido con la misma regla. Para evaluar el alcance, cambia también a la vista no agrupada: varias filas pueden corresponder a distintos dispositivos o momentos de una misma técnica. El menú de tres puntos permite abrir una Detection en una pestaña nueva o copiar su enlace. Para realizar comparaciones, abre varias Detections en pestañas independientes en lugar de cotejar de memoria los valores de paneles de detalles que van cambiando.

El primer triaje responde a cuatro preguntas:

1. ¿Qué dispositivo y usuario están afectados?
2. ¿Qué procesos, líneas de comandos y horas corresponden a la Detection?
3. ¿Se espera esa actividad para ese usuario, dispositivo y periodo?
4. ¿Hay Detections similares, Alerts adicionales u otros dispositivos afectados?

Haz clic en la fila para abrir el panel de detalles. Allí, Copy device name copia el nombre del dispositivo, Open device details abre el dispositivo y Detections on device muestra sus demás Detections. Similar detections filtra la lista principal por resultados comparables. Raw Data muestra los datos subyacentes cuando el resumen no basta. Las opciones pivot inician una consulta disponible de Live Discover o Data Lake; Enrichments abre las fuentes de threat intelligence disponibles, como VirusTotal o un informe existente de SophosLabs Intelix. Según el contexto, Actions puede ofrecer un análisis o Live Response. Utiliza solo los pivots que ofrece Central y comprueba su periodo y destino, en vez de adoptar una consulta de ejemplo no verificada. Una valoración de SophosLabs solo aparece si el software antimalware ha enviado el archivo o si un administrador ha solicitado intelligence actualizada.

Los puntos de partida habituales son comandos inusuales relacionados con Discovery, persistencia, evasión o Credential Theft, Alerts de malware como Dynamic Shellcode Prevention, Detections de ejecución en Linux como un Container Escape, así como indicios de software obsoleto o navegadores poco seguros. Estos ejemplos ayudan a priorizar la investigación, pero por sí solos no confirman un ataque. Despliega la táctica MITRE, comprueba la técnica asignada y, si hace falta, abre su página de MITRE. Decide después basándote en los datos concretos del proceso y el dispositivo.

2. Leer Threat Lineage

En los detalles de la Detection, abre la pestaña Lineage y selecciona Open Lineage Graph. Como alternativa, abre un Case en Threat Analysis Center > Cases y cambia allí a Detections. Si no aparece la pestaña, esa Detection no admite la función. Si todavía no hay ningún graph, aparece Generate. Cuando una Detection genera un Case, Sophos crea el graph automáticamente.

La Lineage distingue procesos normales, procesos afectados, el activador de la Detection y las actividades principales; la leyenda muestra el símbolo y el número de cada tipo. El graph contiene la ruta de procesos hasta la Detection y también puede mostrar procesos y actividades que se bifurcan desde ella. Pasa el cursor sobre un proceso para ver los datos básicos y la línea de comandos, abre los pivots de Live Discover disponibles mediante los tres puntos del proceso o junto a un valor en Info, y haz clic en el proceso para consultar Info y Activities. Una Lineage creada automáticamente ya muestra actividades en un proceso afectado; en una Lineage generada manualmente, Enrich carga primero tres días desde el inicio del proceso y añade otros tres con cada clic posterior. El principio de la línea de tiempo de Enrich señala la fecha y hora de la Initial Detection. Las actividades se pueden filtrar por tipo y acción, y desplegar para ver los datos sin procesar. El icono del ojo junto a un proceso relacionado lo incorpora al graph. La búsqueda de la parte superior izquierda muestra coincidencias en Info, Activities y Matching Results. El botón de exportación guarda la Lineage como CSV; si la exportación falla, selecciona primero un proceso y vuelve a iniciarla.

El graph permanece disponible durante siete días. Puede volver a generarse mientras se conserven los datos de XDR Data Lake, periodo que Sophos describe como normalmente de 90 días. No es una garantía para todos los tenants. Un comentario de IA disponible sobre la línea de comandos puede aportar pistas, pero no sustituye comprobar la ruta, el proceso padre, el usuario, la hora y los datos sin procesar.

3. Analizar un Threat Graph

Abre Threat Analysis Center > Threat Graphs y haz clic en el nombre de un graph. La lista contiene los últimos 90 días y puede filtrarse por Device, Status o Priority. La búsqueda encuentra graphs por usuario, dispositivo o nombre de amenaza; las columnas se pueden ordenar. Según la vista, la lista muestra Status, hora de creación, Priority, Name, administrador que lo generó, usuario, dispositivo y tipo de dispositivo. Con una licencia MDR, Sophos separa en pestañas los graphs creados automáticamente, los creados por administradores de Central y los creados por MDR; Sophos indica actualmente que la pestaña de los generados por MDR no se utiliza. Sin MDR no existe esa división en pestañas.

