Valutare gli eventi Sophos per computer e server

Accedere a Sophos Fusion (in precedenza Sophos Central) per consultare eventi e report. Questo articolo tratta Events Report, gli eventi dei singoli computer e server, Computer Report e la panoramica della protezione di 30 giorni. La gestione degli avvisi e l’indagine XDR restano flussi di lavoro separati.

Scegli la vista appropriata

• Cosa è successo quando? Apri Events Report.
• Cosa è successo su un particolare computer? Utilizza la scheda Events nei dettagli del computer.
• Cosa è stato rilevato su un server specifico? Utilizza la scheda Events nei dettagli del server.
• Quali computer sono gestiti e quando è stata effettuata l’ultima segnalazione? Usa Computer Report.
• Come appare la panoramica della protezione degli ultimi 30 giorni? Apri il rapporto Overview of your Sophos protection.

Un evento è un’occorrenza registrata. Gli eventi che richiedono un’azione possono comparire anche nella pagina Alerts. Dopo aver gestito o ignorato un avviso, l’evento sottostante rimane nell’elenco. La vista degli eventi offre quindi una cronologia, ma non costituisce da sola un’indagine completa sull’incidente.

Valuta gli eventi a livello di tenant

È possibile accedere al rapporto sugli eventi su Reports > General Logs > Events. Per una valutazione riproducibile, procedere come segue:

1. Cerca Search per nome utente, dispositivo o minaccia. Sophos non supporta la ricerca del nome file menzionato nell’evento.
2. Selezionare un periodo in Choose period. Per Custom, vengono impostati From e To; la visualizzazione risale a un massimo di 90 giorni.
3. In Event type and count, seleziona o deseleziona categorie o singoli tipi di evento. Per impostazione predefinita sono visibili tutti gli eventi.
4. Caricare gli eventi appena ricevuti con Update. Il grafico mostra il numero di eventi al giorno.
5. Controllare il risultato e, se necessario, salvarlo con Save as Custom Report o visualizzarlo come CSV o PDF utilizzando Export.

L’elenco degli eventi include Sev, Date, Event, User, User Groups, Device e Device Group. Un report personalizzato salvato è personale: lo vede solo l’amministratore che lo ha creato; Gli amministratori partner ed aziendali non visualizzano né creano questo report. L’esportazione offre la visualizzazione corrente o un report sugli ultimi 90 giorni. Per questo motivo il termine di ricerca, il periodo di tempo e il tipo di evento selezionato fanno parte della documentazione operativa se le valutazioni devono essere confrontabili in seguito.

Controlla gli eventi su un computer

Per un computer, accedere a My Environment > Computers & Servers o My Products > Endpoint > Computers. Quindi aprire il nome del computer e la scheda Events. L’elenco mostra la gravità, l’agente Sophos che ha segnalato l’evento e, se disponibile, Details. View Events Report organizza gli eventi per tipologia e mostra la loro progressione giornaliera.

Un evento può avere un timestamp successivo a Last active nell’elenco dei computer. Ciò non è necessariamente una contraddizione: Sophos aggiorna Last active in media solo una volta all’ora.

Alcuni dettagli dell’evento forniscono azioni in caso di sospetta classificazione errata. Le autorizzazioni o esclusioni risultanti possono avere un ambito esteso e non devono essere create solo perché un nome di file sembra noto. Il flusso di scansione e disinfezione sicura è disponibile in Sophos Endpoint Threat Cleanup e Malware Cleanup.

Controlla gli eventi su un server

Per un server, accedere a My Environment > Computers & Servers o My Products > Server > Servers, aprire il nome del server e scegliere la scheda Events nei dettagli del server. L’elenco mostra Sev, Type (agente Sophos che ha segnalato l’evento), Date ed Event; Details non è disponibile per tutti gli eventi. View Events Report mostra gli eventi per tipo e la loro distribuzione giornaliera.

Con Unauthorized File Protection (UFP) sui server Windows, Monitor execution of unauthorized files without blocking segnala le esecuzioni non autorizzate senza bloccarle, mentre Block execution of unauthorized file le blocca. Per l’indagine, controllare l’evento del server e, se presenti, i Details. Per verificare un blocco, confrontare un evento di blocco segnalato in Summary o Events con l’impostazione della policy applicata al server. Una segnalazione in modalità monitoraggio non dimostra che l’esecuzione sia stata bloccata. Per un periodo specifico, utilizzare Reports > General Logs > Events.

Leggi correttamente i tipi di eventi

I tipi di eventi visualizzati dipendono dalle funzioni concesse in licenza. Utilizza questa mappatura operativa; nomi e valori corrispondono a Sophos Fusion:

