Analizzare Detections e Threat Graphs Sophos Endpoint
Sophos Central presenta più viste: un Event registra un’azione, un Alert può richiedere una reazione, una Detection mostra attività insolita o sospetta non già bloccata come minaccia nota, un Threat Graph collega file, processi e artefatti di un attacco.
Queste differenze determinano il Workflow. Una Detection va investigata e non archiviata frettolosamente come attacco bloccato. Un Alert chiuso non prova che la minaccia sia stata eliminata.
Requisiti
Detections e Threat Lineage richiedono EDR, XDR o MDR e upload Data Lake. Threat Graphs sono disponibili con Sophos Endpoint; ricerca cross-device, isolamento e Clean and block richiedono XDR.
I Threat Graphs vengono creati per Windows e macOS. Le Deep Learning PUA Detections non ne generano; cercare tali risultati con nome file o SHA-256 tramite Live Discover.
Triage delle Detections
In Threat Analysis Center > Detections, controllare periodo, Severity, tipo, fonte e MITRE ATT&CK. Il raggruppamento per Detection ID unisce regole uguali, ma non deve nascondere dispositivi diversi.
Il primo Triage chiarisce: quale dispositivo e utente? Quali processi e comandi? L’attività è prevista? Esistono Detections simili o altri Alert?
Quick Actions apre Device Details o altre Detections. Pivot Queries cerca Hash, processo o utente; Enrichments porta a SophosLabs Intelix o altre fonti. I dati grezzi restano disponibili se la vista riassunta non basta.
Related Detections può essere aggiunto a un Case esistente o nuovo con Severity, Status e responsabile. Sophos Support non svolge l’Investigation tecnica di singole Detections; MDR è il modello 24/7.
Una rilevazione ATK/ indica uno strumento di attacco come Metasploit, Mimikatz o Cobalt Strike. Può essere legittimo in un Red Team test autorizzato, ma viene usato anche per Credential Theft, persistenza e movimento laterale. Il rilevamento va trattato come possibile attacco attivo: verificare origine e Parent Process, utente connesso, ulteriori esecuzioni, accesso ad altri sistemi e rilevamenti simili. Solo un test documentato e temporalmente coerente giustifica una classificazione diversa.
Threat Lineage
Threat Lineage mostra processi prima e dopo una Detection. Può essere automatico o generato manualmente, resta sette giorni e può essere ricreato entro la retention Data Lake.
Esaminare Trigger, processi e attività principali. Enrich carica attività in blocchi di tre giorni. Aggiungere processi correlati ed esportare la Lineage come CSV.
Un commento AI a un comando accelera l’analisi, ma non sostituisce il controllo di percorso, Parent Process, utente e contesto.
Analizzare un Threat Graph
Iniziare da Summary e Root cause, poi esaminare in Analyze il percorso diretto o il Graph completo. Gli artefatti includono processi, file, Registry Keys e IP.
Request latest intelligence invia un file all’analisi Sophos attuale. La reputazione non è un verdetto definitivo: un’app interna nuova può essere sconosciuta e un programma firmato può essere abusato.
Process Details mostra percorso, comando, utente, SHA-256, durata e, con XDR, caratteristiche statiche o Machine Learning. Agire solo dopo una valutazione affidabile.
Negli alert CryptoGuard o Malicious Behavior il link può inizialmente mancare. L’Endpoint segnala in genere l’alert entro uno o due minuti, mentre Root Cause Analysis e Threat Graph possono richiedere circa 20 minuti. Cercarlo in Threat Analysis Center > Threat Graphs; l’assenza del link nell’azione originale non prova l’assenza dell’analisi.
Threat Graphs vengono creati per rilevamenti malware, non per PUA, Application Control, Device Control o Web Control. Un Graph può mancare anche se Sophos non determina una Root Cause. In tal caso si combinano eventi Endpoint, dati Detection e query Live Discover senza attendere indefinitamente.
