Isoler Sophos Endpoint et utiliser Live Response

Lors d’une investigation active, l’isolation sépare un endpoint du réseau tout en laissant l’appareil administrable depuis Sophos Fusion (anciennement Sophos Central). Les exclusions d’isolation configurées peuvent encore autoriser des communications limitées. Live Response ouvre ensuite un shell distant privilégié pour l’analyse et la remédiation. Ces deux fonctions ont un effet opérationnel immédiat : l’isolation modifie le trafic réseau, tandis que Live Response permet d’arrêter des processus, de redémarrer des appareils, de parcourir des dossiers et de supprimer des fichiers.

Déroulement sûr en bref

Faire correspondre appareil, utilisateur, alerte et Threat Graph au ticket ou à l’incident.
En cas de risque immédiat de propagation, isoler administrativement l’appareil concerné. Le confinement est généralement prioritaire face à un ransomware, un vol d’identifiants ou une activité command-and-control.
Ne démarrer Live Response qu’avec la licence, la policy, le rôle et la MFA appropriés.
Collecter l’état et les preuves avant toute modification ciblée.
Terminer avec End Session et conserver les journaux d’audit et de session.
Nettoyer ou bloquer la menace, contrôler le scan et l’état de santé, puis retirer l’isolation administrative.

Distinguer isolation administrative et automatique

Type	Déclencheur	Sortie
Admin isolate	Un administrateur isole un appareil suspect, par exemple depuis un Threat Graph	Le remettre volontairement en réseau après nettoyage via le Threat Graph ou Admin Isolated Devices
Device Isolation	La Threat Protection policy isole un appareil dont l’état de santé local est rouge	Corriger la cause ; Sophos ne lève automatiquement l’isolation qu’après le retour au vert de l’état local

L’isolation automatique s’appuie sur l’état de santé communiqué par l’appareil. Un état rouge peut signaler une menace détectée, un logiciel obsolète, une non-conformité à la policy ou une protection incomplète. L’état global affiché dans Sophos Fusion peut différer, car Sophos Fusion tient compte d’autres facteurs. Les appareils isolés automatiquement ne figurent pas dans Admin Isolated Devices et ne peuvent pas y être remis en réseau manuellement.

Sophos recommande de piloter Device Isolation au moyen d’une Threat Protection policy appliquée à un groupe représentatif. Tester aussi la prise en charge d’appareils devenus rouges à cause d’un défaut de protection ou de mise à jour plutôt que d’une attaque. Des fichiers réseau Windows mis en cache localement peuvent rester visibles pendant l’isolation ; cela ne prouve pas qu’une connexion réseau est active.

La logique complète est décrite dans Configurer correctement Sophos Fusion Threat Protection. Si une exception est indispensable, n’autoriser que la direction, l’adresse et le port nécessaires à un objectif précis. Les exemples et limites figurent dans Planifier les exclusions Sophos Endpoint en toute sécurité.

Prérequis et droits Live Response

Live Response nécessite Sophos EDR, XDR ou MDR. Pour les ordinateurs, autoriser les connexions sous My Products > Endpoint > Policies > Data Collection and Investigation > policy > Settings avec Allow Live Response connections to computers. La Base Policy s’applique par défaut à tous les ordinateurs. Placer si nécessaire les appareils sensibles dans un groupe distinct avec une policy qui maintient Live Response désactivé. La fonction est activée par défaut avec MDR et désactivée avec les autres licences éligibles.

Activer séparément pour les serveurs : Le réglage destiné aux ordinateurs ne s’applique pas aux serveurs. Avant toute modification, vérifier la policy effectivement attribuée au serveur cible ainsi que tous les serveurs concernés ; la Base Policy des serveurs s’applique par défaut à l’ensemble des serveurs et ne doit pas être ouverte à tout le parc par inadvertance. Si Live Response n’est nécessaire que pour un groupe limité de serveurs, vérifier d’abord la Base Policy et toutes les autres policies serveur applicables, puis désactiver Live Response en dehors de ce groupe ; avec MDR, la fonction peut être activée par défaut. Attribuer ensuite une policy adaptée au groupe cible et activer Allow Live Response connections to servers uniquement dans cette policy, sous My Products > Server > Policies > Data Collection and Investigation > [Policy] > Settings, puis sélectionner Save. Contrôler le réglage effectif sur le serveur cible et sur des serveurs extérieurs au groupe. La policy serveur prend en charge les serveurs Windows et Linux.

