Sophos MDR: cosa fa Sophos e cosa resta al cliente?

Alle tre del mattino un aggressore inizia a propagarsi nella rete aziendale. Il software di protezione segnala attività sospette. Ma chi analizza l’avviso, decide l’isolamento di un server e informa le persone responsabili?

Sophos MDR mette a disposizione a questo scopo un team di analisti 24 ore su 24. Managed Detection and Response comprende rilevamento, indagine e interventi di risposta concordati. Alleggerisce il lavoro dell’IT interno. Non ne sostituisce però né la responsabilità operativa né la preparazione a un incidente.

Questo articolo, pubblicato originariamente nel 2022, è stato aggiornato per il servizio attuale. La transizione da MTR a MDR resta rilevante come contesto storico; le precedenti panoramiche dei pacchetti non sono una base aggiornata per un ordine.

Cosa fa concretamente Sophos?

Gli analisti valutano gli avvisi di sicurezza disponibili, indagano sulle correlazioni sospette e gestiscono gli incidenti che ne derivano. A questo scopo utilizzano la telemetria dei sistemi collegati. La gestione avviene in Sophos Fusion, precedentemente Sophos Central.

A seconda del servizio acquistato e dei poteri concessi, il team può, ad esempio, isolare un computer raggiungibile, terminare un processo dannoso oppure, tramite un’integrazione Microsoft 365 Response configurata, bloccare un accesso e revocare le sessioni. Sono interventi concreti. Devono essere disponibili la relativa funzione, l’accesso tecnico e l’autorizzazione.

Un dettaglio importante riguarda il perimetro del servizio: l’attuale documentazione Sophos sulle modalità di risposta distingue tra contenimento e neutralizzazione completa. Quest’ultima viene attribuita a MDR Plus. Una promessa generica come «MDR risolve completamente ogni incidente» non è quindi una descrizione utile del servizio. Conta il servizio ordinato.

Sophos può intervenire immediatamente?

L’azienda definisce una modalità di risposta. Questa decisione dovrebbe precedere il primo incidente, perché un avviso urgente non conferisce di per sé l’autorizzazione a intervenire.

Con Collaborate si può inoltre consentire il passaggio ad Authorize dopo tentativi telefonici infruttuosi presso tutti i contatti registrati. Questa opzione deve essere attivata espressamente. In sua assenza, il team non può interpretare l’irreperibilità come consenso.

La configurazione dei contatti MDR e di Threat Response spiega le impostazioni. È necessario almeno un contatto principale autorizzato. Ulteriori contatti sono utili affinché ferie, malattia o un singolo telefono spento non interrompano la procedura. Un numero registrato non sostituisce però una reperibilità organizzata internamente.

Terze parti: vedere i dati non equivale a intervenire

MDR può includere anche dati di sicurezza di altri produttori. Non è quindi necessario sostituire indiscriminatamente i prodotti esistenti con Sophos. Per il prodotto concreto occorre verificare quali dati fornisca un’integrazione e quali risposte renda possibili. La guida alle integrazioni MDR/XDR aiuta con configurazione e verifica.

Un semplice connettore dati può fornire avvisi senza poter bloccare account o isolare dispositivi. Un’integrazione Response richiede autorizzazioni proprie. Anche un firewall che invia eventi non è per questo pronto a eseguire qualsiasi azione di risposta. Sugli endpoint, agente, criteri e Live Response possono determinare quali indagini e interventi siano possibili.

Un esempio tipico è un account Microsoft 365 compromesso: revocare le sessioni attive e bloccare ulteriori accessi può interromperne l’utilizzo immediato. Questo non chiarisce però ancora tutte le possibili conseguenze. Regole di inoltro manipolate, processi aziendali coinvolti, ulteriori accessi e la riabilitazione sicura devono essere esaminati e assegnati in modo mirato durante l’incidente. Anche qui, i passi che Sophos può eseguire dipendono da integrazione e perimetro del servizio.

Cosa resta al cliente o al partner IT?

L’IT interno continua a gestire l’infrastruttura. Questo comprende aggiornamenti, configurazioni sicure, gestione degli utenti, backup funzionanti e ripristino delle applicazioni. MDR non rende permanentemente sicuro un server privo di patch e non ripristina da un backup i dati aziendali cifrati.

Anche le decisioni aziendali restano all’impresa: quali sistemi possono essere temporaneamente indisponibili? Chi informa direzione, clienti o assicurazione? Chi valuta gli obblighi di notifica e incarica l’eventuale supporto esterno necessario? Questi compiti devono essere assegnati nel piano di emergenza. Il solo contratto MDR non li distribuisce tra le persone interne.

Il lavoro continua anche dopo il contenimento. Occorre eliminare la causa, ripristinare in modo corretto un accesso compromesso e attuare una modifica di configurazione raccomandata. Un report diventa un progresso operativo soltanto quando qualcuno si assume i compiti aperti e ne verifica la conclusione.

Per ogni ambiente critico dovrebbe quindi esistere un breve elenco delle responsabilità: cosa può fare autonomamente Sophos, cosa esegue il partner IT e chi decide in azienda? Soprattutto per i server critici per la produzione, le conseguenze di un isolamento vanno discusse in anticipo.

Quanto costa MDR e cosa deve comprendere l’offerta?

Un prezzo totale attendibile richiede numero di utenti e server, durata, perimetro di risposta desiderato e sistemi considerati. Si aggiungono la configurazione e i compiti del proprio partner IT. Un prezzo di licenza inferiore può dire poco se mancano le integrazioni necessarie e la disponibilità a intervenire in emergenza.

Nello shop Avanet sono disponibili offerte per Sophos MDR, MDR Complete, MDR per server e MDR Complete per server. L’attuale documentazione del produttore utilizza anche la denominazione MDR Plus. I vecchi nomi di prodotto e le denominazioni dello shop non vanno quindi equiparati al perimetro attuale del servizio senza verificare l’offerta.

Anche i pacchetti di integrazione della versione originale di questo articolo non costituiscono un listino attuale affidabile. Per un’offerta devono essere definiti espressamente integrazioni incluse, periodi di conservazione ed eventuali servizi aggiuntivi. Un collegamento incluso, inoltre, non concede automaticamente una licenza per il prodotto di terze parti collegato. Per questo non indichiamo un prezzo unitario generico non verificato.

Come si riconosce un ambiente MDR pronto all’uso?

Dopo l’acquisto non basta che la licenza compaia nel portale. I dispositivi monitorati devono essere censiti integralmente, le fonti dati previste devono fornire eventi aggiornati e gli accessi per la risposta devono funzionare. La modalità scelta deve corrispondere alla procedura di emergenza concordata.

Per il collaudo occorre riesaminare con il fornitore i canali di contatto e le responsabilità, verificare lo stato delle integrazioni e concordare un test funzionale sicuro. Il risultato deve mostrare chi riceve un avviso e quale risposta sia possibile sul piano tecnico e organizzativo. Un test del genere non richiede di avviare intenzionalmente del malware.

Valuterei MDR in base alla capacità di creare, in emergenza, una catena di intervento raggiungibile e in grado di agire. Devono essere presenti insieme un team di analisti, un accesso tecnico funzionante e un’autorizzazione chiara. Se manca uno di questi elementi, resta una lacuna decisiva anche con una buona licenza.

Domande frequenti