Usare correttamente Sophos Central Account Health Check
L’Account Health Check mostra se Sophos Central trova nel tenant le funzioni di protezione, le modalità dei dispositivi e le impostazioni di sicurezza consigliate. È uno strumento operativo utile, ma non è un penetration test, un certificato di compliance o una valutazione completa dei rischi.
Il percorso attuale è My Environment > Account Health Check. I controlli disponibili dipendono da licenze e prodotti gestiti.
Cosa significa davvero il punteggio
Central mostra un punteggio complessivo, punteggi per area di sicurezza e singoli controlli, tutti da 0 a 100. L’Overall Health Score corrisponde al valore singolo più basso, non alla media.
Il calcolo dipende dal controllo, per esempio:
- percentuale di Endpoint o Server nella modalità Agent corretta,
- percentuale di dispositivi con Tamper Protection attiva,
- funzione di protezione globale attiva o disattiva,
- percentuale di Firewall gestite centralmente nel piano di backup,
- stato di policy ed esclusioni rispetto alle raccomandazioni Sophos.
Un valore 100 significa che questo specifico controllo Sophos non ha rilevato scostamenti. Non vengono verificati, tra l’altro, regole Firewall proprie, rischi di identità fuori dalla visibilità Sophos, test di ripristino backup o necessità operativa di un’esclusione.
Comprendere le formule
Il punteggio complessivo è sempre il più basso di tutti i controlli attivi. Anche in ogni area Central usa il più basso dei singoli controlli associati. Una media eccellente non può quindi nascondere una protezione debole.
| Health Check | Calcolo |
|---|---|
| Endpoint o Server agent mode | percentuale di dispositivi nella corretta modalità Agent e quindi con tutto il software concesso in licenza. 900 dispositivi corretti su 1.000 danno 90 punti. |
| Endpoint o Server tamper protection | percentuale di dispositivi con Tamper Protection attiva localmente. Global tamper protection vale 100 se attiva, altrimenti 0. Se l’impostazione globale è disattivata, anche i controlli Endpoint e Server scendono a 0. |
| Threat Protection Policies | Central sottrae 10 punti dalla policy per ogni impostazione non consigliata. Con più policy dello stesso tipo calcola la media. Le opzioni senza raccomandazione non vengono valutate. |
| Policy Exclusions e Global Exclusions | vengono sottratti 20 punti per ogni esclusione considerata non sicura da Sophos. Con più policy Central calcola la media. Il controllo cerca solo schemi particolarmente rischiosi e non valuta ogni esclusione inutile. |
| MDR authorized contact | contatto presente vale 100, assente 0. Central non ne verifica la reale raggiungibilità. |
| Protection improvement | con una condivisione consigliata disattiva restano 60 punti, con due 30, con tutte e tre 0. |
| Automatic firewall backups | Never vale 0. Con piano giornaliero, settimanale o mensile, il punteggio è la percentuale di Firewall pertinenti incluse. Due su tre danno 66 punti, tutte 100. |
Un trattino al posto del punteggio indica che Central non può attualmente calcolarlo o mostrarlo. Non va interpretato come 100 o «non applicabile».
Filtrare i dati Health Check per prodotto
Il filtro prodotto modifica punteggio complessivo, punteggi singoli e problemi mostrati. È disponibile solo con MDR Plus e almeno una Firewall gestita.
- All health checks mostra tutte le aree disponibili.
- MDR breach protection warranty mostra le aree rilevanti per la garanzia, ma omette Firewall e gli avvisi sui backup automatici Firewall.
- Network limita la vista al Firewall Health Score e agli avvisi sui backup automatici.
Un punteggio filtrato va sempre documentato insieme al filtro attivo. Altrimenti due screenshot dello stesso tenant possono mostrare valori diversi senza alcuna modifica tecnica.
Dare priorità agli scostamenti
L’ordine segue impatto e ampiezza possibili:
- Funzioni di protezione globali disattivate, come Tamper Protection.
- Protezione mancante o errata su molti dispositivi.
