Best practice Sophos Endpoint Threat Protection
La Threat Protection Policy è la policy Endpoint più importante in Sophos Central. Controlla non solo i classici malware scan, ma anche Behavior Detection, Exploit Mitigation, CryptoGuard, protezione Web, Event Journals e altre funzioni di Runtime Protection.
Il punto di partenza migliore sono le impostazioni consigliate da Sophos. Gli scostamenti devono rimanere ridotti, mirati e misurabili. Una Base Policy indebolita globalmente risolve forse incompatibilità a breve termine, ma amplia il punto cieco per tutti gli Endpoint.
Baseline prima del fine tuning
In My Products > Endpoint > Policies > Threat Protection viene prima identificata la policy effettivamente applicata. Poi si risponde a quattro domande:
- Quali piattaforme e Agent Mode ricevono la policy?
- Le impostazioni corrispondono alle raccomandazioni Sophos attuali?
- Esistono scostamenti documentati o vecchie esclusioni?
- Event Journals e Threat Graphs sono disponibili per l’Investigation?
L’Account Health Check segnala scostamenti importanti dalle raccomandazioni. Un fix automatico è possibile, ma va verificato prima in un gruppo pilota.
Aree di protezione e raccomandazioni
| Area | Raccomandazione pratica |
|---|---|
| Real-time Scanning | lasciare attivo |
| Download Reputation | almeno Recommended |
| Cleanup automatico | lasciare attivo |
| Threat Graph creation | lasciare attivo |
| Event Journals | lasciare attivi |
| CryptoGuard | lasciare attivo |
| protezione da ransomware eseguito in remoto | lasciare attiva |
| Exploit Mitigation e Process Protection | lasciare attivi |
| Adaptive Attack Protection | lasciare attiva e aggiornata |
| Advanced Settings | mantenere i valori predefiniti |
L’elenco concreto cresce con le nuove versioni dell’agente. Per questo non si considera un vecchio screenshot come verità permanente, ma si confronta la policy attuale con le indicazioni Sophos.
Protezione Real-time e Download
Real-time Scanning controlla i file all’accesso. Download Reputation valuta inoltre i file scaricati in base a origine e diffusione. Recommended blocca automaticamente quelli con bassa reputazione. Strict blocca anche la reputazione media e può quindi interessare più download legittimi.
Strict va introdotto prima in un gruppo pilota. La decisione si basa su workflow ed events reali, non sul desiderio di usare l’impostazione più severa.
Sophos Live Protection interroga Sophos sulla reputazione attuale dei file sconosciuti. Deep Learning rileva file sospetti anche senza firme classiche. Entrambe restano nella baseline.
Limiti di Download Reputation
Download Reputation è una funzione Windows per file scaricati con Browser supportati. I download Firefox non vengono valutati tramite questo percorso. Sophos calcola la reputazione da Hash, diffusione, età e URL di origine; la Query completa riguarda soprattutto eseguibili o file riconosciuti come applicazioni.
La Query usa SXL4 su HTTPS. Scheduled Scan può inviare Hash e alimentare un Cache locale, ma non impone una decisione Download Reputation. Il Cache è limitato a 200 MB e poi rimuove le voci vecchie.
⚠️ Se Endpoint non raggiunge SXL e la Query va in Timeout, il download è consentito senza Reputation Prompt. Download Reputation non sostituisce File Scanning, Deep Learning o rete e Proxy funzionanti.
Per la diagnosi distinguere: azione Log only, disattivazione di Detect low-reputation files, oppure disattivazione di Live Protection e Query online. L’impatto varia. Usare solo una piccola Test Policy con orario di ripristino.
La Policy distingue supporti locali, di rete e rimovibili. Limitare Network Drives al bisogno, perché doppia scansione su Client e File Server riduce le prestazioni. Supporti rimovibili e nuovi download restano importanti vie d’ingresso.
Internet Scanning può controllare HTTP direttamente. Per HTTPS, la visibilità dipende da SNI e SSL/TLS Decryption. Un Test HTTP bloccato non prova lo stesso controllo su HTTPS.
Cleanup e SafeStore
Sophos può ripulire automaticamente il malware rilevato. In Windows la pulizia avviene indipendentemente dall’interruttore visibile. I file ripuliti finiscono in SafeStore e possono essere ripristinati tramite un processo controllato.
