Operar Sophos XDR Cases y Detection Rules

Sophos XDR agrupa Detections y entidades afectadas en Cases que pueden investigarse. Un Case no es un incidente resuelto automáticamente, sino el espacio de trabajo compartido para evidencias, responsables y Response.

Los procedimientos existentes de este artículo describen la gestión de Cases y Detection Rules en Threat Analysis Center, la Classic view de Security Operations que sigue disponible. La sección independiente de Security Operations explica los límites actuales de responsabilidad y estados MDR. Antes de realizar un cambio, compruebe qué vista utiliza su tenant. Security Operations también ofrece Cases, Detections y Detectors; eso no demuestra que allí se apliquen los mismos estados, roles, plazos de eliminación o reglas de supresión. En particular, Detectors no se equipara a las Detection Rules de Classic descritas a continuación.

En Classic, la función Cases requiere EDR, XDR o MDR. Sophos crea automáticamente un Case para una High-Risk Detection, salvo que ya esté incluida en un Case adecuado del mismo día. Posteriormente pueden añadirse Detections del mismo tipo.

Un Case Sophos-managed basado en MDR Detections es investigado por el equipo MDR. Un Case Self-managed generado por XDR Detections sigue siendo responsabilidad del cliente y se asigna a un administrador. Sophos lo crea, pero no lo investiga automáticamente.

Este límite de responsabilidad también se aplica a las señales NDR y a las detecciones de prueba NDR autorizadas: la fuente NDR no transfiere automáticamente un XDR Case Self-managed a Sophos MDR. El administrador del cliente sigue siendo el Owner hasta que el Case se cierre conforme a su propio proceso. Solo un Case identificado como Sophos-managed y basado en MDR Detections corresponde al equipo MDR. El runbook de detección de prueba NDR explica cómo correlacionar inequívocamente una detección de prueba y dejarla resuelta.

Detection, Alert y Case en Classic

Varias Detections pueden pertenecer a la misma cadena de ataque. A la inversa, una sola Detection destacada puede justificar una investigación.

En los Cases Self-managed, New, Investigating, On Hold y Resolved forman el flujo completo de estados: recién creado, en investigación activa, pausado temporalmente o cerrado. Los Cases Sophos-managed utilizan en cambio Investigating, Action required y Resolved. Action required significa que el cliente debe actuar; Sophos avisa a los contactos configurados.

Trabajar en un Case en Classic

Empiece en Threat Analysis Center > Cases. Abra un Case Self-managed generado automáticamente mediante su Case ID. En Overview, use el menú junto al nombre del Case para establecer la gravedad. Cambie después el estado de New a Investigating y seleccione al administrador responsable en Owner. Si no aparece, añádalo con Add user. El Owner también puede asignarse más tarde.

Hay dos formas documentadas oficialmente de crear manualmente un Case Self-managed:

• En Threat Analysis Center > Cases > Create case > Self-managed case, introduzca nombre y descripción, seleccione Severity, estado New y, opcionalmente, un Assignee, y guarde con Create. Después, en Threat Analysis Center > Detections, seleccione las coincidencias y utilice Actions > Add to Case.
• O seleccione primero las coincidencias en Threat Analysis Center > Detections y elija Actions > Create Case. Añada Detections posteriores mediante Actions > Add to Case.

Los Cases creados manualmente solo pueden contener Sophos XDR Detections, no MDR ni Managed Risk Detections. Sophos recomienda usar en el nombre del Case únicamente caracteres alfanuméricos, espacios y signos de puntuación básicos, porque las API pueden interpretar los caracteres especiales como sintaxis.

Para la investigación propiamente dicha:

1. Leer el resumen, gravedad y cronología.
2. Comprobar dispositivos, usuarios, procesos, IP y archivos afectados.
3. Evaluar técnicas MITRE ATT&CK y la fuente de Detection.
4. Utilizar Threat Graph, Live Discover y Enrichments disponibles.
5. Documentar medidas de contención como aislamiento o Live Response.
6. Registrar la causa, el alcance y la decisión de cierre.

En un Case Self-managed, guarde las notas de la investigación en la pestaña Notebook. Así se conserva el historial de evidencias y decisiones directamente en el Case.