La gestion de la policy et le démarrage d’une session sont deux droits distincts :

Modifier les paramètres : Super Admin ou Custom Role avec Manage Data Collection and Investigation settings for computers.
Modifier les paramètres serveur : Super Admin ou Custom Role avec Manage Data Collection and Investigation settings for servers.
Démarrer une session : Super Admin ou Custom Role avec Start Live Response sessions on computers.
Démarrer une session serveur : Super Admin ou Custom Role avec Start Live Response sessions on servers.
Pour démarrer une session, la Custom Role doit disposer d’une Base Role Full ou Help Desk et du droit supplémentaire correspondant. Les guides Sophos se contredisent sur l’accès au produit : le guide général des Custom Roles autorise Full ou Help Desk pour Endpoint Protection ou Server Protection, tandis que le guide spécifique de Live Response indique Full. Avant d’utiliser l’accès produit Help Desk, vérifier donc les droits effectifs dans son propre tenant. Pour modifier la policy serveur, la Custom Role doit avoir un accès Full à Server Protection et le droit Manage Data Collection and Investigation settings for servers.
Un MSP ne peut actuellement pas créer cette Custom Role dans le compte d’un client depuis Sophos Fusion Partner.

Attribuer ces droits selon le moindre privilège et vérifier leur effet avant un incident. Planifier les rôles et autorisations Sophos Fusion Endpoint explique l’accès aux produits et les droits supplémentaires.

Le démarrage de Live Response déclenche normalement une demande MFA de Sophos Fusion. Avec une connexion fédérée, IdP Enforced MFA permet d’éviter cette demande lorsqu’un fournisseur d’identité pris en charge impose la MFA. Le chemin documenté est Global Settings > Access Control > Sign-in and Identity > Federated identity providers.

Isoler administrativement un appareil

Le chemin officiellement documenté depuis un Threat Graph est le suivant :

Ouvrir Threat Analysis Center > Threat Graphs et sélectionner le graph concerné.
Contrôler Summary et Suggested next steps, puis confirmer que le graph et l’appareil appartiennent à l’incident.
Pour un graph prioritaire, sélectionner Isolate this device. Cette action exige Sophos XDR et n’est pas proposée pour un appareil qui s’est isolé automatiquement.
Dans Sophos Fusion, confirmer que le bon appareil est isolé et reste administrable.
Consigner dans le ticket l’heure, l’opérateur, le motif et l’impact attendu.

D’autres résultats peuvent être isolés avec Isolate device dans Item Search Results. Rapprocher chaque appareil de l’incident : une isolation large sans périmètre confirmé peut perturber inutilement l’activité.

Les appareils isolés administrativement se trouvent sous Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. L’action Remove from Isolation y est disponible ensuite. Une exception RDP, SSH ou vers un serveur de nettoyage élargit volontairement les communications ; elle doit être temporaire et aussi étroite que possible.

Mener une session Live Response en toute sécurité

Avant la connexion

Consigner au minimum l’ID du ticket, le nom de l’appareil, le système attendu, l’objectif, les contrôles en lecture seule prévus, les changements possibles et un retour arrière. Coordonner les actions locales avec Sophos MDR ou l’équipe de réponse afin de ne pas perdre de preuves ni gêner un travail parallèle.

Ouvrir la session

Ouvrir My Environment > Computers & Servers.
Sélectionner l’appareil vérifié et ouvrir sa page de détails. Pour un serveur, vérifier également son identité, la policy serveur effective et le droit de démarrer la session.
Choisir Actions > Live Response.
Saisir un objectif précis.
Utiliser le terminal dans le nouvel onglet. S’il ne s’ouvre pas, contrôler l’autorisation des pop-up pour Sophos Fusion.

Le chemin de la policy serveur indiqué plus haut sert uniquement à autoriser la fonction, pas à démarrer une session. Le contrôle MFA s’applique aux ordinateurs comme aux serveurs.

Le shell attend des commandes DOS, UNIX ou Linux adaptées à l’appareil connecté. Une connexion réussie confirme uniquement l’accès, pas que l’endpoint est sain.

Observer avant de modifier

Une procédure défendable sépare observation et remédiation :

Relever le contexte temporel, les utilisateurs connectés, les processus et les connexions réseau.
Documenter fichiers, chemins, hashes, signatures et mécanismes de persistance suspects.
Conserver les journaux et artefacts utiles et noter leur emplacement.
Avant chaque changement, reconfirmer la cible, l’impact, les dépendances et le retour arrière.
N’arrêter ou supprimer que l’activité malveillante confirmée.
Relancer ensuite le scan central et contrôler Threat Graph, alertes et état de santé.

Ne pas expérimenter de commandes en production. Si un chemin, processus ou artefact n’est pas clairement attribué, maintenir l’isolation et escalader vers Sophos Support, MDR ou l’équipe de réponse à incident.

Terminer et auditer la session

Utiliser End Session pour fermer volontairement la connexion. Elle se ferme aussi si l’onglet est fermé ou actualisé, si l’on navigue ailleurs dans Sophos Fusion, ou après 30 minutes d’inactivité.

