Proteggere l'accesso a Sophos Central con MFA, Passkey e IdP
Sophos Central controlla Policies, eccezioni, Live Response e isolamento dei dispositivi. Un account amministrativo compromesso può quindi causare più danni di un singolo Endpoint infetto. MFA è il requisito minimo, ma non sostituisce ruoli adeguati né un processo di ripristino.
Configurare subito MFA in modo ridondante
Ogni amministratore deve registrare almeno due metodi MFA e riceve una richiesta MFA a ogni accesso. Sophos supporta Passkey e Authenticator App con codici monouso basati sul tempo, abbreviati TOTP.
Per gli account privilegiati si registrano due metodi indipendenti, per esempio un Passkey su una chiave hardware e un’Authenticator App su un dispositivo separato. Due Passkey sullo stesso notebook non costituiscono una vera ridondanza. Sophos indica come possibili combinazioni anche due Passkey su dispositivi separati o due registrazioni Authenticator distinte.
Chiavi hardware sostitutive e informazioni di ripristino documentate vengono conservate in una cassaforte aziendale protetta. Non vengono archiviate nel password manager personale di un singolo collaboratore né in un ticket aperto.
Per ogni account amministrativo si possono registrare al massimo dieci Authenticator App TOTP. Un’estensione Authenticator per browser è tecnicamente possibile, ma proviene da terzi e non è sviluppata o supportata da Sophos. Prima dell’installazione vanno verificati publisher, autorizzazioni, canale di aggiornamento e policy aziendale. Per gli account privilegiati, un’estensione nello stesso profilo browser della sessione Central non separa adeguatamente i fattori.
I metodi registrati si gestiscono nel profilo tramite Manage login settings o Manage MFA. La semplice eliminazione della voce dall’Authenticator App locale non rimuove il metodo da Central. Durante un cambio dispositivo occorre prima testare un secondo metodo, poi rimuovere la vecchia registrazione Central e soltanto alla fine ripristinare il vecchio dispositivo.
Configurare un’Authenticator App
Dopo l’accesso con il metodo esistente, aprire icona del profilo > My info > Manage MFA. In alternativa, Sophos ID > My Profile > Manage MFA porta alla stessa gestione. Dopo una nuova autenticazione, in Multi-Factor Authentication selezionare il segno più, quindi Authentication App in Set up MFA method e infine Set up now.
Scansionare il QR Code monouso con l’Authenticator App approvata. Inserire in Central il codice di sicurezza generato, assegnare facoltativamente un nome univoco al dispositivo e scegliere Continue. Successful enrollment conferma la registrazione; un ulteriore Continue conclude la procedura. Al successivo accesso di prova, dopo indirizzo e-mail e password viene richiesto il codice di verifica corrente dell’app.
Per account sono consentite al massimo dieci Authenticator App. Il QR Code e il segreto TOTP sottostante non vanno salvati come screenshot. Dopo il test si configura un secondo metodo indipendente prima di rimuovere un vecchio dispositivo o una vecchia registrazione.
Configurare un’Authenticator App nel browser
Un’estensione browser può generare codici TOTP, ma per gli account privilegiati va usata soltanto dopo una valutazione esplicita del rischio:
- Aprire icona del profilo > My info > Manage MFA e confermare con un metodo esistente.
- In Multi-factor Authentication, scegliere il segno più, Authentication App e Set up now.
- Lasciare aperto il QR Code monouso e installare in una scheda separata l’estensione approvata dallo store ufficiale del browser.
- Tornare al QR Code, aprire l’estensione accanto alla barra degli indirizzi e selezionare Add Account > Scan QR from screen.
- Inserire il codice in Verify Your Device > Security Code, assegnare facoltativamente un nome univoco e scegliere Continue.
- Verificare in icona del profilo > My info > Manage MFA la nuova registrazione ed eseguire un accesso di prova.
Il QR Code è un segreto di registrazione monouso e non va salvato come screenshot né inviato in un ticket. Prima dell’approvazione dell’estensione si verificano il publisher, le autorizzazioni richieste nel browser, la fonte degli aggiornamenti e la sincronizzazione dei dati. Poiché profilo browser, sessione Central e segreto TOTP si troverebbero altrimenti nello stesso luogo, resta necessario un metodo separato su un altro dispositivo o una chiave hardware.
Gestire i metodi MFA registrati
Aprire icona del profilo > My info > Manage MFA oppure Sophos ID > My Profile > Manage MFA. Dopo una nuova autenticazione, Central mostra tutti i metodi registrati, il nome predefinito o personalizzato e l’ultimo utilizzo.
Il segno più aggiunge un’Authenticator App o un Passkey. Per ogni tipo sono consentite al massimo dieci registrazioni. Dal menu con tre punti si può scegliere Rename, inserire un nuovo nome e confermare con il segno di spunta; Delete rimuove la registrazione da Central.