- Esclusioni globali o di policy non sicure.
- Agent Mode non protette o con licenza errata.
- Backup Firewall mancanti e igiene operativa.
Un punteggio basso dovuto a un’impostazione globale disattivata è più urgente di un piccolo gruppo di sistemi esclusi in modo giustificato. Un’esclusione apparentemente innocua non va però ignorata automaticamente se autorizza un intero percorso o processo.
Auto-Fix solo dopo il controllo del change
Per i controlli supportati Central offre Fix automatically, che applica le raccomandazioni Sophos a tutti i dispositivi o impostazioni interessati. Può essere utile, ma modifica policy produttive e impostazioni globali.
L’intervento dipende dal controllo. Per Endpoint Threat Protection e Server Threat Protection, Central imposta ai valori consigliati tutte le opzioni valutate in tutte le policy interessate. Per Endpoint Agent Mode e Server Agent Mode installa l’intero software concesso in licenza su tutti i computer o server interessati. Per Global Exclusions rimuove le esclusioni globali riconosciute come non sicure. Per Policy Exclusions le elimina da tutte le policy Endpoint e Server interessate. In ogni caso si seleziona Fix automatically nell’avviso e si conferma di nuovo; le azioni sono poi visibili nell’Audit Log.
Prima dell’Auto-Fix si verifica:
- quali oggetti e dispositivi sono interessati,
- quale impostazione viene modificata concretamente,
- se esistono sistemi medicali, produzione, VDI o altre eccezioni sensibili,
- finestra di manutenzione e responsabile tecnico,
- test funzionale dopo la modifica,
- procedura di ripristino documentata.
Dopo l’Auto-Fix non basta attendere 100. L’Audit Log deve mostrare le modifiche previste, i dispositivi devono restare healthy e l’applicazione operativa va testata. La procedura è in Analizzare e conservare i Sophos Central Audit Log.
Un controllo Exclusion verde dopo il refresh significa solo che Central non rileva più i particolari schemi non sicuri valutati. Non è un audit completo di tutte le esclusioni, che vanno controllate periodicamente per necessità, ambito e proprietario.
Protection improvement può segnalare anche condivisioni tenant di Threat Graph, dati Intercept X e sample malware.
Correggere manualmente una policy Endpoint Threat Protection
Per evitare una correzione tenant tramite Auto-Fix, si apre nell’avviso il nome della policy interessata. Central passa alla scheda Settings, mostra un avviso e contrassegna in rosso le impostazioni diverse dalla raccomandazione.
Nella Base Policy, Reset può ripristinare i valori consigliati. In una policy derivata o per una correzione singola controllata si attivano o riconfigurano una a una le opzioni rosse. Il Reset ha un limite importante: non attiva Device Isolation né SSL/TLS decryption of HTTPS websites. Se necessarie, vanno valutate e abilitate separatamente. Si conclude con Save in alto e si controlla che avviso e marcature rosse scompaiano.
Correggere manualmente una policy Server Threat Protection
Il flusso per le Server Policy è uguale: aprire il nome dal Health Check, verificare le deviazioni rosse in Settings, usare Reset per la Base Policy o correzioni mirate per le altre e salvare con Save.
Il Reset Server ha eccezioni diverse: non attiva SSL/TLS decryption of HTTPS websites né Enable CPU branch tracing. La decrittazione si abilita manualmente solo dopo test di compatibilità. CPU Branch Tracing non è necessario per lo stato Health consigliato; se già attivo può restarlo. Dopo il salvataggio, la scheda deve mostrare la protezione consigliata.
Correggere manualmente Endpoint Agent Mode
Agent Mode determina se un computer riceve solo Endpoint Protection, i componenti XDR o XDR Sensor. Un avviso Product unassigned o Upgrade available indica che il dispositivo non usa tutto il software concesso in licenza.
Il link sul numero di computer apre l’elenco filtrato. Se non funziona, si apre My Environment > Computers & Servers e si filtra Agent mode status per Product unassigned e Upgrade available. Prima si identificano e rimuovono in modo controllato computer obsoleti o inutili. Senza pulizia o assegnazione software l’avviso resta.