Recorre la página de detalles en este orden:

1. En Summary, lee Root cause, Possible data involved, dispositivo, usuario y hora.
2. En Suggested next steps, comprueba la Priority establecida automáticamente, pero modificable, y el Status establecido de forma predeterminada en New. Después de cambiarlo a In progress, el Status no puede volver a New. Si se ofrece la acción, Scan the device inicia un análisis; la comprobación del resultado se describe en la guía de Threat Cleanup.
3. Cambia a Analyze. Show full graph es la vista predeterminada y muestra Root Cause, el elemento detectado, las aplicaciones, los archivos y las Registry Keys afectados, así como sus relaciones. Show direct path reduce la vista a la ruta directa desde Root Cause hasta el elemento detectado.
4. Haz clic en los elementos relevantes. Process details muestra, entre otros datos, reputación global, ruta, nombre, línea de comandos, Process ID, usuario que lo ejecuta, SHA-256, inicio, fin y duración.
5. Si aparece No current intelligence on this file, el archivo todavía no se ha enviado. Utiliza Request latest intelligence solo si se permite enviar el archivo a SophosLabs: Central solicita entonces al equipo que lo cargue. La nueva valoración, con reputación y prevalencia, suele aparecer al cabo de unos minutos. La escala va del rojo para un archivo malicioso conocido al verde para uno seguro conocido; el naranja puede indicar simplemente un archivo nuevo. La reputación, la prevalencia y las características de Machine Learning se valoran junto con el origen y el comportamiento.
6. Mediante la selección de tipos del graph, muestra únicamente las clases de artefactos que necesites en ese momento. Después, comprueba en la Artifacts list al menos Name, Type, Reputation, Time logged e Interactions; al hacer clic en el nombre se abren los detalles. Si es necesario, exporta la lista mediante Export to CSV. Graph record muestra el historial desde que Sophos o un administrador creó el graph y admite comentarios sobre los pasos de la investigación.
7. Si la telemetría central no basta, selecciona un snapshot en Analyze > Create forensic snapshot, pero solo después de aclarar la ubicación de almacenamiento, el acceso y el método de análisis. Es posible que las opciones de configuración aún no estén disponibles en todos los tenants. El acceso local exige la contraseña de Tamper Protection y un símbolo del sistema con privilegios elevados. La guía sobre aislamiento y Live Response describe las rutas locales, la carga en S3 y la conversión.

Interpretar la intelligence avanzada de archivos

Con XDR, Process details amplía los datos básicos con Report summary, Machine learning analysis, Code similarity, File properties y File breakdown. Prevalence, First seen y Last seen describen la difusión en SophosLabs, no si el archivo es benigno en tu tenant. La vista de Machine Learning evalúa, entre otros elementos, imports, cadenas sospechosas, compilador, mitigaciones de exploits, recursos, indicios de packers, características PEiD, direcciones de Bitcoin y constantes criptográficas sospechosas. Code similarity compara el archivo con archivos conocidos tanto seguros como maliciosos.

En File properties figuran, por ejemplo, producto, tipo, copyright, fabricante, versión, tamaño y marcas de tiempo. File breakdown muestra las secciones PE, incluido su tamaño en disco y en memoria, entropía y propiedades Read/Write/Execute; los imports y exports de PE muestran las DLL y API utilizadas, así como las funciones proporcionadas. Ninguna característica aislada demuestra que el archivo sea malicioso. Valora conjuntamente firma, origen, cadena de ejecución, comportamiento, prevalencia y coincidencias de la comparación, y utiliza Search for item para evaluar el alcance antes de plantearte Clean and block. Un administrador autorizado controla los archivos bloqueados en Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items.

Sophos crea automáticamente un Threat Graph cuando detecta malware que requiere más investigación. No se aplica a todos los avisos de seguridad. En particular, las ML PUA Detections no crean ningún graph. Si una Detection no tiene graph, continúa con sus detalles, Raw Data y la Lineage compatible en lugar de interpretar la ausencia como una confirmación de seguridad.

Solo se puede generar un Threat Graph bajo demanda desde resultados de Live Discover en los que Central ofrezca la acción: abre Threat Analysis Center > Live Discover, selecciona una consulta compatible, define los dispositivos de destino si es una Endpoint Query o el periodo si es una Data Lake Query y ejecuta la consulta. Las Data Lake Queries incluyen siempre todos los endpoints. En los resultados, abre el menú de tres puntos junto a Path y selecciona Actions > Generate a threat graph. El graph aparece después en la pestaña Admin generated. La disponibilidad depende de la consulta, la licencia y el rol. Sophos Endpoint Data Collection y Live Discover explica los fundamentos de las consultas.

