Operar Sophos XDR Cases y Detection Rules
Sophos XDR agrupa Detections y entidades afectadas en Cases que pueden investigarse. Un Case no es un incidente resuelto automáticamente, sino el espacio de trabajo compartido para evidencias, responsables y Response.
La función Cases requiere EDR, XDR o MDR. Sophos crea automáticamente un Case para una High-Risk Detection, salvo que ya esté incluida en un Case adecuado del mismo día. Posteriormente pueden añadirse Detections del mismo tipo.
Un Case Sophos-managed basado en MDR Detections es investigado por el equipo MDR. Un Case Self-managed generado por XDR Detections sigue siendo responsabilidad del cliente y se asigna a un administrador. Sophos lo crea, pero no lo investiga automáticamente.
Este límite de responsabilidad también se aplica a las señales NDR y a las detecciones de prueba NDR autorizadas: la fuente NDR no transfiere automáticamente un XDR Case Self-managed a Sophos MDR. El administrador del cliente sigue siendo el Owner hasta que el Case se cierre conforme a su propio proceso. Solo un Case identificado como Sophos-managed y basado en MDR Detections corresponde al equipo MDR. El runbook de detección de prueba NDR explica cómo correlacionar inequívocamente una detección de prueba y dejarla resuelta.
Detection, Alert y Case
| Elemento | Finalidad |
|---|---|
| Detection | actividad sospechosa o coincidencia de una regla |
| Alert | notificación priorizada que requiere una acción |
| Case | investigación agrupada con responsable, estado y evidencias |
| Detection Rule | regla que oculta Detections coincidentes e impide que creen Cases |
Varias Detections pueden pertenecer a la misma cadena de ataque. A la inversa, una sola Detection destacada puede justificar una investigación.
En los Cases Self-managed, New, Investigating, On Hold y Resolved forman el flujo completo de estados: recién creado, en investigación activa, pausado temporalmente o cerrado. Los Cases Sophos-managed utilizan en cambio Investigating, Action required y Resolved. Action required significa que el cliente debe actuar; Sophos avisa a los contactos configurados.
Trabajar en un Case
Empiece en Threat Analysis Center > Cases. Abra un Case Self-managed generado automáticamente mediante su Case ID. En Overview, use el menú junto al nombre del Case para establecer la gravedad. Cambie después el estado de New a Investigating y seleccione al administrador responsable en Owner. Si no aparece, añádalo con Add user. El Owner también puede asignarse más tarde.
Hay dos formas documentadas oficialmente de crear manualmente un Case Self-managed:
- En Threat Analysis Center > Cases > Create case > Self-managed case, introduzca nombre y descripción, seleccione Severity, estado
Newy, opcionalmente, un Assignee, y guarde con Create. Después, en Threat Analysis Center > Detections, seleccione las coincidencias y utilice Actions > Add to Case. - O seleccione primero las coincidencias en Threat Analysis Center > Detections y elija Actions > Create Case. Añada Detections posteriores mediante Actions > Add to Case.
Los Cases creados manualmente solo pueden contener Sophos XDR Detections, no MDR ni Managed Risk Detections. Sophos recomienda usar en el nombre del Case únicamente caracteres alfanuméricos, espacios y signos de puntuación básicos, porque las API pueden interpretar los caracteres especiales como sintaxis.
Para la investigación propiamente dicha:
- Leer el resumen, gravedad y cronología.
- Comprobar dispositivos, usuarios, procesos, IP y archivos afectados.
- Evaluar técnicas MITRE ATT&CK y la fuente de Detection.
- Utilizar Threat Graph, Live Discover y Enrichments disponibles.
- Documentar medidas de contención como aislamiento o Live Response.
- Registrar la causa, el alcance y la decisión de cierre.
En un Case Self-managed, guarde las notas de la investigación en la pestaña Notebook. Así se conserva el historial de evidencias y decisiones directamente en el Case.
Los resúmenes generados por IA pueden acelerar el triaje, pero deben contrastarse con los datos sin procesar y la cronología.
Detection Rules
Actualmente, Detection Rules solo permite suprimir Detections no deseadas y requiere un Super Admin. Una regla impide que una Detection coincidente aparezca en la lista de Detections y que cree un XDR Case Self-managed. No permite suprimir MDR Cases.
Cree una regla desde una Detection existente: vaya a Threat Analysis Center > Detections, abra el menú de tres puntos junto al nombre y seleccione Add detection rule. En Rule Details, introduzca nombre y descripción; la regla está habilitada de forma predeterminada. Suppress es actualmente la única opción de Actions. En Conditions, seleccione las características de la coincidencia existente que deben activar la regla y pulse Save. Un tenant puede tener un máximo de 25 Detection Rules.
Antes de guardar la regla, habilitada de forma predeterminada, documente su nombre, finalidad, fuente de datos, frecuencia esperada, Owner y fecha de revisión. Las condiciones deben identificar únicamente el desencadenante legítimo confirmado, no solo una gravedad o una característica de proceso demasiado amplia.
Una regla nueva puede tardar hasta 20 minutos y solo se aplica a Detections creadas después de ella. Las condiciones distinguen mayúsculas y minúsculas: Windows y windows pueden tratarse de forma diferente.
Gestione las reglas existentes en Threat Analysis Center > Detection rules. Una regla puede habilitarse, deshabilitarse, duplicarse o eliminarse, pero no editarse directamente. Para cambiarla, duplíquela y ajuste la copia desde el menú de tres puntos; después deshabilite o elimine la original tras una sustitución controlada.
Controlar Suppression
Suppression reduce coincidencias conocidas y esperadas. No es limpieza y no debe ocultar actividad real. Cada Suppression requiere:
- una condición precisa en lugar de un patrón amplio,
- un desencadenante legítimo documentado,
- un responsable y fecha de revisión,
- revisión de las Detections ya suprimidas.
Una consola silenciosa no es una señal de calidad si las reglas suprimen demasiado.
Para comprobar el resultado, abra Threat Analysis Center > Detections > Show filters. En Detection Visibility, desmarque Hide Suppressed Detections y pulse Apply. Así verá qué cubre realmente la regla. Como las reglas no se aplican de forma retroactiva, esta vista también es una base mejor para la próxima revisión que el simple descenso de coincidencias visibles.
Cierre y lecciones aprendidas
Cierre un Case cuando estén documentados el alcance, la causa, contención, limpieza y recuperación. Ajuste después Detection Rules, políticas, exclusiones y Runbooks si la investigación reveló una carencia.
Un Case Self-managed se cierra estableciendo su estado en Resolved. Permanece 30 días en la lista y después Sophos lo elimina. Partner Super Admins y Enterprise Super Admins no pueden cerrar ni eliminar Cases; esta limitación del rol debe considerarse antes de asignar el responsable.
La telemetría y el trabajo con consultas se explican en Sophos XDR Data Collection y Live Discover.