Per i computer attivi si selezionano le voci e si apre Manage Software. In Manage Device Software > Agent mode Central mostra le varianti disponibili con la licenza. Si seleziona la modalità prevista e si salva. La colonna Agent mode mostra inizialmente il cambio in sospeso. L’installazione avviene al successivo ciclo online e update, normalmente entro circa un’ora. I criteri di completamento sono modalità installata, agent healthy e componenti previsti, non solo avviso scomparso.
Correggere manualmente Server Agent Mode
Per Server il flusso di base è uguale, ma l’ambito viene controllato separatamente. Il link apre l’elenco dei server; in alternativa si filtra Agent mode status per Product unassigned e Upgrade available in My Environment > Computers & Servers. I server inesistenti vengono rimossi in modo controllato.
I server attivi vengono selezionati e assegnati alla modalità concessa in licenza tramite Manage Software > Manage Device Software > Agent mode. Dopo Save, la colonna mostra prima l’installazione pianificata. Central installa i componenti al successivo ciclo online e update, di solito entro circa un’ora. Sui server produttivi si verificano anche finestra di manutenzione, riavvio, applicazione e risorse.
Con Fix automatically, Central installa tutto il software concesso in licenza su ogni server interessato. Prima della conferma si controlla l’ambito; dopo si verificano Audit Log e server rappresentativi.
Attivare Tamper Protection sui dispositivi interessati
Se Tamper Protection è disattivata globalmente, bisogna prima correggere Global Settings > Tamper protection. Solo dopo può essere attivata efficacemente su computer o server singoli.
Il link sul numero di computer apre l’elenco corretto. In alternativa si filtra l’elenco Computer o Server per Computers with tamper protection turned off. Si selezionano i dispositivi e Turn on tamper protection. La procedura è identica per computer e server. Si riapre quindi My Environment > Account Health Check e si verifica anche sul dispositivo l’attivazione effettiva.
Con Fix automatically, Central attiva la protezione su tutti i dispositivi interessati. Prima bisogna sapere se alcuni sistemi siano stati sbloccati consapevolmente e temporaneamente per supporto o recovery autorizzati. La modifica va controllata nell’Audit Log.
Correggere i backup automatici Firewall
Per il punteggio contano solo Firewall con licenza, collegate a Central e gestite da Central. Fix automatically > Turn on imposta un piano Never su mensile il primo giorno e aggiunge le Firewall pertinenti mancanti.
Per il controllo manuale si apre My Products > Firewall Management > Backup. In Schedule Backup si scelgono frequenza e giorno della settimana o data mensile. L’esecuzione inizia alle 08:00 nel fuso della regione dati Central e l’ora non è modificabile. Tutte le Firewall con licenza devono essere assegnate. Dopo il salvataggio si riapre Health Check, si attende il prossimo ciclo e si testa anche un ripristino: 100 conferma il piano, non la recuperabilità.
Registrare un MDR Authorized Contact
Questo controllo appare solo con licenza MDR. In My Products > MDR > Settings > Managed Detection and Response > Authorized Contacts si inseriscono il contatto primario ed eventuali altri contatti e si salva.
Almeno una persona deve essere raggiungibile dall’MDR Operations Team e autorizzata a prendere decisioni sugli incident. Indirizzo collettivo, telefono, fuso, sostituto e diritto di escalation vanno testati. Il controllo verde conferma soltanto la presenza dei dati, non la raggiungibilità.
Correggere consapevolmente Protection Improvement
Il controllo valuta Send Threat Graph data to Sophos, Send Intercept X data to Sophos e Malware sample submission. Se una o due impostazioni sono disattive, l’avviso le nomina. Un clic apre la pagina competente; dopo la decisione privacy si attiva, salva e ripete per le altre. Se tutte e tre sono disattive, la scheda non elenca i nomi e vanno controllate integralmente telemetria MDR e Account Preferences.