Sous Reports > Logs > Audit Logs, les entrées de début et de fin indiquent l’administrateur, l’appareil et l’objectif déclaré. L’historique complet des commandes est disponible en gzip sous Reports > Logs > Live Response session audit > Download session log. Une Custom Role doit posséder à la fois Manage Live Response settings for computers et Manage Live Response settings for servers pour le télécharger ; sinon un Super Admin peut le conserver.

Pour les sessions serveur, rapprocher le serveur cible et l’objectif figurant dans les entrées d’audit du ticket, puis examiner les commandes réellement exécutées dans le journal de session téléchargé. Une connexion réussie ne confirme pas à elle seule que le serveur cible a été assaini.

Dans un environnement sensible, noter aussi l’ID du ticket, les commandes, artefacts, hashes, résultat et décision de remise en réseau.

Créer éventuellement un Forensic Snapshot

Un Forensic Snapshot capture l’activité récente. Sophos crée automatiquement des données pour un Threat Graph lors de certaines détections ; un snapshot peut aussi être demandé :

Ouvrir My Environment > Computers & Servers > appareil > Summary.
Sélectionner More actions > Create forensic snapshot > Create now.
Sous Windows, un snapshot manuel est enregistré par défaut dans :

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\

Les données enregistrées automatiquement après une détection se trouvent dans :

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\

Avec Tamper Protection actif, l’accès local requiert une invite de commandes élevée. Convertir le snapshot en SQLite ou JSON avec SDR Exporter ; ce n’est pas un rapport directement lisible. Noter le fichier d’entrée, le format de sortie et un hash calculé en interne pour l’original, sans le présenter comme une attestation Sophos.

Par défaut, un snapshot couvre les deux semaines précédentes. Modifier la période ou choisir All log data sous Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots.

Upload vers AWS S3

L’upload S3 depuis Sophos Fusion est réservé aux appareils Windows avec XDR ou MDR. La policy IAM documentée par Sophos exige s3:ListBucket et s3:PutObject pour le bucket prévu. Sophos Fusion affiche l’AWS Account ID et l’External ID destinés à la Trust Policy ; la propagation d’un nouveau rôle IAM peut prendre jusqu’à cinq minutes.

Enregistrer le nom du bucket, le répertoire facultatif et le Role ARN sous Forensic Snapshots. Sophos recommande aussi une Bucket Policy restrictive, le chiffrement AES-256 et une Lifecycle Rule pour les Multipart Uploads incomplets. Les buckets chiffrés par KMS et les caractères spéciaux dans le nom ne sont pas pris en charge. Le pare-feu doit autoriser la connexion au bucket S3.

Un pilote réussi ne s’arrête pas au message de Sophos Fusion. Vérifier la présence de l’objet attendu dans le bucket et le préfixe corrects ainsi que sa protection par la règle de conservation.

Nettoyer, remettre en réseau et surveiller

Ne retirer l’isolation administrative qu’après avoir :

analysé les processus et mécanismes de persistance suspects ;
nettoyé ou bloqué les applications malveillantes ;
renouvelé si nécessaire les identifiants compromis ;
confirmé le niveau de mise à jour de l’agent et du système ;
vérifié que scan, alertes, Threat Graph et état de santé ne montrent aucune menace active inexpliquée ;
défini une durée et un responsable pour la surveillance.

Choisir ensuite Suggested next steps > Remove from isolation dans le Threat Graph, ou l’appareil sous Admin Isolated Devices, puis Remove from Isolation. Sur le bon appareil, vérifier le retour des connexions métier, la réception de données actuelles par Sophos Fusion et l’absence de nouvelle détection ou isolation.

Ne pas lever manuellement une isolation automatique. Corriger la cause de l’état local rouge. Si l’appareil reste rouge ou n’est pas libéré automatiquement, conserver heures, événements et détails de santé, puis escalader plutôt que de contourner l’isolation ou la protection avec de larges exclusions.

Erreurs courantes et suites sûres

L’onglet Live Response ne s’ouvre pas : autoriser les pop-up Sophos Fusion et relancer volontairement la connexion.
La session se termine sans raison apparente : vérifier fermeture, actualisation, navigation ou 30 minutes d’inactivité. Avant de reconnecter, rapprocher la dernière entrée d’audit et les changements déjà effectués.
L’appareil manque dans Admin Isolated Devices : contrôler l’état local et la Threat Protection policy. Les appareils isolés automatiquement n’y figurent pas.
Live Response ne se connecte pas : contrôler affectation de policy, licence, rôle, MFA et accessibilité du chemin de gestion Sophos. Maintenir l’isolation et ne pas créer une exception réseau large.
Une commande ou un artefact est ambigu : ne rien modifier. Fermer la session en la documentant et poursuivre avec Sophos Support, MDR ou l’équipe de réponse.
L’objet S3 manque : contrôler prérequis Windows/licence, bucket, Role ARN, Trust/IAM Policies et pare-feu, puis retester avec un appareil pilote.