Devono rimanere registrati almeno due metodi MFA. Quando resta soltanto il numero minimo richiesto, Central impedisce ulteriori eliminazioni. Continue chiude la gestione e torna alla Dashboard. Prima di eliminare un metodo precedente, quello nuovo va provato in un accesso separato.
Configurare un Passkey e scegliere dove salvarlo
Un Passkey viene aggiunto come metodo ulteriore dopo avere già configurato un’Authenticator App. In icona del profilo > My info > Manage MFA, dopo la nuova autenticazione, selezionare il segno più e Passkey. Il sistema operativo o Credential Manager guida attraverso PIN o biometria, ad esempio un’impronta con Windows Hello. Dopo Passkey Saved, confermare con OK, verificare la nuova voce nell’elenco e concludere con Continue.
La posizione di archiviazione fa parte della decisione di sicurezza: sono possibili un Credential Manager sul computer locale, come browser, sistema operativo o password manager aziendale, un Authenticator associato al dispositivo come YubiKey oppure un dispositivo mobile tramite QR Code. Per la resilienza si registrano Passkey su più dispositivi controllati. Central consente al massimo dieci Passkey.
Accedere con Passkey o Authenticator App
Per l’accesso con Passkey, aprire la pagina di login Central, inserire l’indirizzo e-mail e scegliere Continue. Nella pagina Passkey, Login with passkey avvia il metodo registrato, ad esempio impronta digitale, PIN del dispositivo o chiave hardware. Dopo la verifica si apre la Dashboard Central.
Se sono registrati sia Passkey sia Authenticator App, Central preferisce il Passkey. Con Try another way, dopo avere inserito la password, si può scegliere un metodo diverso. Per l’accesso classico tramite Authenticator, a indirizzo e-mail e Continue seguono password e Sign in; in MFA Validation Required va inserito il codice corrente dell’app.
Entrambi i percorsi vanno testati dopo configurazione, cambio dispositivo e aggiornamento del browser. Un Passkey salvato non è sufficiente come Recovery se Credential Manager, accesso al dispositivo e sessione Central dipendono dallo stesso guasto o Account Lockout.
My info, ruolo e password locale
In icona del profilo > My info, un amministratore vede ruolo corrente, indirizzo di accesso Central e impostazioni di password e MFA. Un clic sul ruolo mostra tutte le autorizzazioni. L’indirizzo e-mail è quindi anche un importante criterio di associazione per login, verifica dei ruoli e casi di supporto.
La password Sophos locale si cambia in My info > Password > Change password. Dopo la verifica, Central mostra già la password attuale. La nuova password richiede almeno otto caratteri, una lettera minuscola, una maiuscola e un numero o carattere speciale. Reset Password effettua automaticamente il nuovo accesso e invalida subito la vecchia password. Con autenticazione federata, la password viene invece modificata presso l’Identity Provider.
I dettagli account includono inoltre le preferenze personali per le e-mail. Non sono i destinatari tenant-wide configurati in Configure Email Alerts. Amministratori, distributori e sistemi di ticketing che ricevono messaggi di sicurezza si gestiscono nella procedura separata per e-mail di Alert e notifiche di Sophos Central.
Valutare correttamente i Passkey
I Passkey resistono al phishing quando la chiave è associata al dominio Central autentico ed è protetta da PIN del dispositivo o biometria. Un Passkey sincronizzato è comodo, ma eredita le proprietà di sicurezza e Recovery dell’account Apple, Google o Microsoft utilizzato.
Per i Super Admin una chiave hardware gestita è un metodo particolarmente robusto. Prima di imporla a tutto il tenant si verificano accesso di emergenza, chiave sostitutiva e Offboarding.
Microsoft Authenticator non è supportato per un Sophos Passkey al di fuori di un accesso Entra ID federato. L’app può continuare a essere usata come TOTP Authenticator. I Cross-Device Passkey richiedono, a seconda della piattaforma, Bluetooth, vicinanza dei dispositivi e un workflow con QR Code.
Per ogni account si possono registrare al massimo dieci Passkey. La sostituzione dei vecchi fattori e la logica di blocco sono trattate separatamente nella sezione seguente, poiché riguardano sia gli account TOTP sia quelli con Passkey.
Il supporto Passkey attualmente documentato comprende Windows 10 e 11, macOS 10.15.7 o versioni successive, Android 9 o versioni successive, iOS e iPadOS 16 o versioni successive. Sophos indica come versioni minime Chrome 118, Firefox 119, Safari 537.36 ed Edge 119. Tra i sistemi di archiviazione comuni figurano Windows Hello, Google Password Manager, iCloud Keychain e 1Password; tra le chiavi associate al dispositivo, YubiKey 5 e YubiKey NFC. Possono funzionare anche altre combinazioni, se i produttori del browser e del sistema operativo implementano i protocolli Passkey necessari.