Fix automatically attiva tutte le condivisioni consigliate dopo conferma. Non va eseguito soltanto per ottenere 100, ma dopo aver approvato tipi di dati, scopo, regione e responsabilità. Si controllano poi Account Health Check, Audit Log e i tre interruttori effettivi.
Rimuovere manualmente esclusioni globali non sicure
Nell’avviso si apre prima la freccia accanto a ogni esclusione segnalata; Central spiega perché la considera rischiosa. Il link sul numero conduce poi a Global Exclusions. Ogni voce realmente non sicura viene rimossa con la croce a destra e salvata con Save.
Si riapre quindi Account Health Check. Verde indica soltanto che Central non ha trovato gli schemi particolarmente rischiosi conosciuti, non che tutte le esclusioni siano necessarie o sicure. Le esclusioni globali restano minime; se possibile si usa una policy più ristretta.
Rimuovere manualmente esclusioni di policy non sicure
Anche per le Policy Exclusion la freccia mostra la motivazione. Poiché possono essere interessate più voci o policy, ogni avviso va assegnato singolarmente. Un clic sul nome della policy apre direttamente Exclusions. Si eliminano con la croce le voci segnalate e si salva.
La procedura vale per policy Endpoint e Server Threat Protection. Dopo si controlla di nuovo Account Health Check. Anche qui il verde riguarda solo gli schemi particolarmente rischiosi verificati. Percorsi ampi, eccezioni di processo o intere unità vanno controllati periodicamente per ambito, proprietario e scadenza.
Correggere globalmente Tamper Protection
Se Global Tamper Protection è disattivata, nessun dispositivo è protetto, anche se prima l’interruttore locale era attivo. Nell’avviso si apre Tamper Protection, la si attiva in Global Settings > Tamper protection e si salva. Si riapre Account Health Check e si verifica lo stato globale.
L’interruttore globale rende disponibile la funzione nel tenant, ma singoli Endpoint o Server possono restare senza protezione. Un ulteriore avviso per tali dispositivi va risolto singolarmente. La misura è conclusa solo quando stato globale e controllo dispositivi sono corretti.
Documentare consapevolmente Snooze
Snooze rimanda temporaneamente uno scostamento. Non risolve la causa né migliora il punteggio; il controllo sospeso diventa grigio.
Snooze può essere giustificato durante un blocco delle modifiche, un’implementazione graduale o per un vincolo documentato di compatibilità applicativa. «Non c’è tempo» o una motivazione sconosciuta lasciata da un precedente amministratore devono invece avviare una breve verifica controllata, non un’accettazione silenziosa.
Nell’avviso si apre Snooze options. Si seleziona il Reason for snooze appropriato, si registrano proprietario, scadenza interna e dipendenza in Comments, quindi si sceglie Snooze. Dopo l’aggiornamento Central mostra Issue snoozed e visualizza il punteggio in grigio.
Lo Snooze chiude gli alert Health Check per sei mesi. Alla scadenza il punteggio torna giallo se la causa persiste. Con Edit si modificano motivo e commenti, mentre End Snooze termina prima il rinvio. Se il punteggio resta sotto 100, Central riapre l’alert. È tecnicamente possibile applicare di nuovo Snooze, ma serve una nuova valutazione operativa invece di una proroga automatica.
Central continua ad aggiornare il controllo. Se tutte le deviazioni sottostanti vengono risolte, annulla automaticamente Snooze.
Ogni Snooze richiede motivo, proprietario e scadenza interna. I sei mesi Sophos non sono un termine standard ragionevole per ogni organizzazione. Le deviazioni critiche vanno rivalutate molto prima.
Alert e notifiche
Quando un punteggio scende sotto 100, dopo almeno circa dieci minuti Central crea un alert separato di priorità media. Quando torna a 100, lo chiude automaticamente.
Gli alert appaiono in My Environment > Alerts come Device and Platform Health. Le notifiche e-mail vanno configurate separatamente. Una logica pratica è descritta in Configurare e-mail di alert e notifiche Sophos Central.
