Sophos Security Heartbeat et Synchronized Security

Security Heartbeat transmet l’état de santé d’un Sophos Endpoint géré à une Sophos Firewall enregistrée. Cela n’isole rien à lui seul : une règle Firewall correspondante ou la fonction Endpoint Reject connections from other devices doit appliquer la réaction réseau.

Il faut distinguer trois mécanismes :

Security Heartbeat échange l’état et l’identité entre Endpoint et Firewall ; la Firewall peut contrôler les accès source et destination.
Synchronized Security regroupe les réactions utilisant ces informations : règles Firewall et rejet, distribué par Sophos Fusion, des appareils non sûrs sur le même sous-réseau.
Active Threat Response (ATR) isole via des Sophos Switches et points d’accès AP6 les appareils identifiés par des utilisateurs API externes ou des analystes MDR/XDR. Ce n’est ni une couleur Heartbeat ni l’isolation Endpoint.

Prérequis et activation

Sophos exige un compte Sophos Fusion (anciennement Sophos Central), une licence d’essai ou complète pour au moins un Endpoint géré par Sophos Fusion et un abonnement Network Protection sur la Firewall. Les deux produits doivent appartenir à la même organisation dans le bon tenant Sophos Fusion.

Enregistrez la Firewall sous System > Sophos Central. SFOS active alors automatiquement Security Heartbeat et Synchronized Application Control. Le message A new firewall has been successfully registered to Sophos Central sous My Products > Firewall Management > Firewalls confirme seulement l’enregistrement, pas le Heartbeat d’un Endpoint ni l’effet d’une règle. Le processus complet est décrit dans Connecter Sophos Firewall à Sophos Fusion.

Chaque Endpoint reçoit un certificat de Sophos Fusion, que Sophos Fusion partage avec la Firewall pour identifier l’organisation. La communication TLS chiffrée utilise 52.5.76.173 et TCP 8347 ; l’accessibilité de ces valeurs ne prouve pas à elle seule l’association du tenant et du certificat.

Interpréter les états Heartbeat

L’Endpoint envoie son état toutes les 15 secondes. À la première connexion, il transmet aussi ses interfaces et les utilisateurs connectés.

État	Signification et suite
Green	Protection opérationnelle, sans malware actif ou inactif ni PUA. Valider la baseline et l’accès normal.
Yellow	Par exemple PUA, malware inactif ou aucune mise à jour de signature depuis 24 heures. Examiner l’alerte.
Red	Par exemple malware actif/non nettoyé, trafic malveillant ou protection défaillante. Examiner immédiatement l’alerte et l’appareil.
Missing	La Firewall voit encore du trafic mais n’a pas reçu trois Heartbeats successifs. C’est d’abord un problème de communication ou d’association, pas automatiquement un malware.

Yellow est généralement temporaire et ne nécessite pas, à lui seul, de mesure corrective pour rétablir un état sain. Examinez néanmoins l’alerte pour comprendre la cause. Si une PUA ou un malware est détecté, vous pouvez choisir une intervention ciblée selon le constat.

Une connexion vers un hôte malveillant connu peut provoquer Red. L’événement et le rapport associés déterminent si la détection initiale vient d’Endpoint, de Firewall ou d’un autre composant ; la couleur seule ne le prouve pas.

Choisir consciemment la réaction réseau

Contrôler l’accès dans la règle Firewall

Les contrôles se trouvent sous Rules and policies > Firewall rules > [règle] > Configure Synchronized Security Heartbeat :

Minimum source HB permitted exige Green ou Yellow pour la source ; No restriction autorise aussi Red ou l’absence de Heartbeat.
Block clients with no heartbeat traite les sources sans Heartbeat.
Minimum destination HB permitted contrôle les destinations internes, jamais celles de la zone WAN.
Block request to destination with no heartbeat traite les destinations internes sans Heartbeat.

Un appareil n’ayant jamais envoyé de Heartbeat reste autorisé par défaut. Sophos indique qu’il n’est couvert que si les deux options Block clients with no heartbeat et Block request to destination with no heartbeat sont actives. Une Web Exception ignorant Policy checks peut en outre autoriser le trafic Web malgré la première option.

