Usare Sophos AI Assistant e AI Search in XDR
Sophos AI Assistant e AI Search sono strumenti di indagine XDR in Sophos Central. Non sono funzioni generiche dell’agent Endpoint e non eseguono remediation autonome. AI Search trasforma ricerche in linguaggio naturale in query Data Lake; AI Assistant guida l’analista nell’indagine di un Case tramite chat.
AI Assistant completo richiede Sophos XDR, Sophos MDR, Sophos MDR Plus o Sophos Network Detection and Response. Sophos EDR include AI Case Summary, AI Command Analysis e AI Search, ma non AI Assistant. Secondo Sophos, l’accesso completo alle funzioni AI richiede il ruolo Super Admin o Admin. Sono attualmente supportati solo input e output in inglese.
Scegliere lo strumento corretto
- AI Search: cerca Detections o Endpoint Data nel Sophos Data Lake. Endpoint Data supporta solo dispositivi Windows.
- Security Analyst: analizza uno specifico Sophos-managed o Self-managed Case e ne acquisisce il contesto Case e Detection.
- Threat Hunter: cerca attori o Indicators of Compromise nel Data Lake e lavora solo con Self-managed Cases.
- AI Case Summary: riepiloga Detections, dispositivi, utenti, tattiche MITRE ATT&CK e possibili passi successivi di un Case.
- AI Command Analysis: spiega e deoffusca righe di comando presenti nelle Detections.
AI Assistant può attualmente recuperare e analizzare dati integrati in XDR da Sophos Endpoint e Sophos Server su Windows. Non può rimuovere una minaccia né eseguire una Response Action. Isolamento, Live Response, blocco, autorizzazione e chiusura del Case restano decisioni umane.
Usare AI Search in sicurezza
- Aprire Threat Analysis Center > AI Search.
- Selezionare Detections o Endpoint Data a sinistra. Endpoint Data richiede un dispositivo Windows.
- Scegliere una ricerca proposta o inserire una domanda in inglese. Specificare dispositivo, utente, indicatore e intervallo temporale.
- Selezionare Search e controllare la tabella dei risultati.
- Espandere Generated Query e verificare il SQL generato. Origine dati, campi, filtri e intervallo devono corrispondere alla domanda d’indagine.
Senza un intervallo esplicito, AI Search usa 24 ore. Sophos consiglia di iniziare con poche ore o al massimo un giorno e ampliare gradualmente. Query su giorni o settimane possono rallentare o andare in timeout.
La tabella mostra al massimo 1.000 risultati. Sophos indica una conservazione Data Lake di 90 giorni, oppure un anno con la licenza aggiuntiva Central Data 1-Year Storage Pack. Un risultato di 1.000 righe non prova quindi che esistano esattamente 1.000 eventi; una tabella vuota non prova l’assenza di attività nell’intero periodo dell’incidente.
Save Query salva una query utile nella nuova categoria Live Discover AI Search; Export scarica SQL e risultati in CSV. Sophos Live Discover e le query Data Lake spiega la differenza tra Live Endpoint e Data Lake e i limiti operativi.
Avviare AI Assistant da un Case
È più sicuro partire da un Case già verificato che da una chat senza contesto:
- Aprire Threat Analysis Center > Cases e selezionare il Case ID.
- Verificare Detection, dispositivi coinvolti e periodo rilevante.
- Selezionare Ask Sophos AI in alto a destra. Central apre Security Analyst con il contesto del Case.
- Modificare un Prompt predefinito o formulare una domanda in inglese.
/apre i Prompt preparati e salvati. - Porre le domande successive nella stessa chat. Assistant considera il Thread corrente; una nuova chat non conserva quel contesto.
In alternativa, aprire AI > Assistant, selezionare New, quindi Security Analyst o Threat Hunter. Security Analyst chiede poi un Case ID. Ask AI può anche trasferire righe selezionate da una tabella come contesto. Prima dell’invio, verificare quale selezione sarà effettivamente trasferita.
Scrivere un Prompt verificabile
Un buon Prompt indica obiettivo, Scope e output richiesto. Esempio:
Compare the detections for endpoint WS-023 during 10 September 2026, 08:00-12:00 UTC. List process names, command lines and hashes, and mark every conclusion that still needs validation.
WS-023 è un esempio neutro da sostituire con il dispositivo indagato. Data, ora e fuso devono corrispondere al Case. Aggiungere processi, IP, utenti o hash solo quando necessari all’ipotesi. Un Prompt salvato richiede un Alias chiaro; Alias e Prompt completo devono essere univoci. Responsabile, scopo e data di revisione evitano che un Prompt obsoleto diventi un Runbook non verificato.
Verificare e documentare i risultati
Le risposte AI possono essere false o fuorvianti. Affermazioni come «nessun altro dispositivo coinvolto» vanno confrontate con timeline del Case, dettagli della Detection, dati del dispositivo e risultati delle query. Verificare in particolare:
- L’intervallo, compreso il fuso orario, corrisponde al Case?
- Il dispositivo forniva telemetria nel periodo?
- Filtri, supporto della piattaforma o limite di 1.000 righe restringono l’affermazione?
- Gli eventi grezzi sostengono conclusione e Response proposte?
Risposte, singole righe, tabelle complete e query possono essere fissate. Questi Pinned Items restano nella Workbench per la durata della chat e possono includere una nota di motivazione. Sono un aiuto personale, non documentazione del Case. I pulsanti Feedback valutano la singola risposta; i dettagli riservati non vanno nel commento facoltativo.
Una o più risposte verificate possono essere aggiunte alla scheda Notebook del Case. Usare il simbolo più per una risposta oppure menu a tre punti > Select responses > Add to case per più risposte. Threat Hunter chiede il Case di destinazione; Security Analyst usa quello già esaminato.
Una chat privata è visibile solo a chi l’ha avviata. Gli altri amministratori con accesso al Case vedono soltanto le risposte aggiunte al Notebook. Per eliminare l’intero Thread, aprire il menu a tre punti accanto al titolo e selezionare Delete. Prima dell’eliminazione, verificare le evidenze sui dati grezzi e documentarle nel Case o nel sistema degli incidenti; la chat non è un archivio di audit.
Privacy e limiti di utilizzo
Password, chiavi private, Recovery Code e dati personali non necessari non appartengono a Prompt o Feedback. Limitare il contesto alla domanda e applicare le regole aziendali di classificazione, conservazione ed esportazione.
AI Assistant usa Azure OpenAI e Amazon Bedrock. Input e output non vengono usati per addestrare i modelli o migliorare i servizi terzi e tutti i dati trasferiti ai servizi LLM di terze parti sono cifrati durante il transito. Le autorizzazioni Central basate sui ruoli continuano a limitare i dati accessibili. Prima dell’attivazione, i responsabili devono verificare le informazioni aggiornate su trattamento e sub-responsabili nella scheda sulla privacy XDR.
I limiti pubblicati si applicano su 24 ore mobili:
- AI Command Analysis: 50 per utente, 250 per tenant
- AI Search: 20 per utente, 100 per tenant
- AI Case Summary: 10 per utente, 50 per tenant
- Thread AI Assistant: 20 per utente, 100 per tenant
- singoli messaggi Assistant: 200 per utente, 1.000 per tenant
Raggiunto un limite, la funzione interessata si sospende con HTTP 429. Sophos può modificare i valori: per la pianificazione vale la pagina corrente. Le indagini critiche devono conservare un percorso manuale tramite Cases, Detections, Live Discover e telemetria sottostante.