Gestire Sophos Endpoint Alert e Account Health

Un Sophos Central Alert è un’attività di indagine, non automaticamente un incidente confermato. In My Environment > Alerts si parte da Severity, dispositivo, Detection Name ed Event associati. Un’azione di stato viene alla fine: non rimuove malware né configurazioni insicure.

Procedura rapida di Alert Triage

1. Delimitare l’Alert: registrare Severity, Status, dispositivo, ora, Detection Name e numero di Event raggruppati.
2. Esaminare il contesto: controllare dettagli, Associated events, stato, Last active, utente, percorso, processo, hash ed eventuale Threat Graph.
3. Contenere il rischio attivo: se il rischio persiste o è laterale, isolare l’Endpoint tramite il processo Incident approvato. Sophos Endpoint Threat Cleanup e rimozione del malware descrive la remediation completa.
4. Gestire il tipo di Alert: eseguire Cleanup, Scan, riavvio, correzione Policy o verifica False Positive appropriati.
5. Validare tecnicamente: controllare nuovi Event, esito Cleanup e Scan, Agent Health e applicazione interessata.
6. Solo dopo chiudere: cambiare Workflow Status soltanto dopo aver documentato causa, azione, risultato e responsabile.

High richiede una verifica rapida. Medium non significa innocuo: uno Scan necessario, un Cleanup incompleto o Remotely-run ransomware possono richiedere altro lavoro.

Non confondere Health, Alert ed Event

Questi segnali non vengono calcolati allo stesso modo. Un Endpoint può essere verde dopo un blocco o una quarantena e avere ancora un Alert da analizzare. Al contrario, un problema Health può esistere senza Threat Alert aperto. Il verde conferma quindi solo lo stato comunicato da Sophos, non la completa sicurezza.

L’Account Health Check appartiene volutamente a una revisione Central separata. Usare correttamente Sophos Central Account Health Check tratta formule, Auto-Fix, Snooze, Policy Reset, Agent Mode, Tamper Protection ed export PDF. Per gli Endpoint Alert resta la regola: un cambio di Score o Status non sostituisce mai la verifica tecnica sul dispositivo.

Assegnare priorità ai Threat Protection Alert

Sophos indica tra le notifiche più urgenti:

• Real-time protection disabled: la protezione in tempo reale è disattivata da oltre 2,5 ore. L’unica eccezione plausibile è una breve diagnosi guidata da Sophos Support.
• Malware not cleaned up: Il malware rilevato non è stato rimosso dopo 24 ore, anche se il Cleanup automatico è disponibile. Manual cleanup required indica che il Cleanup automatico non è disponibile; Running malware not cleaned up segnala che non è stato possibile rimuovere un programma malevolo o sospetto in esecuzione. Quest’ultimo caso ha la priorità più alta.
• Malicious traffic detected: il traffico di rete sospetto può indicare Command-and-Control o altra attività malware.
• Recurring infection: è stata tentata la rimozione, ma l’infezione è tornata. Cercare componenti nascosti o non ancora rilevati.
• Ransomware detected o ransomware sulle condivisioni: stabilire subito origine, sistemi bersaglio e possibile impatto laterale.
• Outbreak detected: Sophos segnala un outbreak quando un dispositivo registra 100 Detections in 24 ore. Il volume non sostituisce l’analisi della causa.

Anche gli Alert Medium Potentially Unwanted Application detected, Computer scan required to complete cleanup, Reboot required to complete cleanup e Remotely-run ransomware detected richiedono un esito chiaro. Un dispositivo offline esegue lo Scan richiesto quando torna online. Se uno Scan è già in corso, la nuova richiesta viene ignorata e quello esistente continua.

Indagare in base al tipo di minaccia

Ransomware e Remote Ransomware

Per Ransomware detected, verificare se Sophos ha fermato il processo, ripristinato i file interessati, eseguito un Memory Scan e creato un Threat Graph. Se il Cleanup è incompleto, lasciare aperto il caso.

Dopo l’approvazione prevista dalla classificazione dei dati, selezionare o trascinare il file sospetto direttamente nel portale SophosLabs Intelix; se il file è protetto, fornire la password. Analyze avvia l’analisi senza aprire il file sull’Endpoint interessato. Senza autenticazione, l’Intelix Guest Portal accetta un file per invio; dopo l’accesso con una Sophos ID valida, un lotto può contenere fino a dieci file. Prima del trasferimento occorre accettare le condizioni d’uso e l’informativa sulla privacy.

Controllare innanzitutto classificazione e risultati del report Static Analysis. Se serve un’analisi comportamentale, Submit for dynamic analysis crea un report Sandbox. Disagree è una funzione Beta e potrebbe non essere disponibile per tutti i report o account. Quando è presente, un utente con profilo Support Portal convalidato può inserire dati di cliente, prodotto e Sample, oltre a origine e contesto dell’indagine, e seguire i passaggi di escalation disponibili. In base ai requisiti di accesso, il flusso può offrire l’escalation a Sophos Support; l’uso di Disagree non garantisce l’apertura di un caso, quindi occorre confermare separatamente l’eventuale riferimento Support. Se il portale non è disponibile, l’invio fallisce o il Cleanup resta incerto, mantenere il dispositivo isolato; Sophos Endpoint Threat Cleanup e rimozione del malware descrive l’intero processo di remediation e passaggio al Support.

Distinguere i due scenari remoti:

• Remotely-run ransomware detected: un altro sistema attacca la condivisione. Identificare il dispositivo sorgente dall’IP e determinare se Central lo gestisce e se CryptoGuard è attivo.
• Ransomware attacking a remote machine detected: l’Endpoint segnalato tenta di cifrare file su altri sistemi. Sophos blocca l’accesso in scrittura alle condivisioni, ma il dispositivo sorgente richiede comunque un’indagine completa.

