Planifier les rôles et autorisations Sophos Fusion Endpoint
Les rôles Sophos Fusion (anciennement Sophos Central) n’agissent pas uniquement sur les menus visibles par un administrateur Endpoint. L’accès au produit, l’Access Type et les capacités supplémentaires déterminent ensemble s’il peut modifier les stratégies, démarrer Live Response, activer les chargements Data Lake, désactiver Tamper Protection ou retirer un ordinateur de l’isolation.
Le runbook Central consacré aux rôles d’administration explique le choix, l’attribution et le contrôle des rôles prédéfinis et personnalisés à l’échelle du tenant. Cet article se concentre sur leurs effets Endpoint et XDR, sans répéter la création des utilisateurs, les changements de rôle et l’offboarding.
Préférer une Endpoint Custom Role à un accès complet généralisé
Seul un Super Admin peut créer une Custom Role sous Global Settings > Access Control > Admins and Roles > Roles > Add role. Elle repose sur un rôle standard et reçoit, pour chaque produit, un Access Type tel que Full, Help Desk, Read-only ou None.
Saisissez un Name explicite et une Description liée à l’usage, sélectionnez le Base role, puis définissez l’Access Type de chaque produit. Dans les options supplémentaires d’accès et de gestion de la Custom Role, n’activez que les capacités nécessaires et sélectionnez Save. Ouvrez ensuite le rôle, sélectionnez Edit en regard de Role Members, choisissez les administrateurs et enregistrez de nouveau. Les options supplémentaires ne s’appliquent qu’aux produits sélectionnés ; Enable global search management exige Endpoint Protection ou Server Protection avec Full.
Un rôle Endpoint de type Help Desk peut par exemple être construit ainsi :
- rôle de base
Help Desk - produit
Endpoint Protection - Access Type correspondant à la mission réelle
- tous les produits inutiles sur
None - Logs et Reports uniquement si l’exploitation l’exige
- décider séparément de la gestion et de l’attribution des stratégies
- ne pas autoriser automatiquement Live Response, Data Collection et l’isolation
Après chaque modification de rôle, un compte de test permet de contrôler les menus, appareils et actions réellement disponibles. Le nom du rôle ne constitue pas une preuve d’autorisation.
Les Shared Settings exigent plusieurs droits produit
Certains paramètres sont utilisés conjointement par Endpoint et Server. Si une Custom Role n’a pas accès aux deux produits, ces Shared Settings peuvent rester partiellement en lecture seule. Certaines fonctions nécessitent en plus l’accès à Encryption.
Les paramètres partagés comprennent notamment :
- Tamper Protection
- applications autorisées
- Website Management
- configuration du proxy
- Blocked Items
- utilisation de la bande passante
- règles DLP et Content Control Lists
- rejet des connexions réseau provenant d’appareils non sécurisés
- XDR Threat Analysis Center
C’est une raison fréquente pour laquelle un rôle censé disposer d’un accès Endpoint Full ne peut pas modifier une exception globale ou un paramètre partagé. La solution n’est pas automatiquement Super Admin, mais une Custom Role étendue de manière ciblée.
Attribuer séparément les droits sur les stratégies
Sophos distingue la gestion de l’attribution des stratégies :
- Enable policy management permet de créer, modifier et supprimer des stratégies.
- Enable policy assignment permet d’activer ou désactiver des stratégies existantes et de les attribuer à des utilisateurs, groupes, appareils ou groupes d’appareils.
Une équipe d’exploitation peut ainsi attribuer des stratégies sans pouvoir modifier elle-même la baseline de protection. Inversement, une équipe de sécurité peut gérer le contenu des stratégies alors que les attributions en production suivent un processus de changement. La structure et la priorité sont expliquées dans Structurer correctement les stratégies Sophos Fusion Endpoint.
Live Response et collecte de données
L’autorisation de démarrer une session Live Response est attribuée explicitement. Un rôle personnalisé exige le rôle de base Full ou Help Desk, Endpoint Protection avec l’Access Type Full et le droit de démarrer des sessions sur les ordinateurs. Le droit pour les serveurs est séparé et exige Server Protection. Live Response nécessite une licence Sophos EDR, XDR ou MDR.
La gestion de Live Response et des uploads Data Lake constitue également un droit distinct. Manage Data Collection and Investigation settings for computers exige Endpoint Protection avec Full ; l’option équivalente pour les serveurs exige Server Protection. Start Live Response sessions on computers, l’option séparée pour les serveurs et l’activation dans la Policy constituent donc des tâches distinctes.
Une restriction s’applique actuellement aux MSP : un MSP qui ouvre le tenant client depuis Sophos Fusion Partner ne peut pas créer cette Live Response Custom Role. Dans ce contexte d’accès, l’absence du bouton n’est donc pas une erreur d’autorisation locale.
Live Response donne accès à un puissant shell distant. Les autorisations de rôle, la MFA, l’audit et l’expiration des sessions sont abordés dans Isoler un Endpoint Sophos et l’analyser avec Live Response.
Tamper Protection et isolation
La désactivation de Tamper Protection et la suppression de l’isolation administrateur d’un ordinateur ne sont pas accordées implicitement par l’accès Help Desk général. Pour ces options, Sophos exige une Custom Role avec le rôle de base Help Desk, Endpoint Protection et l’Access Type Full.
Ces droits sont réservés aux personnes qui exécutent un processus documenté de maintenance ou de gestion des incidents. Une autorisation permanente pour l’ensemble du support de premier niveau est rarement appropriée.
Droits XDR supplémentaires
Avec une licence XDR, les rôles standard bénéficient de possibilités supplémentaires :
- Super Admin et Admin peuvent demander des Intelligence Reports, gérer les entrées Clean-and-Block, consulter les Blocked Items, demander des On-Demand Threat Graphs, isoler ou libérer des appareils et demander des Forensic Snapshots.
- Help Desk peut demander des Intelligence Reports et Threat Graphs, consulter les Blocked Items et demander des Forensic Snapshots, mais ne peut pas exécuter toutes les actions de réponse.
- Read-only peut consulter les Intelligence Reports, les Blocked Items et les On-Demand Threat Graphs existants.
L’interface réellement disponible dépend en plus de la licence, de l’attribution des produits et de la source de données. Les fonctions XDR doivent donc être testées avec un appareil représentatif. Les Cases, Suppression Rules et données d’exposition sont expliqués dans Gérer les Sophos XDR Cases et Detection Suppression Rules.
Validation et dépannage
Effectuez la recette avec un administrateur de test et un ordinateur représentatif ; ajoutez un serveur pour les droits serveur. Contrôlez séparément la connexion, les produits visibles, Logs & Reports, la modification et l’affectation des Policies, ainsi que chaque action de réponse approuvée. Les tests négatifs doivent confirmer que les produits, paramètres et actions non autorisés sont absents ou en lecture seule. Documentez l’appartenance au rôle et vérifiez les Audit Logs.
Si une fonction manque ou est grisée, contrôlez d’abord la licence et la source de données. Vérifiez Role Members, reconnectez-vous, puis comparez Base role, produit, Access Type et option supplémentaire. Pour les Shared Settings, vérifiez les accès combinés à Endpoint, Server et éventuellement Encryption. Pour Live Response, contrôlez aussi la Policy Data Collection and Investigation : le droit de démarrer une session n’active pas la fonction. Enfin, excluez un accès via Sophos Fusion Partner et le blocage du nouvel onglet par le navigateur. Avant escalade, consignez le tenant, l’utilisateur, le rôle, la page produit, l’appareil, l’heure et le résultat du test négatif.