Best practice Sophos Endpoint Threat Protection

La Threat Protection Policy è la policy Endpoint più importante in Sophos Central. Controlla non solo i classici malware scan, ma anche Behavior Detection, Exploit Mitigation, CryptoGuard, protezione Web, Event Journals e altre funzioni di Runtime Protection.

Il punto di partenza migliore sono le impostazioni consigliate da Sophos. Gli scostamenti devono rimanere ridotti, mirati e misurabili. Una Base Policy indebolita globalmente risolve forse incompatibilità a breve termine, ma amplia il punto cieco per tutti gli Endpoint.

Ambito e limiti di piattaforma

Questa pagina riguarda solo la Threat Protection Policy per i computer Endpoint. Per i server sono previste impostazioni diverse. Nella policy, Show filters > Operating System separa le opzioni Windows e Mac; un controllo visibile per una piattaforma non va quindi dato per disponibile sull’altra.

In My Products > Endpoint > Policies viene prima identificata la policy Threat Protection effettivamente applicata. Poi si risponde a quattro domande:

1. Quali piattaforme e Agent Mode ricevono la policy?
2. Le impostazioni corrispondono alle raccomandazioni Sophos attuali?
3. Esistono scostamenti documentati o vecchie esclusioni?
4. Event Journals e Threat Graphs sono disponibili per l’Investigation?

L’Account Health Check segnala gli scostamenti. Fix automatically applica i valori raccomandati a tutte le opzioni delle policy Endpoint Threat Protection interessate sui computer coinvolti; le modifiche sono poi visibili nell’Audit Log. Per valutare ogni modifica singolarmente, aprire la policy dall’avviso e correggere le impostazioni evidenziate in rosso.

Aree di protezione e raccomandazioni

L’elenco cresce con le versioni dell’agente. Usare i filtri Recommended e Not Recommended anziché uno screenshot datato. “Raccomandato” non significa che ogni interruttore sia attivo. La guida attuale della policy indica Prevent malicious network traffic with packet inspection (IPS) e Block QUIC browser connections come disattivati per impostazione predefinita. La pagina separata sul fix descrive invece Reset in generale come l’attivazione di tutte le impostazioni tranne Device Isolation e la decrittografia SSL/TLS. Dopo un Reset, controllare quindi gli interruttori effettivi e gli indicatori di raccomandazione senza dedurre lo stato risultante dalla parola “predefinito”.

Ripristinare i valori raccomandati

Nella Base Policy, Reset ripristina le raccomandazioni Sophos. Nelle altre policy si correggono le opzioni rosse e si seleziona Save. Prima di usare Fix automatically o Reset, registrare ambito, valori iniziali e scostamenti di compatibilità documentati, perché possono cambiare più aree di protezione insieme. Non usare la correzione automatica o il reset della Base Policy di produzione come pilota. Riprodurre prima manualmente i valori raccomandati previsti in una policy separata assegnata solo a dispositivi pilota rappresentativi. Dopo la convalida, applicare l’azione collettiva all’ambito previsto. In caso di problemi, ripristinare i valori registrati e ricontrollare policy, stato di integrità, eventi e flusso operativo interessato.

Protezione Real-time e Download

Real-time Scanning controlla i file all’accesso. Download Reputation valuta inoltre i file scaricati in base a origine e diffusione. La policy separa Action to take e Reputation level: Prompt User è l’azione predefinita documentata; Recommended blocca i file con bassa reputazione e Strict anche quelli con reputazione media. Strict può quindi interessare più download legittimi.

Strict va introdotto prima in un gruppo pilota. La decisione si basa su workflow ed events reali, non sul desiderio di usare l’impostazione più severa.

Sophos Live Protection interroga Sophos sulla reputazione attuale dei file sconosciuti. Deep Learning rileva file sospetti anche senza firme classiche. Entrambe restano nella baseline.

Limiti di Download Reputation

Download Reputation è una funzione Windows per file scaricati con Browser supportati. I download Firefox non vengono valutati tramite questo percorso. Sophos calcola la reputazione da Hash, diffusione, età e URL di origine; la Query completa riguarda soprattutto eseguibili o file riconosciuti come applicazioni.

La Query usa SXL4 su HTTPS. Scheduled Scan può inviare Hash e alimentare un Cache locale, ma non impone una decisione Download Reputation. Il Cache è limitato a 200 MB e poi rimuove le voci vecchie.

⚠️ Se Endpoint non raggiunge SXL e la Query va in Timeout, il download è consentito senza Reputation Prompt. Download Reputation non sostituisce File Scanning, Deep Learning o rete e Proxy funzionanti.

Per la diagnosi distinguere: azione Log only, disattivazione di Detect low-reputation files, oppure disattivazione di Live Protection e Query online. L’impatto varia. Usare solo una piccola Test Policy con orario di ripristino.

La Policy distingue supporti locali, di rete e rimovibili. Limitare Network Drives al bisogno, perché doppia scansione su Client e File Server riduce le prestazioni. Supporti rimovibili e nuovi download restano importanti vie d’ingresso.

