Sophos Security Heartbeat y Synchronized Security
Security Heartbeat envía el estado de seguridad de un Sophos Endpoint administrado a una Sophos Firewall registrada. Esto no aísla nada por sí solo: una regla Firewall coincidente o la función Endpoint Reject connections from other devices debe aplicar la respuesta de red.
Conviene separar tres mecanismos:
- Security Heartbeat: intercambio de estado e identidad entre Endpoint y Firewall; la Firewall puede controlar accesos de origen y destino.
- Synchronized Security: término general para respuestas que usan Heartbeat, como reglas Firewall y rechazo distribuido por Sophos Fusion de dispositivos no seguros en la misma subred.
- Active Threat Response (ATR): aísla mediante Sophos Switches y puntos de acceso AP6 dispositivos identificados por usuarios API externos o analistas MDR/XDR. No es un color Heartbeat ni el aislamiento Endpoint.
Requisitos y activación
Sophos exige una cuenta Sophos Fusion (antes Sophos Central), licencia de prueba o completa para al menos un Endpoint administrado por Sophos Fusion y suscripción Network Protection en la Firewall. Endpoint y Firewall deben pertenecer a la misma organización en el tenant correcto de Sophos Fusion.
Registre la Firewall en System > Sophos Central. SFOS activa automáticamente Security Heartbeat y Synchronized Application Control. El mensaje A new firewall has been successfully registered to Sophos Central en My Products > Firewall Management > Firewalls solo confirma el registro, no el Heartbeat de un Endpoint ni el efecto de una regla. Consulte Conectar Sophos Firewall con Sophos Fusion.
Cada Endpoint recibe un certificado de Sophos Fusion, que Sophos Fusion comparte con la Firewall para identificar la organización. La conexión TLS cifrada usa 52.5.76.173 y TCP 8347; que sean accesibles no demuestra por sí solo la asociación correcta de tenant y certificado.
Interpretar los estados Heartbeat
El Endpoint envía su estado cada 15 segundos. En la primera conexión también envía interfaces y usuarios conectados.
| Estado | Significado y siguiente paso |
|---|---|
| Green | Protección operativa, sin malware activo o inactivo ni PUA. Validar baseline y acceso normal. |
| Yellow | Por ejemplo PUA, malware inactivo o firmas sin actualizar durante 24 horas. Revisar la alerta. |
| Red | Por ejemplo malware activo/no limpiado, tráfico malicioso o protección defectuosa. Investigar de inmediato alerta y dispositivo. |
| Missing | La Firewall sigue viendo tráfico, pero no ha recibido tres Heartbeats seguidos. Primero es un estado de comunicación o asociación, no malware automáticamente. |
Yellow suele ser temporal y, por sí solo, no requiere medidas correctivas para recuperar un estado saludable. Aun así, revise la alerta para entender la causa. Si se detecta una PUA o malware, puede optar por una intervención específica según lo observado.
Una conexión con un host malicioso conocido puede causar Red. El evento y el informe relacionado determinan si la detección inicial procede de Endpoint, Firewall u otro componente; el color no basta.
Elegir conscientemente la respuesta de red
Controlar acceso en la regla Firewall
Los controles están en Rules and policies > Firewall rules > [regla] > Configure Synchronized Security Heartbeat:
- Minimum source HB permitted exige Green o Yellow para el origen; No restriction también admite Red o ausencia de Heartbeat.
- Block clients with no heartbeat trata orígenes sin Heartbeat.
- Minimum destination HB permitted comprueba destinos internos, no la zona WAN.
- Block request to destination with no heartbeat trata destinos internos sin Heartbeat.
Un dispositivo que nunca envió Heartbeat permanece permitido de forma predeterminada. Sophos indica que solo queda cubierto al activar las dos opciones Block clients with no heartbeat y Block request to destination with no heartbeat. Además, una Web Exception que omita Policy checks puede permitir tráfico web pese a la primera opción.
Use una regla piloto limitada para Sophos Endpoints realmente administrados. Impresoras, invitados, IoT y equipos con EDR de terceros requieren reglas propias, no excepciones cada vez mayores. Consulte Planificar reglas Sophos Firewall.
Rechazar conexiones laterales en el Endpoint
En Sophos Fusion, abra el icono Global Settings y Protection and Remediation > Synchronized Security. En Reject connections from other devices, active Allow devices to reject connections from other devices with red health. Solo se aplica a dispositivos conectados a Sophos Firewall.
Con Red o Missing, los demás dispositivos administrados de la misma subred reciben la información. El destino registra Access request from computer
Los servidores críticos pueden excluirse. Update Caches y Message Relays están excluidos por defecto para conservar actualizaciones y comunicación. Toda excepción adicional necesita responsable, justificación y fecha de revisión.
El envío de spam o virus pertenece a Sophos Email
Scan computers that send spam or viruses requiere licencias Sophos Endpoint y Sophos Email. Si desde un buzón salen en diez minutos al menos cinco mensajes clasificados como spam o con virus, Sophos Email identifica propietario y dispositivos, bloquea inicialmente el buzón una hora e inicia un análisis bajo demanda.
Cada nuevo desencadenante tras expirar el anterior duplica la duración. Después de seis, el bloqueo es permanente y requiere Sophos Support. Desactivar la opción solo detiene el análisis Endpoint, no el bloqueo Email. Compruebe por separado evento Email, asociación usuario-dispositivos y análisis.