Utilisez donc une règle pilote étroite pour les vrais Sophos Endpoints gérés. Imprimantes, invités, IoT et appareils avec EDR tiers nécessitent leurs propres règles, pas des exceptions toujours plus larges. Voir Planifier les règles Sophos Firewall.

Rejeter les connexions latérales sur l’Endpoint

Dans Sophos Fusion, ouvrez l’icône Global Settings, puis Protection and Remediation > Synchronized Security. Sous Reject connections from other devices, activez Allow devices to reject connections from other devices with red health. Cette réaction ne concerne que les appareils connectés à Sophos Firewall.

En cas de Red ou Missing, les autres appareils gérés du même sous-réseau reçoivent l’information. La destination journalise Access request from computer denied because it may be unsafe ; dans l’autre sens, la source journalise Access to computer denied because it may be unsafe. Aucun contournement local n’est possible ; l’accès revient lorsque l’appareil redevient sain.

Les serveurs critiques peuvent être exclus. Update Caches et Message Relays le sont par défaut afin de préserver mises à jour et communication. Toute autre exception requiert un responsable, une justification et une date de révision.

L’envoi de spam ou virus relève de Sophos Email

Scan computers that send spam or viruses exige les licences Sophos Endpoint et Sophos Email. Si au moins cinq messages classés spam ou contenant des virus partent d’une mailbox en dix minutes, Sophos Email identifie son propriétaire et ses appareils, bloque la mailbox une heure et lance un scan à la demande.

Chaque nouveau déclenchement après expiration du précédent double la durée. Après six, le blocage est permanent et nécessite Sophos Support. Désactiver l’option arrête seulement le scan Endpoint, pas le blocage Email. Vérifiez donc séparément l’événement Email, l’association utilisateur-appareils et le scan.

Pilote et validation

Choisir un Endpoint de test géré et une règle Firewall étroite ; documenter accès normal, destinations de remédiation et accès admin indépendant.
Comparer dans Sophos Fusion l’état et les événements du même ordinateur. Sur la Firewall, contrôler Control Center > User & device insights > Security Heartbeat ; si tout est Green, la vue détaillée ne liste aucun Endpoint.
Activer le logging de la règle, exécuter un flux autorisé et noter IP source, destination, Rule ID et heure.
Utiliser un test Sophos approuvé, sans arrêter l’agent, manipuler la protection ni employer de malware réel. Voir Tester les protections Sophos Endpoint.
Comparer l’alerte Sophos Fusion, l’événement Endpoint, la vue Heartbeat et le log Firewall dans la même fenêtre. Seule la réaction configurée doit agir.
Après nettoyage, confirmer le retour à Green et de l’accès normal avant d’élargir le périmètre.

Dépannage par symptôme

Missing au lieu de Green/Yellow/Red : vérifier zone, chemin réseau, changement d’adaptateur, VPN/NAT, horodatage et association Sophos Fusion ; suivre Dépanner les alertes Missing Heartbeat.
Sophos Fusion et Firewall divergent : comparer le même appareil et la même période, puis enregistrement, état en ligne, communication certificat/Sophos Fusion et événements. Ne pas dérégistrer ni créer d’exception globale.
Blocage inattendu : les messages Endpoint ci-dessus identifient le rejet latéral ; un log Firewall avec Rule ID et condition Heartbeat identifie la règle.
Délai sur réseau commuté ou LAG : Sophos documente un délai de détection pris en charge dans Device Console. Noter la valeur actuelle et prévoir un retour arrière avant toute modification.
Deux Endpoints partagent un dock ou une interface USB : SFOS 22.0 MR2 Build 546 corrige les faux Missing sous NC-176012. Sur les anciens builds SFOS 22, vérifier la version installée et planifier le changement de firmware, puis retester le dock ou l’interface USB concerné plutôt que seulement augmenter un timer.
Cause inconnue : conserver période, Endpoint ID, état/événements, Rule ID, IP/MAC et interfaces. Utiliser la collecte adaptée au cas ci-dessous ; Self Help et SDU explique la manipulation sûre.

