Évaluer les événements et les rapports Sophos Endpoint

Connectez-vous à Sophos Fusion (anciennement Sophos Central) pour accéder aux événements et aux rapports. Cet article traite de Events Report, des événements d’un ordinateur ou d’un serveur donné, de Computer Report et de la synthèse de protection sur 30 jours. Le traitement des alertes et les investigations XDR suivent volontairement des procédures distinctes.

Choisissez la vue appropriée

• Que s’est-il passé quand ? Ouvrez le Events Report.
• Que s’est-il passé sur un ordinateur en particulier ? Utilisez l’onglet Events dans les détails de l’ordinateur.
• Qu’a-t-on détecté sur un serveur en particulier ? Utilisez l’onglet Events dans les détails du serveur.
• Quels ordinateurs sont gérés et à quand remonte le dernier rapport ? Utilisez le Computer Report.
• À quoi ressemble l’aperçu de la protection des 30 derniers jours ? Ouvrez le rapport Overview of your Sophos protection.

Un événement est une occurrence journalisée. Les événements nécessitant une action peuvent également apparaître sur la page Alerts. Après le traitement ou l’ignorance d’une alerte, l’événement sous-jacent reste dans la liste. Cette vue fournit donc un historique, mais ne constitue pas à elle seule une investigation complète.

Évaluer les événements à l’échelle du locataire

Le rapport d’événements est accessible sur Reports > General Logs > Events. Pour une évaluation reproductible, procédez comme suit :

1. Recherchez dans Search le nom de l’utilisateur, de l’appareil ou de la menace. Sophos ne prend pas en charge la recherche d’un nom de fichier mentionné dans l’événement.
2. Sélectionnez une période sous Choose period. Pour Custom, From et To sont définis ; la vue remonte au maximum à 90 jours.
3. Sous Event type and count, sélectionnez ou désélectionnez des catégories ou des types d’événements. Par défaut, tous les événements sont visibles.
4. Chargez les événements nouvellement reçus avec Update. Le graphique montre le nombre d’événements par jour.
5. Vérifiez le résultat et, si nécessaire, enregistrez-le avec Save as Custom Report ou exportez-le au format CSV ou PDF avec Export.

La liste des événements comprend Sev, Date, Event, User, User Groups, Device et Device Group. Un rapport personnalisé enregistré est personnel : seul l’administrateur qui l’a créé le voit ; Les administrateurs Partenaire et Entreprise ne voient ni ne créent ce rapport. L’export propose la vue actuelle ou un rapport sur les 90 derniers jours. C’est pourquoi le terme de recherche, la période et les types d’événements sélectionnés doivent figurer dans la documentation opérationnelle si les évaluations doivent être comparables ultérieurement.

Vérifier les événements sur un ordinateur

Pour un seul appareil, l’itinéraire se fait via My Environment > Computers & Servers ou My Products > Endpoint > Computers. Ouvrez ensuite le nom de l’ordinateur et l’onglet Events. La liste indique la gravité, l’agent Sophos ayant signalé l’événement et, si cette option est disponible, Details. View Events Report organise les événements par type et montre leur progression quotidienne.

Un événement peut avoir un horodatage postérieur à Last active dans la liste des ordinateurs. Ce n’est pas nécessairement une contradiction : Sophos ne met à jour Last active qu’une fois par heure en moyenne.

Certains détails d’événement fournissent des actions en cas de suspicion d’erreur de classification. Les autorisations ou exclusions correspondantes peuvent avoir une portée étendue et ne doivent pas être créées sur la seule base d’un nom de fichier familier. Le flux d’analyse et de nettoyage sécurisé est disponible dans Sophos Endpoint Threat Cleanup et Malware Cleanup.

