Gestire Sophos XDR Cases e Detection Rules

Sophos XDR raccoglie Detections ed entità interessate in casi investigabili. Un Case non è un incidente risolto automaticamente, ma l’area di lavoro comune per evidenze, responsabilità e Response.

Le procedure esistenti di questo articolo descrivono la gestione di Cases e Detection Rules in Threat Analysis Center, la Classic view di Security Operations ancora disponibile. La sezione separata su Security Operations spiega gli attuali limiti di responsabilità e stato MDR. Prima di una modifica, verificare quale vista utilizza il tenant. Security Operations offre anche Cases, Detections e Detectors; ciò non dimostra che vi si applichino gli stessi valori di stato, ruoli, termini di eliminazione o regole di soppressione. In particolare, Detectors non viene equiparato alle Detection Rules di Classic descritte sotto.

In Classic, i Cases richiedono EDR, XDR o MDR. Sophos crea automaticamente un Case per una High Risk Detection, purché nello stesso giorno non si trovi già in un Case adatto. Detections successive dello stesso tipo possono essere aggiunte.

Un Case Sophos-managed basato su MDR Detections viene analizzato dal team MDR. Un Case Self-managed basato su XDR Detections resta sotto la responsabilità del cliente e viene assegnato a un amministratore. Sophos lo crea, ma non lo analizza automaticamente.

Questo limite di responsabilità vale anche per i segnali NDR e per le detection di test NDR autorizzate: l’origine NDR non trasferisce automaticamente un case XDR Self-managed a Sophos MDR. L’amministratore del cliente ne resta l’Owner fino alla chiusura secondo la propria procedura. Solo un case basato su MDR Detections e indicato come Sophos-managed è di competenza del team MDR. Il runbook per la detection di test NDR spiega come correlare e ripulire in modo univoco una detection di test.

Detection, Alert e Case in Classic

Più Detections possono appartenere alla stessa catena di attacco. Viceversa, una singola Detection anomala può già giustificare un’indagine.

Nei Cases Self-managed, New, Investigating, On Hold e Resolved formano il flusso completo degli stati: appena creato, in fase di indagine attiva, temporaneamente sospeso o chiuso. I Cases Sophos-managed usano invece Investigating, Action required e Resolved. Action required indica che il cliente deve intervenire; Sophos avvisa i contatti configurati.

Gestire un Case in Classic

Iniziare da Threat Analysis Center > Cases. Aprire un Case Self-managed generato automaticamente tramite il relativo Case ID. In Overview, usare il menu accanto al nome del Case per impostare la gravità. Cambiare quindi lo stato da New a Investigating e scegliere l’amministratore responsabile in Owner. Se manca, aggiungerlo con Add user. L’Owner può essere assegnato anche in seguito.

Esistono due modi documentati ufficialmente per creare manualmente un Case Self-managed:

• In Threat Analysis Center > Cases > Create case > Self-managed case, inserire nome e descrizione, scegliere Severity, stato New e facoltativamente un Assignee, quindi salvare con Create. In Threat Analysis Center > Detections, selezionare poi le corrispondenze e usare Actions > Add to Case.
• In alternativa, selezionare prima le corrispondenze in Threat Analysis Center > Detections e scegliere Actions > Create Case. Aggiungere Detections successive con Actions > Add to Case.

I Cases creati manualmente possono contenere solo Sophos XDR Detections, non MDR o Managed Risk Detections. Sophos raccomanda di usare nel nome del Case solo caratteri alfanumerici, spazi e punteggiatura di base, perché le API possono interpretare i caratteri speciali come sintassi.

Per l’indagine vera e propria:

1. Leggere riepilogo, gravità e timeline.
2. Verificare dispositivi, utenti, processi, IP e file interessati.
3. Inquadrare tecniche MITRE ATT&CK e origine della Detection.
4. Utilizzare Threat Graph, Live Discover e gli Enrichment disponibili.
5. Documentare il contenimento, come isolamento o Live Response.
6. Registrare causa, portata e decisione di chiusura.

Per un Case Self-managed, conservare le note dell’indagine nella scheda Notebook. In questo modo, il percorso delle evidenze e delle decisioni rimane direttamente associato al Case.