Inquadrare controlli Firewall ed Endpoint
Account Health è un’interfaccia Central che riunisce più prodotti, ma la correzione resta specifica del prodotto.
Per Endpoint si esaminano Agent Mode, policy, esclusioni e Tamper Protection nel relativo contesto. La gestione operativa è descritta in Gestire alert Endpoint e Account Health di Sophos.
Per i backup Firewall contano solo Firewall con licenza, collegate e gestite centralmente. Never vale zero. Con backup giornaliero, settimanale o mensile il punteggio dipende dall’inclusione di tutte le Firewall pertinenti. Health Check non conferma però che il backup sia ripristinabile.
Con licenza MDR, Central verifica inoltre almeno un MDR Authorized Contact. Deve essere realmente raggiungibile dall’MDR Operations Team e autorizzato internamente a decidere sugli incident. Un ex dipendente o solo una mailbox collettiva può soddisfare formalmente il controllo senza essere affidabile. Contatto, sostituto e numero di escalation vanno testati regolarmente.
Confronto con altre organizzazioni
Sotto ogni grafico della Health summary, Other organizations mostra la media di organizzazioni di dimensioni simili nella stessa regione dati. Se il confronto non è affidabile appare un trattino. Anche i grafici delle singole Security Feature confrontano il proprio punteggio con questa media.
La freccia di trend con numero mostra la variazione dell’Overall Health Score nelle ultime quattro settimane. Un trattino significa che Central non può ancora calcolare il trend, non che il punteggio sia invariato.
In Show scores for organizations with a similar number of devices si può scegliere un altro intervallo dimensionale, utile per esempio quando molti dispositivi inventariati non sono usati o si desidera confrontarsi con ambienti più grandi. La scelta cambia il benchmark, non il proprio punteggio.
Il confronto è un benchmark approssimativo, non un obiettivo. Un’organizzazione con requisiti più rigorosi può essere insufficientemente protetta anche se supera la media.
Molti dispositivi inutilizzati o inventariati male falsano anche il confronto. Prima si puliscono inventario, consumo licenze e sistemi inattivi.
Conservare il report Health Check
L’icona Download in alto a destra genera un’istantanea PDF con Health Summary, Feature Score, controlli singoli e commenti. Con Co-Branding configurato appaiono dati dell’azienda o partner.
Il PDF è utile per review o approvazione change, ma dimostra solo lo stato al momento dell’export. Tenant, data, amministratore responsabile e misure aperte vanno inseriti nel nome file o verbale. Un report senza responsabilità non è una prova di sicurezza conclusa.
Procedura operativa mensile
Un review tracciabile comprende:
- registrare punteggio complessivo e trend di quattro settimane,
- identificare controlli nuovi o peggiorati,
- determinare dispositivi, policy e prodotti interessati,
- accettare, correggere manualmente o usare Auto-Fix in modo controllato,
- verificare Audit Log e funzione tecnica,
- controllare Snooze con proprietario e scadenza interna,
- documentare alert aperti e cause ricorrenti.
Un valore mensile esportato o verbalizzato è più utile di un 100 una tantum senza traccia delle modifiche.
Problemi tipici
Il punteggio non cambia subito
Central elabora le modifiche con ritardo. Prima si controlla che la policy sia salvata, assegnata all’oggetto corretto e arrivata al dispositivo. Solo dopo si presume un ritardo della piattaforma.
Auto-Fix modifica più dispositivi del previsto
Auto-Fix segue l’ambito del controllo, non un gruppo pilota liberamente scelto. Prima della conferma va controllato il numero interessato. Per ambienti sensibili è spesso più sicura una correzione manuale graduale.
Il backup Firewall resta giallo
Tutte le Firewall con licenza e collegate a Central devono essere nel piano. Si controllano inoltre connessione Central, licenza e pianificazione.
Snooze viene segnalato come risolto
Snooze rimanda l’elaborazione e chiude temporaneamente l’alert. Il difetto tecnico resta e il punteggio diventa grigio, non healthy.