Il blocco della condivisione è contenimento, non prova di chiusura. Includere nello Scope Incident dispositivi vicini, account usati e condivisioni raggiungibili.

Rilevamenti Browser, Exploit e IPS

Per un web browser attack, il Threat Graph identifica la connessione IP e URL. Valutare la destinazione e bloccarla sul Firewall aziendale se opportuno. Se l’utente ha inserito una password, cambiarla tramite il processo Identity previsto. Per accessi bancari o pagamenti verificare anche attività insolite.

Per un exploit, Sophos ferma l’attività, informa l’utente, analizza i processi in memoria e genera un Threat Graph. Esaminare origine, diffusione, processi e file coinvolti. Una causa ricorrente richiede più della formazione: verificare applicazione, Patch Level ed Exploit Protection.

Un IPS Alert riguarda traffico in entrata o uscita. Una IPS Exclusion sottrae il traffico corrispondente all’ispezione e deve essere molto limitata. Le autorizzazioni Firewall si configurano separatamente. Configurare in sicurezza le esclusioni Sophos Central Endpoint tratta esclusioni Detection, Process, Path e Network.

Deep Learning e PUA

I rilevamenti malware Deep Learning usano un prefisso come ML/. I file PE vengono messi in quarantena, quindi Device Health può essere già verde. Ripristinare e autorizzare solo se origine, firma o hash e scopo aziendale confermano in modo affidabile la legittimità.

Una Potentially Unwanted Application (PUA) non è necessariamente malevola, ma può creare rischi di privacy, sicurezza o operativi. Sophos normalmente blocca e rimuove automaticamente le PUA. Il Cleanup può non riuscire se la posizione è in sola lettura, serve Scan o riavvio, il file è in un archivio o non esiste un’istruzione di rimozione. In tal caso analizzare Alert e Threat Graph, rimuovere processi dipendenti e poi verificare Scan ed Event.

Authorize PUA nella pagina Alerts autorizza la PUA su tutti i computer. Per un’esigenza limitata è più sicura una Policy Exclusion quanto più ristretta possibile. Su Windows e Linux un’applicazione legittima può essere autorizzata per Certificate, SHA-256 o Path secondo la piattaforma; Sophos raccomanda Certificate su Windows. L’hash vale per una sola versione, mentre Path copre tutto nel percorso. La funzione non è disponibile su macOS.

Gestire i False Positive in sicurezza

«Applicazione nota» non è prova sufficiente. Prima di un’esclusione verificare produttore, firma, hash, fonte, versione, Detection Name e comportamento osservato. Se rimangono dubbi, mantenere attivo il rilevamento e fornire Sample e dati del caso a Sophos Support.

• Applicazione: sulle piattaforme supportate, Allow this application è disponibile nei dettagli del dispositivo sotto Events > Details. Certificate è legato al produttore, SHA-256 a una versione precisa e Path a una posizione. L’autorizzazione è globale per tutti gli utenti e computer ed esclude l’applicazione da ulteriori Threat Detection, ma i controlli Exploit, Ransomware e Malicious Behavior restano attivi.
• Exploit: Exclude this Detection ID from checking si applica a tutti gli utenti e computer e viene salvato in Global Exclusions. Se sono interessati solo alcuni utenti o dispositivi, usare invece una Threat Protection Policy mirata. Sophos considera l’esclusione dell’intera applicazione da ogni controllo Exploit l’opzione più rischiosa e l’ultima risorsa.
• Ransomware: Exclude this Detection ID from checking negli Event details si applica globalmente a utenti e computer e viene aggiunto a Global Exclusions. Approvare questo Scope prima della conferma.

Ogni esclusione richiede responsabile, motivazione, gruppo target, data di scadenza e test funzionale. Rimuoverla dopo la correzione del produttore.

Instradare correttamente gli Alert non di sicurezza

Problemi di installazione, Policy, periferiche, VDI e riavvio non provano automaticamente la presenza di malware, ma richiedono un responsabile tecnico:

• Per protezione o installazione Agent fallita, usare Risolvere sistematicamente i problemi di installazione di Sophos Endpoint.
• Analizzare deviazioni ricorrenti con Strutturare correttamente le Sophos Central Endpoint Policy.
• I sistemi clonati seguono Preparare Sophos Endpoint nelle VDI Golden Image.
• Un riavvio pendente crea prima Event e dopo due settimane un Alert. Non attendere questa scadenza per organizzare la manutenzione.

Configurare email e notifiche Sophos Central Alert tratta consegna, destinatari, frequenze ed escalation. L’email è solo il canale; fanno fede Alert, Event e stato del dispositivo in Central.

Criteri di chiusura e passaggio al Support

Un Alert è tecnicamente concluso solo quando:

• causa e Scope interessato sono noti,
• Cleanup, Scan, riavvio o correzione risultano completati,
• non compaiono nuovi Event correlati,
• Device Health e protezioni necessarie sono plausibili,
• ogni esclusione è testata, temporanea e assegnata,
• la documentazione contiene Alert ID, ora, dispositivo, Detection Name e risultato.

Sophos Support è appropriato se Cleanup fallisce ripetutamente, l’infezione ritorna, l’Agent appare danneggiato o un fondato sospetto False Positive non può essere autorizzato in sicurezza. Allegare Alert ID, dispositivo, periodo, Detection Name, hash, firma, Log, risultati Threat Graph, azioni svolte e risultato desiderato.

Domande frequenti