Sophos MDR: configurare contatti e Threat Response

Sophos MDR richiede almeno un contatto autorizzato prima di poter configurare altre impostazioni MDR o utilizzare il servizio. Per l’operatività, Avanet consiglia almeno due contatti raggiungibili. Occorre poi decidere consapevolmente se il team MDR possa intervenire autonomamente o debba prima ottenere un’autorizzazione. Il solo contratto attivato non sostituisce questa preparazione.

In Sophos Fusion (in precedenza Sophos Central), l’icona Global Settings conduce a Products & Services > MDR: salvare prima Authorized Contacts, poi approvare e salvare Threat Response, quindi completare Additional Settings. Infine riaprire tutte e tre le schede e confrontarle con lo stato previsto approvato. Questa verifica non provoca né un attacco né un’azione di risposta.

Chiarire responsabilità e accesso prima della configurazione

Servono una licenza MDR attiva nell’account cliente corretto e un accesso amministrativo che consenta di modificare le impostazioni MDR. Dopo l’attivazione della licenza, Sophos Fusion può proporre la configurazione al primo accesso. Le impostazioni restano successivamente disponibili in Global Settings > Products & Services > MDR. Se mancano schede o opzioni di modifica, verificare account, licenza e autorizzazioni effettive; il ruolo di un contatto selezionabile non dimostra un ruolo minimo generale per tutte le modifiche alle impostazioni.

Prima di una modifica, registrare in un ticket di change ad accesso protetto i contatti attuali con ordine, numeri di telefono, opzioni di notifica, modalità di risposta e stato della casella Collaborate. Per una prima configurazione documentare invece lo stato previsto concordato. Le persone indicate devono sapere di dover rispondere alle richieste MDR e ottenere internamente una decisione, anche fuori dall’orario di ufficio.

1. Inserire e salvare Authorized Contacts

I contatti MDR sono il canale ufficiale di comunicazione tra il team MDR e l’organizzazione. Durante una minaccia attiva, Sophos tenta di raggiungere in sequenza i contatti configurati finché qualcuno risponde. È una configurazione distinta da Authorized Contacts in Managed Risk; i contatti salvati lì non sostituiscono la configurazione MDR.

1. Aprire l’icona Global Settings e selezionare Products & Services > MDR > Authorized Contacts.
2. In Primary, selezionare l’amministratore Sophos Fusion previsto. Sono ammessi Super Admin, Admin o Help Desk. Se manca un account adatto, Create new Central administrator ne permette la creazione. Assegnare i ruoli amministrativi in base al compito effettivo, senza concedere Super Admin per precauzione.
3. Inserire i recapiti. Verificare che il numero includa il prefisso internazionale; per numeri esistenti senza prefisso, la pagina può richiederne l’aggiunta. È essenziale che il responsabile sia realmente raggiungibile a quel numero.
4. Se necessario, selezionare Secondary e Tertiary e completarne i dati. Sono così possibili fino a tre contatti complessivi. Almeno Primary è obbligatorio; un secondo contatto copre le assenze. L’ordine deve corrispondere al processo interno di reperibilità.
5. Verificare consapevolmente le caselle di rinuncia a MDR reports e broadcast announcements. Riguardano queste e-mail e non sostituiscono un canale funzionante di comunicazione degli incidenti.
6. Selezionare Save. Uscire dalla scheda, riaprirla e rileggere selezione, ordine, numeri e stato delle rinunce salvati.

Avanet preferisce account chiaramente assegnati e una sostituzione organizzata. Sophos descrive anche account amministratore con un indirizzo di lista di distribuzione e consiglia Help Desk per i minori privilegi. Una lista da sola non dimostra però né reperibilità telefonica né responsabilità chiare; non si concedono privilegi aggiuntivi a un account solo per le notifiche.

2. Scegliere Threat Response consapevolmente

In Global Settings > Products & Services > MDR > Threat Response sono disponibili tre modalità per MDR e MDR Plus. La scelta definisce l’autorità; l’effettivo perimetro del servizio dipende anche dal servizio acquistato e dagli accessi tecnici disponibili.

