Sophos MDR : configurer les contacts et Threat Response

Sophos MDR exige au moins un contact autorisé avant de pouvoir configurer d’autres paramètres MDR ou utiliser le service. Pour l’exploitation, Avanet recommande au moins deux contacts joignables. Il faut ensuite décider en connaissance de cause si l’équipe MDR peut intervenir seule ou doit obtenir une autorisation préalable. Un contrat activé ne remplace pas cette préparation.

Dans Sophos Fusion (anciennement Sophos Central), l’icône Global Settings mène à Products & Services > MDR : enregistrez d’abord Authorized Contacts, puis approuvez et enregistrez Threat Response, avant de compléter Additional Settings. Rouvrez enfin les trois onglets pour les comparer à l’état cible approuvé. Ce contrôle ne déclenche ni attaque ni action de réponse.

Clarifier les responsabilités et l’accès avant la configuration

Il faut une licence MDR active dans le bon compte client et un accès administrateur permettant de modifier les paramètres MDR. Après l’activation de la licence, Sophos Fusion peut proposer la configuration dès la première connexion. Les paramètres restent ensuite accessibles sous Global Settings > Products & Services > MDR. Si des onglets ou options de modification manquent, vérifiez le compte, la licence et les droits effectifs ; le rôle d’un contact sélectionnable ne démontre pas un rôle minimal général pour toutes les modifications de paramètres.

Avant toute modification, consignez les contacts existants avec leur ordre, leurs numéros de téléphone, les options de notification, le mode de réponse et l’état de la case Collaborate dans un ticket de changement à accès restreint. Pour une première configuration, documentez plutôt l’état cible convenu. Les personnes concernées doivent savoir qu’elles doivent répondre aux demandes MDR et obtenir une décision en interne, y compris en dehors des heures de bureau.

1. Saisir et enregistrer Authorized Contacts

Les contacts MDR constituent le canal de communication officiel entre l’équipe MDR et l’organisation. En présence d’une menace active, Sophos essaie de joindre les contacts configurés l’un après l’autre jusqu’à obtenir une réponse. Cette configuration est distincte des Authorized Contacts de Managed Risk ; les contacts qui y sont enregistrés ne remplacent pas la configuration MDR.

Ouvrez l’icône Global Settings et sélectionnez Products & Services > MDR > Authorized Contacts.
Sous Primary, sélectionnez l’administrateur Sophos Fusion prévu. Les rôles admissibles sont Super Admin, Admin ou Help Desk. Si aucun compte ne convient, Create new Central administrator permet d’en créer un. Attribuez les rôles d’administration selon la tâche réelle, sans accorder Super Admin par précaution.
Saisissez les coordonnées. Vérifiez que le numéro de téléphone inclut l’indicatif du pays ; pour les numéros existants qui en sont dépourvus, la page peut demander de le compléter. L’essentiel est que la personne responsable soit réellement joignable à ce numéro.
Si nécessaire, sélectionnez Secondary et Tertiary et complétez leurs coordonnées. Jusqu’à trois contacts sont ainsi possibles. Au minimum, Primary est obligatoire ; un deuxième contact couvre les absences. L’ordre doit correspondre au processus d’astreinte interne.
Examinez délibérément les cases de désinscription pour MDR reports et broadcast announcements. Elles concernent ces e-mails et ne remplacent pas un canal opérationnel de communication sur les incidents.
Sélectionnez Save. Quittez l’onglet, rouvrez-le et vérifiez la sélection, l’ordre, les numéros de téléphone et l’état des désinscriptions enregistrés.

Avanet privilégie des comptes clairement attribués et un remplacement organisé. Sophos décrit aussi des comptes administrateur utilisant l’adresse d’une liste de diffusion et recommande Help Desk pour ses droits plus limités. Une liste de diffusion ne prouve toutefois ni la joignabilité téléphonique ni une responsabilité claire ; n’accordez pas de droits étendus à un compte uniquement pour les notifications.

2. Choisir Threat Response en connaissance de cause

Sous Global Settings > Products & Services > MDR > Threat Response, trois modes sont proposés pour MDR et MDR Plus. Le choix définit les autorisations ; l’étendue effective des prestations dépend aussi du service souscrit et des accès techniques disponibles.

