Configurare e-mail di Alert e notifiche in Sophos Central
Sophos Central può segnalare gli Alert tramite e-mail. Una regola predefinita attiva non costituisce però ancora un processo di gestione degli incidenti. È determinante stabilire chi riceve quali messaggi, quanto rapidamente deve reagire e cosa accade in caso di assenza o errore di consegna. Soltanto un Super Admin può gestire le impostazioni globali.
Gestire Alert di prodotti diversi
In My Environment > Alerts confluiscono le segnalazioni di tutti i prodotti gestiti in Central, ad esempio installazione, aggiornamenti, licenze, connettività e minacce. L’elenco mostra la Severity High, Medium o Low, lo stato Open, Closed, Reopened o Resolved, il numero di eventi raggruppati e il dispositivo interessato. Se un evento successivo elimina la causa di un evento precedente nello stesso Alert, Central può chiuderlo automaticamente come Resolved.
Un clic sull’Alert Title apre sulla destra un pannello con l’Alert e gli Associated events. L’icona Full Screen visualizza gli stessi dettagli a pagina intera. Con Group, Central raggruppa gli Alert compatibili per minaccia o evento; Count indica le dimensioni del gruppo e la freccia a destra espande gli Alert inclusi.
I contatori High, Medium e Low offrono filtri diretti. Il filtro generale sopra l’elenco combina Status, Severity, Products, Category, Available actions, Alert title e intervallo di date. Più valori definiscono insieme l’ambito desiderato. Apply applica la selezione; Reset to defaults, seguito da Apply, la rimuove. Il Column Customizer definisce le colonne visibili.
Dopo aver selezionato un singolo Alert o un gruppo, Actions mostra le operazioni disponibili. Per un gruppo di Alert, un’azione disponibile può comparire in alternativa direttamente nella colonna Actions. Con una selezione multipla, Central visualizza solo le azioni disponibili per tutti gli Alert scelti. A seconda del tipo possono essere presenti:
- Mark As Acknowledged rimuove la segnalazione dall’elenco attivo, ma non elimina né la minaccia né la quarantena locale.
- Mark As Resolved conferma una causa già risolta sul dispositivo Windows, ripulisce la visualizzazione di Alert e quarantena, ma non esegue autonomamente alcuna rimozione.
- Clean Up può rimuovere il ransomware da un server.
- Reinstall Endpoint Protection apre la pagina dell’installer per una nuova installazione.
- Contact Support compare per problemi appropriati, ad esempio un Malware Cleanup non riuscito.
- Authorize PUA consente l’applicazione su tutti i computer ed è disponibile solo per Alert relativi ai computer.
Con XDR, i Threat Graph possono offrire ulteriori azioni di investigation, blocco e cleanup. Un’applicazione legittima rilevata come malware va invece verificata e autorizzata nella pagina Events, non nell’elenco degli Alert.
Un Alert si chiude nei suoi dettagli con Close alert oppure, dopo la selezione, con Actions > Close alert. Il filtro Closed rende nuovamente visibili gli elementi chiusi. La chiusura modifica soltanto lo stato del workflow.
Nei dettagli dell’Alert, Email Alert permette di cambiare la frequenza per questo specifico tipo. Central crea un’eccezione nelle impostazioni globali degli Alert e-mail, dove potrà essere verificata o modificata. In caso di Malware Outbreak con almeno 100 detection su un dispositivo in 24 ore, Central riprende la normale notifica singola solo dopo che l’Outbreak è stato contrassegnato come Resolved. Prima, la causa deve essere realmente analizzata e risolta.
Suddividere le regole per responsabilità
Il percorso attuale è Global Settings > Platform > Notification Settings > Configure Email Alerts. Soltanto un Super Admin può gestire queste impostazioni a livello di tenant.
In Administrators, Central mostra nome, indirizzo e-mail e ruolo di ogni amministratore. Con Yes o No si stabilisce se la persona riceve le e-mail di Alert predefinite. Questa impostazione non concede l’accesso a Central né un nuovo ruolo, ma controlla soltanto le notifiche.
In Distribution lists si gestiscono ulteriori liste di distribuzione, sistemi di ticketing o singole persone prive di accesso a Central. Con Add email address si inseriscono indirizzo e descrizione e si salva con Save. Per rimuovere un indirizzo esistente, lo si seleziona e si conferma con Delete. Dopo ogni modifica, la consegna viene verificata con un Alert controllato o con un metodo di test previsto a tale scopo.
Invece di inviare tutti i messaggi a singole persone, sono preferibili indirizzi funzionali monitorati o sistemi di ticketing.
Le Distribution List possono notificare persone esterne o un sistema di ticketing senza concedere accesso a Central. Non sono però disponibili in un account di prova Sophos Central. In un test simile alla produzione si tiene conto di questo limite di licenza, evitando di interpretarlo erroneamente come un problema di autorizzazione o consegna.
