Sophos Endpoint Alerts und Account Health bearbeiten
Ein Sophos-Central-Alert ist ein Arbeitsauftrag, nicht automatisch ein bestätigter Sicherheitsvorfall. Alerts können von Bedrohungen, fehlgeschlagenen Updates, Lizenzproblemen, gestörter Kommunikation oder falschem Schutzstatus stammen.
Die Bearbeitung beginnt unter My Environment > Alerts. Entscheidend ist die Ursache. Acknowledge, Close, Resolve oder Reset health status ersetzen keine Bereinigung.
Event, Alert und Health unterscheiden
| Element | Bedeutung |
|---|---|
| Event | einzelnes beobachtetes Ereignis auf Gerät oder Plattform |
| Alert | bewertete Meldung, die eine Untersuchung oder Aktion braucht |
| Health State | zusammengefasster Zustand eines Geräts |
| Threat Graph | Beziehung zwischen Prozess, Datei, Benutzer und Folgeaktivität |
Sophos kann wiederholte Events in einem Alert zusammenfassen. Die Zahl der Events und der Zeitraum zeigen, ob es ein Einzelereignis oder ein fortlaufendes Muster ist.
Health und Alerts werden unabhängig bewertet. Ein Gerät mit Alert kann grün sein, und ein nicht grünes Gerät muss keinen offenen Alert besitzen. Auch mehr als 14 Tage offline Geräte werden im aktuellen Modell nicht mehr allein wegen der Offline-Dauer gelb überschrieben. Lang nicht aktive Geräte werden deshalb über Last active, Gerätefilter und das entsprechende Dashboard-Widget separat betrieben und gegebenenfalls über die dokumentierte automatische Löschung behandelt.
Triage in der richtigen Reihenfolge
- Schweregrad, Status, Gerät und Event-Anzahl prüfen.
- Alert öffnen und Erkennungsname, Zeit, Benutzer, Pfad und Aktion erfassen.
- Gerätezustand und letzte Aktivität kontrollieren.
- Bei Bedrohungen Prozesskette, Hash, Signatur und Quelle untersuchen.
- Prüfen, ob Sophos erfolgreich bereinigt hat.
- Bei aktivem Risiko Gerät isolieren.
- Ursache beheben und anschliessend Health sowie Alerts kontrollieren.
High bedeutet hohe Dringlichkeit, aber auch Medium-Alerts können eine Angriffskette oder fehlenden Schutz anzeigen.
Alert-Aktionen richtig verstehen
Mark As Acknowledged
Die Meldung verschwindet aus der aktiven Liste. Die Bedrohung wird nicht entfernt und Quarantänedaten bleiben bestehen.
Mark As Resolved
Diese Windows-Aktion wird verwendet, wenn die Ursache bereits auf dem Gerät behoben ist. Sie entfernt den Alert und bereinigt die Anzeige im lokalen Quarantäne-Manager. Sie führt selbst keine Threat Cleanup durch.
Close alert
Das Schliessen ändert den Workflow-Status. Es ist kein technischer Fix. Ein Alert wird erst nach dokumentierter Ursache und Abnahme geschlossen.
Reset health status
Der Reset löscht alte Warnungen und setzt den sichtbaren Health State zurück. Er ist für macOS nicht verfügbar und repariert weder Malware noch beschädigte Software. Bleibt die Ursache bestehen, wird das Gerät erneut gelb oder rot.
Bedrohungs-Alerts weiterbearbeiten
Bei Malware, Ransomware, Exploit, IPS, PUA oder einem möglichen False Positive folgt nach der Alert-Triage die technische Incident-Bearbeitung. Der vollständige Ablauf für Isolation, Prozesskette, Cleanup, Remote-Ransomware und Abschlusskriterien steht unter Sophos Endpoint Threat Cleanup und Malware-Bereinigung.
Outbreak Alerts
Sophos fasst einen Malware-Ausbruch ab 100 Erkennungen auf einem Gerät innerhalb von 24 Stunden zusammen, damit die Meldungsmenge handhabbar bleibt. Die normale Erkennungsanzeige wird erst fortgesetzt, wenn der Outbreak-Alert als Resolved markiert ist.
Vorher werden Quelle, Persistenz, Verteilung und benachbarte Geräte untersucht. Ein schnelles Resolved ohne Ursachenbeseitigung kann weitere Einzelmeldungen lediglich wieder sichtbar machen.
Installations-, Compliance- und Neustart-Alerts
Ein Failed to protect computer wird erzeugt, wenn ein gestarteter Agent nach einer Stunde noch nicht geschützt ist. Fehlende oder gestoppte Sophos-Dienste weisen häufig auf eine unvollständige Installation oder ein fehlgeschlagenes Update hin. Unterstütztes Betriebssystem, Neustart, Update-Erreichbarkeit und Installer-Log werden vor einer Neuinstallation geprüft.
Software package no longer supported warnt vor einem abgelaufenen oder bald endenden Fixed-Term- beziehungsweise Long-Term-Paket. Nach dessen Ende fehlen aktuelle Schutzupdates. Die betroffenen Geräte werden vor dem Ablauf auf ein unterstütztes Paket umgestellt und danach auf tatsächlich installierte Version und Health geprüft.
Bei Policy non-compliance versucht Central nach zwei Stunden Abweichung, die betreffende Policy erneut anzuwenden. Sobald das Gerät wieder konform ist, schliesst sich der Alert automatisch. Ein manuelles Schliessen ohne Ursachenprüfung hilft deshalb nicht; wiederkehrende Abweichungen verlangen Policy-, Kommunikations- und Agent-Diagnose.
