Pianificare ruoli e autorizzazioni Sophos Fusion Endpoint
I ruoli Sophos Fusion (in precedenza Sophos Central) influiscono su molto più dei menu visibili a un amministratore Endpoint. L’accesso al prodotto, l’Access Type e le autorizzazioni aggiuntive determinano insieme se può modificare le policy, avviare Live Response, attivare gli upload nel Data Lake, disattivare Tamper Protection o rimuovere un computer dall’isolamento.
Il runbook Central sui ruoli amministrativi descrive scelta, assegnazione e verifica dei ruoli predefiniti e personalizzati per l’intero tenant. Questo articolo tratta invece gli effetti specifici su Endpoint e XDR, senza ripetere creazione degli utenti, cambi di ruolo e offboarding.
Endpoint Custom Role invece dell’accesso completo generico
Soltanto un Super Admin può creare una Custom Role in Global Settings > Access Control > Admins and Roles > Roles > Add role. Il ruolo si basa su un ruolo standard e riceve per ciascun prodotto un Access Type come Full, Help Desk, Read-only o None.
Immettere un Name chiaro e una Description riferita allo scopo, selezionare il Base role e impostare l’Access Type per ogni prodotto. Nelle opzioni aggiuntive di accesso e gestione della Custom Role, attivare solo le capacità necessarie e selezionare Save. Aprire quindi il ruolo, selezionare Edit accanto a Role Members, scegliere gli amministratori e salvare di nuovo. Le opzioni aggiuntive valgono solo per i prodotti selezionati; Enable global search management richiede Endpoint Protection o Server Protection con Full.
Un ruolo Endpoint Help Desk pratico può essere strutturato, per esempio, così:
- ruolo base
Help Desk - prodotto
Endpoint Protection - Access Type adatto all’incarico reale
- tutti i prodotti non necessari su
None - Log e Report soltanto se necessari all’operatività
- decidere separatamente gestione e assegnazione Policy
- non autorizzare automaticamente Live Response, Data Collection e isolamento
Dopo ogni modifica del ruolo si verifica con un account di test quali menu, dispositivi e azioni siano realmente disponibili. Il nome del ruolo non prova le autorizzazioni.
Shared Settings richiedono più diritti prodotto
Alcune impostazioni vengono usate congiuntamente da Endpoint e Server. Se una Custom Role non ha accesso a entrambi i prodotti, queste Shared Settings restano in parte in sola lettura. Per singole funzioni è inoltre necessario l’accesso Encryption.
Tra le impostazioni condivise rientrano, tra l’altro:
- Tamper Protection
- applicazioni autorizzate
- Website Management
- configurazione Proxy
- Blocked Items
- utilizzo della larghezza di banda
- DLP Rules e Content Control Lists
- rifiuto delle connessioni di rete a dispositivi non sicuri
- XDR Threat Analysis Center
Questo è un motivo frequente per cui un presunto ruolo Endpoint Full non può modificare un’eccezione globale o un’impostazione condivisa. La soluzione non è automaticamente Super Admin, ma una Custom Role ampliata consapevolmente.
Assegnare separatamente i diritti Policy
Sophos distingue tra gestione e assegnazione delle Policies:
- Enable policy management consente di creare, modificare ed eliminare Policies.
- Enable policy assignment consente di attivare o disattivare Policies esistenti e assegnare utenti, gruppi, dispositivi o gruppi di dispositivi.
Un team operativo può quindi assegnare Policies senza poter modificare la Baseline di protezione. Viceversa, un Security Team può gestire il contenuto delle Policies, mentre le assegnazioni produttive seguono un processo Change. Struttura e priorità sono descritte in Strutturare correttamente Sophos Fusion Endpoint Policies.
Live Response e Data Collection
L’autorizzazione ad avviare una sessione Live Response viene impostata esplicitamente. Un ruolo personalizzato richiede il ruolo base Full o Help Desk, Endpoint Protection con Access Type Full e il diritto di avviare sessioni sui computer. Il diritto per i server è separato e richiede Server Protection. Live Response richiede una licenza Sophos EDR, XDR o MDR.
Anche la gestione di Live Response e degli upload Data Lake è un diritto proprio. Manage Data Collection and Investigation settings for computers richiede Endpoint Protection con Full; l’opzione equivalente per i server richiede Server Protection. Start Live Response sessions on computers, l’opzione separata per i server e l’attivazione nella Policy sono quindi attività distinte.
Per gli MSP esiste una limitazione attuale: chi apre il tenant del cliente da Sophos Fusion Partner non può al momento creare questo Live Response Custom Role. In tale contesto di accesso, l’assenza del pulsante non indica un errore di autorizzazione locale.
Live Response concede una potente Remote Shell. Autorizzazione dei ruoli, MFA, Audit e procedura di sessione sono descritti in Isolare e analizzare Sophos Endpoint con Live Response.
Tamper Protection e isolamento
La disattivazione di Tamper Protection e la rimozione di un computer da Admin Isolation non vengono autorizzate incidentalmente tramite il normale accesso Help Desk. Per queste opzioni Sophos richiede una Custom Role con ruolo base Help Desk, Endpoint Protection e Access Type Full.
Questi diritti appartengono soltanto a persone che eseguono un processo di manutenzione o gestione degli incidenti documentato. Un’autorizzazione permanente per l’intero supporto di primo livello raramente è adeguata.
Diritti XDR aggiuntivi
Con una licenza XDR, i ruoli standard ricevono ulteriori possibilità:
- Super Admin e Admin possono richiedere Intelligence Report, gestire voci Clean and Block, visualizzare Blocked Items, richiedere On-Demand Threat Graph, isolare o liberare dispositivi e richiedere Forensic Snapshot.
- Help Desk può richiedere Intelligence Report e Threat Graph, visualizzare Blocked Items e richiedere Forensic Snapshot, ma non eseguire tutte le azioni Response.
- Read-only può visualizzare Intelligence Report, Blocked Items e On-Demand Threat Graph esistenti.
L’interfaccia effettiva dipende inoltre da licenza, assegnazione prodotto e origine dati. Le funzioni XDR vengono quindi testate con un dispositivo rappresentativo. Cases, Suppression Rules e dati Exposure sono descritti in Gestire Sophos XDR Cases e Detection Suppression Rules.
Convalida e risoluzione dei problemi
Eseguire il collaudo con un amministratore di test e un computer rappresentativo; aggiungere un server per i diritti server. Verificare separatamente accesso, prodotti visibili, Logs & Reports, modifica e assegnazione delle Policies e ogni azione di risposta approvata. I test negativi devono confermare che prodotti, impostazioni e azioni non autorizzati siano assenti o di sola lettura. Documentare l’appartenenza al ruolo e controllare gli Audit Logs.
Se una funzione manca o è disabilitata, controllare innanzitutto licenza e fonte dati. Verificare Role Members, eseguire nuovamente l’accesso e confrontare Base role, prodotto, Access Type e opzione aggiuntiva. Per gli Shared Settings, verificare l’accesso combinato a Endpoint, Server ed eventualmente Encryption. Per Live Response, controllare anche la Policy Data Collection and Investigation: il diritto di avviare una sessione non abilita la funzione. Infine, escludere l’accesso tramite Sophos Fusion Partner e il blocco della nuova scheda da parte del browser. Prima dell’escalation, registrare tenant, utente, ruolo, pagina prodotto, dispositivo, orario ed esito del test negativo.