Bloquer les adresses IP compromises avec Sophos Endpoint

Sophos Fusion (anciennement Sophos Central) peut empêcher les appareils Windows et Linux gérés de communiquer avec des adresses IPv4/IPv6 internes ou externes et des plages CIDR spécifiées. Avec Block compromised IP addresses, l’administrateur indique lui-même les adresses à bloquer. Vérifiez donc les indicateurs avant d’enregistrer ; le nom de la fonction ne confirme pas à lui seul une compromission. Cette fonction ne prend pas en charge macOS.

Choisir d’abord le bon point de contrôle

Cette liste convient lorsque des endpoints Windows et Linux gérés ne doivent plus communiquer avec un indicateur IP confirmé. Dans les cas suivants, utiliser un autre contrôle :

• Un seul endpoint suspect : isoler l’appareil et analyser l’incident. La liste IP ne remplace ni le confinement ni la remédiation. Voir Isoler Sophos Endpoint et utiliser Live Response.
• Tous les systèmes derrière une passerelle, y compris les appareils non gérés : bloquer l’IP sur Sophos Firewall ou sur la passerelle réseau responsable. La liste Central ne protège que les endpoints gérés pris en charge.
• Un hôte connecté à des switches Sophos ou à des points d’accès AP6 : utiliser Active Threat Response. Cette fonction gère des hôtes isolés ou des adresses MAC et ne correspond pas à cette liste de destinations IP.
• Une action MDR/XDR ou un Threat Feed : il s’agit d’un autre workflow de réponse. Sophos exige un rôle d’administrateur Central pour cette liste manuelle, mais ses instructions n’imposent aucune étape XDR.

Évaluer l’impact avant l’enregistrement

Ne bloquer une adresse qu’après avoir vérifié la source, la période d’observation et les connexions concernées. Avec l’hébergement partagé, les CDN, le NAT ou les services cloud, une même IP peut desservir de nombreux services légitimes. Un large bloc CIDR augmente encore l’impact potentiel.

Les serveurs, services DNS et d’identité, systèmes de gestion, Update Caches et Message Relays sont particulièrement critiques. Le formulaire Central ne documente aucun sélecteur de port, protocole, application ou exception d’autorisation pour une entrée. Préférer une IP exacte à un réseau, désigner un responsable et définir une expiration pour les indicateurs temporaires.

Bloquer une adresse IP dans Sophos Fusion

Un rôle d’administrateur Sophos Fusion est requis. Selon Sophos, les utilisateurs Help Desk ne peuvent pas utiliser cette fonction.

1. Ouvrir l’icône Global Settings.
2. Accéder à Protection and Remediation > Allow and Block > Network > Block compromised IP addresses.
3. Activer Block communications with specified IP addresses.
4. Cliquer sur Add et saisir une adresse IPv4, une adresse IPv6 ou une plage CIDR dans Address.
5. Sous Expiry, choisir la durée requise. La valeur par défaut est 7 days ; 30 days et No expiry sont également disponibles.
6. Sous Comment, consigner au minimum la source de l’IOC, le ticket, le responsable et le motif. Le champ est facultatif, mais facilite nettement la révision ultérieure.
7. Cliquer sur Confirm. Ajouter si nécessaire d’autres entrées une par une.
8. Cliquer sur Save en haut à droite. Cette dernière étape enregistre la liste globale.

L’interface prend en charge jusqu’à 500 adresses ou plages, ajoutées individuellement. Pour les opérations de réponse plus importantes, Sophos renvoie à l’Endpoint API. Son opération POST /settings/blocked-addresses/bulk exige l’en-tête X-Tenant-ID et accepte jusqu’à 100 adresses ou plages simultanément ; chaque élément peut inclure un commentaire et une valeur expireInDays comprise entre 1 et 365. S’authentifier auprès de l’Endpoint API régionale du tenant conformément à la documentation Sophos, sans transposer l’exigence de rôle de l’interface à un client API.

La documentation Sophos actuelle présente une divergence importante : la page de la fonction Central indique Windows et Linux, tandis que la description de l’opération en masse de l’Endpoint API affirme qu’elle est uniquement disponible sur les appareils Windows. Confirmer auprès de Sophos le comportement requis sous Linux avant de dépendre d’une automatisation API. Conserver les payloads dans un workflow testé ; ne pas contourner la limite de l’interface avec des scripts non vérifiés.

Recommandation d’exploitation : commencer par 7 days pour un IOC temporaire. Réserver No expiry aux infrastructures interdites durablement et les réexaminer régulièrement. L’expiration ne remplace pas la documentation de l’incident.

Valider globalement et revenir en arrière sans risque

En l’absence de périmètre de groupe, il n’est pas possible d’activer sans risque l’IOC réel sur un seul appareil pilote. Tester plutôt le mécanisme au préalable avec l’IP exacte d’une destination de test dédiée et non critique :

1. Depuis un appareil de test Windows ou Linux géré, confirmer que la destination est joignable avant la modification.
2. Ajouter uniquement cette IP avec 7 days et un commentaire de test explicite, puis cliquer sur Save.
3. Après la prochaine communication réussie de l’endpoint avec Central, répéter le même accès. L’appareil géré ne doit plus pouvoir communiquer avec la destination.
4. Tester depuis un appareil témoin non géré. La connexion doit y rester possible, ce qui distingue l’action de l’endpoint d’une panne de la cible ou d’une règle de pare-feu.
5. Sélectionner l’entrée de test, cliquer sur Delete, puis sur Save. Confirmer que l’appareil géré peut de nouveau se connecter.

Pour l’IOC réel, identifier les applications et connexions métier concernées avant l’enregistrement. Informer le service desk et le responsable de l’incident pendant le déploiement et préparer la suppression immédiate.

Dépanner selon le symptôme

La connexion fonctionne toujours

• Vérifier que Block communications with specified IP addresses est activé et que Save a bien été utilisé après Confirm.
• Confirmer que l’appareil fonctionne sous Windows ou Linux. macOS n’est pas pris en charge.
• Vérifier que l’endpoint peut joindre Sophos Fusion et recevoir les modifications actuelles.
• Résoudre ou inspecter la destination réellement utilisée par l’application. Un nom d’hôte peut renvoyer plusieurs adresses IPv4 et IPv6 ; cette liste bloque des adresses IP, pas des noms de domaine.
• Contrôler l’adresse, la famille IP et le préfixe CIDR. Ne pas élargir immédiatement la plage réseau.

Sur la page de cette fonction, Sophos ne publie ni délai fixe de propagation, ni événement dédié, ni version minimale de l’agent. Si l’accès reste possible malgré une liste correcte et une communication Central opérationnelle, relever l’heure, l’endpoint, l’IP de destination et la méthode de test, puis contacter Sophos Support.

Un service légitime ne fonctionne plus

Sélectionner l’entrée concernée, cliquer sur Delete, puis sur Save. Vérifier le rétablissement depuis l’endpoint géré affecté. Ne pas laisser toute la fonction désactivée : comparer l’IOC et l’IP de destination avec la résolution DNS, l’hébergement partagé, le CDN et les dépendances du service, puis appliquer un blocage plus précis ou choisir un point de contrôle plus approprié.

Un blocage IP ne clôt pas un incident actif. Continuer à isoler les appareils affectés et à analyser les processus, la persistance, les identifiants et les autres destinations.

Questions fréquentes