Pulizia delle minacce e bonifica malware Sophos Endpoint

La pulizia delle minacce inizia dopo il triage iniziale degli avvisi. Non consiste semplicemente in una valutazione o in un cambio di stato: serve a contenere una minaccia confermata o plausibile, a eliminarla con le funzioni Sophos supportate e a dimostrare il risultato. Il processo di triage preliminare è descritto in Gestire gli avvisi Sophos Endpoint e lo stato dell’account.

Prerequisiti e punti decisionali

Prima di apportare modifiche, identificare il proprietario dell’incidente, ottenere l’approvazione per l’isolamento o il riavvio, concordare una finestra di manutenzione, assegnare la responsabilità di backup e recupero e stabilire un canale di comunicazione sicuro. Le azioni disponibili dipendono dal ruolo in Central, dalla licenza e dalla piattaforma:

• Le scansioni e gli eventi dei dispositivi sono disponibili per i computer gestiti. Secondo Sophos, l’azione di scansione non è disponibile per un XDR Sensor.
• L’isolamento da parte dell’amministratore richiede EDR, XDR o MDR. I Threat Graph sono disponibili con Endpoint, EDR, XDR e MDR e attualmente supportano solo Windows e macOS; Sophos non crea però un grafico per i rilevamenti PUA effettuati da Deep Learning (ML). Le azioni di Threat Graph come Search for item e Clean and block richiedono XDR.
• L’endpoint deve poter raggiungere Central. Una scansione richiesta per un dispositivo offline inizia quando il dispositivo si riconnette; se una scansione è già in corso, la nuova richiesta viene ignorata.
• L’avviso di gravità elevata Real-time protection disabled viene generato quando la protezione in tempo reale è disattivata da più di 2,5 ore. Deve rimanere sempre attiva. Disattivala brevemente per un’indagine solo su indicazione di Sophos Support; quindi riattivala e verifica lo stato della protezione e la comunicazione dell’agente.
• Adaptive Attack Protection applica una protezione rafforzata per una durata fissa: 24 ore per impostazione predefinita e non oltre 72 ore. Central offre controlli per estendere il periodo attivo o terminarlo in anticipo. Lo stato di integrità del dispositivo è rosso mentre questa modalità è attiva; registra quindi la causa anziché interpretare questo effetto previsto come una pulizia non riuscita.
• Prima della pulizia o del riavvio, conserva l’ID dell’allerta, il dispositivo, l’utente, il nome di rilevamento, la finestra temporale, il processo, il percorso, il SHA-256, l’azione Sophos e i dettagli pertinenti del grafico e degli eventi. Maneggia le prove in conformità con i tuoi processi di risposta all’incidente e protezione dei dati.

Flusso di lavoro: contenere, correggere, dimostrare

1. Registra lo scopo: Apri la descrizione e il rilevamento sotto My Environment > Alerts, poi correla eventi del dispositivo, relazioni di processo e altri utenti o sistemi interessati.
2. Valuta l’attività: Se il malware è attivo, ricorre o può diffondersi tramite condivisioni o account, isola il dispositivo dopo l’approvazione. La gestione centralizzata rimane disponibile tramite My Environment > Computers & Servers > Computer > Summary > Actions > Isolate. In alternativa, inizia da My Products > Endpoint > Computers.
3. Interpreta il risultato Sophos: Il blocco, la quarantena e la pulizia automatica sono condizioni distinte. La descrizione dell’allerta, gli eventi e i Threat Graph indicano se è necessaria una pulizia, una scansione o un riavvio.
4. Eseguire l’azione supportata: Elaborare il tipo specifico di avviso come descritto di seguito. Non utilizzare eccezioni ampie né improvvisare la pulizia di file, registri o script.
5. Affronta causa ed estensione: Controlla il vettore di ingresso, l’account che ha generato l’evento, l’applicazione vulnerabile, le condivisioni di rete e le rilevazioni o gli hash corrispondenti su altri dispositivi gestiti.
6. Valida tecnicamente: Controlla gli eventi di completamento, gli avvisi di pulizia non riuscita, lo stato della protezione, la comunicazione con gli agenti e i rilevamenti ripetuti.
7. Decidi il rischio residuo: Rimuovi l’isolamento e chiudi il grafico o l’avviso solo dopo un’accettazione tecnica documentata.

Quando Sophos necessita di ulteriori interventi di bonifica

Malware not cleaned up o pulizia manuale richiesta

Secondo Sophos, Malware not cleaned up significa che il malware non è stato rimosso dopo 24 ore; il rilevamento potrebbe provenire da una scansione che non fornisce pulizia automatica. Sophos identifica una scansione programmata dalla policy con la pulizia automatica abilitata come azione principale. Per Manual cleanup required o Running malware not cleaned up, segui la descrizione dell’avviso e contatta Sophos Support se necessario. Considera l’esecuzione di malware come un potenziale incidente attivo, non come un invito a inventare passaggi di cancellazione.

Per Recurring infection, Sophos ha già effettuato la pulizia ma l’infezione è tornata. La rilevazione visibile quindi non è la causa principale: includere componenti nascosti, persistenza, consegna ripetuta e altri dispositivi nell’ambito.

