Sophos AI Assistant und AI Search in XDR verwenden

Sophos AI Search sowie die Assistenten Security Analyst und Threat Hunter sind XDR-Untersuchungswerkzeuge in Sophos Fusion (ehemals Sophos Central). Sie sind keine allgemeine Funktion des Endpoint-Agenten und führen keine autonome Bereinigung durch. AI Search übersetzt natürlich formulierte Suchen in Data-Lake-Abfragen; die Untersuchungsassistenten unterstützen Analysten im Chat. Als dritter Assistent steht Firewall Assistant für Firewall-Regeln und Policies zur Verfügung. Er verwendet die Daten einer ausgewählten, zentral verwalteten Sophos Firewall und wird unten getrennt eingeordnet.

Für den vollständigen AI Assistant im XDR-Untersuchungsablauf benötigt man Sophos XDR, Sophos MDR, Sophos MDR Plus oder Sophos Network Detection and Response. Sophos EDR umfasst AI Case Summary, AI Command Analysis und AI Search, aber nicht den XDR AI Assistant. Diese XDR-Lizenzangaben sind keine Aussage zur Lizenzierung des Firewall Assistant. Vollständiger Zugriff auf die AI-Funktionen erfordert laut Sophos die Rolle Super Admin oder Admin. Ein- und Ausgaben werden derzeit nur auf Englisch unterstützt.

Welches Werkzeug für welche Aufgabe?

• AI Search: Durchsucht Daten im Sophos Data Lake. In der Classic-Ansicht des Threat Analysis Center wählt man Detections oder Endpoint Data; dort sind Endpoint-Data-Suchen auf Windows beschränkt. Unter Security Operations > Data Lake Search erzeugt AI Search dagegen Advanced-Search-Abfragen in QL. Die Windows-Grenze des Classic-Ablaufs wird nicht auf diese neue Suchoberfläche übertragen.
• Security Analyst: Untersucht einen konkreten Sophos-managed oder Self-managed Case und übernimmt dessen Case- und Detection-Kontext.
• Threat Hunter: Sucht nach Akteuren oder Indicators of Compromise im Data Lake und arbeitet nur mit Self-managed Cases.
• Firewall Assistant: Unterstützt die Konfiguration von Firewall-Regeln und die Analyse von Policies einer in Sophos Central verwalteten Firewall ab SFOS 23.0. Der Chat beginnt mit der Firewall-Auswahl, nicht mit einer Case-ID.
• AI Case Summary: Fasst Detections, Geräte, Benutzer, MITRE-ATT&CK-Taktiken und mögliche nächste Schritte eines Cases zusammen.
• AI Command Analysis: Erklärt und de-obfuskiert Kommandozeilen aus Detections.

Die XDR-Untersuchungsassistenten Security Analyst und Threat Hunter können aktuell XDR-integrierte Daten von Sophos Endpoint und Sophos Server unter Windows abrufen und analysieren. Sie können keine Bedrohung beseitigen und keine Response-Aktion ausführen. Isolation, Live Response, Blockierung, Freigabe und der Abschluss eines Cases bleiben bewusste menschliche Entscheidungen. Diese Windows-Datenquellen und Response-Grenzen beschreiben den Untersuchungsablauf, nicht die Firewall-Konfiguration mit dem Firewall Assistant.

AI Search sicher verwenden

Prüfe zuerst, welche Oberfläche dein Tenant verwendet. Threat Analysis Center ist die weiterhin verfügbare Classic view von Security Operations. Der folgende SQL-Ablauf gehört zu dieser Classic-Ansicht; die neue Data Lake Search wird danach getrennt beschrieben. Ein neuer Menüeintrag ist kein Anlass, funktionierende Classic-Abfragen ungeprüft umzuschreiben.

