Pianificare, esportare e monitorare i report Sophos Central
Sophos Central mette a disposizione log e report differenti a seconda di licenza e prodotto. Un report acquista valore operativo solo quando sono definiti periodo, filtri, modalità di invio, responsabilità e conservazione. Una vista salvata senza responsabile diventa inaffidabile al più tardi dopo il cambio di amministratore o la scadenza della pianificazione.
Percorso rapido per i report legacy: in Reports, aprire il report desiderato, impostare periodo e filtri e verificare i risultati. Per un output singolo scegliere Export to CSV, Export to PDF o Print. Per una pianificazione aprire Save as Custom Report, scegliere modalità di invio, Frequency e formato, quindi confermare con Save. Le impostazioni del report non sono modificabili dopo la creazione, perciò periodo e filtri vanno verificati prima.
Distinguere log, report e dashboard
| Area | Scopo |
|---|---|
| Log | esaminare singoli eventi o attività amministrative |
| Report | salvare, esportare o inviare dati filtrati come analisi ripetibile |
| Dashboard | osservare stato attuale e trend come vista di lavoro |
Un report PDF non sostituisce né i dati grezzi per un’indagine né un archivio SIEM a lungo termine. Per le modifiche amministrative, la fonte corretta resta il Sophos Central Audit Log.
Quali log appaiono in Reports
Le voci visibili in Reports dipendono da licenza, prodotti attivati e ruolo amministrativo. Central raccoglie qui fonti di dati funzionalmente diverse:
| Log | Contenuto e responsabilità |
|---|---|
| Events | eventi dei dispositivi gestiti; l’analisi operativa appartiene al relativo runbook Endpoint o Server. |
| Malware and PUAs blocked | estratto semplificato dell’Event Log per malware e applicazioni potenzialmente indesiderate rilevati e bloccati. |
| Audit Logs | attività amministrative Central; visibilità ed export dipendono dal ruolo. |
| Data Loss Prevention | eventi generati da regole DLP su computer o server. |
| Message History | messaggi delle mailbox protette elaborati da Sophos Email. |
Questi log non vanno riuniti in un unico indicatore di sicurezza. Un’area DLP o Message History vuota può dipendere da licenza, prodotto, ruolo o filtro e non dimostra automaticamente che non vi siano eventi.
Riconoscere report legacy e recenti
Nell’elenco dei report salvati, Central indica se una voce usa il vecchio formato legacy. La distinzione è importante perché i limiti non sono gli stessi.
L’elenco riporta nome, autore, formato e frequenza pianificata. Le barre Report Templates e Actively Scheduled non includono i report legacy. Il numero nel diagramma non dimostra quindi l’assenza di pianificazioni meno recenti; durante un passaggio di consegne si controlla sempre anche l’elenco completo. La maggior parte dei log e report generali usa ancora il formato legacy.
Per i report legacy valgono per amministratore:
- al massimo 25 report pianificati e 25 non pianificati,
- massimo 10.000 eventi per report o log,
- visibilità generalmente riservata all’autore,
- arresto automatico dell’invio e-mail dopo sei mesi.
Gli amministratori Partner ed Enterprise non possono semplicemente acquisire questi report personali nel tenant cliente. Se l’autore lascia l’azienda, prima dell’offboarding i report necessari devono essere ricreati sotto un account operativo appropriato.
I formati più recenti hanno caratteristiche diverse. Attualmente ogni amministratore può pianificarne fino a 100. Gli amministratori autorizzati, i Partner e gli amministratori Enterprise possono visualizzarli. Il nuovo formato non è automaticamente disponibile per ogni prodotto ed è usato, tra gli altri, per MDR e Central Firewall. È quindi determinante l’indicazione del formato nel portale, non il nome del report.
Dopo sei mesi, un report legacy ancora necessario viene aperto, modificato e salvato di nuovo, riavviando il periodo di invio. L’intervento si documenta con responsabile e successiva data di controllo, evitando proroghe ripetute e invisibili.
Pianificare il report dal punto di vista operativo
Prima del salvataggio si definiscono scopo e ambito:
- A quale domanda operativa deve rispondere il report?
- Quali prodotti, gruppi, dispositivi e periodi deve comprendere?
- Chi valuta il risultato ed entro quando?
- L’output contiene dati personali o critici per la sicurezza?
- Serve un’istantanea, un report ricorrente o un flusso dati SIEM?
Un nome chiaro contiene funzione, ambito e frequenza, per esempio Stato Endpoint - Produzione - settimanale. Nomi come Test, Report 2 o il nome di una persona complicano il passaggio di consegne.
Il percorso operativo parte da Reports. A seconda del report, il periodo può essere limitato con From e To. Le schede di categoria filtrano i risultati visibili, per esempio Active nel report Computers; altre viste offrono filtri di gruppo e ricerca di valori specifici. Non tutti i report offrono ogni filtro o formato di output. Dopo ogni cambio di filtro si verifica la plausibilità del numero di risultati prima di salvare o esportare.