Vérifier les événements sur un serveur

Pour un serveur, ouvrez My Environment > Computers & Servers ou My Products > Server > Servers, cliquez sur le nom du serveur et sélectionnez l’onglet Events dans ses détails. La liste affiche Sev, Type (l’agent Sophos ayant signalé l’événement), Date et Event ; Details n’est pas disponible pour chaque événement. View Events Report présente les événements par type et leur évolution quotidienne.

Pour Unauthorized File Protection (UFP) sur les serveurs Windows, Monitor execution of unauthorized files without blocking signale les exécutions non autorisées sans les bloquer ; Block execution of unauthorized file les bloque. Pour enquêter, examinez l’événement du serveur et, le cas échéant, Details. Pour confirmer un blocage, comparez un événement de blocage signalé dans Summary ou Events avec le paramètre de stratégie appliqué au serveur. Un événement en mode surveillance ne prouve pas qu’un blocage a eu lieu. Pour une période donnée, utilisez Reports > General Logs > Events.

Lire correctement les types d’événements

Les types d’événements affichés dépendent des fonctions sous licence. Utilisez la correspondance opérationnelle suivante ; les noms et valeurs sont ceux de Sophos Fusion :

• Malware and PUA : Running malware not cleaned up (High), Malicious activity detected (High), Remotely-run ransomware detected (Medium), Ransomware attacking a remote machine detected (High), Safe Browsing detected compromised browser (High), Behavioral (Low), AMSI protection could not clean up a threat (High), Malware not cleaned up (High), Recurring infection (High), Potentially Unwanted Application (PUA) blocked (Medium) et Potentially Unwanted Application (PUA) not cleaned up (Medium) ont Action required? = Yes. Isolez d’abord l’appareil si nécessaire, ouvrez l’alerte et les détails, puis terminez le nettoyage manuel, l’analyse ou le redémarrage demandé. Confirmez ensuite un événement nettoyé/résolu ou un état technique sain ; une détection ou un blocage seul ne prouve pas la remédiation.
• Management : Reboot required (Medium), Policy non-compliance (Medium), Real-time protection disabled (High), Failed to protect computer or server (High), Device de-duplicated (Low) et Active Directory synchronization error (High) ont Action required? = Yes. Effectuez le redémarrage ou corrigez la stratégie, la protection, l’affectation de groupe/stratégie ou la synchronisation, puis vérifiez l’état conforme, réactivé, protégé ou réussi. Update failed est Low avec Action required? = No, mais vérifiez d’abord la connexion et la présence ultérieure de Update succeeded. Une alerte de non-conformité à la stratégie apparaît après plus de 2 heures, une alerte de protection en temps réel désactivée après 2,5 heures, un événement d’échec de protection après 1 heure et une alerte d’échec non résolu de la synchronisation Active Directory après plus de 1 heure.
• Network access : Peripheral detected (Medium) et Missing heartbeat reported (High) ont Action required? = Yes. Vérifiez l’autorisation du périphérique ; pour un heartbeat manquant, considérez le trafic réseau persistant comme potentiellement compromis, contrôlez la restriction du pare-feu et confirmez Restored heartbeat reported après correction. Peripheral allowed, Peripheral restricted to read-only, Peripheral blocked et Restored heartbeat reported sont Low et ne demandent pas d’action à eux seuls.
• User behavior : Web policy events, Web threat events et tous les événements de réputation de téléchargement sont Low avec Action required? = No. Utilisez le rapport Web approprié ; pour User trusted low reputation download et Low reputation download automatically trusted, confirmez que la décision et, pour l’approbation automatique, le paramètre Log only étaient voulus. Les entrées DLP indiquent si un transfert contrôlé a été accepté, autorisé ou bloqué, mais ne publient ni gravité ni Action required? : vérifiez donc le transfert par rapport à la stratégie.
• Device encryption : Key creation failed, Device Encryption failed, Device not encrypted, Device Encryption is suspended et Recovery key missing sont Medium ; Device Encryption information, Device Encryption status changed, Received recovery keys et Revoked keys sont Low. Leur valeur Action required? est See Note : pour la plupart des alertes de chiffrement, redémarrez l’ordinateur, laissez-le se synchroniser avec le serveur, puis vérifiez le chiffrement ou la clé de récupération. Une clé de récupération consultée est révoquée et remplacée.