Internet Scanning può controllare HTTP direttamente. Per HTTPS, la visibilità dipende da SNI e SSL/TLS Decryption. Un Test HTTP bloccato non prova lo stesso controllo su HTTPS.

Cleanup e SafeStore

Sophos può ripulire automaticamente il malware rilevato. In Windows la pulizia avviene indipendentemente dall’interruttore visibile. I file ripuliti finiscono in SafeStore e possono essere ripristinati tramite un processo controllato.

Il ripristino non è una normale funzione utente. Prima vengono verificati Detection Name, origine, hash, firma, esigenza aziendale e valutazione SophosLabs. La gestione dei False Positive è descritta in Sophos Endpoint Threat Cleanup e rimozione malware.

SafeStore ha limiti fissi: un file massimo 100 GB, complessivamente 200 GB o 2'000 file. Non è un Backup; i dati aziendali vengono salvati indipendentemente.

Event Journals e Threat Graphs

Enable event journals deve rimanere attivo. I journal forniscono dati di attività per Threat Graphs, Live Discover e Forensic Snapshots.

Se la funzione viene disattivata, mancheranno dati proprio per il periodo da investigare. Questo riduce visibilità e protezione. Anche una riattivazione successiva non ricostruisce la cronologia assente.

Enable Threat Graph creation aiuta a comprendere la catena di attacco intorno a una detection. Per i processi XDR e Incident Response fa parte della baseline.

In Windows, Sophos Data Recorder usa la sessione condivisa NT Kernel Logger. Se un altro strumento Trace segnala 0xb7 o “file already exists”, la sessione è occupata. Disattivare Enable Threat Graph creation libera il Logger ma arresta Threat Graph. Usarlo solo in una finestra diagnostica documentata e limitata, poi riattivare la Policy e verificare Telemetry.

Protezione ransomware

CryptoGuard protegge i documenti dalla cifratura non autorizzata. Deve rimanere attiva anche la protezione dal ransomware eseguito in remoto, perché un dispositivo compromesso può cifrare file su condivisioni di rete.

Altre opzioni proteggono da attacchi EFS e Master Boot Record. Dopo una detection ransomware, l’Investigation comprende dispositivo, utente, processo sorgente, condivisioni di rete e sistemi vicini, non soltanto il singolo file.

Runtime Protection ed Exploit Mitigation

Runtime Protection rileva comportamento sospetto, manipolazione dei processi e traffico dannoso. In base a piattaforma e versione comprende tra l’altro:

• protezione da Process Hollowing e DLL Injection;
• blocco di percorsi DLL non attendibili;
• protezione dal Credential Theft;
• protezione dei cookie MFA del browser;
• rilevamento di beacon dannosi;
• protezione dalla manipolazione ETW;
• monitoraggio di driver e system call abusati.

Questi interruttori non vengono disattivati singolarmente solo perché un’applicazione va in crash. Prima si associa l’event alla funzione concreta e si delimita il problema tramite pilota o eccezione di policy.

Le aree attuali includono anche AMSI Protection per script e contenuti in memoria, Intrusion Prevention per il traffico di rete dannoso, Driver Detection ed Event di protezione sui Domain Controller. Prevent malicious network traffic with packet inspection (IPS) è disattivato per impostazione predefinita e va quindi pilotato consapevolmente. Controlla il traffico di rete sul dispositivo Windows e non equivale all’IPS di un Network Firewall.

Block QUIC browser connections allontana i browser supportati da QUIC affinché possano applicarsi il controllo dei siti e la decrittografia SSL/TLS. Su Mac, la guida attuale rende questa opzione e la decrittografia SSL/TLS disponibili solo tramite un Early Access Program.

Adaptive Attack Protection

Adaptive Attack Protection rafforza automaticamente la protezione quando Sophos rileva un attacco attivo. Funzioni aggiuntive possono essere attivate in modo permanente, come protezione in Safe Mode, blocco di driver vulnerabili e logging avanzato dell’Audit Policy.

Con vecchi driver speciali o Security Tools amministrativi il pilota è particolarmente importante. L’incompatibilità viene gestita con un’eccezione strettamente limitata, non disattivando globalmente l’intera area.

Se Self Help segnala Anti-Ransomware e tutte le funzioni Exploit Mitigation disattivate dalla Policy, verificare la Threat Protection Policy effettiva. Valori Registry come KernelFeatures o NoCryptoGuard disattivati descrivono lo stato locale, ma non sono il punto di riparazione. Correggere la Policy in Central e verificare localmente dopo la sincronizzazione.

Rilevamenti Disrupt e Safe Mode

Un rilevamento con prefisso Disrupt_ indica che Adaptive Attack Protection ha interrotto un comportamento compatibile con attacco o Pentest. Prima di un’esclusione valutare dispositivo, utente, Detection, TTP Classification e test previsto. Se legittimo, autorizzare la Rule Instance specifica. Disattivare tutto è l’ultima opzione: impedisce regole Disrupt_*, mentre le TTP Classifications XDR restano.