4. Transferir correctamente el Case y la respuesta

Cases también requiere EDR, XDR o MDR. Si varias Detections están relacionadas o necesitan un responsable, márcalas en Threat Analysis Center > Detections. Actions > Add to Case las asigna a un Case existente; después, el nombre del Case aparece en la columna Cases y en la parte inferior del panel de detalles de la Detection. Actions > Create Case solicita nombre, descripción, Severity, Status (New o Investigating) y Assignee. Sophos utiliza Critical para una vulneración confirmada o un acceso no autorizado, High para indicios de un ataque dirigido, Medium para una actividad que quizá no sea maliciosa por sí sola, Low para hallazgos sin indicios de un Health State deficiente o una vulneración e Info, normalmente, para las comprobaciones iniciales del estado.

Durante su gestión, los Self-managed Cases pueden estar en Investigating, On Hold o Resolved; el Status puede cambiarse incluso antes de asignar un Owner. Los Sophos-managed Cases utilizan Investigating, Action required o Resolved; Action required exige una acción del cliente y notifica a los contactos. La cabecera de la página de detalles muestra Severity, Status y Owner, además de las horas de creación, asignación y modificación. Overview contiene el resumen, las técnicas MITRE, los dispositivos, los usuarios y las últimas actividades; Detections, Notebook e History separan los hallazgos, las notas de investigación y los cambios. En un Self-managed Case, Ask Sophos AI puede ayudar en la investigación; aun así, el resumen y el análisis de la línea de comandos deben contrastarse con los datos sin procesar y la cronología. Con MDR, el equipo de MDR redacta el resumen; con XDR, lo crea el propio cliente o lo hace con Sophos AI. El cliente no puede modificar por sí mismo un Sophos-managed MDR Case, pero puede intercambiar mensajes y archivos adjuntos mediante Messages. Los mensajes llegan al equipo de MDR y también se copian a los contactos autorizados.

Si la lista de Cases permanece vacía, espera primero a que se creen automáticamente y comprueba después si existe alguna Detection. Para productos Sophos, revisa la carga a Data Lake; para fuentes de terceros, revisa la integración de Data Ingest. La gestión propiamente dicha de Cases queda fuera de este flujo de investigación y se explica en Gestionar Sophos XDR Cases y Detection Rules. Sophos Support no investiga Detections individuales; MDR es el servicio previsto para supervisión y respuesta 24/7. Si sospechas que hay una intrusión activa, Sophos Rapid Response es la vía independiente de asistencia inmediata de pago.

La respuesta solo se inicia después de obtener un hallazgo sólido:

• Para un graph de alta prioridad con licencia XDR, Suggested next steps > Isolate this device ofrece el aislamiento, salvo que el dispositivo ya se haya aislado automáticamente. La gestión desde Central y el envío de archivos siguen disponibles.
• Search for item busca con XDR otras apariciones. Si se muestran resultados, la página ofrece aislar los dispositivos afectados.
• Clean and block es una acción XDR para un archivo confirmado como malicioso. Limpia el archivo, los archivos relacionados y las Registry Keys en los dispositivos Windows donde se hayan encontrado, y bloquea el archivo en todos los dispositivos Windows. No es una prueba para una valoración incierta.
• Un administrador autorizado gestiona varios dispositivos aislados administrativamente mediante el icono Global Settings y Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Esta lista no incluye los dispositivos que se han aislado automáticamente debido a un Health Status rojo.

Antes de retirar el aislamiento, comprueba otras apariciones, la persistencia, la corrección y el estado del dispositivo. El aislamiento práctico y el acceso controlado al terminal se describen en la guía independiente Aislar Sophos Endpoint e investigar con Live Response. Para la limpieza de malware, los avisos de exploits y los falsos positivos, consulta Threat Cleanup y eliminación de malware en Sophos Endpoint.

Criterios de cierre

No cierres un Threat Graph únicamente porque la reputación parezca inocua. Registra al menos Root Cause, los dispositivos y usuarios afectados, los valores SHA-256 relevantes, la búsqueda del alcance, las acciones ejecutadas y sus resultados. Comprueba después que no se ven más apariciones, que los dispositivos previstos vuelven a comunicar un Health State plausible y que los Cases necesarios tienen un Owner y un Status trazable. Solo entonces marca el graph en la lista y ciérralo mediante Close.

Preguntas frecuentes