Analizzare Detections e Threat Graphs Sophos Endpoint

Una Detection mostra un’attività insolita o sospetta che Sophos non ha già bloccato come minaccia nota. È quindi un segnale da indagare, non la prova di un blocco riuscito né un incidente confermato. Threat Lineage rappresenta i processi che hanno portato a una Detection. Per un rilevamento malware, un Threat Graph mostra Root Cause, percorso dell’attacco e artefatti coinvolti.

Il flusso sicuro è: delimitare la Detection, leggere dettagli e dati grezzi, esaminare Lineage o Threat Graph, cercare occorrenze simili e contenere o correggere solo in presenza di evidenze sufficienti. Cases e azioni di risposta sono qui soltanto punti di passaggio; Detection Rules personalizzate, gestione dei Cases e Live Response appartengono ai runbook collegati.

Requisiti, piattaforme e ruoli

Il tenant richiede Sophos EDR, XDR o MDR per Threat Analysis Center > Detections e Threat Lineage. I prodotti coinvolti devono caricare dati nel Sophos Data Lake. Senza questa telemetria il flusso non genera Detections.

I Threat Graphs sono disponibili con Sophos Endpoint, EDR, XDR o MDR, ma attualmente solo per dispositivi Windows e Mac. I rilevamenti Deep Learning di applicazioni potenzialmente indesiderate (ML PUA) non creano un Threat Graph. Sophos indica la query Live Discover Threat Hunting per cercare il nome file o lo SHA-256 segnalato; qui non ricreiamo la query specifica.

Visualizzare un graph ed eseguire una risposta richiedono autorizzazioni distinte:

• Super Admin e Admin possono richiedere e visualizzare Intelligence Reports, vedere gli elementi bloccati, richiedere e visualizzare Threat Graphs on-demand, isolare i dispositivi o rimuoverne l’isolamento, gestire Clean and block e richiedere Forensic Snapshots.
• Help Desk può richiedere e visualizzare Intelligence Reports, vedere gli elementi bloccati, richiedere e visualizzare Threat Graphs on-demand e richiedere Forensic Snapshots, ma non può isolare dispositivi o gestire Clean and block.
• Read-only, con XDR, può vedere intelligence, elementi bloccati e Threat Graphs on-demand, ma non può eseguire queste azioni di risposta.
• Un ruolo personalizzato deve avere il permesso corrispondente. Per rimuovere un isolamento amministrativo, Sophos richiede espressamente Super Admin, Admin o una Custom Role con tale autorizzazione.

I pulsanti effettivamente visibili a un amministratore dipendono inoltre da licenza, origine della Detection e Severity. Se manca un’azione, verifica prima questi tre requisiti e soltanto dopo considerala un errore dell’interfaccia.

1. Eseguire il triage delle Detections

Apri Threat Analysis Center > Detections. Le Detections possono provenire dai prodotti Sophos e, tramite le integrazioni MDR/XDR, anche da prodotti di terze parti. Per impostazione predefinita, il grafico a barre e l’elenco mostrano le ultime 24 ore. Nel grafico, il cursore riduce o estende l’intervallo visibile; passando sopra un segmento della barra compare il numero di risultati e facendo clic si filtra in base alla Severity. Nel menu temporale scegli un intervallo comune o assoluto e controlla Severity, Type, Detection, Time, Entity, Category, Source e la mappatura MITRE ATT&CK. Type distingue attualmente Threat e Vulnerability; Category identifica il tipo di origine, come Endpoint, Network, Firewall, Email, Cloud, ID provider o Platform. Le Detections Platform correlano eventi apparentemente non collegati provenienti da più origini. In Show filters puoi restringere i risultati, tra l’altro, per Severity, Type, utente, dispositivo e MITRE ATT&CK Tactic. I nomi di utenti e dispositivi vengono inseriti liberamente; per gli elenchi di selezione lunghi è disponibile Select all. Apply applica i filtri e Reset to defaults li cancella. Filtri e ordinamento funzionano sia nella vista raggruppata sia in quella non raggruppata; Severity viene ordinata per Priority.

Group by > Detection ID combina eventi corrispondenti alla stessa regola. Per valutare l’estensione usa anche la vista non raggruppata: più righe possono rappresentare dispositivi o orari diversi per la stessa tecnica. Il menu a tre punti consente di aprire una Detection in una nuova scheda o di copiarne il link. Per confrontare più Detections, aprile in schede separate invece di affidarti alla memoria per i valori mostrati in pannelli dei dettagli che cambiano.

