Proteggere l'accesso a Sophos Central con MFA, Passkey e IdP
Sophos Central controlla Policies, eccezioni, Live Response e isolamento dei dispositivi. Un account amministrativo compromesso può quindi causare più danni di un singolo Endpoint infetto. MFA è il requisito minimo, ma non sostituisce ruoli adeguati né un processo di ripristino.
Configurare subito MFA in modo ridondante
Ogni amministratore deve registrare almeno due metodi MFA e riceve una richiesta MFA a ogni accesso. Sophos supporta Passkey e Authenticator App con codici monouso basati sul tempo, abbreviati TOTP.
Per gli account privilegiati si registrano due metodi indipendenti, per esempio un Passkey su una chiave hardware e un’Authenticator App su un dispositivo separato. Due Passkey sullo stesso notebook non costituiscono una vera ridondanza. Sophos indica come possibili combinazioni anche due Passkey su dispositivi separati o due registrazioni Authenticator distinte.
Chiavi hardware sostitutive e informazioni di ripristino documentate vengono conservate in una cassaforte aziendale protetta. Non vengono archiviate nel password manager personale di un singolo collaboratore né in un ticket aperto.
Valutare correttamente i Passkey
I Passkey resistono al phishing quando la chiave è associata al dominio Central autentico ed è protetta da PIN del dispositivo o biometria. Un Passkey sincronizzato è comodo, ma eredita le proprietà di sicurezza e Recovery dell’account Apple, Google o Microsoft utilizzato.
Per i Super Admin una chiave hardware gestita è un metodo particolarmente robusto. Prima di imporla a tutto il tenant si verificano accesso di emergenza, chiave sostitutiva e Offboarding.
Microsoft Authenticator non è supportato per un Sophos Passkey al di fuori di un accesso Entra ID federato. L’app può continuare a essere usata come TOTP Authenticator. I Cross-Device Passkey richiedono, a seconda della piattaforma, Bluetooth, vicinanza dei dispositivi e un workflow con QR Code.
Per ogni account si possono registrare al massimo dieci Passkey. SMS ed e-mail più PIN sono metodi deprecati; i nuovi utenti e quelli per i quali è stato eseguito un reset MFA devono utilizzare TOTP o Passkey. Dopo cinque tentativi di accesso errati consecutivi, Central blocca inizialmente l’account per un minuto. Ulteriori tentativi falliti estendono gradualmente il blocco fino a un massimo di cinque ore. Se non può intervenire un altro Super Admin, Sophos Support deve sbloccare l’account.
Accesso federato tramite Identity Provider
Con un Identity Provider supportato, Sophos Central può delegare l’autenticazione all’identità aziendale centrale. Ciò semplifica Conditional Access, Lifecycle e blocco centralizzato. Central utilizza un flusso avviato dal Service Provider, abbreviato SP-initiated SSO: l’accesso inizia in Sophos Central e da lì viene reindirizzato all’IdP.
La configurazione segue una sequenza fissa. Prima si verifica il proprio Domain tramite un record DNS TXT. La propagazione DNS può richiedere fino a 24 ore. Una verifica riuscita resta valida per un anno e deve poi essere rinnovata. Successivamente l’Identity Provider viene associato al Domain verificato e solo alla fine si attiva l’opzione di accesso desiderata. Queste operazioni richiedono diritti Super Admin.
Central può consentire esclusivamente credenziali federate oppure anche indirizzo e-mail e password Sophos Central. Con Microsoft Entra ID, Central mostra entrambe le opzioni anche se è attivo Federated credentials only. Con altri Identity Provider, questa impostazione reindirizza invece direttamente all’IdP senza una schermata di scelta. Tale comportamento differente deve essere incluso nel test di Lockout.
Prima dell’attivazione si chiariscono i punti seguenti:
- associazione univoca tra indirizzo e-mail e Central Login,
- MFA e regole di accesso presso l’IdP,
- comportamento per account guest e partner,
- almeno un accesso di emergenza testato,
- esclusione di un Lockout in caso di configurazione errata di dominio o IdP.
L’accesso federato non sincronizza automaticamente utenti Endpoint o gruppi di dispositivi. Sono funzioni separate.
Quando UPN e indirizzo e-mail sono diversi
Central identifica inizialmente l’account tramite l’indirizzo e-mail registrato. Se Microsoft Entra ID utilizza internamente un User Principal Name differente, l’app Entra necessita di una configurazione OpenID Connect adattata con il Claim opzionale email e le autorizzazioni Microsoft Graph appropriate. In Central, l’utente continua a inserire l’indirizzo e-mail associato e si autentica poi nella pagina Microsoft con l’UPN.
La configurazione standard è sufficiente quando indirizzo e-mail e UPN coincidono. Una configurazione differente deve essere testata prima con un account di prova, poiché un Claim mancante o errato impedisce l’associazione anche se l’autenticazione Entra riesce.
I ruoli restano decisivi
MFA protegge l’identità, ma non limita i suoi diritti. Super Admin viene utilizzato soltanto per modifiche al tenant, ai ruoli, alle API e particolarmente estese. Help Desk, Read-only e Custom Roles riducono il possibile danno causato da un errore o da un account compromesso.
L’assegnazione di ruoli e autorizzazioni Sophos Central Endpoint descrive i diritti specifici del prodotto.
Dispositivo MFA perso e Lockout
Il processo di ripristino viene testato prima che sia necessario:
- Utilizzare il secondo metodo registrato.
- Chiedere a un Super Admin del tenant di usare Reset MFA sull’oggetto utente.
- Inserire al successivo accesso il codice di sicurezza inviato da Sophos tramite e-mail.
- Registrare due nuovi metodi MFA.
- Se non è disponibile un altro Super Admin, contattare Sophos Support con dati account verificabili.
Dopo un ripristino si rimuovono i vecchi metodi, se ne registrano di nuovi e si controllano gli Audit Log per accessi o modifiche anomali.
Eliminare la voce Sophos direttamente nell’Authenticator App non rimuove il metodo da Central. Resta registrato, ma non produce più codici validi. Il metodo deve quindi essere rimosso anche in Central o reimpostato da un Super Admin. Se vengono eliminati tutti i metodi locali, restano soltanto un secondo metodo registrato, il Reset da parte di un altro Super Admin o il percorso verificato tramite Sophos Support.
Controllo periodico
Almeno ogni trimestre si verificano amministratori, ruoli, credenziali API, metodi MFA e identità esterne. In caso di uscita o cambio di ruolo, l’accesso Central non viene soltanto disattivato, ma anche rimosso dai ruoli Admin e dai gruppi IdP pertinenti.