Se una persona necessita dell’accesso a Sophos Central Admin, viene creata separatamente come amministratore con il ruolo appropriato e MFA. Una voce in Distribution lists è esclusivamente un destinatario e-mail e non rappresenta mai un’autorizzazione di accesso.
Un modello pratico distingue:
- High Alert e incidenti critici destinati alle Security Operations con escalation immediata,
- Medium Alert destinati al team Endpoint con un tempo di reazione definito,
- Low Alert o avvisi operativi destinati a una revisione giornaliera o periodica,
- messaggi su licenze, Health e piattaforma destinati al Service Owner competente.
Le regole vengono mantenute sufficientemente semplici da rendere chiaro perché un destinatario riceva un messaggio. Regole duplicate generano inutili ondate di allarmi.
Comprendere la frequenza
La frequenza può essere controllata secondo esattamente un criterio: gravità, prodotto o categoria Alert. Sono disponibili Immediately, Hourly, Daily e Never.
Hourly e Daily non generano un’e-mail riepilogativa. Sophos invia immediatamente il primo Alert e limita quindi lo stesso Alert per dispositivo a un massimo di un’e-mail per ora o giorno. Cinque dispositivi interessati possono quindi continuare a generare cinque e-mail.
Immediately viene inviato senza limitazione, ma non garantisce la consegna nello stesso momento della Detection originale. Alcuni Alerts vengono creati solo alla scadenza di un timer o quando non si verifica un Recovery Event. Un’e-mail può quindi arrivare in seguito anche per un dispositivo nel frattempo eliminato. Se lo stesso Alert si ripete, il timestamp originale rimane invariato; il conteggio e la cronologia degli Events mostrano le nuove occorrenze.
Non tutti gli Events generano un Alert. Se una notifica non compare nell’elenco degli Alerts attivi, occorre controllare Reports > General Logs > Events, le precedenti azioni del workflow e la logica specifica dell’Alert. La lingua di una persona con ruolo Central a cui il messaggio è indirizzato direttamente segue il suo profilo utente; le distribution list senza accesso a Central utilizzano la lingua predefinita dell’account.
Se una persona direttamente destinataria continua a ricevere la lingua errata, selezionare temporaneamente un’altra lingua in Language sotto l’icona del profilo, quindi selezionare nuovamente quella desiderata. In questo modo viene risalvato l’indicatore della lingua nel profilo utente. Per un indirizzo di distribuzione senza accesso o per una lingua dell’account errata che interessa più amministratori, Sophos Support deve verificare la lingua dell’account. Vanno forniti UUID del tenant, indirizzo interessato, lingua desiderata e Remote Assistance attivato.
Custom Rules senza perdita dei destinatari
Una Custom Rule può limitare ruolo amministrativo, destinatari o liste di distribuzione specifici, gruppi di computer e server e tipi di Alert.
Per impostazione predefinita, gli amministratori vedono tutti gli Alert. Una Custom Rule limita in modo mirato la consegna a ruoli, persone, prodotti, eventi o livelli di gravità specifici. La procedura guidata viene completata come segue:
- Selezionare + Create rule.
- In Role, definire il ruolo amministrativo interessato e selezionare Next.
- In Administrators & Distribution lists, selezionare i destinatari effettivi e proseguire.
- In Computers & Servers, selezionare i gruppi di computer e server desiderati. Se nel tenant non esistono gruppi di dispositivi, questo passaggio non viene visualizzato. Se non si seleziona alcun gruppo di dispositivi, vengono recapitati soltanto gli Alert dei prodotti non associati a un dispositivo.
- In Alert Types, selezionare almeno un’opzione per ogni attributo proposto. La selezione può essere limitata per Severity, prodotto e Alert Category.
- Inserire un nome e una descrizione significativi e concludere con Save.
La regola compare quindi nell’elenco Custom rules. La freccia di espansione ne mostra i dettagli; le icone accanto consentono di sospenderla, modificarla o eliminarla. Prima di un’operazione si verifica l’icona tramite hover, per evitare di eseguire involontariamente un’altra azione sulla regola.
Quando si attiva la prima Custom Rule, Sophos disattiva però le impostazioni precedenti in Administrators & Distribution lists. Se questi destinatari devono continuare a ricevere tutti gli Alert pertinenti, vengono inseriti esplicitamente in una propria Custom Rule.
Una regola diventa non valida e viene disattivata quando nessuno dei suoi destinatari esiste più. Se alla fine tutte le Custom Rules sono disattivate, Sophos torna al comportamento predefinito e invia tutti gli Alert a tutti gli amministratori e alle liste di distribuzione dell’account. Questa logica di fallback viene verificata anche durante l’Offboarding di un destinatario.