Sophos stima che questa copertura includa circa il 98 per cento delle combinazioni browser/sistema operativo e dei Credential Manager comuni. È un’indicazione di diffusione, non una garanzia. Sistema operativo, browser, Credential Manager, policy di sincronizzazione e Recovery vanno testati nelle versioni realmente utilizzate.
I Passkey sincronizzati funzionano per il login Sophos, ma la sincronizzazione resta una funzione del Credential Manager. iCloud Keychain può, ad esempio, rendere disponibili i Passkey tra Mac, iPhone e iPad della stessa identità iCloud. In caso di errore di sincronizzazione è quindi competente il produttore del Credential Manager. Per i Cross-Device Passkey, Bluetooth deve essere attivo su computer e dispositivo mobile, i dispositivi devono essere vicini e deve essere disponibile uno scanner QR Code.
Microsoft Authenticator può utilizzare un Sophos Passkey solo nel contesto di un accesso federato tramite Entra ID. Senza questo percorso di accesso, durante la registrazione appaiono in genere Failed to add passkey o Microsoft Authenticator doesn’t support this passkey. L’uso di Microsoft Authenticator come app TOTP resta possibile indipendentemente da questa limitazione.
Con 1Password Business, policy di Team o Shared Vault possono bloccare la registrazione del Passkey. In tal caso 1Password appare nel dialogo di Enrollment, ma è disattivato. L’amministratore 1Password competente deve abilitare l’autorizzazione di Enrollment nelle Team Policies; eliminare ripetutamente il metodo MFA Sophos non risolve questa policy esterna.
Metodi MFA obsoleti e Account Lockout
SMS ed e-mail più PIN sono metodi MFA obsoleti. I nuovi utenti Central devono usare un’Authenticator App TOTP o un Passkey. Se viene reimpostata l’MFA di un utente esistente con SMS o e-mail più PIN, Central lo tratta come nuovo utente e richiede TOTP o Passkey.
Dopo cinque tentativi consecutivi errati, Central blocca l’account inizialmente per un minuto. Ulteriori errori con lo stesso account estendono progressivamente il blocco fino a un massimo di cinque ore. Dopo un Lockout non si devono quindi continuare tentativi automatici. Se non esiste un secondo metodo o un altro Super Admin, Sophos Support può sbloccare l’account dopo la verifica dell’identità.
Accesso federato tramite Identity Provider
Con un Identity Provider supportato, Sophos Central può delegare l’autenticazione all’identità aziendale centrale. Ciò semplifica Conditional Access, Lifecycle e blocco centralizzato. Central utilizza un flusso avviato dal Service Provider, abbreviato SP-initiated SSO: l’accesso inizia in Sophos Central e da lì viene reindirizzato all’IdP.
La configurazione segue una sequenza fissa. Prima si verifica il proprio Domain tramite un record DNS TXT. La propagazione DNS può richiedere fino a 24 ore. Una verifica riuscita resta valida per un anno e deve poi essere rinnovata. Successivamente l’Identity Provider viene associato al Domain verificato e solo alla fine si attiva l’opzione di accesso desiderata. Queste operazioni richiedono diritti Super Admin.
Central può consentire esclusivamente credenziali federate oppure anche indirizzo e-mail e password Sophos Central. Con Microsoft Entra ID, Central mostra entrambe le opzioni anche se è attivo Federated credentials only. Con altri Identity Provider, questa impostazione reindirizza invece direttamente all’IdP senza una schermata di scelta. Tale comportamento differente deve essere incluso nel test di Lockout.
La selezione si effettua in Global Settings > Access Control > Sign-in and Identity > Sophos sign-in e si applica in linea di principio a tutti i prodotti Central. Per singoli amministratori si possono definire Custom Sign-in Rules, ad esempio per mantenere durante la fase pilota un login Sophos controllato come percorso di fallback. Ogni utente può essere associato a una sola Domain verificata e a un solo Identity Provider.
Con Federated credentials only, gli utenti non possono reimpostare autonomamente la password Sophos. Se in seguito si torna al solo login Sophos, questi account potrebbero non disporre ancora di una password utilizzabile e devono eseguire Reset Password. Gli utenti del Self Service Portal con accesso esclusivamente federato non ricevono un invito separato a creare una password, ma accedono direttamente tramite l’IdP.
L’opzione Expand MFA Coverage estende la richiesta MFA agli utenti gestiti in altri portali Sophos, come Self Service Portal, Partner Portal o Support Portal. Dopo l’attivazione non può più essere disabilitata. Va quindi salvata a livello di tenant solo dopo un test pilota con gli utenti dei portali effettivamente interessati.