Il primo triage risponde a quattro domande:

1. Quale dispositivo e quale utente sono coinvolti?
2. Quali processi, righe di comando e orari appartengono alla Detection?
3. L’attività è prevista per quell’utente, dispositivo e intervallo?
4. Esistono Detections simili, altri Alerts o altri dispositivi coinvolti?

Fai clic sulla riga per aprire il pannello dei dettagli. Copy device name copia il nome del dispositivo, Open device details apre il dispositivo e Detections on device mostra le altre Detections. Similar detections filtra l’elenco principale sui risultati comparabili. Raw Data espone i dati sottostanti quando il riepilogo non basta. Le opzioni pivot avviano una query Live Discover o Data Lake proposta; gli Enrichments aprono le fonti di threat intelligence disponibili, come VirusTotal o un report SophosLabs Intelix esistente. A seconda del contesto, le Actions possono offrire una scansione o Live Response. Usa soltanto i pivot offerti da Central e verificane destinazione e intervallo, senza riprendere query di esempio non documentate. Una valutazione SophosLabs compare solo se il software antimalware ha inviato il file o se un amministratore ha richiesto intelligence aggiornata.

Tra i punti di partenza tipici vi sono comandi insoliti per discovery, persistenza, elusione o furto di credenziali, Alerts malware come Dynamic Shellcode Prevention, Detections di runtime Linux come un container escape e indizi di software obsoleto o browser non sicuri. Questi esempi aiutano a dare priorità all’indagine, ma da soli non confermano un attacco. Espandi la tattica MITRE, verifica la tecnica associata e, se necessario, apri la relativa pagina MITRE. Decidi quindi in base ai dati concreti del processo e del dispositivo.

2. Leggere Threat Lineage

Nei dettagli della Detection apri la scheda Lineage e scegli Open Lineage Graph. In alternativa, apri un Case in Threat Analysis Center > Cases e passa a Detections. Se la scheda manca, la Detection non supporta la funzione. Se il graph non è ancora disponibile appare Generate. Sophos lo crea automaticamente quando una Detection genera un Case.

La Lineage distingue processi normali, processi coinvolti, trigger della Detection e attività principali; la legenda mostra simboli e numero per ogni tipo. Il graph contiene il percorso dei processi fino alla Detection e può mostrare anche processi e attività che se ne diramano. Passa su un processo per visualizzare i dati di base e la riga di comando, apri i pivot Live Discover proposti dal menu a tre punti sul processo o accanto a un valore in Info, quindi fai clic sul processo per consultare Info e Activities. Una Lineage creata automaticamente mostra già le attività per un processo coinvolto; in una Lineage generata manualmente, Enrich carica inizialmente tre giorni dall’avvio del processo e aggiunge altri tre giorni a ogni clic. L’inizio della timeline Enrich indica data e ora dell’Initial Detection. Le attività possono essere filtrate per tipo e azione ed espanse per mostrare i dati grezzi. L’icona a forma di occhio accanto a un processo correlato lo inserisce nel graph. La ricerca in alto a sinistra mostra i risultati in Info, Activities e Matching Results. Il pulsante di esportazione crea un CSV; se l’esportazione fallisce, seleziona prima un processo e riprova.

Il graph resta disponibile sette giorni. Può essere rigenerato finché i dati XDR Data Lake vengono conservati, periodo che Sophos descrive come tipicamente di 90 giorni. Non è una garanzia per ogni tenant. Un commento dell’IA sulla riga di comando, se disponibile, può offrire spunti, ma non sostituisce la verifica di percorso, processo padre, utente, orario e dati grezzi.

3. Analizzare un Threat Graph

Apri Threat Analysis Center > Threat Graphs e fai clic sul nome di un graph. L’elenco contiene gli ultimi 90 giorni e si filtra per Device, Status o Priority. La ricerca trova i graph per utente, dispositivo o nome della minaccia e le colonne possono essere ordinate. A seconda della vista, l’elenco mostra Status, ora di creazione, Priority, nome, amministratore che lo ha generato, utente, dispositivo e tipo di dispositivo. Con una licenza MDR, Sophos separa in schede i graph generati automaticamente, dagli amministratori Central e da MDR; attualmente Sophos descrive come inutilizzata la scheda dei graph generati da MDR. Senza MDR non c’è questa suddivisione.