Los resúmenes generados por IA pueden acelerar el triaje, pero deben contrastarse con los datos sin procesar y la cronología.

Detection Rules

Las siguientes reglas se aplican a la vista Classic en Threat Analysis Center > Detection rules, no a Security Operations en general. Actualmente, Detection Rules solo permite suprimir Detections no deseadas y requiere un Super Admin. Una regla impide que una Detection coincidente aparezca en la lista de Detections y que cree un XDR Case Self-managed. No permite suprimir MDR Cases.

Cree una regla desde una Detection existente: vaya a Threat Analysis Center > Detections, abra el menú de tres puntos junto al nombre y seleccione Add detection rule. En Rule Details, introduzca nombre y descripción; la regla está habilitada de forma predeterminada. Suppress es actualmente la única opción de Actions. En Conditions, seleccione las características de la coincidencia existente que deben activar la regla y pulse Save. Un tenant puede tener un máximo de 25 Detection Rules.

Antes de guardar la regla, habilitada de forma predeterminada, documente su nombre, finalidad, fuente de datos, frecuencia esperada, Owner y fecha de revisión. Las condiciones deben identificar únicamente el desencadenante legítimo confirmado, no solo una gravedad o una característica de proceso demasiado amplia.

Una regla nueva puede tardar hasta 20 minutos y solo se aplica a Detections creadas después de ella. Las condiciones distinguen mayúsculas y minúsculas: Windows y windows pueden tratarse de forma diferente.

Gestione las reglas existentes en Threat Analysis Center > Detection rules. Una regla puede habilitarse, deshabilitarse, duplicarse o eliminarse, pero no editarse directamente. Para cambiarla, duplíquela y ajuste la copia desde el menú de tres puntos; después deshabilite o elimine la original tras una sustitución controlada.

Controlar la supresión

La supresión reduce coincidencias conocidas y esperadas. No es limpieza y no debe ocultar actividad real. Cada supresión requiere:

• una condición precisa en lugar de un patrón amplio,
• un desencadenante legítimo documentado,
• un responsable y fecha de revisión,
• revisión de las Detections ya suprimidas.

Una consola silenciosa no es una señal de calidad si las reglas suprimen demasiado.

Para comprobar el resultado, abra Threat Analysis Center > Detections > Show filters. En Detection Visibility, desmarque Hide Suppressed Detections y pulse Apply. Así verá qué cubre realmente la regla. Como las reglas no se aplican de forma retroactiva, esta vista también es una base mejor para la próxima revisión que el simple descenso de coincidencias visibles.

Security Operations: Cases y responsabilidad MDR

Esta sección se aplica a Security Operations, no a los estados y reglas Classic anteriores. En Security Operations > Cases, hacer clic en el nombre abre primero el resumen. El icono New Tab lleva a la página completa de detalles, con Overview, Evidence, Response, History y Enrichment. Los comentarios pueden leerse en el resumen, pero solo añadirse en la página completa.

Decidir Managed By antes de confirmar

En los Cases MDR actuales, Managed By determina quién gestiona el Case: Self significa responsabilidad del cliente; Sophos MDR, gestión del equipo MDR. En cambio, Assignee identifica al usuario o grupo de la siguiente acción. Cambiar Assignee no transfiere la responsabilidad del Case.

En la página completa, seleccionar la responsabilidad ofrecida en Manage Case > Managed By y confirmar solo después de la comprobación anterior. Verificar a continuación el valor mostrado. Self solo puede seleccionarse para los tipos de Case MDR Investigation y Other; Threat Hunt, Health Check e Incident son Sophos-managed. El cliente no crea un Incident. En la creación manual, Managed By se define al crear el Case. Para Cases generados automáticamente por reglas de Sophos, debe establecerse antes de utilizar los controles Manage Case. En Cases de reglas del cliente es automáticamente Self.

El equipo propio investiga un Case Self-managed; los cambios, las acciones de respuesta y la división/fusión disponibles dependen también del tipo y los permisos. En Cases Sophos-managed se pueden leer detalles, comentar, asignar a Sophos y cerrar si existe una acción de cierre disponible. Esto no autoriza cambios arbitrarios de estado, editar Key Findings, añadir más eventos o Detections como evidencia ni dividir o fusionar el Case.