Piloto y validación
- Elegir un Endpoint administrado y una regla Firewall limitada; documentar acceso normal, destinos de corrección y acceso admin independiente.
- Revisar en Sophos Fusion el estado y los eventos del mismo equipo. En la Firewall comprobar Control Center > User & device insights > Security Heartbeat; si todos están Green, la vista detallada no enumera Endpoints.
- Activar logging en la regla, ejecutar un flujo permitido y anotar IP origen, destino, Rule ID y hora.
- Usar un test Sophos aprobado sin parar el agente, manipular la protección ni usar malware real. Consulte Probar funciones Sophos Endpoint.
- Comparar la alerta de Sophos Fusion, el evento Endpoint, la vista Heartbeat y el log Firewall en el mismo periodo. Solo debe actuar la respuesta configurada.
- Tras la limpieza, confirmar Green y el acceso normal antes de ampliar el alcance.
Resolución de problemas por síntoma
- Missing en vez de Green/Yellow/Red: revisar zona, ruta, cambio de adaptador, VPN/NAT, tiempo y asociación con Sophos Fusion; seguir Diagnosticar alertas Missing Heartbeat.
- Sophos Fusion y Firewall no coinciden: comparar mismo dispositivo y periodo, después registro, estado online, comunicación entre certificado y Sophos Fusion, y eventos. No desregistrar ni crear exclusiones globales.
- Bloqueo inesperado: los mensajes Endpoint anteriores identifican el rechazo lateral; un log Firewall con Rule ID y condición Heartbeat identifica la regla.
- Retraso en red conmutada o LAG: Sophos documenta un detection delay admitido en Device Console. Guardar valor actual y reversión antes de cambiarlo.
- Dos Endpoints comparten dock o USB: SFOS 22.0 MR2 Build 546 corrige falsos Missing en
NC-176012. En builds antiguos de SFOS 22, comprobar la versión instalada y planificar el cambio de firmware, y después repetir la prueba con el dock o USB afectado en vez de limitarse a aumentar un temporizador. - Causa desconocida: conservar periodo, Endpoint ID, estado/eventos, Rule ID, IP/MAC e interfaces. Use la recopilación específica siguiente; Self Help y SDU explica el manejo seguro.
Preparar un caso Endpoint Health para soporte
Los Minimum Escalation Requirements de Sophos para Windows Endpoint y Windows Server separan casos de estado, servicio, amenaza, aislamiento y Synchronized Security. En todos, adjunte a los archivos su análisis: primer error relevante, hora, hipótesis probada y resultado.
- Estado Red/Amber incorrecto: capture la causa y el estado visible, confirme el mismo estado en Sophos Fusion y determine si el problema sigue vigente o es un resto antiguo. Use Reset health status como prueba controlada y compruebe después si el estado permanece sano o vuelve con el mismo evento; adjunte SDU y análisis.
- Servicio/proceso detenido o ausente: registre la página Services y su mensaje en Endpoint Self Help, siga la guía enlazada y revise el log del servicio. Capture el fallo de inicio reproducible con Process Monitor como administrador, con Enable Advanced Output en Filter y All events al guardar. Después recopile un SDU del mismo periodo. Detenga y proteja la captura, ya que puede contener procesos, rutas y usuarios.
- Amenaza pendiente: busque la misma amenaza en la lista local y en la página Events de Sophos Fusion. Si aparece, intente primero resolverla desde Sophos Fusion; si no aparece, pruebe Reset health status de forma controlada. El reset no limpia una amenaza ni sustituye la comprobación de recurrencia. Adjunte resultado, SDU y análisis.
- El dispositivo no entra en aislamiento: revise las listas de exclusión y las exclusiones predeterminadas. El aislamiento automático requiere Policy habilitada y estado Red real. Compruebe la comunicación con Sophos Fusion y, para Reject connections from other devices, el estado Heartbeat en Endpoint Self Help > Operations.
- El dispositivo no sale del aislamiento: el estado debe volver a sano y la comunicación con Sophos Fusion debe funcionar; si está excluido, revise también la exclusión configurada. En ambas direcciones conserve observaciones, SDU y análisis antes de cambiar Policy o exclusiones.
- Security Heartbeat no conecta: confirme primero que esté habilitado en Sophos Firewall. Compare en el mismo periodo Endpoint Self Help > Operations, los errores de
Heartbeat.logy elheartbeatd.logde la Firewall. Active DEBUG solo para el proceso Heartbeat y la reproducción breve, restaure después el nivel anterior y recopile un SDU. El cierre exige conexión en Operations, ausencia de nuevos errores coincidentes y recuperación del acceso esperado.
Diferenciar ATR y aislamiento Endpoint
Sophos Fusion ATR en Global Settings > Protection and Remediation > Allow and Block > Network > Active Threat Response afecta a Sophos Switches y AP6. Usuarios API externos o analistas MDR/XDR pueden aislar MAC mediante esos equipos. En AP6, ATR prevalece sobre la MAC Filtering Allowed list de las SSID.
Es distinto de una regla Heartbeat, el rechazo lateral y el aislamiento Endpoint manual. Para este último, consulte Aislar un Endpoint y revisarlo con Live Response. Un estado ATR no demuestra ni Heartbeat Red ni acción Endpoint.