Authorize: L’équipe MDR peut effectuer elle-même les mesures de confinement et informe ensuite des actions réalisées. Selon le périmètre de service actuel, la neutralisation complète relève de MDR Plus. Les tâches que Sophos ne peut pas réaliser restent à la charge de l’organisation.
Collaborate: L’équipe MDR enquête et coordonne la réponse avec les contacts. Avant toute action de réponse, elle a besoin d’une autorisation verbale ou écrite, ou de la participation active de l’organisation. Une personne doit donc être joignable en interne et habilitée à décider.
Notify Only: L’équipe MDR avertit les contacts et ne peut enquêter que de manière limitée. Elle n’est autorisée ni à contenir ni à neutraliser les menaces. Ce mode n’est pas une alternative équivalente à un processus de réponse opérationnel et n’est pas recommandé pour une utilisation prolongée.

Sophos recommande Authorize ou Collaborate. Décidez avec les responsables des incidents de l’option adaptée avant l’enregistrement : Sophos doit-il pouvoir contenir immédiatement une menace confirmée, ou l’organisation peut-elle fournir de manière fiable chaque autorisation nécessaire ?

La case sous Collaborate est une préautorisation supplémentaire

Sous Collaborate, il est possible d’autoriser séparément l’équipe MDR à agir comme en mode Authorize si aucune confirmation n’est reçue après des tentatives de contact téléphonique auprès de tous les contacts configurés. Sans cette case, une autorisation reste nécessaire avant les actions de réponse. Il ne s’agit pas d’un quatrième mode au même niveau que les autres.

Consignez explicitement l’approbation de ce mécanisme de secours dans le ticket de changement. Le simple choix de Collaborate n’indique pas si ce recours a été approuvé. Il ne faut pas non plus supposer un délai d’attente fixe avant une intervention.

Une fois la décision prise, sélectionnez le mode souhaité et, le cas échéant, la case, puis Save. Rouvrez l’onglet et comparez les deux valeurs séparément à l’état approuvé. En cas d’écart, ne présumez pas que la modification a été appliquée : clarifiez le compte utilisé, la sélection enregistrée et d’éventuelles modifications parallèles.

3. Délimiter Live Response et les appareils sensibles

Avec Authorize, Sophos demande d’activer Live Response. Cet accès permet à l’équipe MDR de travailler sur les appareils. Un mode de réponse approuvé ne prouve à lui seul ni l’application effective d’une politique d’appareil ni la configuration d’une intégration de réponse.

Avant l’autorisation, regroupez dans un groupe distinct les ordinateurs ou serveurs sensibles auxquels MDR ne doit pas accéder via Live Response. Sous My Products > Endpoint > Policies ou My Products > Server > Policies, appliquez à ce groupe une politique Data Collection and Investigation avec Live Response désactivé. Traitez séparément les politiques des ordinateurs et celles des serveurs. Avant l’enregistrement, vérifiez le périmètre du groupe et l’attribution de politique antérieure afin de ne pas ouvrir ou bloquer accidentellement l’accès à tout le parc.

Après la modification, contrôlez l’attribution effective et le paramètre Live Response sur un appareil prévu et sur un appareil exclu. Ne démarrez aucune session pour ce contrôle. Désactiver Live Response n’est pas une exclusion générale de MDR, des autres fonctions de protection ou de toutes les actions de réponse ; cela limite cet accès aux appareils. L’exception peut compliquer l’enquête ou le nettoyage et exige donc un interlocuteur local responsable. Isolation et Live Response détaille les limites des politiques, des rôles et des accès.

Préparez séparément les actions sur des produits tiers via les intégrations MDR et XDR. L’ingestion de données n’accorde pas automatiquement un droit d’écriture dans le système source. De même, l’action locale du flux de pare-feu Log only ou Log and drop reste distincte du mode de réponse MDR ; suivez pour cela le runbook MDR Threat Feeds.

4. Vérifier le contexte de l’organisation et les agents

Sous Global Settings > Products & Services > MDR > Additional Settings, renseignez l’Industry Vertical approprié, le site principal de l’organisation et les sous-réseaux réellement utilisés. Ce contexte aide l’équipe MDR à interpréter les activités. Saisissez des données réelles d’inventaire approuvées en interne, et non des réseaux d’exemple ou des plages globales sans rapport avec l’environnement. Sélectionnez ensuite Save, rouvrez l’onglet et comparez les valeurs enregistrées.

