Sophos MDR: configurar contactos y Threat Response

Sophos MDR exige al menos un contacto autorizado antes de poder configurar otros ajustes MDR o utilizar el servicio. Para la operación, Avanet recomienda al menos dos contactos localizables. Después se debe decidir conscientemente si el equipo MDR puede responder por su cuenta o necesita autorización previa. Un contrato activado no sustituye esta preparación.

En Sophos Fusion (antes Sophos Central), el icono Global Settings lleva a Products & Services > MDR: guardar primero Authorized Contacts, aprobar y guardar después Threat Response y completar a continuación Additional Settings. Por último, volver a abrir las tres pestañas y compararlas con el estado previsto aprobado. Esta comprobación no provoca ningún ataque ni acción de respuesta.

Aclarar responsabilidades y acceso antes de configurar

Se necesita una licencia MDR activa en la cuenta de cliente correcta y un acceso administrativo que permita editar los ajustes MDR. Tras activar la licencia, Sophos Fusion puede solicitar la configuración en el primer inicio de sesión. Los ajustes siguen disponibles posteriormente en Global Settings > Products & Services > MDR. Si faltan pestañas u opciones de edición, comprobar cuenta, licencia y permisos efectivos; el rol de un contacto seleccionable no demuestra un rol mínimo general para todos los cambios de ajustes.

Antes de un cambio, registrar en un ticket de cambio con acceso restringido los contactos actuales y su orden, números de teléfono, opciones de notificación, modo de respuesta y estado de la casilla Collaborate. En una configuración inicial, documentar en su lugar el estado previsto acordado. Los contactos deben saber que atenderán consultas MDR y facilitarán una decisión interna, también fuera del horario de oficina.

1. Introducir y guardar Authorized Contacts

Los contactos MDR son la vía oficial de comunicación entre el equipo MDR y la organización. Ante una amenaza activa, Sophos intenta localizar a los contactos configurados por orden hasta que alguien responda. Esta configuración es distinta de Authorized Contacts en Managed Risk; los contactos guardados allí no sustituyen la configuración MDR.

1. Abrir el icono Global Settings y seleccionar Products & Services > MDR > Authorized Contacts.
2. En Primary, seleccionar al administrador de Sophos Fusion previsto. Son válidos Super Admin, Admin o Help Desk. Si falta una cuenta adecuada, Create new Central administrator permite crearla. Asignar los roles administrativos según la tarea real, sin ampliar a Super Admin por precaución.
3. Introducir los datos de contacto. Comprobar que el teléfono incluya el prefijo internacional; para números existentes sin él, la página puede solicitar que se añada. Lo decisivo es que la persona responsable esté realmente localizable en ese número.
4. Si es necesario, seleccionar Secondary y Tertiary y completar sus datos. Se permiten así hasta tres contactos en total. Como mínimo, Primary es obligatorio; un segundo contacto cubre ausencias. El orden debe ajustarse al proceso interno de guardias.
5. Revisar conscientemente las casillas de exclusión de MDR reports y broadcast announcements. Afectan a esos correos y no sustituyen una vía funcional de comunicación de incidentes.
6. Seleccionar Save. Salir de la pestaña, volver a abrirla y comprobar la selección, el orden, los teléfonos y el estado de las exclusiones guardados.

Avanet prefiere cuentas claramente asignadas y una suplencia organizada. Sophos también describe cuentas administrativas con una dirección de lista de distribución y recomienda Help Desk por sus menores privilegios. Una lista por sí sola no demuestra disponibilidad telefónica ni responsabilidad clara; no se conceden privilegios ampliados a una cuenta solo para recibir notificaciones.

2. Elegir Threat Response de forma consciente

En Global Settings > Products & Services > MDR > Threat Response hay tres modos para MDR y MDR Plus. La selección establece las facultades; el alcance concreto del servicio depende además del servicio contratado y de los accesos técnicos disponibles.

• Authorize: El equipo MDR puede realizar medidas de contención de forma autónoma e informa después de las acciones ejecutadas. Según el alcance actual, la neutralización completa corresponde a MDR Plus. Las tareas que Sophos no puede realizar siguen siendo responsabilidad de la organización.
• Collaborate: El equipo MDR investiga y coordina la respuesta con los contactos. Antes de las acciones de respuesta necesita autorización verbal o escrita, o la participación activa de la organización. Debe haber alguien localizable internamente y con capacidad de decisión.
• Notify Only: El equipo MDR notifica a los contactos y solo puede investigar de forma limitada. No puede contener ni neutralizar amenazas. Este modo no equivale a un proceso de respuesta operativo y no se recomienda para un uso prolongado.

Sophos recomienda Authorize o Collaborate. Antes de guardar, decidir con los responsables de incidentes qué opción encaja: ¿debe Sophos poder contener inmediatamente una amenaza confirmada o puede la organización proporcionar de forma fiable todas las autorizaciones necesarias?

La casilla de Collaborate es una autorización previa adicional

En Collaborate se puede permitir por separado que el equipo MDR actúe como en Authorize si, tras intentar contactar telefónicamente con todos los contactos configurados, no recibe confirmación. Sin esta casilla sigue siendo necesaria la autorización previa a las acciones de respuesta. No existe un cuarto modo al mismo nivel.

Registrar expresamente la aprobación de esta alternativa en el ticket de cambio. Seleccionar únicamente Collaborate no indica si se ha aprobado la alternativa. Tampoco debe suponerse un tiempo de espera fijo antes de intervenir.

Después de decidir, seleccionar el modo deseado y, si procede, la casilla, y pulsar Save. Volver a abrir la pestaña y comparar ambos valores por separado con el estado aprobado. Si hay diferencias, no dar por aplicado el cambio; aclarar la cuenta, la selección guardada y los posibles cambios simultáneos.