Analizzare correttamente le Exploit Detections
CredGuard, PrivGuard, Lockdown, LoadLib, APC Violation, Code Cave e messaggi simili indicano un comportamento bloccato, non automaticamente un falso positivo. Iniziare da Application Event ID 911 di HitmanPro.Alert in Windows. Confrontare Application, Process Trace, comando, Detection ID o Thumbprint e Parent Processes con il flusso utente e altri dispositivi.
CredGuard protegge lsass.exe dagli accessi alla memoria. Un’applicazione PAM o di sicurezza nota può effettuare lo stesso accesso di un malware di Credential Dumping; conoscere il produttore non basta: percorso, firma, scopo e comando esatto devono coincidere. PrivGuard blocca l’elevazione dei privilegi. Se un prodotto PAM verificato confligge solo con Token Manipulation, sugli Endpoint da Core Agent 2024.3 si può disattivare specificamente Prevent access token manipulation, mantenendo attive le altre funzioni PrivGuard.
Lockdown impedisce ai processi di browser, Office o posta di avviare codice. LoadLib impedisce in particolare il caricamento di DLL da percorsi non attendibili o di rete. La correzione più sicura riguarda il design dell’applicazione: aggiornare il plugin, avviare l’eseguibile fuori dal contesto browser o installare localmente la DLL. Solo dopo si considerano un’esclusione stabile per Detection ID o Thumbprint, la disattivazione della sola mitigation interessata per l’applicazione e, come ultima soluzione, l’esclusione completa da Exploit Monitoring.
Per un’escalation Sophos si raccolgono SDU, procedura esatta riproducibile, software o file interessato e un test con la Maintenance Release più recente. Per CryptoGuard va aggiunta la cartella Event Journal richiesta da Sophos nello stesso intervallo. Non creare un’esclusione prima di aver dimostrato un comportamento legittimo o un autentico falso positivo.
Isolamento e Clean and block
Per priorità alta, isolare il dispositivo. Central Management e File Submission restano possibili. Connessioni RDP, SSH o Tool Server necessarie vengono consentite con eccezioni Device Isolation ristrette.
Clean and block pulisce file e artefatti sui dispositivi Windows trovati e aggiunge SHA-256 alla Block List, valida per tutto il tenant Windows. Non è un test per un’ipotesi incerta.
In Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items si possono gestire fino a 5'000 hash SHA-256 di applicazioni sospette. La funzione richiede XDR e blocca soltanto applicazioni su dispositivi Windows. Sophos ignora hash di altri tipi di file o file con reputazione già attendibile.
Un hash aggiunto manualmente blocca l’applicazione su tutti i computer e avvia il Cleanup delle copie esistenti. Motivo e persona che ha eseguito l’azione restano visibili. Prima della rimozione si chiarisce perché l’hash non sia più considerato sospetto.
Dopo la pulizia, cercare altre occorrenze, memoria e persistenza; solo poi rimuovere l’isolamento. Gestire più dispositivi in Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices.
Outbreak e gap di reporting
Con 100 Detections in 24 ore, Sophos crea un Outbreak Alert e riduce i report simili. La protezione continua, ma i report completi tornano solo dopo la pulizia e lo stato resolved.
Non chiudere un Outbreak solo per pulire la lista. Prima verificare dispositivo, Root Cause, altri artefatti e remediation.
Chiusura
Il Case documenta causa, dispositivi, Hash, utenti, azioni e query di controllo. Chiudere Threat Graph e Alert solo quando non restano occorrenze e il dispositivo mostra un Health State plausibile.
Articoli correlati
Threat Cleanup e False Positive sono descritti in Sophos Endpoint Threat Cleanup e rimozione malware. Per le basi delle query vedere Sophos Endpoint Data Collection e Live Discover. Isolamento e accesso al terminale sono descritti in Isolare e verificare un Sophos Endpoint con Live Response.