Classic: AI Search im Threat Analysis Center

1. Threat Analysis Center > AI Search öffnen.
2. Links Detections oder Endpoint Data wählen. Für Endpoint Data muss das untersuchte Gerät Windows verwenden.
3. Eine vorgeschlagene Suche wählen oder eine eigene Frage auf Englisch eingeben. Gerät, Benutzer, Indikator und Zeitraum so konkret wie möglich nennen.
4. Search wählen und die Ergebnistabelle prüfen.
5. Generated Query aufklappen und die erzeugte SQL-Abfrage kontrollieren. Datenquelle, Felder, Filter und Zeitraum müssen zur Untersuchungsfrage passen.

Ohne explizite Zeitangabe verwendet AI Search standardmässig 24 Stunden. Sophos empfiehlt, mit wenigen Stunden oder höchstens einem Tag zu beginnen und den Zeitraum erst danach schrittweise zu erweitern. Abfragen über Tage oder Wochen können je nach Datenmenge langsam werden oder mit einem Timeout enden.

Die Ergebnistabelle zeigt höchstens 1'000 Treffer. Sophos nennt für die Data-Lake-Aufbewahrung 90 Tage oder ein Jahr mit der Zusatzlizenz Central Data 1-Year Storage Pack. Ein Resultat mit 1'000 Zeilen beweist daher nicht, dass genau 1'000 Ereignisse existieren, und eine leere Tabelle beweist nicht, dass es im gesamten Incident-Zeitraum keine Aktivität gab.

Eine nützliche Abfrage kann über Save Query in der neuen Live-Discover-Kategorie AI Search gespeichert oder über Export zusammen mit den Ergebnissen als CSV exportiert werden. Die Abgrenzung zwischen Live Endpoint und Data Lake sowie die betrieblichen Query-Limits erklärt Sophos Live Discover und Data-Lake-Abfragen.

Security Operations: AI Search in Data Lake Search

Unter Security Operations > Data Lake Search > AI Search eine natürlich formulierte Untersuchungsfrage eingeben oder einen vorbereiteten Prompt auswählen und Search wählen. Browse Prompts beziehungsweise View All öffnen die vorbereiteten Prompts; Sophos Only, Kategorie-Chips und die Suche grenzen sie ein. Nach dem Laden lässt sich ein Prompt an Gerät, Indikator und Zeitraum der eigenen Untersuchung anpassen.

Unter den Ergebnissen erscheint die generierte Abfrage in der Advanced Search query language, hier QL genannt, nicht die Classic-SQL-Abfrage aus Generated Query. Prüfe Datenquelle, Felder, Filter und Zeitraum gegen die Untersuchungsfrage. Bei einem unpassenden Ergebnis den Prompt verfeinern und erneut Search wählen. Das Classic-Zeilenlimit und die Classic-Windows-Grenze sind keine belegten Grenzen dieser Oberfläche.

Save Query verlangt Name und Kategorie; Beschreibung und Bookmark this Query sind optional. Danach mit Save Query speichern und unter Saved Queries kontrollieren, dass die Abfrage wieder auffindbar ist. Den vollständigen Ablauf mit Query Builder, Query Editor, Suchhistorie und Export beschreibt der Data-Lake-Search-Abschnitt im Abfrage-Runbook.

AI Assistant aus einem Case starten

Der folgende Case-Einstieg beschreibt die Classic-Ansicht. Security Operations hat ebenfalls Cases; daraus folgt nicht, dass dort derselbe Button, dieselben Tabs oder derselbe Chat-Übergabeweg verfügbar sind. Dieser Artikel behandelt den XDR-Untersuchungsassistenten, keinen allgemeinen Endpoint-Helfer und keine Funktionen von Sophos AI Defense.

Der sicherste Einstieg beginnt beim bereits geprüften Case statt bei einem kontextlosen Chat:

1. Threat Analysis Center > Cases öffnen und die Case-ID wählen.
2. Detection, betroffene Geräte und den relevanten Zeitraum prüfen.
3. Oben rechts Ask Sophos AI wählen. Central öffnet den Security Analyst mit dem Case-Kontext.
4. Einen vordefinierten Prompt bearbeiten oder eine eigene englische Frage stellen. Mit / öffnet man die Liste vorbereiteter und gespeicherter Prompts.
5. Folgefragen im selben Chat stellen. Der Assistant berücksichtigt den bisherigen Thread; ein neuer Chat besitzt diesen Gesprächskontext nicht.