• Authorize: Il team MDR può eseguire autonomamente misure di contenimento e informa successivamente delle azioni svolte. Secondo il perimetro attuale del servizio, la neutralizzazione completa rientra in MDR Plus. Le attività che Sophos non può eseguire restano all’organizzazione.
• Collaborate: Il team MDR indaga e concorda la risposta con i contatti. Prima delle azioni di risposta richiede un’autorizzazione verbale o scritta oppure la partecipazione attiva dell’organizzazione. Deve quindi essere reperibile una persona interna con potere decisionale.
• Notify Only: Il team MDR avvisa i contatti e può indagare solo in misura limitata. Non può né contenere né neutralizzare le minacce. Questa modalità non è un’alternativa equivalente a un processo di risposta operativo e non è consigliata per un uso prolungato.

Sophos consiglia Authorize o Collaborate. Prima di salvare, decidere con i responsabili degli incidenti quale opzione sia adatta: Sophos deve poter contenere subito una minaccia confermata oppure l’organizzazione può fornire in modo affidabile ogni autorizzazione necessaria?

La casella in Collaborate è una preautorizzazione aggiuntiva

In Collaborate si può consentire separatamente al team MDR di agire come in modalità Authorize se, dopo tentativi di contatto telefonico con tutti i contatti configurati, non arriva alcuna conferma. Senza questa casella resta necessaria l’autorizzazione prima delle azioni di risposta. Non esiste una quarta modalità di pari livello.

Registrare esplicitamente l’approvazione di questo fallback nel ticket di change. Selezionare soltanto Collaborate non indica se il fallback sia stato approvato. Non si deve nemmeno presumere un tempo di attesa fisso prima di un intervento.

Dopo la decisione, impostare la modalità desiderata e, se pertinente, la casella, quindi selezionare Save. Riaprire la scheda e confrontare separatamente entrambi i valori con lo stato approvato. Se non corrispondono, non presumere che la modifica sia riuscita: chiarire account, selezione salvata ed eventuali modifiche parallele.

3. Delimitare Live Response e i dispositivi sensibili

Con Authorize, Sophos richiede di attivare Live Response. Questo accesso permette al team MDR di lavorare sui dispositivi. Una modalità di risposta approvata non dimostra da sola né una policy dispositivo effettiva né un’integrazione di risposta configurata.

Prima dell’autorizzazione, riunire in un gruppo dedicato i computer o server sensibili ai quali MDR non deve accedere tramite Live Response. In My Products > Endpoint > Policies oppure My Products > Server > Policies, applicare a quel gruppo una policy Data Collection and Investigation con Live Response disattivato. Le policy per computer e server vanno trattate separatamente. Prima di salvare, verificare perimetro del gruppo e assegnazione precedente della policy, per non aprire o bloccare accidentalmente l’accesso all’intero parco.

Dopo la modifica, controllare l’assegnazione effettiva e l’impostazione Live Response sia su un dispositivo previsto sia su uno escluso. Non avviare alcuna sessione per questo controllo. Disattivare Live Response non è un’esclusione generale da MDR, da altre protezioni o da tutte le azioni di risposta: limita questo accesso ai dispositivi. L’eccezione può rendere più difficile indagine o bonifica e richiede quindi un referente locale responsabile. Isolamento e Live Response illustra i limiti dettagliati di policy, ruoli e accessi.

Preparare separatamente le azioni su prodotti di terze parti tramite le integrazioni MDR e XDR. L’acquisizione dei dati non concede automaticamente permessi di scrittura nel sistema sorgente. Anche l’azione locale del feed firewall Log only o Log and drop resta distinta dalla modalità di risposta MDR; per quella configurazione vale il runbook MDR Threat Feeds.