Peripheral detected meldet ein erkanntes Wechselmedium oder Peripheriegerät. Die Bewertung richtet sich nach Peripheral-Control-Policy, Benutzer, Gerät und erlaubtem Geschäftsfall.
Bei Duplicate device detection besitzen geklonte Geräte dieselbe ID. Central registriert unterstützte Duplikate mit einer neuen ID, damit die Verwaltung nicht kollidiert. Windows XP/Vista sowie Server 2003/2008 werden nicht selbst als Duplikate erkannt; kollidiert ihre ID mit einem unterstützten Windows-System, wird zwar das Duplikat erkannt, das alte System aber nicht neu registriert. Ein gesperrter Windows Server mit Server Lockdown wird ebenfalls nicht neu registriert. Für VDI-Umgebungen wie VMware Horizon, Citrix PVS oder Citrix MCS unterstützt Sophos diese Duplicate-Device-Erkennung nicht. Golden Images benötigen daher den dafür vorgesehenen Vorbereitungs- und Registrierungsprozess.
Ein ausstehender Neustart erzeugt zunächst Events und nach zwei Wochen einen Alert. Das Gerät kann trotz grünem Agentenstatus auf alte Treiber oder Komponenten warten. Wartungsfenster und Benutzerkommunikation werden deshalb nicht erst beim Alert geplant.
Account Health Check
Unter My Environment > Account Health Check bewertet Sophos, ob Geräte und Policies empfohlene Schutzwerte verwenden. Ein Score unter 100 erzeugt nach einer gewissen Verzögerung einen Medium-Alert. Sobald der Score wieder 100 erreicht, wird dieser Health-Alert automatisch geschlossen.
Nach einer Konfigurationsänderung kann das Account-Health-Widget auf einer benutzerdefinierten Canvas bis zu zehn Minuten einen alten Gesamtscore zeigen. Für die unmittelbare Kontrolle wird die eigentliche Seite My Environment > Account Health Check geöffnet. Ein verzögertes Widget ist kein Grund, den Fix erneut auszuführen.
Fix automatically kann viele Einstellungen gleichzeitig ändern. Vorher werden Pilotgruppe, bestehende Ausnahmebegründungen und Audit Log berücksichtigt. Snooze verschiebt einen Health-Check, behebt ihn aber nicht.
Der Overall Health Score entspricht dem niedrigsten Einzelcheck, nicht dem Durchschnitt. Bei Threat-Protection-Policies zieht Sophos pro nicht empfohlener Einstellung 10 Punkte ab und mittelt mehrere Policies desselben Typs. Bei riskanten Ausnahmen werden pro erkanntem Eintrag 20 Punkte abgezogen.
Ein grüner Exclusion-Check ist keine vollständige Sicherheitsfreigabe. Sophos prüft nur besonders unsichere Muster. Alle Ausnahmen werden unabhängig vom Score regelmässig fachlich bewertet.
Reset einer Base Threat Protection Policy aktiviert die empfohlenen Einstellungen, lässt Device Isolation und SSL/TLS Decryption aber ausgeschaltet. Diese beiden Funktionen brauchen eine bewusste betriebliche Entscheidung.
Health-Check-Alerts sind Medium und erscheinen frühestens etwa zehn Minuten nach einem Score unter 100. Ein Snooze gilt sechs Monate und schliesst den zugehörigen Alert vorübergehend. Die Bewertung läuft währenddessen weiter.
Der Check Protection improvement bewertet, ob Threat-Graph-Daten, Intercept-X-Daten und Malware-Samples an Sophos übermittelt werden. Diese Schalter verbessern die cloudbasierte Analyse, betreffen aber auch Datenschutz und interne Freigaben. Ein automatischer Fix wird deshalb nicht ohne diese Abklärung tenantweit ausgeführt.
Der Check Endpoint agent mode vergleicht installierte Komponenten mit der Lizenz. Betroffene Geräte erscheinen als Product unassigned oder Upgrade available. Fix automatically installiert alle lizenzierten Komponenten auf sämtlichen betroffenen Computern; manuell lassen sie sich unter Computers & Servers > Manage Software gezielt umstellen. Die Installation beginnt beim nächsten Online-Update und erfolgt laut Sophos normalerweise innerhalb einer Stunde.
Bei Tamper Protection muss zuerst der globale Schalter aktiv sein. Erst danach kann Account Health den Schutz auf einzelnen Computern automatisch oder über den Gerätefilter Computers with tamper protection turned off einschalten. Jede automatische Änderung ist im Audit Log kontrollierbar.
Über das Download-Symbol lässt sich der aktuelle Account Health Check als PDF exportieren. Der Bericht enthält Scores, Einzelchecks und Kommentare und eignet sich für die periodische Sicherheitskontrolle. Ein exportierter Score ersetzt weiterhin nicht die dokumentierte Begründung einer Ausnahme.
Wann Sophos Support nötig ist
Support ist angemessen, wenn Cleanup wiederholt fehlschlägt, der Agent beschädigt ist, eine Erkennung trotz geprüfter Freigabe zurückkehrt oder der Verdacht auf ein neues False Positive besteht.
Vor dem Ticket werden Alert-ID, Gerät, Zeitpunkt, Detection Name, Logs, Hash, Signatur, durchgeführte Schritte und gewünschtes Ergebnis gesammelt.