Il ripristino non è una normale funzione utente. Prima vengono verificati Detection Name, origine, hash, firma, esigenza aziendale e valutazione SophosLabs. La gestione dei False Positive è descritta in Sophos Endpoint Threat Cleanup e rimozione malware.
SafeStore ha limiti fissi: un file massimo 100 GB, complessivamente 200 GB o 2'000 file. Non è un Backup; i dati aziendali vengono salvati indipendentemente.
Event Journals e Threat Graphs
Enable event journals deve rimanere attivo. I journal forniscono dati di attività per Threat Graphs, Live Discover e Forensic Snapshots.
Se la funzione viene disattivata, mancheranno dati proprio per il periodo da investigare. Questo riduce visibilità e protezione. Anche una riattivazione successiva non ricostruisce la cronologia assente.
Enable Threat Graph creation aiuta a comprendere la catena di attacco intorno a una detection. Per i processi XDR e Incident Response fa parte della baseline.
In Windows, Sophos Data Recorder usa la sessione condivisa NT Kernel Logger. Se un altro strumento Trace segnala 0xb7 o “file already exists”, la sessione è occupata. Disattivare Enable Threat Graph creation libera il Logger ma arresta Threat Graph. Usarlo solo in una finestra diagnostica documentata e limitata, poi riattivare la Policy e verificare Telemetry.
Protezione ransomware
CryptoGuard protegge i documenti dalla cifratura non autorizzata. Deve rimanere attiva anche la protezione dal ransomware eseguito in remoto, perché un dispositivo compromesso può cifrare file su condivisioni di rete.
Altre opzioni proteggono da attacchi EFS e Master Boot Record. Dopo una detection ransomware, l’Investigation comprende dispositivo, utente, processo sorgente, condivisioni di rete e sistemi vicini, non soltanto il singolo file.
Runtime Protection ed Exploit Mitigation
Runtime Protection rileva comportamento sospetto, manipolazione dei processi e traffico dannoso. In base a piattaforma e versione comprende tra l’altro:
- protezione da Process Hollowing e DLL Injection;
- blocco di percorsi DLL non attendibili;
- protezione dal Credential Theft;
- protezione dei cookie MFA del browser;
- rilevamento di beacon dannosi;
- protezione dalla manipolazione ETW;
- monitoraggio di driver e system call abusati.
Questi interruttori non vengono disattivati singolarmente solo perché un’applicazione va in crash. Prima si associa l’event alla funzione concreta e si delimita il problema tramite pilota o eccezione di policy.
Le aree attuali includono anche AMSI Protection per script e contenuti in memoria, Intrusion Prevention per il traffico di rete dannoso, Driver Detection ed Event di protezione sui Domain Controller. IPS non è attivo per impostazione predefinita nella Endpoint Policy e va quindi pilotato consapevolmente. Controlla il traffico in entrata e in uscita sul dispositivo Windows e non equivale all’IPS di un Network Firewall.
Block QUIC browser connections allontana i browser supportati da QUIC, in modo che i controlli Web vedano il percorso previsto. Prima dell’attivazione vengono testati browser moderni, videoconferenze e applicazioni Web.
Adaptive Attack Protection
Adaptive Attack Protection rafforza automaticamente la protezione quando Sophos rileva un attacco attivo. Funzioni aggiuntive possono essere attivate in modo permanente, come protezione in Safe Mode, blocco di driver vulnerabili e logging avanzato dell’Audit Policy.
Con vecchi driver speciali o Security Tools amministrativi il pilota è particolarmente importante. L’incompatibilità viene gestita con un’eccezione strettamente limitata, non disattivando globalmente l’intera area.
Se Self Help segnala Anti-Ransomware e tutte le funzioni Exploit Mitigation disattivate dalla Policy, verificare la Threat Protection Policy effettiva. Valori Registry come KernelFeatures o NoCryptoGuard disattivati descrivono lo stato locale, ma non sono il punto di riparazione. Correggere la Policy in Central e verificare localmente dopo la sincronizzazione.
Rilevamenti Disrupt e Safe Mode
Un rilevamento con prefisso Disrupt_ indica che Adaptive Attack Protection ha interrotto un comportamento compatibile con attacco o Pentest. Prima di un’esclusione valutare dispositivo, utente, Detection, TTP Classification e test previsto. Se legittimo, autorizzare la Rule Instance specifica. Disattivare tutto è l’ultima opzione: impedisce regole Disrupt_*, mentre le TTP Classifications XDR restano.