• Malware and PUA: Running malware not cleaned up (High), Malicious activity detected (High), Remotely-run ransomware detected (Medium), Ransomware attacking a remote machine detected (High), Safe Browsing detected compromised browser (High), Behavioral (Low), AMSI protection could not clean up a threat (High), Malware not cleaned up (High), Recurring infection (High), Potentially Unwanted Application (PUA) blocked (Medium) e Potentially Unwanted Application (PUA) not cleaned up (Medium) hanno Action required? = Yes. Se indicato, isola prima il dispositivo, apri l’avviso e i dettagli e completa la pulizia manuale, la scansione o il riavvio richiesto. Conferma quindi un evento pulito/risolto o uno stato tecnico pulito; il solo rilevamento o blocco non prova la correzione.
• Management: Reboot required (Medium), Policy non-compliance (Medium), Real-time protection disabled (High), Failed to protect computer or server (High), Device de-duplicated (Low) e Active Directory synchronization error (High) hanno Action required? = Yes. Esegui il riavvio o correggi policy, protezione, assegnazione gruppo/policy o sincronizzazione, quindi verifica lo stato conforme, riattivato, protetto o riuscito. Update failed è Low con Action required? = No, ma verifica prima la connettività e la successiva presenza di Update succeeded. Un avviso di mancata conformità alla policy compare dopo più di 2 ore, un avviso di protezione in tempo reale disabilitata dopo 2,5 ore, un evento di protezione non riuscita dopo 1 ora e un avviso di errore di sincronizzazione di Active Directory irrisolto dopo più di 1 ora.
• Network access: Peripheral detected (Medium) e Missing heartbeat reported (High) hanno Action required? = Yes. Verifica che la periferica sia autorizzata; per un heartbeat mancante considera potenzialmente compromesso il traffico di rete persistente, controlla le restrizioni firewall e conferma Restored heartbeat reported dopo la correzione. Peripheral allowed, Peripheral restricted to read-only, Peripheral blocked e Restored heartbeat reported sono Low e da soli non richiedono azione.
• User behavior: Web policy events, Web threat events e tutti gli eventi di reputazione download sono Low con Action required? = No. Usa il report web appropriato; per User trusted low reputation download e Low reputation download automatically trusted, conferma che la decisione e, per la fiducia automatica, l’impostazione Log only fossero intenzionali. Le voci DLP indicano se un trasferimento controllato è stato accettato, consentito o bloccato, ma non pubblicano gravità o Action required?: verifica quindi il trasferimento rispetto alla policy.
• Device encryption: Key creation failed, Device Encryption failed, Device not encrypted, Device Encryption is suspended e Recovery key missing sono Medium; Device Encryption information, Device Encryption status changed, Received recovery keys e Revoked keys sono Low. Il loro valore Action required? è See Note: per la maggior parte degli avvisi di crittografia riavvia il computer, lascialo sincronizzare con il server e verifica poi lo stato della crittografia o della chiave di ripristino. Una chiave di ripristino visualizzata viene revocata e sostituita.

Il solo nome dell’evento non costituisce quindi una priorità. Verifichi almeno la gravità, se Sophos richiede un’azione, il dispositivo interessato, l’ora e i dettagli. La valutazione effettiva degli avvisi rimane nell’articolo separato Modifica degli avvisi di Sophos Endpoint e dello stato dell’account.

Utilizza il rapporto del computer per le domande sull’inventario

Sotto Reports > Endpoint & Server Protection > Computers, il Report computer elenca tutti i computer gestiti da Sophos Fusion. Le sue colonne rispondono a domande specifiche sull’inventario:

• Online: ora dell’ultimo messaggio di stato; la visualizzazione viene aggiornata in media ogni ora.
• Last user: ultimo utente loggato e tempo trascorso; Queste informazioni vengono inoltre aggiornate mediamente entro un’ora dal cambio utente.
• Last update: ora dell’ultimo aggiornamento del software Sophos.
• Group: gruppo di computer assegnato.
• Agent installed: se è installato il software Sophos.

Il report è quindi adatto per l’igiene e il monitoraggio del dispositivo. Tuttavia, Online non è un test di disponibilità secondo per secondo. Un dispositivo presumibilmente inattivo viene prima confrontato con gli orari degli eventi e l’intervallo di segnalazione previsto.

Classificare la panoramica della protezione di 30 giorni

In Reports > Endpoint and Server Protection > Hero Reports si trova Overview of your Sophos protection. Il report è disponibile per amministratori, super amministratori e partner e riassume gli ultimi 30 giorni. Mostra, tra le altre cose, eventi di minaccia bloccati, risorse protette, siti Web bloccati o segnalati, utenti, computer e server protetti e utilizzo delle licenze.

I limiti sono importanti: il periodo non può essere modificato, il report copre solo un singolo inventario e non può essere pianificato. Per le licenze Enterprise Master non viene visualizzato l’utilizzo della licenza. Tramite Export as PDF la vista corrente viene scaricata come hero-report.pdf. Il rapporto è adatto per una panoramica della gestione, non come una registrazione completa degli incidenti o come sostituto dell’elenco degli eventi.

Non confondere i diari degli eventi con gli eventi di Sophos Fusion

I diari degli eventi si trovano localmente sui dispositivi Windows, macOS e Linux gestiti e si interrogano con Live Discover. Non esiste una conservazione fissa: piattaforma, attività e limiti configurati determinano l’eliminazione dei diari più vecchi. La configurazione richiede XDR, MDR o MDR Plus. In Global Settings > Products and Services > Endpoint and Server > Event Journals, seleziona Endpoint o Server. Maximum journal size (MB) accetta da 300 a 30.000 MB e il valore predefinito è 5250 MB. Maximum disk space (optional) offre Not specified, 10%, 20%, 30% o 40% e per impostazione predefinita è Not specified; se sono impostati entrambi i limiti, si applica quello inferiore.

Queste impostazioni valgono globalmente per tutti gli endpoint e server, non per singolo dispositivo. Ridurre un limite può eliminare alcuni dati dei diari e accorciare la cronologia Live Discover su tutti i dispositivi. Dopo una distribuzione controllata, interroga endpoint rappresentativi e verifica che la cronologia locale copra la finestra d’indagine prevista.

Ciò significa che i diari degli eventi non sono né un rapporto sugli eventi archiviato per un periodo di tempo più lungo né un periodo di tempo garantito. Coloro che indagano sulle attività non elaborate con Live Discover seguono il flusso XDR separato in Investigare sui rilevamenti di Sophos endpoint e sui grafici delle minacce.

Domande frequenti