4. Verificare contesto dell’organizzazione e agenti

In Global Settings > Products & Services > MDR > Additional Settings, inserire l’Industry Vertical appropriato, la sede principale dell’organizzazione e le sottoreti realmente utilizzate. Questo contesto aiuta il team MDR a interpretare le attività. Inserire dati reali dell’inventario approvati internamente, non reti di esempio o intervalli generici estranei all’ambiente. Selezionare poi Save, riaprire la scheda e confrontare i valori salvati.

Per utilizzare MDR, ogni computer o server interessato necessita di un agente Sophos che supporti MDR. Configurare i contatti non installa alcun agente e da solo non fornisce telemetria. Se mancano dispositivi o lo stato degli agenti non è chiaro, proseguire l’inventario tramite il percorso di onboarding Endpoint. Non accettare la configurazione come completa finché dispositivi e fonti dati previsti restano da chiarire.

Collaudo senza attacco né test di risposta

Il collaudo riguarda la configurazione salvata e la reperibilità organizzativa, non una Detection generata artificialmente:

1. Riaprire Authorized Contacts, Threat Response e Additional Settings. Verificare i valori salvati rispetto al ticket approvato; per Collaborate includere esplicitamente la casella.
2. Verificare internamente con Primary e il sostituto numeri, prefissi internazionali, reperibilità e percorso di approvazione degli incidenti. Una chiamata interna di controllo concordata può verificare il numero registrato, ma non dimostra il percorso di chiamata da Sophos.
3. Con gli amministratori della posta, verificare che autentici messaggi MDR già presenti raggiungano i destinatari previsti e non finiscano nello spam o in quarantena. Senza questa evidenza, la consegna esterna delle e-mail MDR resta non verificata. Né un test interno né un contatto salvato la dimostrano. Senza mittenti attuali verificati, non autorizzare interi domini né disattivare l’ispezione della posta.
4. Controllare il parco agenti previsto, le policy Live Response effettive e le eccezioni documentate. Non avviare remote shell, isolamento o altre azioni in produzione per il collaudo.
5. Documentare responsabili, data della verifica e questioni ancora aperte su consegna o inventario. Le prove mancanti restano aperte e vengono chiarite con MDR o con gli amministratori della posta; non si sostituiscono con un incidente di test.

Nell’operatività successiva, le azioni richieste al cliente seguono i limiti di stato e responsabilità del singolo Case. Assignee e Managed By non sono termini intercambiabili. I flussi distinti per Classic e per gli attuali Cases MDR sono descritti in Cases e Detection Rules.

Se la configurazione non corrisponde allo stato previsto

• Le altre impostazioni MDR non sono ancora utilizzabili: Verificare prima che almeno Primary sia stato completato nell’account cliente corretto e salvato con Save. Non usare come sostituto l’omonima pagina Managed Risk.
• La persona desiderata non compare in Primary: Verificare l’account amministratore e il ruolo. Super Admin, Admin o Help Desk sono i ruoli documentati per i contatti; ruolo del contatto e permessi di modifica per altre funzioni restano separati.
• MDR non riesce a raggiungere nessuno: Verificare ordine, prefisso internazionale, sostituzione e reperibilità reale. Non dedurre una risposta automatica da Collaborate finché la casella aggiuntiva non è stata consapevolmente approvata e salvata.
• Manca un messaggio: Verificare assegnazione dei destinatari, quarantena e log di consegna esistenti. Concordare una specifica allowlist solo sulla base di mittenti MDR attuali e verificati, non di un indirizzo presunto.
• Live Response è ancora consentito su un dispositivo sensibile: Verificare la policy Endpoint o Server realmente assegnata e l’appartenenza al gruppo. Un’eccezione pianificata agisce solo quando la policy corretta si applica al dispositivo corretto.

In caso di contatto errato o modalità modificata accidentalmente, reinserire i valori precedenti documentati solo dopo aver consultato il responsabile degli incidenti, quindi salvarli e rileggerli. Ciò non annulla le azioni MDR già eseguite. Durante un incidente in corso, coordinare ogni modifica dell’autorità di risposta con il team MDR: ripristinare le impostazioni non è un rollback tecnico dell’incidente.