Alternativ öffnet man AI > Assistant, wählt New und danach Security Analyst oder Threat Hunter. Beim Security Analyst wird anschliessend eine Case-ID ausgewählt. Ask AI kann ausserdem ausgewählte Daten aus einer Ergebnistabelle als Kontext für eine Folgefrage übernehmen. Vor dem Senden muss sichtbar sein, welche Auswahl tatsächlich übergeben wird.

Firewall Assistant: Firewall auswählen und weiterarbeiten

Der Firewall Assistant in Sophos Fusion unterstützt SFOS 23.0 oder neuer und setzt eine zentral verwaltete Firewall voraus. Die Mindestversion allein ist keine Zusage, dass die Funktion in jedem Tenant oder Build allgemein freigegeben ist; die konkrete Verfügbarkeit und die Freigabe des Zielbuilds müssen zur eigenen Umgebung passen. Dieser Konfigurationschat ist nicht der lokale Sophos Assistant im WebAdmin für Dokumentationssuche und geführte Abläufe.

Unter AI > Assistant > New > Firewall Assistant erscheint die Liste der in Sophos Fusion verwalteten Firewalls. Geräte mit älterem SFOS sind ausgegraut und können für diesen Ablauf nicht ausgewählt werden. Ein Chat gehört zu genau einer Firewall. Für ein anderes Gerät beginnt man einen eigenen Chat; mehrere Chats für unterschiedliche Firewalls können nebeneinander bestehen. Der Datenzugriff bleibt auf die Berechtigungen des angemeldeten Administrators für die jeweilige Firewall begrenzt.

1. Den Namen und die Firmwareversion der vorgesehenen Firewall prüfen und deren Eintrag auswählen. So beginnt der Chat mit dem richtigen Gerät statt mit einem Threat Case.
2. Einen vordefinierten Prompt wählen oder eine eigene Frage auf Englisch eingeben. Mit / lassen sich weitere vorbereitete Prompts anzeigen; mit Send wird die Frage gesendet.
3. Die Antwort gegen die Regeln und Policies der ausgewählten Firewall prüfen. Folgefragen im selben Chat behalten den Gesprächskontext. Nach dem Schliessen der Seite oder New bleibt der bisherige Chat in der linken Liste verfügbar und kann dort wieder geöffnet werden.

Ist ein Gerät ausgegraut, zuerst dessen SFOS-Version kontrollieren. Fehlt es in der Liste, die zentrale Verwaltung und den richtigen Tenant prüfen. Ein Firmware-Upgrade wird nicht allein vorgenommen, um den Assistenten freizuschalten; Zielbuild und Upgrade-Freigabe müssen zur eigenen Umgebung passen.

Für den betrieblichen Übergang zur Regelverwaltung erklärt der Überblick zu Sophos Firewall v23 den KI-Assistenten und die Bedeutung der Regelposition. Eine Chat-Antwort ist keine Freigabe, eine Regel produktiv zu aktivieren. Ziel-Firewall, Objekte, Regelposition und Sicherheitsprüfungen werden vor jeder Änderung bewusst kontrolliert; aus der Assistant-Auswahl oder einem erfolgreichen Prompt folgt keine autonome Aktivierung.

Regelentwurf prüfen, kontrolliert übernehmen und auditieren

Im dokumentierten Phase-1-Umfang konzentrieren sich die Aktionen auf Firewall-Regeln und sind lesend – mit einer Ausnahme: Ein Prompt kann eine neue Firewall-Regel erstellen. Der Assistant zeigt dafür zunächst einen Entwurf mit einer JSON-Zusammenfassung und Ansichten der verwendeten Objekte. Erst nach der Bestätigung wird die Regel auf der Firewall angelegt, standardmässig deaktiviert am Ende der Regeltabelle. Das ist bereits eine Konfigurationsänderung, aber noch keine wirksame Verkehrsfreigabe.

