Bloccare indirizzi IP compromessi con Sophos Endpoint

Sophos Fusion può impedire ai dispositivi Windows e Linux gestiti di comunicare con indirizzi IPv4/IPv6 interni o esterni e intervalli CIDR specificati. Con Block compromised IP addresses, l’amministratore specifica gli indirizzi da bloccare. Verificare quindi gli indicatori prima di salvare: il nome della funzione da solo non conferma una compromissione. Questa funzione non supporta macOS.

Scegliere prima il punto di controllo corretto

Usare questo elenco quando gli endpoint Windows e Linux gestiti non devono più comunicare con un indicatore IP confermato. Per le attività seguenti è più adatto un altro controllo:

• Un singolo endpoint sospetto: isolare il dispositivo e analizzare l’incidente. L’elenco IP non sostituisce containment e remediation. Consultare Isolare Sophos Endpoint e investigare con Live Response.
• Tutti i sistemi dietro un gateway, inclusi quelli non gestiti: bloccare l’IP su Sophos Firewall o sul gateway di rete responsabile. L’elenco Central protegge solo gli endpoint gestiti supportati.
• Un host su switch Sophos o access point AP6: usare Active Threat Response. Questa funzione gestisce host isolati o indirizzi MAC e non è questo elenco di destinazioni IP.
• Un’azione MDR/XDR o un Threat Feed: si tratta di un workflow di risposta separato. Per l’elenco manuale Sophos richiede un ruolo di amministratore Central, ma le istruzioni non richiedono un passaggio XDR.

Valutare l’impatto prima di salvare

Bloccare un indirizzo solo dopo aver verificato fonte, periodo di osservazione e connessioni coinvolte. Con hosting condiviso, CDN, NAT o servizi cloud, un solo IP può servire molti servizi legittimi. Un blocco CIDR ampio aumenta il possibile impatto.

Server, servizi DNS e di identità, sistemi di gestione, Update Cache e Message Relay sono particolarmente critici. Il modulo Central non documenta selettori per porta, protocollo, applicazione o eccezioni allow nella singola voce. Preferire un IP esatto a una rete, assegnare un responsabile e impostare una scadenza per gli indicatori temporanei.

Bloccare un indirizzo IP in Sophos Fusion

È necessario un ruolo di amministratore Sophos Fusion. Secondo Sophos, gli utenti Help Desk non possono usare questa funzione.

1. Aprire l’icona Global Settings.
2. Accedere a Protection and Remediation > Allow and Block > Network > Block compromised IP addresses.
3. Attivare Block communications with specified IP addresses.
4. Fare clic su Add e inserire un indirizzo IPv4, IPv6 o un intervallo CIDR in Address.
5. In Expiry, scegliere la durata. Il valore predefinito è 7 days; sono disponibili anche 30 days e No expiry.
6. In Comment, registrare almeno fonte dell’IOC, ticket, responsabile e finalità. Il campo è facoltativo, ma rende molto più sicura la revisione successiva.
7. Fare clic su Confirm. Aggiungere singolarmente altre voci, se necessario.
8. Fare clic su Save in alto a destra. Questo ultimo passaggio salva l’elenco globale.

L’interfaccia supporta fino a 500 indirizzi o intervalli, aggiunti singolarmente. Per operazioni di risposta più ampie, Sophos rimanda all’Endpoint API. L’operazione POST /settings/blocked-addresses/bulk richiede l’header X-Tenant-ID e accetta fino a 100 indirizzi o intervalli contemporaneamente; ogni elemento può includere un commento e un valore expireInDays da 1 a 365. Eseguire l’autenticazione verso l’Endpoint API regionale del tenant come documentato da Sophos, senza applicare il requisito di ruolo dell’interfaccia a un client API.

La documentazione Sophos attuale presenta un’importante discrepanza di piattaforma: la pagina della funzione Central indica Windows e Linux, mentre la descrizione dell’operazione bulk dell’Endpoint API afferma che l’operazione è disponibile solo sui dispositivi Windows. Confermare con Sophos il comportamento richiesto su Linux prima di affidarsi all’automazione API. Conservare i payload in un workflow testato; non aggirare il limite dell’interfaccia con script non verificati.

Raccomandazione operativa: per un IOC temporaneo iniziare con 7 days. Riservare No expiry a infrastrutture vietate in modo permanente e riesaminarle regolarmente. La scadenza non sostituisce la documentazione dell’incidente.

Verificare globalmente e annullare in sicurezza

Poiché non esiste un ambito di gruppo, l’IOC reale non può essere attivato in sicurezza su un solo dispositivo pilota. Verificare invece il meccanismo in anticipo con l’IP esatto di una destinazione di test dedicata e non critica:

1. Da un dispositivo di test Windows o Linux gestito, confermare che la destinazione sia raggiungibile prima della modifica.
2. Aggiungere solo l’IP di test con 7 days e un commento inequivocabile, quindi fare clic su Save.
3. Dopo la successiva comunicazione riuscita dell’endpoint con Central, ripetere lo stesso accesso. Il dispositivo gestito non dovrebbe più comunicare con la destinazione.
4. Provare da un dispositivo di controllo non gestito. La connessione dovrebbe continuare a funzionare, distinguendo così l’azione dell’endpoint da un guasto della destinazione o da una regola firewall.
5. Selezionare la voce di test, fare clic su Delete e poi su Save. Confermare che il dispositivo gestito possa connettersi di nuovo.

Per l’IOC reale, identificare applicazioni e connessioni aziendali interessate prima di salvare. Informare service desk e responsabile dell’incidente durante il rollout e predisporre la rimozione immediata.

Risolvere i problemi in base al sintomo

La connessione continua a funzionare

• Confermare che Block communications with specified IP addresses sia attivo e che sia stato selezionato Save dopo Confirm.
• Verificare che il dispositivo usi Windows o Linux. macOS non è supportato.
• Verificare che l’endpoint raggiunga Sophos Fusion e possa ricevere le modifiche correnti.
• Risolvere o controllare la destinazione effettivamente usata dall’applicazione. Un hostname può restituire più indirizzi IPv4 e IPv6; questo elenco blocca indirizzi IP, non nomi di dominio.
• Controllare indirizzo, famiglia IP e prefisso CIDR. Non ampliare subito l’intervallo di rete.

Nella pagina della funzione Sophos non pubblica un tempo di propagazione fisso, un evento dedicato o una release minima dell’agent. Se l’accesso continua nonostante un elenco corretto e una comunicazione Central funzionante, raccogliere ora, endpoint, IP di destinazione e metodo di test e rivolgersi a Sophos Support.

Un servizio legittimo smette di funzionare

Selezionare la voce specifica, fare clic su Delete e su Save. Verificare il ripristino dall’endpoint gestito interessato. Non lasciare disattivata l’intera funzione: confrontare IOC e IP di destinazione con risoluzione DNS, hosting condiviso, CDN e dipendenze del servizio, quindi applicare un blocco più ristretto o usare il punto di controllo più appropriato.

Un blocco IP non chiude un incidente attivo. Continuare a isolare i dispositivi interessati e analizzare processi, persistenza, credenziali e altre destinazioni.

Domande frequenti