Procedi nella pagina dei dettagli in questo ordine:

1. In Summary leggi Root cause, Possible data involved, dispositivo, utente e orario.
2. In Suggested next steps controlla la Priority assegnata automaticamente, ma modificabile, e lo Status impostato per impostazione predefinita su New. Dopo il passaggio a In progress, lo Status non può essere ripristinato su New. Se l’azione è disponibile, Scan the device avvia una scansione; il runbook Threat Cleanup descrive come verificarne il risultato.
3. Apri Analyze. Show full graph è la vista predefinita e mostra Root Cause, elemento rilevato, applicazioni, file e Registry Keys coinvolti e le loro relazioni. Show direct path riduce la visualizzazione al percorso diretto dalla Root Cause all’elemento rilevato.
4. Seleziona gli elementi rilevanti. Process details include reputazione globale, percorso, nome, riga di comando, Process ID, utente che ha eseguito il processo, SHA-256, inizio, fine e durata.
5. Se compare No current intelligence on this file, il file non è ancora stato inviato. Usa Request latest intelligence solo se il file può essere trasmesso a SophosLabs: Central chiede quindi al computer di caricarlo. La nuova valutazione, con reputazione e prevalenza, compare normalmente dopo alcuni minuti. La scala va dal rosso per i file dannosi noti al verde per quelli puliti noti; l’arancione può indicare semplicemente un file nuovo. Reputazione, prevalenza e caratteristiche di machine learning vengono valutate insieme a origine e comportamento.
6. Tramite la selezione dei tipi nel graph, mostra soltanto le categorie di artefatti necessarie in quel momento. Controlla quindi nell’Artifacts list almeno Name, Type, Reputation, Time logged e Interactions; facendo clic sul nome si aprono i dettagli. Se necessario, esporta l’elenco con Export to CSV. Graph record mostra la cronologia dalla creazione da parte di Sophos o di un amministratore e accetta commenti sui passaggi dell’indagine.
7. Se la telemetria centrale non basta, seleziona uno snapshot in Analyze > Create forensic snapshot, ma solo dopo aver chiarito posizione di archiviazione, accesso e metodo di analisi. Le opzioni di configurazione potrebbero non essere ancora disponibili in tutti i tenant. L’accesso locale richiede la password Tamper Protection e un prompt dei comandi con privilegi elevati. Il runbook su isolamento e Live Response descrive percorsi locali, caricamento su S3 e conversione.

Valutare l’intelligence avanzata sui file

Con XDR, Process details estende il set di dati di base con Report summary, Machine learning analysis, Code similarity, File properties e File breakdown. Prevalence, First seen e Last seen descrivono la diffusione presso SophosLabs, non la benignità nel tuo tenant. La vista di machine learning valuta, tra l’altro, import, stringhe sospette, compilatore, mitigazioni degli exploit, risorse, indicatori di packer, caratteristiche PEiD, indirizzi Bitcoin e costanti crittografiche sospette. Code similarity confronta il file con file noti puliti e dannosi.

In File properties sono riportati, ad esempio, prodotto, tipo, copyright, produttore, versione, dimensione e timestamp. File breakdown mostra le sezioni PE con dimensione su disco e in memoria, entropia e proprietà di lettura, scrittura ed esecuzione; gli import e gli export PE mostrano le DLL e le API usate e le funzioni fornite. Nessuna singola caratteristica prova la natura dannosa. Valuta la combinazione di firma, origine, catena di esecuzione, comportamento, prevalenza e corrispondenze e usa Search for item per verificare l’estensione prima di considerare Clean and block. Un amministratore autorizzato controlla i file bloccati in Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items.

Sophos crea automaticamente un Threat Graph quando rileva malware che richiede ulteriori indagini. Non vale per ogni messaggio di sicurezza. In particolare, le Detections ML PUA non creano un graph. Se una Detection non ha un graph, continua con dettagli, Raw Data e Lineage supportata senza considerare l’assenza come cessato allarme.

Un Threat Graph on-demand può essere creato solo dai risultati Live Discover in cui Central offre l’azione: apri Threat Analysis Center > Live Discover, seleziona una query supportata, scegli i dispositivi di destinazione per una query Endpoint o l’intervallo temporale per una query Data Lake, quindi eseguila. Le query Data Lake includono sempre tutti gli Endpoints. Nel risultato, apri il menu a tre punti accanto a Path e seleziona Actions > Generate a threat graph. Il graph appare quindi in Admin generated. La disponibilità dipende da query, licenza e ruolo. Sophos Endpoint Data Collection e Live Discover spiega le basi delle query.