⚠️ Einen Erstellungs-Prompt nur für eine geplante und autorisierte Änderung verwenden. Vor der Bestätigung Zielgerät, vorhandene Regeln und Objekte sowie den aktuellen Konfigurationsstand festhalten. Die spätere Aktivierung kann Verkehr erlauben oder blockieren; dafür müssen gewünschter Paketfluss, Sicherheitsprüfung, Wartungsfenster und Rückweg vorab geklärt sein.

1. Im Chat der richtigen Firewall die benötigte IP-Version, vorhandene Objektbezeichnungen und den gewünschten Paketfluss genau angeben. Unklare Rückfragen beantworten, statt pauschal ganze Netze oder beliebige Dienste freizugeben.
2. In der Vorschau die JSON-Zusammenfassung und Objektansichten gegen die beabsichtigte Regel prüfen: Quelle, Ziel, Dienste, Aktion und Sicherheitsoptionen müssen passen. Bei Abweichungen den Entwurf korrigieren lassen oder nicht bestätigen.
3. Erst den geprüften Entwurf zur Erstellung bestätigen. Danach unabhängig vom Chat auf derselben Firewall im WebAdmin Rules and policies öffnen und die passende IPv4- beziehungsweise IPv6-Regelliste kontrollieren. Erwartet wird die neue Regel deaktiviert am Tabellenende. Fehlt sie oder ist ihr Zustand anders, nicht erneut blind erstellen und nicht aktivieren; Gerät, Liste und Erstellungsbestätigung abgleichen.
4. Die tatsächlich gespeicherten Einstellungen und benötigten Objekte prüfen. Nur nach Freigabe die fachlich richtige Regelposition festlegen und die Regel manuell aktivieren. Eine passende Regel am Tabellenende kann wegen einer früheren Regel wirkungslos bleiben; eine zu weit oben platzierte Regel kann dagegen die beabsichtigte Einschränkung umgehen. Den erlaubten und den weiterhin gesperrten Paketfluss nach dem Regeltest mit Log Viewer, Policy Test und Packet Capture prüfen.
5. Für den Nachweis der Assistant-Aktion über Logs and policy test den Log Viewer öffnen und nach der Komponente AI Assistant filtern. Die Audit-Ereignisse mit Ziel-Firewall, Änderungszeitpunkt und tatsächlich gespeicherter Regel abgleichen. Der Audit-Eintrag belegt die Assistant-Aktion, nicht die korrekte Wirkung auf den Paketfluss. Fehlt der erwartete Eintrag, Zeitraum und Filter prüfen und die Abweichung untersuchen, statt «keine Änderung» anzunehmen.

Bei unerwarteter Wirkung die neu aktivierte Regel wieder deaktivieren und den vorher dokumentierten Zustand prüfen. Das Ausschalten der Regel entfernt weder den Entwurf noch gegebenenfalls neu angelegte Objekte und ist kein vollständiger Konfigurations-Rollback. Ein nicht freigegebener Entwurf bleibt deaktiviert; vor einer späteren Bereinigung müssen seine Objektabhängigkeiten geprüft werden.

Einen belastbaren Prompt formulieren

Ein guter Prompt nennt Ziel, Scope und gewünschte Ausgabe. Beispielsweise:

Compare the detections for endpoint WS-023 during 10 September 2026, 08:00-12:00 UTC. List process names, command lines and hashes, and mark every conclusion that still needs validation.

WS-023 ist ein neutraler Beispielname und muss durch das untersuchte Gerät ersetzt werden. Datum, Uhrzeit und Zeitzone müssen zum Case passen. Prozessnamen, IP-Adressen, Benutzer oder Hashes werden nur ergänzt, wenn sie für die Hypothese nötig sind. Gespeicherte Prompts erhalten einen eindeutigen Alias; Alias und vollständiger Prompt müssen eindeutig sein. Owner, Zweck und Review-Datum verhindern, dass ein veralteter Prompt ungeprüft zum Runbook wird.

