Sophos Endpoint Alerts und Account Health bearbeiten

Ein Alert in Sophos Fusion (früher Sophos Central) ist ein Prüfauftrag, nicht automatisch ein bestätigter Sicherheitsvorfall. Nach der Anmeldung bei Sophos Fusion beginnt die Bearbeitung unter My Environment > Alerts mit Schweregrad, betroffenem Gerät, Erkennungsname und zugehörigen Events. Eine Statusaktion ist erst der Abschluss: Sie beseitigt weder Malware noch eine unsichere Konfiguration.

Schnellablauf für die Alert-Triage

1. Alert eingrenzen: Severity, Status, Gerät, Zeitpunkt, Detection Name und Zahl der zusammengefassten Events erfassen.
2. Kontext prüfen: Alert-Details, zugehörige Events, Gerätestatus, Last active, Benutzer, Pfad, Prozess, Hash und vorhandenen Threat Graph auswerten.
3. Aktives Risiko begrenzen: Bei noch laufendem oder lateralem Risiko den Endpoint nach dem freigegebenen Incident-Prozess isolieren. Die vollständige Bereinigung erklärt Sophos Endpoint Threat Cleanup und Malware-Bereinigung.
4. Alert-Typ bearbeiten: Cleanup, Scan, Neustart, Policy-Korrektur oder False-Positive-Prüfung passend zur Meldung durchführen.
5. Technisch validieren: Neue Events, Cleanup-Ergebnis, Scan-Ergebnis, Agent Health und betroffene Anwendung kontrollieren.
6. Erst danach abschliessen: Workflow-Status nur ändern, wenn Ursache, Massnahme, Ergebnis und verantwortliche Person dokumentiert sind.

High verlangt schnelle Sichtung. Medium ist aber nicht automatisch harmlos: Ein benötigter Scan, ein unvollständiges Cleanup oder Remote Ransomware können ebenfalls weitere Arbeit erfordern.

Health, Alert und Event nicht verwechseln

Diese Signale werden nicht gleich berechnet. Ein Endpoint kann nach einer erfolgreich blockierten oder quarantänisierten Erkennung grün sein und trotzdem einen untersuchungswürdigen Alert besitzen. Umgekehrt kann ein Health-Problem ohne offenen Threat Alert bestehen. Ein grüner Zustand beweist daher nur den von Sophos gemeldeten Status, nicht die vollständige Unbedenklichkeit.

Der Account Health Check gehört bewusst in einen eigenen Sophos-Fusion-weiten Review. Score-Formeln, Auto-Fix, Snooze, Policy Reset, Agent Mode, Tamper Protection und PDF-Export beschreibt Sophos Fusion Account Health Check richtig nutzen. Für Endpoint-Alerts bleibt hier die Regel: Ein Score- oder Statuswechsel ersetzt nie die technische Validierung am betroffenen Gerät.

Threat-Protection-Alerts priorisieren

Sophos führt unter anderem folgende Meldungen als besonders dringlich:

• Real-time protection disabled: Der Echtzeitschutz war länger als 2,5 Stunden deaktiviert. Nur eine von Sophos Support angeleitete, kurze Diagnose ist eine plausible Ausnahme.
• Malware not cleaned up: Erkannte Malware konnte auch nach 24 Stunden nicht entfernt werden, obwohl automatisches Cleanup verfügbar ist. Manual cleanup required bedeutet, dass automatisches Cleanup nicht verfügbar ist; bei Running malware not cleaned up konnte ein laufendes schädliches oder verdächtiges Programm nicht bereinigt werden. Der letzte Fall hat die höchste Priorität.
• Malicious traffic detected: Verdächtiger Netzwerkverkehr kann auf Command-and-Control- oder andere Malware-Aktivität hinweisen.
• Recurring infection: Eine Bereinigung wurde versucht, die Infektion kam aber zurück. Versteckte oder noch nicht erkannte Komponenten müssen gesucht und untersucht werden.
• Ransomware detected oder Ransomware gegen Netzwerkfreigaben: Quelle, Zielsysteme und mögliche laterale Wirkung müssen sofort geklärt werden.
• Outbreak detected: Sophos meldet einen Ausbruch, wenn ein Gerät innerhalb von 24 Stunden 100 Erkennungen erlebt. Die Menge darf die Ursachenanalyse nicht ersetzen.

Mittlere Alerts wie Potentially Unwanted Application detected, Computer scan required to complete cleanup, Reboot required to complete cleanup und Remotely-run ransomware detected benötigen ebenfalls ein eindeutiges Ergebnis. Ein Offline-Gerät führt den angeforderten Scan erst aus, wenn es wieder online ist; läuft bereits ein Scan, wird ein weiterer Auftrag ignoriert und der bestehende Scan fortgesetzt.

Nach Bedrohungsart untersuchen

Ransomware und Remote Ransomware

Bei Ransomware detected prüft man, ob Sophos den Prozess gestoppt, betroffene Dateien zurückgesetzt, einen Memory Scan ausgeführt und einen Threat Graph erzeugt hat. Fehlt das Cleanup, bleibt der Vorgang offen.