Le nom de l’événement à lui seul ne constitue donc pas une priorité. Vous vérifiez au moins la gravité, si Sophos nécessite une action, le périphérique concerné, l’heure et les détails. Le triage réel des alertes reste dans l’article séparé Modifier les alertes Sophos Endpoint et l’état du compte.

Utiliser le rapport informatique pour les questions d’inventaire

Sous Reports > Endpoint & Server Protection > Computers, le rapport sur les ordinateurs répertorie tous les ordinateurs gérés par Sophos Fusion. Ses colonnes répondent à des questions d’inventaire spécifiques :

• Online : heure du dernier message d’état ; l’affichage est mis à jour en moyenne toutes les heures.
• Last user : dernier utilisateur connecté et temps écoulé ; Ces informations sont également mises à jour en moyenne dans l’heure qui suit un changement d’utilisateur.
• Last update : Heure de la dernière mise à jour du logiciel Sophos.
• Group : groupe d’ordinateurs attribué.
• Agent installed : indique si le logiciel Sophos est installé.

Le rapport est donc adapté à l’hygiène et au suivi des appareils. Cependant, Online n’est pas un test de disponibilité seconde par seconde. Un appareil supposément inactif est d’abord comparé aux heures des événements et à l’intervalle de rapport attendu.

Classifier un aperçu de la protection de 30 jours

Sous Reports > Endpoint and Server Protection > Hero Reports se trouve Overview of your Sophos protection. Le rapport est disponible pour les administrateurs, les super-administrateurs et les partenaires et résume les 30 derniers jours. Il affiche, entre autres, les événements de menace bloqués, les actifs protégés, les sites Web bloqués ou avertis, les utilisateurs, ordinateurs et serveurs protégés et l’utilisation des licences.

Les limites sont importantes : La période n’est pas modifiable, le rapport ne couvre qu’un seul inventaire et n’est pas planifiable. Pour les licences principales d’entreprise, aucune utilisation de licence n’est indiquée. Via Export as PDF, la vue actuelle est téléchargée sous le nom hero-report.pdf. Le rapport convient à un aperçu de la gestion, et non à un enregistrement complet des incidents ou à un remplacement de la liste des événements.

Ne confondez pas les journaux d’événements avec les événements de Sophos Fusion

Les journaux d’événements sont stockés localement sur les appareils Windows, macOS et Linux gérés et sont interrogés avec Live Discover. Leur conservation n’a pas de durée fixe : la plateforme, l’activité et les limites configurées déterminent la suppression des plus anciens journaux. Le réglage exige XDR, MDR ou MDR Plus. Sous Global Settings > Products and Services > Endpoint and Server > Event Journals, sélectionnez Endpoint ou Server. Maximum journal size (MB) accepte 300 à 30 000 MB et vaut 5250 MB par défaut. Maximum disk space (optional) propose Not specified, 10%, 20%, 30% ou 40% et vaut Not specified par défaut ; si les deux limites sont définies, la plus basse s’applique.

Ces réglages s’appliquent globalement à tous les endpoints et serveurs, pas appareil par appareil. Réduire une limite peut supprimer certaines données de journal et raccourcir l’historique Live Discover de tous les appareils. Après un déploiement contrôlé, interrogez des endpoints représentatifs et vérifiez que l’historique local couvre la fenêtre d’investigation voulue.

Cela signifie que les journaux d’événements ne sont ni un rapport d’événements stocké pendant une période plus longue ni une période de temps garantie. Ceux qui enquêtent sur l’activité brute avec Live Discover suivent le flux XDR distinct dans Investigate Sophos Endpoint Detections and Threat Graphs.

Questions fréquemment posées