Prima dell’attivazione si chiariscono i punti seguenti:
- associazione univoca tra indirizzo e-mail e Central Login,
- MFA e regole di accesso presso l’IdP,
- comportamento per account guest e partner,
- almeno un accesso di emergenza testato,
- esclusione di un Lockout in caso di configurazione errata di dominio o IdP.
L’accesso federato non sincronizza automaticamente utenti Endpoint o gruppi di dispositivi. Sono funzioni separate.
Quando UPN e indirizzo e-mail sono diversi
Central identifica inizialmente l’account tramite l’indirizzo e-mail registrato. Se Microsoft Entra ID utilizza internamente un User Principal Name differente, l’app Entra necessita di una configurazione OpenID Connect adattata con il Claim opzionale email e le autorizzazioni Microsoft Graph appropriate. In Central, l’utente continua a inserire l’indirizzo e-mail associato e si autentica poi nella pagina Microsoft con l’UPN.
La configurazione standard è sufficiente quando indirizzo e-mail e UPN coincidono. Una configurazione differente deve essere testata prima con un account di prova, poiché un Claim mancante o errato impedisce l’associazione anche se l’autenticazione Entra riesce.
Gestire e attivare un Identity Provider
Solo un Super Admin può gestire un Identity Provider federato e deve prima essere verificato almeno un dominio appropriato. In Global Settings > Access Control > Sign-in and Identity > Federated identity providers, Add identity provider consente di creare Microsoft Entra ID, OpenID Connect o Microsoft AD FS. I provider parzialmente configurati possono essere salvati, ma attivati solo quando la configurazione è completa e valida.
Selezionare il provider completato e scegliere Turn on. Da quel momento può essere utilizzato per l’accesso federato. Dallo stesso punto è possibile modificarlo o eliminarlo. Prima di usare Federated credentials only, ogni amministratore e utente interessato deve essere assegnato a un dominio verificato e a un provider attivo; in caso contrario si verifica un Lockout. Il provider va quindi testato dapprima con singoli account e mantenendo un accesso di fallback.
Le guide operative sono disponibili in Configurare Microsoft Entra ID come Identity Provider, Configurare OpenID Connect e Okta per Sophos Central e Collegare Microsoft AD FS a Sophos Central.
I ruoli restano decisivi
MFA protegge l’identità, ma non limita i suoi diritti. Super Admin viene utilizzato soltanto per modifiche al tenant, ai ruoli, alle API e particolarmente estese. Help Desk, Read-only e Custom Roles riducono il possibile danno causato da un errore o da un account compromesso.
L’assegnazione di ruoli e autorizzazioni Sophos Central Endpoint descrive i diritti specifici del prodotto.
Dispositivo MFA perso e Lockout
Il processo di ripristino viene testato prima che sia necessario:
- Utilizzare il secondo metodo registrato.
- Chiedere a un Super Admin del tenant di usare Reset MFA sull’oggetto utente.
- Inserire al successivo accesso il codice di sicurezza inviato da Sophos tramite e-mail.
- Registrare due nuovi metodi MFA.
- Se non è disponibile un altro Super Admin, contattare Sophos Support con dati account verificabili.
Dopo un ripristino si rimuovono i vecchi metodi, se ne registrano di nuovi e si controllano gli Audit Log per accessi o modifiche anomali.
Eliminare la voce Sophos direttamente nell’Authenticator App non rimuove il metodo da Central. Resta registrato, ma non produce più codici validi. Il metodo deve quindi essere rimosso anche in Central o reimpostato da un Super Admin. Se vengono eliminati tutti i metodi locali, restano soltanto un secondo metodo registrato, il Reset da parte di un altro Super Admin o il percorso verificato tramite Sophos Support.
Reimpostare MFA come Super Admin
Solo un Super Admin può reimpostare le registrazioni MFA di un altro utente. Il percorso è My Environment > Users & Groups > Users. Aprire il nome utente, scegliere Reset MFA e poi nuovamente Reset. Un messaggio di stato in fondo alla pagina conferma il ripristino.
Central invia automaticamente all’utente un’e-mail di verifica con un codice di sicurezza. Al successivo accesso, il codice deve essere inserito e MFA configurata nuovamente per intero. Consegna, identità della persona e registrazione riuscita vanno controllate: il solo Reset non ripristina ancora un accesso sicuro. Se il proprio account è bloccato e non esiste un altro Super Admin, resta soltanto il recupero verificato tramite Sophos Support.
Controllo periodico
Almeno ogni trimestre si verificano amministratori, ruoli, credenziali API, metodi MFA e identità esterne. In caso di uscita o cambio di ruolo, l’accesso Central non viene soltanto disattivato, ma anche rimosso dai ruoli Admin e dai gruppi IdP pertinenti.