Per un output singolo, a seconda del report sono disponibili:
- Print, che apre una vista per la stampa; il dialogo del browser si apre poi con
Ctrl+PoCmd+Psu macOS. - Export to CSV, che esporta la vista filtrata corrente per successive operazioni di filtro e correlazione.
- Export to PDF, che esporta la vista corrente come istantanea leggibile.
Salvare e inviare via e-mail un report legacy
La procedura seguente vale per i Custom Report generali in formato legacy. I report più recenti, come quelli per MDR o Central Firewall, hanno caratteristiche proprie: fanno fede l’indicazione del formato e le azioni disponibili nel portale.
- In Reports, aprire il report desiderato e configurare completamente periodo e filtri. Queste impostazioni non sono modificabili dopo la creazione del Custom Report. Se l’ambito deve cambiare, creare un nuovo report.
- Selezionare Save as Custom Report e inserire un Name chiaro nella finestra Save Report.
- Per l’invio e-mail scegliere Send a link to the report oppure Attach the report to the email. Sophos raccomanda il link per le informazioni personali: per aprirlo servono le credenziali di Sophos Central e non viene depositato un ulteriore file del report nella mailbox.
- In Frequency scegliere la frequenza settimanale o mensile. L’opzione mensile è disponibile solo se il periodo scelto in precedenza copre almeno 30 giorni.
- Scegliere PDF o CSV come formato di output e concludere con Save.
L’e-mail pianificata viene ricevuta dall’amministratore che ha creato il report. La finestra non descrive un elenco di destinatari liberamente configurabile. Se cambia il responsabile, ricreare il report sotto l’account operativo previsto; l’inoltro tacito di una mailbox personale non costituisce un passaggio affidabile.
Dopo il salvataggio, controllare la voce nell’elenco all’inizio della pagina Reports. Nome, autore, formato e frequenza pianificata devono corrispondere alla documentazione operativa. Per una pianificazione e-mail verificare anche l’effettiva ricezione nella mailbox dell’autore. In questo modo si validano sia la configurazione salvata sia il percorso di invio.
La lingua del report segue l’account Central Admin che ha configurato l’invio. Con accesso Partner può essere determinante la lingua del tenant cliente. Una lingua inattesa non va quindi confusa con un template guasto.
Usare correttamente il co-branding
In Global Settings > Platform > Co-branding, Super Admin e Admin possono caricare un logo aziendale. Appare nel Self Service Portal e nei report PDF Endpoint e Server supportati. Un logo Partner può essere adottato se il partner ha aperto il tenant cliente dal Partner Portal.
La configurazione completa, dalla scelta del file all’anteprima, all’adozione del logo Partner e al ripristino, è descritta nell’articolo sul co-branding di Sophos Central.
Se sono presenti logo Partner e cliente, quello Partner appare in alto a destra e quello cliente in alto a sinistra nel report. Prima dell’invio esterno si produce quindi un PDF di prova, controllando tenant, marchi e contenuti riservati corretti.
Per cambiare logo o tornare a quello Sophos occorre prima rimuovere quello esistente e poi salvare la nuova scelta. Il co-branding non modifica contenuto o autorizzazioni e non è una funzione di sicurezza. Aiuta soltanto gli utenti a riconoscere un portale aziendale ufficiale o un report previsto.
Gestione e passaggio di consegne
Un controllo mensile verifica:
- frequenza prevista ed effettiva ricezione da parte dell’autore,
- responsabile operativo e account amministrativo associato,
- formato del report e relativi limiti,
- modifiche a licenza e ruoli,
- quantità di dati e possibile limite di 10.000 eventi,
- scadenza dei report legacy,
- necessità e conservazione degli export.
Durante l’offboarding di un amministratore si controllano insieme report legacy personali, dashboard, API Credential e regole degli alert. La semplice eliminazione dell’amministratore non deve interrompere silenziosamente monitoring o evidenze di compliance.
Risolvere i problemi più comuni
L’opzione mensile non è disponibile: il periodo selezionato deve coprire almeno 30 giorni. Correggere il periodo, verificare di nuovo i risultati e poi creare il Custom Report.
Il report salvato ha filtri o periodo errati: queste impostazioni non possono essere modificate dopo la creazione. Creare il sostituto con l’ambito corretto e rimuovere la vecchia voce solo dopo aver verificato quella nuova.
Un altro amministratore non vede il report: controllare prima l’indicazione del formato. I report legacy sono visibili solo al loro autore; anche gli amministratori Partner ed Enterprise non possono vederli o crearli nel tenant cliente.
Le barre mostrano meno pianificazioni del previsto: Report Templates e Actively Scheduled escludono i report legacy. Per il controllo usare l’elenco completo dei report salvati.
Un report legacy pianificato non viene più inviato: se è stato configurato circa sei mesi fa, aprirlo, modificarlo e salvarlo di nuovo. Verificare poi la ricezione nella mailbox dell’autore. Se l’e-mail continua a non arrivare, controllare che il report sia presente nel portale, che l’account amministrativo sia valido e che la mailbox riceva la posta. Una mailbox vuota non dimostra l’assenza di eventi.