Sophos Central Alert-E-Mails und Benachrichtigungen einrichten
Sophos Central kann Alerts per E-Mail melden. Eine aktivierte Standardregel ist aber noch kein Incident-Prozess. Entscheidend ist, wer welche Meldungen erhält, wie schnell reagiert wird und was bei Abwesenheit oder Zustellfehlern geschieht. Die globalen Einstellungen kann nur ein Super Admin verwalten.
Regeln nach Verantwortung aufteilen
Unter den globalen Alert-Einstellungen werden Empfänger und Schweregrade festgelegt. Statt alle Meldungen an einzelne Personen zu senden, eignen sich überwachte Funktionsadressen oder Ticket-Systeme.
Distribution Lists können auch externe Personen oder ein Ticket-System benachrichtigen, ohne ihnen Central-Zugriff zu geben. In einem Sophos-Central-Trial stehen Distribution Lists jedoch nicht zur Verfügung. Für einen produktionsnahen Test wird diese Lizenzgrenze berücksichtigt, statt daraus fälschlich ein Berechtigungs- oder Zustellproblem abzuleiten.
Ein praktisches Modell trennt:
- High Alerts und kritische Vorfälle an Security Operations mit sofortiger Eskalation,
- Medium Alerts an den Endpoint-Betrieb mit definierter Reaktionszeit,
- Low Alerts oder betriebliche Hinweise in eine tägliche oder periodische Sichtung,
- Lizenz-, Health- und Plattformmeldungen an den zuständigen Service Owner.
Regeln werden so klein gehalten, dass klar bleibt, warum ein Empfänger eine Meldung erhält. Doppelte Regeln erzeugen unnötige Alarmfluten.
Frequenz verstehen
Die Frequenz kann nach genau einem Merkmal gesteuert werden: Schweregrad, Produkt oder Alert-Kategorie. Verfügbar sind Immediately, Hourly, Daily und Never.
Hourly und Daily erzeugen keine Sammelmail. Sophos sendet den ersten Alert sofort und begrenzt danach denselben Alert pro Gerät auf höchstens eine E-Mail pro Stunde beziehungsweise Tag. Fünf betroffene Geräte können somit weiterhin fünf E-Mails erzeugen.
Immediately wird ohne Drosselung versendet, garantiert aber keine Zustellung im selben Moment wie die ursprüngliche Detection. Manche Alerts entstehen erst nach einem Timer oder nach ausbleibendem Recovery-Event. Deshalb kann sogar für ein inzwischen gelöschtes Gerät später noch eine Mail eintreffen. Wiederholt sich derselbe Alert, bleibt sein ursprünglicher Zeitstempel bestehen; Anzahl und Eventverlauf zeigen die neuen Vorkommnisse.
Nicht jedes Event erzeugt einen Alert. Fehlt eine Meldung in der aktiven Alert-Liste, werden Reports > General Logs > Events, frühere Workflow-Aktionen und die konkrete Alert-Logik geprüft. Die Sprache einer direkt adressierten Central-Rollenperson folgt deren Benutzerprofil; Verteiler ohne Central-Login verwenden die Standardsprache des Kontos.
Kommt eine direkt adressierte Person trotzdem in der falschen Sprache an, wird unter dem Profilsymbol Language vorübergehend eine andere Sprache gewählt und danach die gewünschte Sprache erneut gesetzt. Dadurch wird das Sprachkennzeichen des Benutzerprofils neu gespeichert. Bei einer reinen Verteileradresse ohne Login oder einer falschen Kontosprache mit mehreren Administratoren muss Sophos Support die Account-Sprache prüfen; dafür werden Tenant-UUID, betroffene Adresse, gewünschte Sprache und aktivierte Remote Assistance bereitgestellt.
Custom Rules ohne Empfängerverlust
Eine Custom Rule kann Administratorrolle, konkrete Empfänger oder Verteiler, Computer- und Servergruppen sowie Alert-Typen eingrenzen.
Beim Aktivieren der ersten Custom Rule deaktiviert Sophos jedoch die bisherigen Einstellungen unter Administrators & Distribution lists. Sollen diese Empfänger weiterhin alle passenden Alerts erhalten, werden sie ausdrücklich in einer eigenen Custom Rule abgebildet.
Eine Regel wird ungültig und deaktiviert, wenn keiner ihrer Empfänger mehr existiert. Sind am Ende alle Custom Rules deaktiviert, kehrt Sophos zum Standardverhalten zurück und sendet alle Alerts an alle Administratoren und Verteiler des Kontos. Diese Rückfalllogik wird beim Offboarding eines Empfängers mitgeprüft.
Exceptions ändern die Frequenz einzelner Alert-Typen. Sie können im Alert selbst angelegt und in der globalen Exception-Liste kontrolliert werden. Veraltete Ausnahmen werden regelmässig entfernt.
Mehr als Endpoint Threats berücksichtigen
Alert-Typen umfassen nicht nur Malware. Auch fehlgeschlagene Installation, gestörte Kommunikation, veralteter Schutz, Neustartbedarf, Lizenzprobleme, Account Health oder ein Ausbruch können Aufmerksamkeit erfordern.
Data-Loss-Prevention-E-Mail-Benachrichtigungen sind ein Sonderfall: Eine Benachrichtigung über einen DLP-Regelverstoss erzeugt nicht automatisch einen Central-Alert. DLP-Eskalation wird deshalb separat getestet.
Zustellung kontrollieren
Vor dem produktiven Betrieb werden Absender, Spamfilter, Transportregeln, Ticket-Parsing und Mobilbenachrichtigung geprüft. Eine Regel wird nicht allein anhand ihrer Konfiguration als funktionsfähig betrachtet.
Mindestens quartalsweise wird ein kontrollierter Test durchgeführt. Zusätzlich werden Audit Logs auf Änderungen an Benachrichtigungsregeln geprüft.
Alert und E-Mail nicht verwechseln
Die E-Mail ist nur ein Transportkanal. Der aktuelle Status, alle Events und verfügbaren Aktionen stehen in Sophos Central. Ein gelöschtes E-Mail verändert den Alert nicht, und das Schliessen eines Alerts garantiert nicht, dass die technische Ursache behoben ist.
Auch das Glockensymbol Notifications ist keine zweite Alert-Liste. Das Notification Center sammelt Medium- und Low-Priority-Hinweise wie Produktinformationen oder Wartungsankündigungen. High-Priority-Mitteilungen erscheinen als Banner. Session dismiss blendet einen Hinweis nur bis zur nächsten Anmeldung aus, Permanently dismiss dauerhaft. Beides verändert keinen Endpoint-Alert und behebt keine technische Ursache.
Die operative Bearbeitung erklärt Sophos Endpoint Alerts und Account Health bearbeiten.
Eskalationsweg dokumentieren
Für jeden Schweregrad werden Reaktionszeit, Primärteam, Stellvertretung und nächster Eskalationspunkt festgelegt. High Alerts ausserhalb der Bürozeit brauchen einen anderen Kanal als eine unbeaufsichtigte Mailbox.
Bei MDR oder einem externen SOC wird geklärt, welche Meldungen Sophos oder der Dienstleister bereits bearbeitet und welche beim internen Team verbleiben.