Sophos MDR : qui fait quoi, Sophos ou le client ?

À trois heures du matin, un attaquant commence à se propager dans le réseau de l’entreprise. Le logiciel de protection signale des activités suspectes. Mais qui examine l’alerte, décide d’isoler un serveur et informe les personnes responsables ?

Sophos MDR met une équipe d’analystes à disposition en permanence. Managed Detection and Response couvre la détection, l’investigation et les prestations de réponse convenues. Cela soulage l’IT interne, sans remplacer sa responsabilité opérationnelle ni la préparation à un incident.

Cet article, initialement publié en 2022, a été révisé pour le service actuel. Le passage de MTR à MDR reste pertinent pour le contexte historique ; les anciennes présentations de packages ne constituent pas une base de commande actuelle.

Que prend concrètement en charge Sophos ?

Les analystes évaluent les alertes de sécurité disponibles, examinent les corrélations suspectes et traitent les incidents qui en découlent. Ils utilisent pour cela la télémétrie des systèmes connectés. L’administration s’effectue dans Sophos Fusion, anciennement Sophos Central.

Selon les prestations souscrites et les pouvoirs accordés, l’équipe peut, par exemple, isoler un ordinateur joignable, arrêter un processus malveillant ou, via une intégration Microsoft 365 Response configurée, bloquer une connexion et révoquer des sessions. Ce sont des interventions concrètes. La fonction concernée, l’accès technique et l’autorisation doivent être disponibles.

Un détail important concerne le périmètre du service : la documentation Sophos actuelle sur les modes de réponse distingue le confinement de la neutralisation complète. Elle réserve cette dernière à MDR Plus. Une promesse générale comme « MDR résout entièrement chaque incident » n’est donc pas une description de prestation exploitable. Le service commandé fait foi.

Sophos peut-il agir immédiatement ?

L’entreprise définit un mode de réponse. Cette décision doit être prise avant le premier incident, car une alerte urgente ne donne pas à elle seule le pouvoir d’intervenir.

Avec Collaborate, il est aussi possible d’autoriser le passage à Authorize après des tentatives de contact téléphonique infructueuses auprès de tous les interlocuteurs enregistrés. Cette option doit être explicitement activée. Sans elle, l’équipe ne peut pas déduire un accord de l’absence de réponse.

Le guide de configuration des contacts MDR et de Threat Response explique ces paramètres. Au moins un contact principal autorisé est nécessaire. Des contacts supplémentaires sont utiles pour éviter que des vacances, une maladie ou un seul téléphone éteint interrompent le processus. Un numéro enregistré ne remplace toutefois pas une disponibilité organisée en interne.

Produits tiers : voir les données ne signifie pas pouvoir intervenir

MDR peut aussi intégrer des données de sécurité d’autres fabricants. Il n’est donc pas nécessaire de remplacer systématiquement les produits existants par Sophos. Il faut vérifier, pour chaque produit, les données fournies et les réponses permises par l’intégration. Le guide des intégrations MDR/XDR aide à les configurer et à les contrôler.

Un simple connecteur de données peut fournir des alertes sans pouvoir bloquer des comptes ni isoler des appareils. Une intégration de réponse nécessite ses propres autorisations. De même, un pare-feu qui envoie des événements n’est pas encore prêt pour toutes les actions de réponse. Sur les endpoints, l’agent, les politiques et Live Response peuvent déterminer les investigations et interventions possibles.

Un compte Microsoft 365 compromis en est un exemple typique : révoquer les sessions ouvertes et bloquer les nouvelles connexions peut interrompre l’utilisation immédiate. Cela ne clarifie toutefois pas toutes les conséquences possibles. Les règles de transfert manipulées, les opérations métier touchées, les autres accès et la réactivation sûre doivent être examinés et attribués précisément pendant l’incident. Là aussi, les étapes que Sophos peut exécuter dépendent de l’intégration et du périmètre du service.

Que reste-t-il au client ou au partenaire IT ?

L’IT interne continue d’exploiter l’infrastructure. Cela inclut les mises à jour, les configurations sûres, la gestion des utilisateurs, des sauvegardes opérationnelles et la restauration des applications. MDR ne sécurise pas durablement un serveur non corrigé et ne restaure pas depuis une sauvegarde les données métier chiffrées.

Les décisions métier restent elles aussi du ressort de l’entreprise : quels systèmes peuvent être temporairement indisponibles ? Qui informe la direction, les clients ou l’assurance ? Qui évalue les obligations de notification et mandate l’assistance externe nécessaire ? Ces tâches doivent être attribuées dans le plan d’urgence. Le contrat MDR ne les répartit pas à lui seul entre les personnes internes.

Le travail continue après le confinement. Il faut éliminer la cause, rétablir proprement un accès touché et appliquer les changements de configuration recommandés. Un rapport ne devient un progrès opérationnel que lorsqu’une personne prend en charge les tâches ouvertes et en vérifie l’achèvement.

Chaque environnement critique doit donc disposer d’une courte répartition des responsabilités : que peut faire Sophos de sa propre initiative, que fait le partenaire IT et qui décide dans l’entreprise ? Pour les serveurs essentiels à la production notamment, les conséquences d’une isolation doivent être discutées à l’avance.

Combien coûte MDR et que doit contenir l’offre ?

Un prix total fiable nécessite le nombre d’utilisateurs et de serveurs, la durée, le périmètre de réponse souhaité et les systèmes concernés. S’y ajoutent la mise en place et les tâches du partenaire IT. Un tarif de licence moins élevé peut avoir peu de sens si les intégrations nécessaires et la disponibilité en urgence font défaut.

La boutique Avanet propose Sophos MDR, MDR Complete, MDR pour serveurs et MDR Complete pour serveurs. La documentation actuelle du fabricant utilise aussi le nom MDR Plus. Les anciens noms de produits et les appellations de la boutique ne doivent donc pas être assimilés à un périmètre de prestations actuel sans vérifier l’offre.

Les packages d’intégration de la version originale de cet article ne constituent pas non plus une grille tarifaire actuelle fiable. Le devis doit préciser les intégrations incluses, les durées de conservation et les éventuelles prestations supplémentaires. Une connexion incluse ne fournit pas automatiquement la licence du produit tiers connecté. Nous ne donnons donc pas ici de prix unitaire forfaitaire non vérifié.

Comment reconnaître un environnement MDR opérationnel ?

Après l’achat, voir la licence dans le portail ne suffit pas. Tous les appareils surveillés doivent être recensés, les sources prévues doivent fournir des événements récents et les accès de réponse doivent fonctionner. Le mode choisi doit correspondre au processus d’urgence convenu.

Pour la réception opérationnelle, il faut revoir avec le prestataire les moyens de contact et les responsabilités, contrôler l’état des intégrations et convenir d’un test fonctionnel coordonné et sans danger. Le résultat doit montrer qui reçoit une alerte et quelle réponse est possible, techniquement et organisationnellement. Ce test ne nécessite pas de lancer volontairement un logiciel malveillant.

J’évaluerais MDR selon sa capacité à former, en situation réelle, une chaîne joignable et capable d’agir. Une équipe d’analystes, un accès technique opérationnel et une autorisation claire doivent être réunis. Si l’un manque, une lacune décisive subsiste même avec une bonne licence.

Questions fréquentes