Ergebnisse verifizieren und dokumentieren

AI-Antworten können falsch oder irreführend sein. Aussagen wie «keine weiteren Geräte betroffen» werden deshalb gegen Case-Zeitlinie, Detection-Details, Gerätedaten und Query-Ergebnisse geprüft. Besonders wichtig sind dabei:

• Passt der ausgewertete Zeitraum einschliesslich Zeitzone?
• Liefert das betroffene Gerät im Zeitraum überhaupt Telemetrie?
• Begrenzen Filter, Plattformunterstützung oder im Classic-AI-Search-Ablauf das 1'000-Zeilen-Limit die Aussage?
• Stützen Rohereignisse die vorgeschlagene Schlussfolgerung und Response?

Antworten, einzelne Tabellenzeilen, ganze Tabellen und Queries lassen sich anheften. Diese Pinned Items bleiben während des Chats in der Workbench und können eine Begründungsnotiz erhalten. Sie sind eine persönliche Arbeitshilfe, keine Case-Dokumentation. Feedback-Schaltflächen bewerten die konkrete Antwort; vertrauliche Incident-Details gehören nicht in das optionale Kommentarfeld.

Ein einzelnes oder mehrere verifizierte Ergebnisse von Security Analyst oder Threat Hunter können in den Notebook-Tab des Cases übernommen werden. Dieser Case-Notebook-Ablauf ist nicht als Übergabeweg für den Firewall Assistant beschrieben. Für eine Antwort dient das Plus-Symbol unter der Antwort; danach wird das Hinzufügen bestätigt. Für mehrere Antworten verwendet man Drei-Punkte-Menü > Select responses > Add to case. Beim Threat Hunter muss das Ziel-Case ausgewählt werden, beim Security Analyst ist es durch den untersuchten Case vorgegeben.

Der private Chat ist nur für die Person sichtbar, die ihn gestartet hat. Andere Administratoren mit Case-Zugriff sehen erst die in den Notebook-Tab übernommenen Antworten. Über das Drei-Punkte-Menü am Chattitel und Delete wird der vollständige Thread entfernt. Benötigte Evidenz wird daher zuerst gegen Rohdaten geprüft und danach im Case oder im eigenen Incident-System dokumentiert; der Chat ist kein revisionssicheres Archiv.

Datenschutz und Nutzungslimits

Passwörter, private Schlüssel, Recovery Codes und unnötige personenbezogene Daten gehören nicht in Prompts oder Feedback. Der verwendete Kontext wird auf die Untersuchungsfrage begrenzt. Zusätzlich müssen die eigenen Vorgaben zu Datenklassifizierung, Aufbewahrung und Export gelten.

Die XDR-AI-Funktionen verwenden Azure OpenAI und Amazon Bedrock. Ein- und Ausgaben werden nicht zum Training der Modelle oder zur Verbesserung der Drittanbieterdienste verwendet; alle an Drittanbieter-LLM-Dienste übertragenen Daten werden während der Übertragung verschlüsselt. Die vorhandenen rollenbasierten Central-Berechtigungen begrenzen weiterhin, auf welche Daten ein Benutzer zugreifen kann. Vor der Aktivierung sollten Verantwortliche die aktuellen Angaben zu Datenverarbeitung und Unterauftragsverarbeitern im XDR Privacy Data Sheet prüfen.

Die veröffentlichten Limits für die hier beschriebenen XDR-AI-Funktionen gelten rollierend innerhalb von 24 Stunden; daraus werden keine separaten Firewall-Assistant-Limits abgeleitet:

• AI Command Analysis: 50 pro Benutzer, 250 pro Tenant
• AI Search: 20 pro Benutzer, 100 pro Tenant
• AI Case Summary: 10 pro Benutzer, 50 pro Tenant
• AI-Assistant-Threads: 20 pro Benutzer, 100 pro Tenant
• einzelne Assistant-Nachrichten: 200 pro Benutzer, 1'000 pro Tenant

Beim Erreichen eines Limits pausiert die betreffende Funktion mit HTTP 429. Da Sophos diese Werte ändern kann, bleibt für betriebliche Planung die aktuelle Limit-Seite massgebend. Für kritische Untersuchungen ist immer ein manueller Weg über Cases, Detections, Live Discover und die zugrunde liegende Telemetrie erforderlich.

Häufige Fragen