Se dal tenant vengono eliminati tutti i gruppi di computer e server, una regola può comunque restare attiva se include anche tipi di Alert per prodotti non associati a dispositivi. Non tutti gli Alert richiedono un oggetto Endpoint o server. Dopo la pulizia dei gruppi si controllano quindi lo stato della regola e l’ambito effettivo dei prodotti, non soltanto l’elenco dei gruppi di dispositivi.
Le Exceptions modificano la frequenza di singoli tipi di Alert. Possono essere create direttamente nell’Alert e controllate e modificate nell’elenco globale Exceptions. Le eccezioni obsolete vengono rimosse regolarmente.
Considerare più delle sole minacce Endpoint
I tipi di Alert non riguardano soltanto il malware. Anche un’installazione non riuscita, una comunicazione interrotta, una protezione obsoleta, un riavvio necessario, problemi di licenza, Account Health o un outbreak possono richiedere attenzione.
Le notifiche e-mail Data Loss Prevention costituiscono un caso particolare: una notifica per una violazione di una regola DLP non genera automaticamente un Central Alert. L’escalation DLP viene quindi testata separatamente.
Gestire Firewall Alerts Configurator
Central gestisce separatamente la frequenza di ripetizione degli Alert del firewall in Global Settings > Platform > Notification Settings > Firewall Alerts Configurator. Ogni firewall appartiene esattamente a una Alert Category:
- Default usa i valori Sophos, spesso con ripetizione dopo otto ore. Alcuni tipi di Alert sono impostati per default su Never.
- Verbose ripete ogni ora un problema non risolto.
- Silent lo ripete ogni 24 ore.
I firewall vengono assegnati a ciascuna categoria in Assigned Firewall. Se un firewall viene rimosso da Verbose o Silent, torna automaticamente a Default. Per questo motivo non può essere semplicemente deselezionato dall’elenco Default.
Per singoli tipi di Alert del firewall è possibile impostare la gravità, un massimo di dieci occorrenze e un periodo di blocco tra Immediately, 1 Hour, 4 Hours, 8 Hours, Daily o Never, quindi salvare le modifiche con Save. Il throttling sopprime soltanto le notifiche ripetute dello stesso problema. Gli eventi restano visibili in Logs and Reports > Events e devono continuare a essere analizzati nel troubleshooting. Reset to Sophos defaults elimina le frequenze personalizzate.
Abilitare consapevolmente User Activity Verification
La User Activity Verification API può inviare domande con risposte predefinite a dispositivi Android, iPhone o iPad. È necessario che Sophos Intercept X for Mobile sia installato sul dispositivo e che il dispositivo sia registrato in Sophos Central. La funzione può inoltre consentire avvisi mobili automatici in caso di attacco critico.
L’API è disponibile a tutti i clienti Central, ma non è un canale push generico per qualsiasi Endpoint. Può essere disattivata per l’intero tenant in Global Settings > Platform > User Activity Verification. In seguito, Central risponde a tutte le chiamate API con 403 Forbidden. Prima della disattivazione occorre quindi verificare se i processi di incident response o Mobile la utilizzano; dopo, un test API controllato deve confermare il blocco previsto.
Controllare la consegna
Prima dell’uso produttivo si verificano mittente, filtri antispam, regole di trasporto, parsing dei ticket e notifiche mobili. Una regola non viene considerata funzionante basandosi soltanto sulla sua configurazione.
Almeno ogni trimestre viene eseguito un test controllato. Inoltre, negli Audit Logs vengono controllate le modifiche alle regole di notifica.
Non confondere Alert ed e-mail
L’e-mail è soltanto un canale di trasporto. Lo stato corrente, tutti gli Event e le azioni disponibili si trovano in Sophos Central. Un’e-mail eliminata non modifica l’Alert e la chiusura di un Alert non garantisce che la causa tecnica sia stata risolta.
Anche l’icona a forma di campana Notifications non è un secondo elenco di Alert. Il numero accanto all’icona indica quante notifiche sono presenti. Il Notification Center raccoglie avvisi Medium e Low Priority, come informazioni sui prodotti o annunci di manutenzione. Ogni notifica offre More info e, se applicabile, Turn on. I messaggi High Priority vengono visualizzati come banner. Session dismiss nasconde un avviso solo fino all’accesso successivo, mentre Permanently dismiss lo nasconde definitivamente. Nessuna delle due azioni modifica un Endpoint Alert o risolve una causa tecnica.
La gestione operativa è descritta in Gestire Sophos Endpoint Alert e Account Health.
Documentare il percorso di escalation
Per ogni livello di gravità vengono definiti tempo di reazione, team primario, sostituto e successivo punto di escalation. Gli High Alert fuori dall’orario di ufficio richiedono un canale diverso da una casella e-mail non presidiata.
In presenza di MDR o di un SOC esterno si chiarisce quali messaggi vengono già gestiti da Sophos o dal fornitore e quali restano al team interno.