I riepiloghi generati dall’AI possono accelerare il triage, ma vengono verificati con i dati grezzi e la timeline.

Detection Rules

Le regole seguenti si applicano alla vista Classic in Threat Analysis Center > Detection rules, non a Security Operations in generale. Le Detection Rules possono attualmente soltanto sopprimere Detections indesiderate e richiedono un Super Admin. Una regola impedisce che una Detection corrispondente compaia nell’elenco delle Detections e generi un Self-managed XDR Case. Non può sopprimere MDR Cases.

Creare una regola da una Detection esistente: Threat Analysis Center > Detections, menu con tre puntini accanto al nome, quindi Add detection rule. In Rule Details, inserire nome e descrizione; la regola è abilitata per impostazione predefinita. Suppress è attualmente l’unica opzione in Actions. In Conditions, selezionare le caratteristiche della corrispondenza esistente che devono attivare la regola, quindi fare clic su Save. Sono possibili al massimo 25 Detection Rules per tenant.

Prima di salvare la regola, abilitata per impostazione predefinita, documentarne nome, scopo, origine dati, frequenza prevista, Owner e data di revisione. Le condizioni devono identificare soltanto il trigger legittimo confermato, non semplicemente una gravità o una caratteristica di processo troppo ampia.

Una nuova regola può richiedere fino a 20 minuti e si applica soltanto alle Detections generate dopo la sua creazione. Le condizioni sono case-sensitive: Windows e windows possono essere trattati diversamente.

Gestire le regole esistenti in Threat Analysis Center > Detection rules. Una regola può essere attivata, disattivata, duplicata o eliminata, ma non modificata direttamente. Per cambiarla, duplicarla e adattare la copia dal menu con tre puntini, quindi disattivare o rimuovere l’originale dopo una sostituzione controllata.

Controllare la soppressione

La soppressione riduce i risultati noti e attesi. Non è una pulizia e non deve rendere invisibile un’attività reale. Ogni soppressione richiede:

• una condizione precisa invece di pattern ampi,
• un trigger legittimo documentato,
• Owner e data di revisione,
• verifica delle Detections già soppresse.

Una console tranquilla non è un indicatore di qualità se le regole sopprimono un ambito troppo ampio.

Per verificare il risultato, aprire Threat Analysis Center > Detections > Show filters. In Detection Visibility, deselezionare Hide Suppressed Detections e fare clic su Apply. In questo modo si vede ciò che la regola intercetta davvero. Poiché le regole non sono retroattive, questa vista è una base migliore per la revisione successiva rispetto al semplice calo delle corrispondenze visibili.

Security Operations: Cases e responsabilità MDR

Questa sezione riguarda Security Operations, non gli stati e le regole Classic precedenti. In Security Operations > Cases, facendo clic sul nome del Case si apre prima il riepilogo. L’icona New Tab conduce alla pagina completa dei dettagli con Overview, Evidence, Response, History ed Enrichment. I commenti si possono leggere nel riepilogo, ma aggiungere solo nella pagina completa.

Decidere Managed By prima della conferma

Negli attuali Cases MDR, Managed By stabilisce chi gestisce il Case: Self indica responsabilità del cliente; Sophos MDR indica gestione da parte del team MDR. Assignee identifica invece l’utente o il gruppo per l’azione successiva. Cambiare Assignee non trasferisce la responsabilità del Case.

Nella pagina completa, selezionare la responsabilità proposta in Manage Case > Managed By e confermare solo dopo la verifica precedente. Controllare poi il valore visualizzato. Self è selezionabile solo per i tipi di Case MDR Investigation e Other; Threat Hunt, Health Check e Incident sono Sophos-managed. Un Incident non viene creato dal cliente. Nella creazione manuale, Managed By si definisce già durante la creazione. Per i Cases generati automaticamente dalle regole Sophos va impostato prima di usare i controlli Manage Case. Per i Cases da regole del cliente è automaticamente Self.

Un Case Self-managed viene analizzato dal proprio team; modifiche disponibili, azioni di risposta e divisione/unione dei casi dipendono anche da tipo e permessi. Nei Cases Sophos-managed è possibile leggere dettagli, commentare, assegnare a Sophos e chiudere se è disponibile l’azione di chiusura. Ciò non autorizza a cambiare liberamente stato, modificare Key Findings, aggiungere altri eventi o Detections come evidenze, dividere o unire il Case.