Block safe mode abuse blocca l’attivazione programmatica sospetta di Safe Mode come Prevent_1a (T1562.009). Non pulisce Malware. Per la manutenzione, disattivare temporaneamente sul dispositivo con Override Sophos Central Policy, usare una Device Policy ristretta o avviare Safe Mode da Live Response autorizzato. L’Override scade dopo quattro ore, ma va terminato consapevolmente.

Non autorizzare permanentemente una Detection Prevent_1a, perché un attaccante può riutilizzare la tecnica. Controllare poi Policy, Tamper Protection e Health State.

Logging aggiuntivo per Windows Audit

Da Core Agent 2026.1, Enable additional audit policy logging è attivo per impostazione predefinita. Scrive nel Windows Security Event Log ulteriori eventi relativi, tra l’altro, ad accessi Kerberos, modifiche di account e gruppi, Logon, Scheduled Tasks, accessi al Credential Manager, installazioni di servizi e modifiche dell’Audit Policy.

Gli eventi sottostanti non possono essere configurati singolarmente. Su Domain Controller, Terminal Server e sistemi molto attivi, il Security Log può quindi crescere sensibilmente. Prima del rollout vanno controllati SIEM Ingestion, Retention, dimensione del registro eventi e Windows Audit GPO già applicate.

L’interruttore può essere disattivato, ma ciò riduce i dati disponibili per Detection e Threat Hunting. La disattivazione va quindi effettuata solo dopo aver misurato l’impatto e documentato il compromesso, non semplicemente perché vengono generati più eventi.

Decrittografia HTTPS

Decrypt websites using SSL/TLS consente l’ispezione dei contenuti Web cifrati. Non è attiva per impostazione predefinita e può rallentare la navigazione o disturbare applicazioni con Certificate Pinning.

Il percorso rapido è My Products > Endpoint > Policies > Threat Protection. Aprire la Policy pilota, attivare Decrypt websites using SSL/TLS in SSL/TLS decryption of HTTPS websites e selezionare Save.

La valutazione di Privacy e Compliance riguarda una scelta concreta sul trattamento dei dati: il traffico decrittografato può contenere informazioni personali che potrebbero essere registrate e risultare visibili agli amministratori autorizzati nei log. Prima dell’attivazione occorre definire finalità e base giuridica, gruppi di utenti interessati, categorie sensibili, accesso ai log e conservazione. Per impostazione predefinita Central esclude dalla decrittografia alcune categorie, tra cui servizi bancari e webmail; prima del rollout, confrontare queste esclusioni con i requisiti dell’organizzazione.

Avanet consiglia di attivare la decrittografia se la valutazione autorizza l’ispezione, se nessun altro servizio di sicurezza decrittografa già lo stesso traffico e se il pilota rimane stabile con i browser e le applicazioni aziendali importanti. In caso contrario, lasciarla disattivata e documentare la decisione. Limitare rigorosamente le esclusioni per Certificate Pinning o categorie e gestirne il ciclo di vita come descritto in Configurare in sicurezza le esclusioni Sophos Central Endpoint. Questo articolo descrive esclusivamente la Central Endpoint Policy.

Scheduled Scan

Uno Scheduled Scan settimanale può includere dati usati raramente. L’ora configurata è quella locale dell’Endpoint. Se il dispositivo è spento, attende il prossimo appuntamento pianificato.

Uno Scheduled Scan non sostituisce la protezione Real-time. L’opzione Background attuale è limitata a Windows. Una scansione pianificata mancata non viene recuperata un numero illimitato di volte; il comportamento esatto dell’opzione selezionata viene quindi verificato su un dispositivo pilota offline. Per i dispositivi mobili si sceglie una finestra in cui siano normalmente online senza gravare inutilmente sull’orario di lavoro principale.

Esclusioni

Le esclusioni di policy agiscono solo sulla propria popolazione e sono preferibili a quelle globali. Ogni esclusione riduce la protezione e deve essere quanto più specifica possibile.

Esclusioni ampie per unità, profili, Temp o processi sono particolarmente rischiose. Tipi, wildcard e controllo delle scadenze sono descritti in Configurare in sicurezza le esclusioni Sophos Central Endpoint.

Strumenti come WinDbg Time Travel Debugging non possono collegarsi a Processes protetti mentre Exploit Mitigation è attivo. Se necessario, concedere solo al Process analizzato un’esclusione temporanea Exploit Mitigation and Activity Monitoring in una Device Policy separata. Rimuovere poi la Policy e verificare di nuovo la protezione.

Pilota e verifica

Dopo una modifica, sui dispositivi pilota si verificano policy effettiva, Health State, nuovi events, processi aziendali importanti, performance, comportamento del browser e disponibilità di Threat Graph ed Event Journal.

Solo dopo si amplia gradualmente la popolazione. In caso di problemi si delimita l’ultima modifica, senza riportare l’intera policy a uno stato insicuro.

Usare solo metodi di test approvati dall’organizzazione. Come minimo, Central deve mostrare la policy prevista sul dispositivo pilota, l’Endpoint deve restare integro e raggiungibile e gli eventi e i flussi di lavoro interessati devono comportarsi come documentato. Questa verifica non sostituisce la procedura di scansione separata né un runbook di Incident Response.

Domande frequenti