3. Delimitar Live Response y los dispositivos sensibles

Con Authorize, Sophos solicita activar Live Response. Este acceso permite al equipo MDR trabajar en los dispositivos. Un modo de respuesta aprobado no demuestra por sí solo una política efectiva de dispositivo ni una integración de respuesta configurada.

Antes de autorizar, agrupar por separado los equipos o servidores sensibles a los que MDR no deba acceder mediante Live Response. En My Products > Endpoint > Policies o My Products > Server > Policies, aplicar a ese grupo una política Data Collection and Investigation con Live Response desactivado. Las políticas de equipos y servidores se tratan por separado. Antes de guardar, comprobar el alcance del grupo y la asignación anterior para no abrir ni bloquear accidentalmente el acceso a todo el parque.

Tras el cambio, comprobar la asignación efectiva y el ajuste de Live Response tanto en un dispositivo previsto como en uno excluido. No iniciar ninguna sesión para ello. Desactivar Live Response no es una exclusión general de MDR, de otras protecciones ni de todas las acciones de respuesta; limita este acceso al dispositivo. La excepción puede dificultar la investigación o la limpieza y necesita por tanto un responsable local. Aislamiento y Live Response explica los límites detallados de políticas, roles y acceso.

Preparar por separado las acciones sobre productos de terceros mediante las integraciones MDR y XDR. La ingesta de datos no concede automáticamente permisos de escritura en el sistema de origen. Del mismo modo, la acción local del feed del firewall Log only o Log and drop sigue separada del modo de respuesta MDR; para ella se aplica el runbook MDR Threat Feeds.

4. Comprobar el contexto de la organización y los agentes

En Global Settings > Products & Services > MDR > Additional Settings, introducir el Industry Vertical adecuado, la ubicación principal de la organización y las subredes utilizadas realmente. Este contexto ayuda al equipo MDR a interpretar las actividades. Introducir información real del inventario aprobada internamente, no redes de ejemplo ni rangos genéricos ajenos al entorno. A continuación, seleccionar Save, volver a abrir la pestaña y comparar los valores guardados.

Para utilizar MDR, cada equipo o servidor afectado necesita un agente Sophos compatible con MDR. Configurar los contactos no instala ningún agente ni proporciona por sí solo telemetría. Si faltan dispositivos o el estado de los agentes es incierto, continuar el inventario con el procedimiento de incorporación de Endpoint. No aceptar la configuración como completa mientras sigan sin aclararse los dispositivos y las fuentes de datos previstos.

Validación sin ataque ni prueba de respuesta

La validación se basa en la configuración guardada y la disponibilidad organizativa, no en una Detection generada artificialmente:

1. Volver a abrir Authorized Contacts, Threat Response y Additional Settings. Comparar los valores guardados con el ticket aprobado; para Collaborate incluir expresamente la casilla.
2. Confirmar internamente con Primary y su suplente los teléfonos, prefijos internacionales, disponibilidad y vía de autorización de incidentes. Una llamada interna de control acordada puede comprobar el número guardado, pero no demuestra la vía de llamada desde Sophos.
3. Comprobar con la administración de correo si mensajes MDR auténticos existentes llegan a los destinatarios previstos y no están en spam o cuarentena. Sin esa evidencia, la entrega externa de correos MDR sigue sin verificar. Ni una prueba interna de correo ni un contacto guardado la demuestran. Sin datos de remitentes actuales verificados, no permitir dominios completos ni desactivar la inspección del correo.
4. Comprobar el parque de agentes previsto, las políticas Live Response efectivas y las excepciones documentadas. No iniciar una shell remota, aislamiento ni otra acción de producción para la validación.
5. Documentar responsables, fecha de comprobación y cuestiones pendientes de entrega o inventario. Las evidencias que falten siguen pendientes y se aclaran con MDR o la administración de correo; no se sustituyen por un incidente de prueba.

Durante la operación posterior, las acciones requeridas al cliente se rigen por los límites de estado y responsabilidad de cada Case. Assignee y Managed By no son intercambiables. Los procedimientos separados de Classic y los Cases MDR actuales se describen en Cases y Detection Rules.

Si la configuración no coincide con el estado previsto

• Todavía no se pueden utilizar otros ajustes MDR: Comprobar primero que al menos Primary esté completo en la cuenta de cliente correcta y guardado mediante Save. No utilizar como sustituto la página Managed Risk del mismo nombre.
• La persona deseada no aparece en Primary: Comprobar su cuenta administrativa y su rol. Super Admin, Admin o Help Desk son los roles de contacto documentados; el rol de contacto y los permisos de edición de otras funciones siguen separados.
• MDR no logra localizar a nadie: Comprobar orden, prefijo internacional, suplencias y disponibilidad real de guardia. No deducir una respuesta automática de Collaborate mientras la casilla adicional no esté aprobada conscientemente y guardada.
• Falta un mensaje: Comprobar la asignación de destinatarios, la cuarentena y los registros de entrega existentes. Una lista de permitidos concreta solo se acuerda con remitentes MDR actuales y verificados, no a partir de una dirección supuesta.
• Live Response sigue permitido en un dispositivo sensible: Comprobar la política Endpoint o Server realmente asignada y la pertenencia al grupo. Una excepción prevista solo actúa cuando la política correcta se aplica al dispositivo correcto.

Si hay un contacto erróneo o se cambió un modo por accidente, restablecer los valores anteriores documentados únicamente tras consultar al responsable de incidentes, guardarlos y volver a comprobarlos. Esto no revierte las acciones MDR ya ejecutadas. Durante un incidente en curso, coordinar con el equipo MDR cualquier cambio de las facultades de respuesta; restablecer los ajustes no es una reversión técnica del incidente.