Testare in sicurezza le funzioni di Sophos Endpoint
Un Endpoint installato e verde dimostra che l’Agent segnala uno stato generalmente sano. Tuttavia, non verifica i controlli specifici trattati qui: Download Reputation, scansione in tempo reale, le simulazioni Sophos di protezione comportamentale per Malicious Behavior, Adaptive Attack Protection e Critical Attack Warning, e la Web Control Policy prevista. Dopo un Rollout, una modifica della piattaforma o un cambiamento importante delle Policy, questi percorsi di test supportati devono essere verificati con artefatti innocui.
Il malware reale non deve essere usato per un test funzionale. Si utilizzano esclusivamente i Security Test Tools indicati da Sophos e il file standard EICAR. Il test viene eseguito su un dispositivo pilota autorizzato, non su un server di produzione o una condivisione comune.
Cosa dimostra un test completo
Ogni test viene verificato su più livelli:
- Si verifica l’azione di protezione locale prevista.
- L’utente riceve la notifica appropriata, se supportata dalla piattaforma.
- Central mostra un Event con dispositivo, utente, Policy e orario corretti.
- L’artefatto viene bloccato o rimosso e non rimane eseguibile.
- Health State e comunicazione risultano plausibili dopo il test.
Una singola rilevazione EICAR conferma solo il percorso di scansione testato. Non dimostra la protezione contro Exploit o Ransomware, né Web Control, DLP o telemetria XDR.
Scansione Real-Time e On-Demand con EICAR
EICAR è un file di test standardizzato e innocuo che i prodotti antivirus rilevano intenzionalmente come malware. Viene scaricato direttamente da eicar.org oppure creato come file locale secondo le istruzioni EICAR.
Per il test On-Access, il file viene salvato o copiato in una cartella di test locale. Per il test On-Demand, si avvia una scansione della cartella. Il risultato atteso è il blocco o la rimozione e un Event corrispondente in Central.
Il file non deve essere inviato via e-mail, copiato su una condivisione di rete produttiva o inserito in un sistema di Software Distribution. In caso contrario verrebbero testati altri livelli o sistemi di protezione anziché l’Endpoint previsto.
Download Reputation su Windows
Per eseguire il test innocuo della reputazione, aprire Endpoint Security e selezionare Low Reputation EXE, quindi seguire le istruzioni correnti. Scaricare il file nel browser, ma non eseguire l’EXE a meno che tali istruzioni non lo richiedano esplicitamente. Questa verifica funziona solo sugli Endpoint Windows. Il risultato atteso è un avviso Download Reputation o l’azione configurata nella Policy effettiva.
Se il test non provoca reazioni, verificare Agent Mode, Threat Protection Policy, percorso di Download del browser, Proxy, HTTPS Inspection e orario dell’Event. Un blocco del browser o del Proxy prima dell’Endpoint non costituisce un test Download Reputation riuscito.
Simulazioni Sophos della protezione comportamentale
In Endpoint Security, sophostest.com offre artefatti di test Sophos innocui. Utilizzare solo file e istruzioni attualmente pubblicati sul sito; non copiare script, payload o link diretti dai forum. Per Malicious Behavior il risultato esatto atteso è BehaveTest_2d. Nel test in due fasi Adaptive Attack Protection, l’endpoint entra prima visibilmente in modalità AAP, poi viene attivata una regola Disrupt_*. Il test Critical Attack Warning genera BehaveTest_2c; Sophos segnala che il relativo avviso in Central può comparire in ritardo.
I nomi di rilevamento Malicious Behavior seguono uno schema fisso: in Tactic_1a (T1234.123) il prefisso identifica la tattica MITRE e il numero T... la tecnica o sottotecnica più vicina; mem/family-a in Tactic_1a (T1234.123 mem/family-a) identifica una famiglia di malware rilevata in memoria. Disrupt_, Cleanup_ e Prevent_ indicano il blocco dell’attività dell’attaccante, la rimozione degli artefatti correlati e la prevenzione di interferenze con le funzioni di protezione. Prima dell’escalation, correlare tipo di Event, nome completo del rilevamento e ID MITRE con test, dispositivo e ora. Questa interpretazione non si applica alla funzione legacy Detect malicious behavior (HIPS).
Eseguire una simulazione alla volta sul dispositivo pilota e arrestarla al termine. Se manca l’evidenza prevista, non riprovare con strumenti di terze parti: verificare licenza, sistema operativo, componenti, policy Threat Protection effettiva, stato dell’agent e intervallo temporale in Central, quindi inoltrare a Sophos Support nome del test, ora e dispositivo.
Web Protection e Web Control
In Sophos Security Test Tools > Web Security & Control sono disponibili destinazioni innocue per test di Spyware, Malware e categorie. Prima del test stabilire quale livello deve bloccare l’accesso: Endpoint Web Control, DNS Protection, Protected Browser o una Network Firewall possono mostrare pagine di blocco diverse.
Il test comprende almeno un’azione Allow, Warn e Block e una chiamata HTTPS. Successivamente, l’Event Endpoint viene confrontato con la Policy effettiva. Una pagina di blocco senza un Event Endpoint corrispondente può provenire da un altro livello di protezione.
Testare le Control Policy con casi aziendali
Application Control, Peripheral Control e DLP non richiedono un file malware di test. Per ciascuna funzione si utilizza invece un caso aziendale controllato e consentito e uno non consentito:
- un’applicazione di test nota della categoria Application Control selezionata,
- un supporto USB o MTP approvato e uno non approvato,
- un file DLP sintetico con dati di test e il percorso di trasferimento realmente utilizzato.
I test verificano non solo il blocco, ma anche Event, notifica utente, eccezione e Rollback. Non si utilizzano dati reali dei clienti, credenziali o documenti produttivi riservati.
Documentare il risultato
La validazione del Rollout include data, dispositivo, sistema operativo, Agent Mode, versione dell’Agent, Policy effettive, fonte del test, risultato previsto e reale e relativi Central Events. Le differenze vengono corrette prima della fase successiva del Rollout.
Per il controllo continuo non si configura un flusso EICAR automatico permanente. Health, stato Update e Policy vengono monitorati costantemente; test funzionali completi vengono eseguiti dopo modifiche rilevanti e periodicamente su un dispositivo di test definito.
Pulizia ed escalation
Dopo ogni test, rimuovere dalla cartella di prova tutti i file, gli archivi e i dati DLP sintetici rimasti. Non ripristinare gli oggetti in quarantena; conservare prima come evidenza l’evento Central e la notifica locale. Revocare esclusioni e assegnazioni temporanee, aggiornare il dispositivo pilota e ricontrollarlo. Il test è accettato solo quando l’evento atteso indica dispositivo e ora corretti, l’artefatto non è più accessibile e stato e comunicazione sono tornati normali.
Se il dispositivo resta rosso, la pulizia non riesce o l’evento manca dopo un ragionevole intervallo di sincronizzazione, non disattivare la protezione e non continuare a ripetere il test. Isolare il dispositivo se si sospetta una compromissione; registrare ora, fuso orario, ID dispositivo, versione agent, policy, nome test e schermate, quindi inoltrare al team di sicurezza interno o a Sophos Support. Questo articolo definisce una procedura; non afferma che un test sia stato eseguito in uno specifico tenant.
Domande frequenti
EICAR dimostra che tutte le funzioni di protezione Sophos funzionano?
Il test può essere eseguito su un XDR Sensor?
Link di approfondimento
- EICAR: download del file di test antimalware — finalità, uso sicuro, varianti e indicazioni di pulizia.