4. Passare correttamente Case e risposta

Anche i Cases richiedono EDR, XDR o MDR. Quando più Detections sono correlate o richiedono un responsabile, selezionale in Threat Analysis Center > Detections. Actions > Add to Case le assegna a un Case esistente; il nome del Case appare quindi nella colonna Cases e in fondo al pannello dei dettagli della Detection. Actions > Create Case richiede nome, descrizione, Severity, Status (New o Investigating) e Assignee. Sophos usa Critical per una compromissione o un accesso non autorizzato confermati, High per indizi di un attacco mirato, Medium per attività che potrebbero non essere dannose di per sé, Low per risultati senza indizi di Health State negativo o compromissione e Info, in genere, per i primi controlli di integrità.

I Cases autogestiti possono avere in fase operativa lo Status Investigating, On Hold o Resolved; lo Status può essere modificato anche prima di assegnare un responsabile. I Cases gestiti da Sophos usano Investigating, Action required o Resolved; Action required richiede un’azione del cliente e invia una notifica ai contatti. L’intestazione della pagina dei dettagli mostra Severity, Status, responsabile e orari di creazione, assegnazione e modifica. Overview contiene riepilogo, tecniche MITRE, dispositivi, utenti e attività più recenti; Detections, Notebook e History separano risultati, note di indagine e modifiche. In un Case autogestito, Ask Sophos AI può supportare l’indagine; riepilogo e analisi delle righe di comando devono comunque essere confrontati con dati grezzi e timeline. Con MDR il riepilogo viene scritto dal team MDR; con XDR lo crea il cliente direttamente o tramite Sophos AI. Il cliente non può modificare autonomamente un Case MDR gestito da Sophos, ma può scambiare messaggi e allegati tramite Messages. I messaggi arrivano al team MDR e vengono inviati in copia anche ai contatti autorizzati.

Se l’elenco dei Cases rimane vuoto, attendi prima la creazione automatica e poi verifica che esistano effettivamente Detections. Per i prodotti Sophos, controlla il caricamento nel Data Lake; per le fonti di terze parti, verifica l’integrazione di data ingestion. La gestione vera e propria dei Cases esula da questo flusso ed è descritta in Gestire Sophos XDR Cases e Detection Rules. Sophos Support non indaga singole Detections; MDR è il servizio previsto per monitoraggio e risposta 24/7. Se si sospetta un’intrusione attiva, Sophos Rapid Response è il canale separato e a pagamento per l’assistenza immediata.

La risposta segue soltanto un riscontro fondato:

• Per un graph ad alta priorità e una licenza XDR, Suggested next steps > Isolate this device offre l’isolamento, a meno che il dispositivo non si sia già isolato automaticamente. Gestione Central e invio di file restano disponibili.
• Search for item usa XDR per trovare altre occorrenze. Se ne trova, la pagina dei risultati offre l’isolamento dei dispositivi coinvolti.
• Clean and block è un’azione XDR per un file confermato come dannoso. Rimuove il file, i file correlati e le Registry Keys dai dispositivi Windows in cui sono stati trovati e blocca il file su tutti i dispositivi Windows. Non è un test per una valutazione incerta.
• Un amministratore autorizzato gestisce più dispositivi isolati amministrativamente tramite l’icona Global Settings e Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. L’elenco non include i dispositivi auto-isolati per Health Status rosso.

Prima di rimuovere l’isolamento verifica altre occorrenze, persistenza, correzione e stato del dispositivo. Isolamento pratico e accesso controllato al terminale sono descritti in Isolare Sophos Endpoint e analizzarlo con Live Response. Per rimozione malware, messaggi exploit e falsi positivi consulta Threat Cleanup e rimozione malware di Sophos Endpoint.

Criteri di chiusura

Non chiudere un Threat Graph soltanto perché la reputazione sembra innocua. Registra almeno Root Cause, dispositivi e utenti coinvolti, SHA-256 rilevanti, ricerche dell’estensione, azioni eseguite e risultati. Verifica quindi che non siano visibili altre occorrenze, che i dispositivi attesi segnalino di nuovo un Health State plausibile e che i Cases necessari abbiano responsabile e Status tracciabile. Solo allora seleziona il graph nell’elenco e fai clic su Close.

Domande frequenti