Stati MDR attuali e azioni del cliente

Gli attuali Cases MDR usano, secondo il tipo, New, In Progress, Customer Action Required, Awaiting Sophos Assignment e Closed. Questi valori non sono equiparati né agli stati Classic né agli stati XDR generali Open, Active, Awaiting Action, Suspended e Closed. Awaiting Sophos Assignment indica che è in attesa l’assegnazione interna al team MDR; Customer Action Required richiede invece un’azione dell’organizzazione.

Quando il team MDR imposta un Case Sophos-managed su Customer Action Required, inizia il conteggio dell’inattività. Senza azioni del cliente, arriva un promemoria e-mail ogni 24 ore; dopo cinque giorni di inattività il Case viene chiuso automaticamente. Un commento, un’azione di risposta, un cambio di Assignee o un nuovo link o allegato azzera il contatore. Ciò non sostituisce il lavoro sostanziale richiesto: chiarire le domande con il team MDR invece di mantenere il contatore attivo con modifiche puramente formali. Non eseguire mai azioni di risposta solo per azzerarlo.

Nella pagina completa, l’icona dei commenti a destra apre Comments. Inserire le informazioni necessarie in Comment e salvare con Save. @sophos avvisa il team MDR. Dopo il salvataggio verificare che il commento sia nel Case corretto. Configurare contatti MDR e autorità di risposta prima di un incidente, non soltanto dopo la prima richiesta persa.

La chiusura risolve anche le Detections associate e le etichetta secondo il verdetto scelto. Per MDR sono disponibili True Positive – Benign, True Positive – Malicious, Inconclusive e False Positive; per Inconclusive l’etichetta della Detection è Not Actionable. Un Case chiuso non è una prova tecnica di bonifica. Prima di chiudere verificare esito dell’indagine e attività del cliente ancora aperte.

Entro 30 giorni dalla chiusura, un Case MDR Sophos-managed può essere riaperto tramite un commento con @sophos; per un Case customer-managed si modifica lo stato Closed. Dopo questi 30 giorni serve un nuovo Case. Questo limite di riapertura non indica eliminazione o conservazione degli attuali Cases MDR; i termini Classic citati sopra o sotto restano limitati a Classic.

Rules invece della sola soppressione di Classic

In Security Operations > Rules esistono due tipi distinti di Customization Rules: le Custom detection rules generano nuove Detections da eventi normalizzati mediante una query di ricerca avanzata. Le Detection suppression rules risolvono le Detections corrispondenti come soppresse al momento della creazione, così che non compaiano nell’elenco per impostazione predefinita. Detectors non è la stessa area di gestione di queste regole.

I Cases generati automaticamente dalle regole del cliente sono customer-managed e non avviano un’indagine MDR automatica. I limiti Classic di 25 regole, obbligo Super Admin, attesa di 20 minuti e duplicazione anziché modifica non si trasferiscono alla nuova interfaccia. Questa sezione spiega le distinzioni, non una procedura completa di creazione di regole personalizzate. Prima di una soppressione occorre comunque confermare la causa legittima e valutare la perdita di visibilità.

Chiusura e insegnamenti tratti in Classic

Un Case viene chiuso quando portata, causa, contenimento, pulizia e ripristino sono documentati. In seguito vengono adeguati Detection Rules, Policies, eccezioni e runbook se l’indagine ha evidenziato una lacuna.

Un Case Self-managed si chiude impostando lo stato Resolved. Rimane nell’elenco per 30 giorni e viene poi eliminato da Sophos. Partner Super Admin ed Enterprise Super Admin non possono chiudere o rimuovere Case; questo limite di ruolo va considerato prima di assegnare l’Owner.

La telemetria e il lavoro con le query sottostanti sono descritti in Sophos XDR Data Collection e Live Discover.

Domande frequenti

Il flusso attuale completo in Security Operations > Rules è spiegato in Gestire Custom Detection e Suppression Rules. Condizioni di streaming, circuit breaker, limiti dell’anteprima e ripristino sono trattati separatamente dalle regole Classic conservate qui.