Pour utiliser MDR, chaque ordinateur ou serveur concerné doit disposer d’un agent Sophos prenant en charge MDR. La configuration des contacts n’installe aucun agent et ne fournit pas à elle seule de télémétrie. S’il manque des appareils ou si l’état des agents est incertain, poursuivez l’inventaire avec le parcours d’intégration Endpoint. Ne validez pas la configuration comme complète tant que les appareils et sources de données prévus ne sont pas clarifiés.

Valider sans attaque ni test de réponse

La validation porte sur la configuration enregistrée et la joignabilité organisationnelle, pas sur une Detection créée artificiellement :

Rouvrez Authorized Contacts, Threat Response et Additional Settings. Vérifiez les valeurs enregistrées par rapport au ticket approuvé ; incluez explicitement la case pour Collaborate.
Confirmez en interne avec Primary et son remplaçant les numéros, les indicatifs, la joignabilité et le circuit d’autorisation des incidents. Un appel de contrôle interne convenu peut vérifier le numéro enregistré, mais ne prouve pas le chemin d’appel depuis Sophos.
Vérifiez avec l’administration de la messagerie que de véritables messages MDR existants parviennent aux destinataires prévus et ne sont pas dans les spams ou en quarantaine. Sans cette preuve, la réception des e-mails MDR externes reste non vérifiée. Ni un test de messagerie interne ni un contact enregistré ne la démontre. Sans coordonnées d’expéditeur actuelles et vérifiées, n’autorisez pas globalement des domaines et ne désactivez pas le contrôle des e-mails.
Contrôlez le parc d’agents prévu, les politiques Live Response effectives et les exceptions documentées. Ne lancez aucun shell distant, aucune isolation ni autre action en production pour la validation.
Documentez les responsables, la date du contrôle et les questions de réception ou d’inventaire encore ouvertes. Les preuves manquantes restent en suspens et sont clarifiées avec MDR ou l’administration de la messagerie ; elles ne sont pas remplacées par un incident de test.

En exploitation, les actions requises du client suivent les limites de statut et de responsabilité du Case concerné. Assignee et Managed By ne sont pas interchangeables. Les parcours distincts de Classic et des Cases MDR actuels sont décrits dans Cases et Detection Rules.

Si la configuration ne correspond pas à l’état cible

Les autres paramètres MDR ne sont pas encore utilisables : Vérifiez d’abord qu’au moins Primary a été entièrement renseigné dans le bon compte client et enregistré avec Save. N’utilisez pas la page Managed Risk du même nom comme remplacement.
La personne souhaitée manque dans Primary : Vérifiez le compte administrateur et son rôle. Super Admin, Admin ou Help Desk sont les rôles de contact documentés ; le rôle de contact et les droits de modification d’autres fonctions restent distincts.
MDR ne joint personne : Vérifiez l’ordre, l’indicatif, le remplacement et l’astreinte réelle. Ne déduisez pas de réponse automatique de Collaborate tant que la case supplémentaire n’a pas été approuvée et enregistrée en connaissance de cause.
Un message manque : Vérifiez l’attribution des destinataires, la quarantaine et les journaux de réception existants. Une liste d’autorisation précise n’est définie qu’à partir d’expéditeurs MDR actuels et vérifiés, pas d’une adresse supposée.
Live Response est encore autorisé sur un appareil sensible : Vérifiez la politique Endpoint ou Server réellement attribuée et l’appartenance au groupe. Une exception prévue ne prend effet que lorsque la bonne politique s’applique au bon appareil.

En cas de contact erroné ou de mode modifié accidentellement, rétablissez les anciennes valeurs documentées uniquement après concertation avec le responsable des incidents, enregistrez-les et contrôlez-les à nouveau. Cela n’annule pas les actions MDR déjà réalisées. Pendant un incident en cours, coordonnez toute modification des autorisations de réponse avec l’équipe MDR ; réinitialiser les paramètres n’est pas un retour arrière technique de l’incident.