Préparer un cas Endpoint Health pour le support

Les Minimum Escalation Requirements Sophos pour Windows Endpoint et Windows Server distinguent les cas d’état, service, menace, isolation et Synchronized Security. Pour chacun, joindre aux fichiers votre analyse : première erreur pertinente, heure, hypothèse testée et résultat.

État Red/Amber incorrect : capturer la cause et l’état visible, confirmer le même état dans Sophos Fusion et déterminer s’il est actuel ou résiduel. Utiliser Reset health status uniquement comme test contrôlé, puis vérifier si l’état reste sain ou revient avec le même événement ; joindre SDU et analyse.
Service/processus arrêté ou absent : relever la page Services d’Endpoint Self Help et son message, suivre son guide lié et examiner le log du service. Capturer l’échec de démarrage reproductible avec Process Monitor exécuté comme administrateur, Enable Advanced Output sous Filter et All events lors de l’enregistrement. Recueillir ensuite un SDU de la même période. Arrêter et protéger la capture, susceptible de contenir processus, chemins et utilisateurs.
Menace en attente : rechercher la même menace dans la liste locale et la page Events de Sophos Fusion. Si elle y figure, tenter d’abord la résolution dans Sophos Fusion ; sinon tester Reset health status de façon contrôlée. Le reset ne nettoie pas une menace et ne remplace pas le contrôle de récidive. Joindre résultat, SDU et analyse.
Échec d’entrée en isolation : vérifier les listes d’exclusion et les exclusions par défaut. L’isolation automatique exige une Policy active et un état Red réel. Contrôler la communication avec Sophos Fusion et, pour Reject connections from other devices, l’état Heartbeat sous Endpoint Self Help > Operations.
Échec de sortie d’isolation : l’état doit être sain et la communication avec Sophos Fusion opérationnelle ; vérifier aussi l’exclusion configurée si l’appareil est exclu. Dans les deux sens, conserver observations, SDU et analyse avant de modifier Policy ou exclusions.
Security Heartbeat ne se connecte pas : confirmer d’abord son activation sur Sophos Firewall. Comparer, sur la même période, Endpoint Self Help > Operations, les erreurs de Heartbeat.log et le heartbeatd.log de la Firewall. N’activer DEBUG que pour le processus Heartbeat et la courte reproduction, puis restaurer le niveau initial et collecter un SDU. La résolution exige une connexion dans Operations, aucune nouvelle erreur correspondante et le retour des accès attendus.

Distinguer ATR et l’isolation Endpoint

Sophos Fusion ATR sous Global Settings > Protection and Remediation > Allow and Block > Network > Active Threat Response concerne Sophos Switches et AP6. Les utilisateurs API externes ou analystes MDR/XDR peuvent isoler des MAC via ces équipements. Sur AP6, ATR prévaut sur la liste MAC Filtering Allowed des SSID.

Ce chemin diffère d’une règle Heartbeat, du rejet latéral et de l’isolation Endpoint manuelle. Pour cette dernière, voir Isoler un Endpoint et l’examiner avec Live Response. Un état ATR ne prouve ni Heartbeat Red ni action Endpoint.

Questions fréquentes

Un Heartbeat rouge bloque-t-il automatiquement tout le réseau ?

Non. L’effet dépend de la règle Firewall correspondante ou de la fonction Endpoint Reject connections from other devices, avec des périmètres et logs distincts.

Microsoft Defender peut-il envoyer un Sophos Security Heartbeat ?

Non. Il faut un Endpoint géré par Sophos Fusion avec Sophos Endpoint Protection. Un EDR tiers nécessite une conception d’accès séparée.

Active Threat Response équivaut-il à l’isolation Endpoint ?

Non. Le chemin ATR décrit ici isole des MAC via Sophos Switches et AP6 ; l’isolation Endpoint est une action distincte sur l’Endpoint géré.