Estados MDR actuales y acciones del cliente

Los Cases MDR actuales utilizan, según su tipo, New, In Progress, Customer Action Required, Awaiting Sophos Assignment y Closed. Estos valores no se equiparan a los estados Classic ni a los estados XDR generales Open, Active, Awaiting Action, Suspended y Closed. Awaiting Sophos Assignment indica que está pendiente la asignación interna del equipo MDR; Customer Action Required exige en cambio una acción de la organización.

Cuando el equipo MDR establece un Case Sophos-managed en Customer Action Required, empieza el contador de inactividad. Sin acción del cliente, se envía un recordatorio por correo cada 24 horas; tras cinco días de inactividad, el Case se cierra automáticamente. Un comentario, una acción de respuesta, un cambio de Assignee o un enlace o adjunto nuevo reinicia el contador. Esto no sustituye el trabajo de fondo solicitado: aclarar las consultas con el equipo MDR en lugar de mantener el contador mediante cambios meramente formales. Nunca ejecutar acciones de respuesta solo para reiniciarlo.

En la página completa, el icono de comentario de la derecha abre Comments. Introducir los datos necesarios en Comment y guardar con Save. @sophos notifica al equipo MDR. Después de guardar, comprobar que el comentario esté en el Case correcto. Configurar los contactos MDR y facultades de respuesta antes de un incidente, no solo después de la primera consulta perdida.

El cierre también resuelve las Detections asociadas y las etiqueta según el veredicto elegido. Para MDR están disponibles True Positive – Benign, True Positive – Malicious, Inconclusive y False Positive; con Inconclusive, la etiqueta de Detection es Not Actionable. Un Case cerrado no es una prueba técnica de limpieza. Antes de cerrar, comprobar el resultado de la investigación y las tareas del cliente pendientes.

Dentro de los 30 días posteriores al cierre, un Case MDR Sophos-managed puede reabrirse mediante un comentario con @sophos; en un Case customer-managed se cambia el estado Closed. Después de esos 30 días se necesita un Case nuevo. Este límite de reapertura no indica eliminación ni conservación de los Cases MDR actuales; los plazos Classic citados arriba o abajo siguen limitados a Classic.

Rules en lugar de la supresión exclusiva de Classic

En Security Operations > Rules existen dos tipos distintos de Customization Rules: las Custom detection rules generan Detections nuevas a partir de eventos normalizados mediante una consulta de búsqueda avanzada. Las Detection suppression rules resuelven las Detections coincidentes como suprimidas al crearse, de modo que no aparecen por defecto en la lista. Detectors no es la misma área de gestión que estas reglas.

Los Cases generados automáticamente por reglas del cliente son customer-managed y no provocan una investigación MDR automática. Los límites Classic de 25 reglas, requisito Super Admin, espera de 20 minutos y duplicación en lugar de edición no se trasladan a la nueva interfaz. Esta sección explica las diferencias, no un procedimiento completo de creación de reglas personalizadas. Antes de suprimir, sigue siendo necesario confirmar la causa legítima y evaluar la pérdida de visibilidad.

Cierre y lecciones aprendidas en Classic

Cierre un Case cuando estén documentados el alcance, la causa, contención, limpieza y recuperación. Ajuste después Detection Rules, políticas, exclusiones y Runbooks si la investigación reveló una carencia.

Un Case Self-managed se cierra estableciendo su estado en Resolved. Permanece 30 días en la lista y después Sophos lo elimina. Partner Super Admins y Enterprise Super Admins no pueden cerrar ni eliminar Cases; esta limitación del rol debe considerarse antes de asignar el responsable.

La telemetría y el trabajo con consultas se explican en Sophos XDR Data Collection y Live Discover.

Preguntas frecuentes

El flujo actual completo en Security Operations > Rules se explica en Operar Custom Detection y Suppression Rules. Condiciones de streaming, circuit breaker, límites de vista previa y reversión se tratan por separado de las reglas Classic conservadas aquí.