Block safe mode abuse blocca l’attivazione programmatica sospetta di Safe Mode come Prevent_1a (T1562.009). Non pulisce Malware. Per la manutenzione, disattivare temporaneamente sul dispositivo con Override Sophos Central Policy, usare una Device Policy ristretta o avviare Safe Mode da Live Response autorizzato. L’Override scade dopo quattro ore, ma va terminato consapevolmente.
Non autorizzare permanentemente una Detection Prevent_1a, perché un attaccante può riutilizzare la tecnica. Controllare poi Policy, Tamper Protection e Health State.
Logging aggiuntivo per Windows Audit
Da Core Agent 2026.1, Enable additional audit policy logging è attivo per impostazione predefinita. Scrive nel Windows Security Event Log ulteriori eventi relativi, tra l’altro, ad accessi Kerberos, modifiche di account e gruppi, Logon, Scheduled Tasks, accessi al Credential Manager, installazioni di servizi e modifiche dell’Audit Policy.
Gli eventi sottostanti non possono essere configurati singolarmente. Su Domain Controller, Terminal Server e sistemi molto attivi, il Security Log può quindi crescere sensibilmente. Prima del rollout vanno controllati SIEM Ingestion, Retention, dimensione del registro eventi e Windows Audit GPO già applicate.
L’interruttore può essere disattivato, ma ciò riduce i dati disponibili per Detection e Threat Hunting. La disattivazione va quindi effettuata solo dopo aver misurato l’impatto e documentato il compromesso, non semplicemente perché vengono generati più eventi.
Decrittografia HTTPS
Decrypt websites using SSL/TLS consente l’ispezione dei contenuti Web cifrati. Non è attiva per impostazione predefinita e può rallentare la navigazione o disturbare applicazioni con Certificate Pinning.
Prima dell’introduzione sono necessarie una valutazione Privacy e Compliance, un gruppo pilota con browser e applicazioni importanti, la verifica delle categorie sensibili e un processo di esclusione documentato.
Più decrittografie sull’Endpoint e su altri servizi di sicurezza possono creare complessità inutile. Il punto di ispezione va scelto consapevolmente. Questo articolo descrive esclusivamente la Central Endpoint Policy.
Scheduled Scan
Uno Scheduled Scan settimanale può includere dati usati raramente. L’ora configurata è quella locale dell’Endpoint. Se il dispositivo è spento, attende il prossimo appuntamento pianificato.
Uno Scheduled Scan non sostituisce la protezione Real-time. L’opzione Background attuale è limitata a Windows. Una scansione pianificata mancata non viene recuperata un numero illimitato di volte; il comportamento esatto dell’opzione selezionata viene quindi verificato su un dispositivo pilota offline. Per i dispositivi mobili si sceglie una finestra in cui siano normalmente online senza gravare inutilmente sull’orario di lavoro principale.
Esclusioni
Le esclusioni di policy agiscono solo sulla propria popolazione e sono preferibili a quelle globali. Ogni esclusione riduce la protezione e deve essere quanto più specifica possibile.
Esclusioni ampie per unità, profili, Temp o processi sono particolarmente rischiose. Tipi, wildcard e controllo delle scadenze sono descritti in Configurare in sicurezza le esclusioni Sophos Central Endpoint.
Strumenti come WinDbg Time Travel Debugging non possono collegarsi a Processes protetti mentre Exploit Mitigation è attivo. Se necessario, concedere solo al Process analizzato un’esclusione temporanea Exploit Mitigation and Activity Monitoring in una Device Policy separata. Rimuovere poi la Policy e verificare di nuovo la protezione.
Pilota e verifica
Dopo una modifica, sui dispositivi pilota si verificano policy effettiva, Health State, nuovi events, processi aziendali importanti, performance, comportamento del browser e disponibilità di Threat Graph ed Event Journal.
Solo dopo si amplia gradualmente la popolazione. In caso di problemi si delimita l’ultima modifica, senza riportare l’intera policy a uno stato insicuro.
La validazione comprende Test File, Web Download controllato, supporto rimovibile, percorso di rete e un processo legittimo con rischio Exploit elevato. Così si verifica l’intera catena di protezione.