Configurare e-mail di Alert e notifiche in Sophos Central
Sophos Central può segnalare gli Alert tramite e-mail. Una regola predefinita attiva non costituisce però ancora un processo di gestione degli incidenti. È determinante stabilire chi riceve quali messaggi, quanto rapidamente deve reagire e cosa accade in caso di assenza o errore di consegna. Soltanto un Super Admin può gestire le impostazioni globali.
Suddividere le regole per responsabilità
Nelle impostazioni globali degli Alert si definiscono destinatari e livelli di gravità. Invece di inviare tutti i messaggi a singole persone, sono preferibili indirizzi funzionali monitorati o sistemi di ticketing.
Le Distribution List possono notificare persone esterne o un sistema di ticketing senza concedere accesso a Central. Non sono però disponibili in un account di prova Sophos Central. In un test simile alla produzione si tiene conto di questo limite di licenza, evitando di interpretarlo erroneamente come un problema di autorizzazione o consegna.
Un modello pratico distingue:
- High Alert e incidenti critici destinati alle Security Operations con escalation immediata,
- Medium Alert destinati al team Endpoint con un tempo di reazione definito,
- Low Alert o avvisi operativi destinati a una revisione giornaliera o periodica,
- messaggi su licenze, Health e piattaforma destinati al Service Owner competente.
Le regole vengono mantenute sufficientemente semplici da rendere chiaro perché un destinatario riceva un messaggio. Regole duplicate generano inutili ondate di allarmi.
Comprendere la frequenza
La frequenza può essere controllata secondo esattamente un criterio: gravità, prodotto o categoria Alert. Sono disponibili Immediately, Hourly, Daily e Never.
Hourly e Daily non generano un’e-mail riepilogativa. Sophos invia immediatamente il primo Alert e limita quindi lo stesso Alert per dispositivo a un massimo di un’e-mail per ora o giorno. Cinque dispositivi interessati possono quindi continuare a generare cinque e-mail.
Immediately viene inviato senza limitazione, ma non garantisce la consegna nello stesso momento della Detection originale. Alcuni Alerts vengono creati solo alla scadenza di un timer o quando non si verifica un Recovery Event. Un’e-mail può quindi arrivare in seguito anche per un dispositivo nel frattempo eliminato. Se lo stesso Alert si ripete, il timestamp originale rimane invariato; il conteggio e la cronologia degli Events mostrano le nuove occorrenze.
Non tutti gli Events generano un Alert. Se una notifica non compare nell’elenco degli Alerts attivi, occorre controllare Reports > General Logs > Events, le precedenti azioni del workflow e la logica specifica dell’Alert. La lingua di una persona con ruolo Central a cui il messaggio è indirizzato direttamente segue il suo profilo utente; le distribution list senza accesso a Central utilizzano la lingua predefinita dell’account.
Se una persona direttamente destinataria continua a ricevere la lingua errata, selezionare temporaneamente un’altra lingua in Language sotto l’icona del profilo, quindi selezionare nuovamente quella desiderata. In questo modo viene risalvato l’indicatore della lingua nel profilo utente. Per un indirizzo di distribuzione senza accesso o per una lingua dell’account errata che interessa più amministratori, Sophos Support deve verificare la lingua dell’account. Vanno forniti UUID del tenant, indirizzo interessato, lingua desiderata e Remote Assistance attivato.
Custom Rules senza perdita dei destinatari
Una Custom Rule può limitare ruolo amministrativo, destinatari o liste di distribuzione specifici, gruppi di computer e server e tipi di Alert.
Quando si attiva la prima Custom Rule, Sophos disattiva però le impostazioni precedenti in Administrators & Distribution lists. Se questi destinatari devono continuare a ricevere tutti gli Alert pertinenti, vengono inseriti esplicitamente in una propria Custom Rule.
Una regola diventa non valida e viene disattivata quando nessuno dei suoi destinatari esiste più. Se alla fine tutte le Custom Rules sono disattivate, Sophos torna al comportamento predefinito e invia tutti gli Alert a tutti gli amministratori e alle liste di distribuzione dell’account. Questa logica di fallback viene verificata anche durante l’Offboarding di un destinatario.
Le Exceptions modificano la frequenza di singoli tipi di Alert. Possono essere create direttamente nell’Alert e controllate nell’elenco globale Exceptions. Le eccezioni obsolete vengono rimosse regolarmente.
Considerare più dei soli Endpoint Threat
I tipi di Alert non riguardano soltanto il malware. Anche un’installazione non riuscita, una comunicazione interrotta, una protezione obsoleta, un riavvio necessario, problemi di licenza, Account Health o un outbreak possono richiedere attenzione.
Le notifiche e-mail Data Loss Prevention costituiscono un caso particolare: una notifica per una violazione di una regola DLP non genera automaticamente un Central Alert. L’escalation DLP viene quindi testata separatamente.
Controllare la consegna
Prima dell’uso produttivo si verificano mittente, filtri antispam, regole di trasporto, parsing dei ticket e notifiche mobili. Una regola non viene considerata funzionante basandosi soltanto sulla sua configurazione.
Almeno ogni trimestre viene eseguito un test controllato. Inoltre si controllano negli Audit Log le modifiche alle regole di notifica.
Non confondere Alert ed e-mail
L’e-mail è soltanto un canale di trasporto. Lo stato corrente, tutti gli Event e le azioni disponibili si trovano in Sophos Central. Eliminare un’e-mail non modifica l’Alert e chiudere un Alert non garantisce che la causa tecnica sia stata risolta.
Anche l’icona a forma di campana Notifications non è un secondo elenco di Alert. Il Notification Center raccoglie avvisi Medium e Low Priority, come informazioni sui prodotti o annunci di manutenzione. I messaggi High Priority vengono visualizzati come banner. Session dismiss nasconde un avviso solo fino all’accesso successivo, mentre Permanently dismiss lo nasconde definitivamente. Nessuna delle due azioni modifica un Endpoint Alert o risolve una causa tecnica.
La gestione operativa è descritta in Gestire Sophos Endpoint Alert e Account Health.
Documentare il percorso di escalation
Per ogni livello di gravità vengono definiti tempo di reazione, team primario, sostituzione e successivo punto di escalation. Gli High Alert fuori dall’orario di ufficio richiedono un canale diverso da una casella e-mail non presidiata.
In presenza di MDR o di un SOC esterno si chiarisce quali messaggi vengono già gestiti da Sophos o dal fornitore e quali restano al team interno.