Bloquear direcciones IP comprometidas con Sophos Endpoint

Sophos Fusion puede impedir que los dispositivos Windows y Linux administrados se comuniquen con direcciones IPv4/IPv6 internas o externas y rangos CIDR especificados. Con Block compromised IP addresses, el administrador especifica las direcciones que se deben bloquear. Comprueba los indicadores antes de guardar: el nombre de la función por sí solo no confirma que una dirección esté comprometida. Esta función no admite macOS.

Elegir primero el punto de control correcto

Esta lista es adecuada cuando los endpoints Windows y Linux administrados deben dejar de comunicarse con un indicador IP confirmado. Para estas tareas debe utilizarse otro control:

• Un único endpoint sospechoso: aísle el dispositivo e investigue el incidente. La lista IP no sustituye la contención ni la corrección. Consulte Aislar Sophos Endpoint e investigar con Live Response.
• Todos los sistemas detrás de un gateway, incluidos los no administrados: bloquee la IP en Sophos Firewall o en el gateway de red responsable. La lista de Central solo protege endpoints administrados compatibles.
• Un host en switches Sophos o puntos de acceso AP6: utilice Active Threat Response. Esta función trabaja con hosts aislados o direcciones MAC y no es esta lista de destinos IP.
• Una acción MDR/XDR o un Threat Feed: es un flujo de respuesta independiente. Sophos exige un rol de administrador de Central para esta lista manual, pero sus instrucciones no requieren un paso de XDR.

Evaluar el impacto antes de guardar

Bloquee una dirección solo después de comprobar la fuente, el periodo de observación y las conexiones afectadas. Con alojamiento compartido, CDN, NAT o servicios cloud, una sola IP puede servir a muchos servicios legítimos. Un bloqueo CIDR amplio aumenta el impacto potencial.

Son especialmente críticos los servidores, los servicios DNS y de identidad, los sistemas de administración, los Update Caches y los Message Relays. El formulario de Central no documenta selectores de puerto, protocolo, aplicación ni una excepción allow dentro de la entrada. Prefiera una IP exacta a una red, asigne un responsable y defina una caducidad para indicadores temporales.

Bloquear una dirección IP en Sophos Fusion

Necesita un rol de administrador de Sophos Fusion. Según Sophos, los usuarios Help Desk no pueden utilizar esta función.

1. Abra el icono Global Settings.
2. Vaya a Protection and Remediation > Allow and Block > Network > Block compromised IP addresses.
3. Active Block communications with specified IP addresses.
4. Haga clic en Add e introduzca una dirección IPv4, IPv6 o un rango CIDR en Address.
5. En Expiry, elija la duración. El valor predeterminado es 7 days; también están disponibles 30 days y No expiry.
6. En Comment, registre al menos la fuente del IOC, el ticket, el responsable y la finalidad. El campo es opcional, pero hace mucho más segura la revisión posterior.
7. Haga clic en Confirm. Añada otras entradas individualmente si es necesario.
8. Haga clic en Save en la esquina superior derecha. Este último paso guarda la lista global.

La interfaz admite hasta 500 direcciones o rangos, añadidos individualmente. Para operaciones de respuesta mayores, Sophos remite a Endpoint API. Su operación POST /settings/blocked-addresses/bulk requiere el encabezado X-Tenant-ID y admite hasta 100 direcciones o rangos al mismo tiempo; cada elemento puede incluir un comentario y un valor expireInDays de 1 a 365. Autentíquese en la Endpoint API regional del tenant según la documentación de Sophos, en vez de aplicar el requisito de rol de la interfaz a un cliente de API.

Existe una discrepancia importante entre los documentos actuales de Sophos: la página de la función de Central indica Windows y Linux, mientras que la descripción de la operación masiva de Endpoint API afirma que solo está disponible en dispositivos Windows. Confirme con Sophos el comportamiento requerido en Linux antes de depender de una automatización por API. Mantenga los payloads en un proceso probado; no eluda el límite de la interfaz con scripts sin verificar.

Recomendación operativa: utilice primero 7 days para un IOC temporal. Reserve No expiry para infraestructura prohibida permanentemente y revísela con regularidad. La caducidad no sustituye la documentación del incidente.

Validar globalmente y revertir con seguridad

Como no existe alcance por grupo, no se puede activar el IOC real de forma segura solo en un dispositivo piloto. En su lugar, pruebe previamente el mecanismo con la IP exacta de un destino de prueba dedicado y prescindible:

1. Desde un dispositivo de prueba Windows o Linux administrado, confirme que el destino es accesible antes del cambio.
2. Añada solo esa IP de prueba con 7 days y un comentario de prueba inequívoco; después haga clic en Save.
3. Tras la siguiente comunicación correcta del endpoint con Central, repita el mismo acceso. El dispositivo administrado ya no debería poder comunicarse con el destino.
4. Pruebe desde un dispositivo de control no administrado. La conexión debería seguir funcionando, lo que distingue la acción del endpoint de una caída del destino o una regla de firewall.
5. Seleccione la entrada de prueba, haga clic en Delete y luego en Save. Confirme que el dispositivo administrado puede volver a conectarse.

Para el IOC real, identifique antes de guardar las aplicaciones y conexiones empresariales afectadas. Avise al service desk y al responsable del incidente durante el despliegue y prepare la eliminación inmediata.

Resolver problemas según el síntoma

La conexión sigue funcionando

• Confirme que Block communications with specified IP addresses está activado y que hizo clic en Save después de Confirm.
• Compruebe que el dispositivo ejecuta Windows o Linux. macOS no es compatible.
• Verifique que el endpoint puede contactar con Sophos Fusion y recibir los cambios actuales.
• Resuelva o inspeccione el destino usado realmente por la aplicación. Un hostname puede devolver varias direcciones IPv4 e IPv6; esta lista bloquea direcciones IP, no nombres de dominio.
• Compruebe la dirección, la familia IP y el prefijo CIDR. No amplíe inmediatamente el rango de red.

Sophos no publica en la página de la función un tiempo fijo de propagación, un evento dedicado ni una versión mínima del agente. Si el acceso sigue funcionando pese a una lista correcta y una comunicación saludable con Central, registre la hora, el endpoint, la IP de destino y el método de prueba, y escale el caso a Sophos Support.

Un servicio legítimo deja de funcionar

Seleccione la entrada concreta, haga clic en Delete y en Save. Verifique la recuperación desde el endpoint administrado afectado. No deje desactivada toda la función: compare el IOC y la IP de destino con la resolución DNS, el alojamiento compartido, el CDN y las dependencias del servicio; después aplique un bloqueo más limitado o utilice un punto de control más adecuado.

Un bloqueo IP no cierra un incidente activo. Continúe aislando los dispositivos afectados e investigando procesos, persistencia, credenciales y otros destinos.

Preguntas frecuentes