Per Malicious traffic detected, è stato rilevato traffico di rete dannoso, potenzialmente diretto a un server di comando e controllo coinvolto in una botnet o in un altro attacco malware. Apri la descrizione dell’avviso e conserva l’IP o il dominio di destinazione, la porta, il protocollo, il processo che ha attivato l’evento, l’utente e la finestra temporale. Se la comunicazione continua, isola il dispositivo, esegui l’azione di scansione o pulizia indicata nell’avviso e analizza la catena dei processi, la persistenza e le connessioni corrispondenti provenienti da altri dispositivi. Chiudi l’avviso solo dopo aver eliminato la minaccia associata e verificato che il traffico non si ripresenti; inoltra il caso a Sophos Support se la causa resta incerta o il traffico ritorna.

Scan o riavvio in attesa

Per Computer scan required to complete cleanup, apri il computer e inizia Scan. Il percorso attuale è My Environment > Computers & Servers > Computer > Summary > Actions > Scan; Sophos documenta anche My Products > Endpoint > Computers come punto di partenza alternativo. Verifica il completamento sotto Reports > Logs > General logs > Events usando Scan completed e eventi di pulizia riusciti. La pulizia fallita appare sotto My Environment > Alerts.

Reboot required to complete cleanup significa che la minaccia è stata solo parzialmente rimossa. Riavvia entro la finestra di manutenzione approvata, poi verifica il contatto con l’agente, gli eventi di completamento e se le rilevazioni si ripresentano. Un riavvio da solo non stabilisce né la via d’ingresso né l’ambito.

PUA

Un PUA non è necessariamente malware. Per un PUA indesiderato confermato, Sophos fornisce Cleanup PUA(s) nell’avviso selezionato. La pulizia potrebbe non essere disponibile su una condivisione di rete perché l’agente non ha il permesso; coinvolgere il sistema responsabile o il proprietario della condivisione invece di eliminare i file localmente senza prove.

Authorize PUA nella pagina dell’avviso consente la PUA su tutti i computer. Autorizzare un PUA richiesto dal business solo dopo aver verificato il fornitore, la firma, l’hash, la sorgente e il comportamento; per esigenze limitate, preferisci un’eccezione politica a scopo ristretto. Vedi Configura Sophos Central esclusioni degli endpoint in sicurezza.

Ransomware e origine remota

Per Ransomware detected o Ransomware attacking a remote machine detected, Sophos blocca l’accesso alla scrittura al file system o alla condivisione e, nelle condizioni documentate, pulisce automaticamente le workstation. Se la pulizia non avviene, Sophos richiede la presentazione di un campione tramite il processo ufficiale.

Remotely-run ransomware detected significa che il ransomware è in esecuzione su un altro computer e attacca le condivisioni di rete. Il dispositivo protetto che segnala quindi non è necessariamente la fonte. Correla l’IP segnalato per il momento rilevante con i dati di asset, DHCP/NAT, account e condivisione; indaga sul dispositivo sorgente e sui sistemi vicini raggiungibili. Se Central gestisce la sorgente, verifica che Protect document files from ransomware (CryptoGuard) sia attivo nella sua policy.

Usa Threat Graph in modo mirato

Sotto Threat Analysis Center > Threat Graphs > Graph, Summary, Suggested next steps e Analyze mostrano origine, diffusione e processi o file interessati. Isolate this device può essere disponibile per casi ad alta priorità. Con XDR, puoi usare Request latest intelligence, che carica file dal dispositivo su Sophos per l’analisi, Search for item e, dopo aver confermato la malizia, Clean and block. Sophos descrive Clean and block come la pulizia dei dispositivi Windows trovati e il blocco dell’elemento su tutti i dispositivi Windows; documenta la sua portata e i limiti della piattaforma prima della conferma.

Rimuovere l’isolamento solo dopo che la minaccia è stata affrontata. L’accesso a Admin Isolated Devices richiede il ruolo Super Admin o Admin oppure un ruolo personalizzato con l’autorizzazione corrispondente. Per più dispositivi isolati dall’amministratore, il percorso corrente è Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices > Remove from Isolation. I dispositivi isolati automaticamente non compaiono in questa lista.

Validazione e rischio residuo

La bonifica ha successo solo quando le prove sono coerenti:

• La scansione o il riavvio richiesto sono completati e sono presenti eventi di pulizia di successo,
• Non ci sono avvisi correlati a una pulizia non riuscita né nuove rilevazioni corrispondenti,
• L’agente ha comunicato di recente e i componenti di protezione e la policy necessari sono coerenti,
• Sono stati valutati la catena di processo, gli indicatori di persistenza, il punto di ingresso e i conti rilevanti,
• sono stati controllati altri dispositivi o condivisioni potenzialmente interessati,
• Ogni eccezione è ristretta, approvata, a tempo limitato e assegnata a un proprietario.

La decisione risultante è chiudi, continua il monitoraggio o escalation. Non rimuovere l’isolamento finché la persistenza è sconosciuta, i dispositivi sono irraggiungibili, la pulizia non è confermata, la sorgente remota non è spiegata o il possibile accesso ai dati rimane irrisolto. Usa Reset health status solo dopo aver corretto il problema; Sophos dichiara esplicitamente che non elimina le minacce.

Escalare in sicurezza

Coinvolgere Sophos Support o il team incident-response se il malware in esecuzione non può essere pulito, l’infezione si ripresenta, la fonte o l’ambito del ransomware rimane incerto, le azioni centrali falliscono, l’agente non fornisce dati affidabili o un sospetto falso positivo non può essere confermato. Fornire l’ID tenant e regione, allarme e Threat Graph, dispositivo, rilevamento, finestra temporale UTC, hash o firma, azioni e Sophos risultati, ambito interessato, dati rilevanti di eventi o diagnostiche e contenimento già applicati. Inviare campioni solo tramite il canale Sophos approvato e in conformità con la classificazione dei dati.

Domande frequenti