Eine verdächtige Datei wird nach Freigabe gemäss Datenklassifizierung direkt im SophosLabs-Intelix-Portal ausgewählt oder dorthin gezogen; eine geschützte Datei benötigt ihr Passwort. Mit Analyze startet die Analyse, ohne dass die Datei auf dem betroffenen Endpoint geöffnet wird. Das nicht authentifizierte Intelix Guest Portal akzeptiert eine Datei pro Übermittlung; nach der Anmeldung mit einer gültigen Sophos ID kann ein Durchgang bis zu zehn Dateien enthalten. Die Nutzungsbedingungen und der Datenschutzhinweis müssen vor der Übermittlung akzeptiert sein.

Zuerst wird der Static-Analysis-Report auf Klassifizierung und Befunde geprüft. Ist eine Verhaltensanalyse erforderlich, erzeugt Submit for dynamic analysis eine Sandbox-Auswertung. Disagree ist eine Beta-Funktion und steht nicht zwingend für jeden Report oder Account zur Verfügung. Wo sie angeboten wird, kann ein Benutzer mit validiertem Support-Portal-Profil Kunden-, Produkt- und Sample-Daten sowie Quelle und Untersuchungskontext erfassen und den verfügbaren Eskalationsschritten folgen. Je nach Berechtigung kann der Ablauf eine Eskalation an Sophos Support anbieten; die Nutzung von Disagree garantiert keine Falleröffnung, deshalb muss eine Support-Fallnummer separat bestätigt werden. Ist das Portal nicht nutzbar, scheitert die Übermittlung oder bleibt das Cleanup unklar, bleibt das Gerät isoliert; den vollständigen Bereinigungs- und Support-Ablauf beschreibt Sophos Endpoint Threat Cleanup und Malware-Bereinigung.

Die beiden Remote-Fälle müssen getrennt werden:

• Remotely-run ransomware detected: Ein anderes System greift die Freigabe an. Das Quellgerät anhand der gemeldeten IP identifizieren und dort ermitteln, ob es von Sophos Fusion verwaltet wird und CryptoGuard aktiv ist.
• Ransomware attacking a remote machine detected: Der gemeldete Endpoint versucht selbst, Dateien auf anderen Systemen zu verschlüsseln. Sophos blockiert dessen Schreibzugriff auf Netzwerkfreigaben; das Quellgerät bleibt trotzdem vollständig zu untersuchen.

Ein blockierter Share-Zugriff ist Eindämmung, kein Abschlussbeweis. Angrenzende Geräte, verwendete Konten und erreichbare Freigaben gehören in den Incident-Scope.

Browser-, Exploit- und IPS-Erkennungen

Bei einem Web browser attack zeigt der Threat Graph die zugehörige IP- und URL-Verbindung. Die Adresse wird bewertet und gegebenenfalls an der Unternehmens-Firewall blockiert. Hat der Benutzer ein Passwort eingegeben, wird es über den vorgesehenen Identity-Prozess geändert. Bei Bank- oder Zahlungszugriffen wird zusätzlich auf ungewöhnliche Aktivität geprüft.

Bei einem Exploit stoppt Sophos die erkannte Aktivität, informiert den Benutzer, prüft Prozesse im Speicher und erzeugt einen Threat Graph. Im Graph werden Ursprung, Ausbreitung sowie beteiligte Prozesse und Dateien untersucht. Eine wiederkehrende Ursache verlangt mehr als Awareness: Anwendung, Patchstand und Exploit-Schutz müssen geprüft werden.

Ein IPS Alert betrifft ein- oder ausgehenden Netzwerkverkehr. Eine IPS-Ausnahme nimmt passenden Traffic aus der Prüfung und muss deshalb eng begrenzt sein. Firewall-Freigaben werden separat konfiguriert. Den sicheren Umgang mit Detection-, Prozess-, Pfad- und Netzwerkausnahmen beschreibt Sophos Endpoint-Ausnahmen sicher konfigurieren.

Deep Learning und PUA

Deep-Learning-Erkennungen tragen bei Malware ein Präfix wie ML/. Erkannte PE-Dateien werden quarantänisiert; deshalb kann der Gerätestatus bereits wieder grün sein. Nur wenn Herkunft, Signatur oder Hash und Geschäftszweck die Datei belastbar als legitim bestätigen, wird sie wiederhergestellt und erlaubt.

Eine Potentially Unwanted Application (PUA) ist nicht zwingend bösartig, kann im Unternehmen aber Datenschutz-, Sicherheits- oder Betriebsrisiken erzeugen. Sophos blockiert und bereinigt PUAs normalerweise automatisch. Cleanup kann jedoch ausbleiben, wenn beispielsweise der Speicherort schreibgeschützt ist, ein Scan oder Neustart fehlt, die Datei in einem Archiv liegt oder keine Cleanup-Anweisung verfügbar ist. Dann werden Alert und Threat Graph untersucht, abhängige Prozesse entfernt und anschliessend Scan sowie Events kontrolliert.

Authorize PUA auf der Alerts-Seite erlaubt die PUA auf allen Computern. Für einen begrenzten Geschäftsfall ist eine möglichst enge Policy-Ausnahme die sicherere Wahl. Bei Windows und Linux kann eine legitime Anwendung je nach Plattform über Zertifikat, SHA-256 oder Pfad erlaubt werden; Sophos empfiehlt bei Windows das Zertifikat. Ein Hash gilt nur für diese Dateiversion, ein Pfad umfasst dagegen alles im definierten Ort. Auf macOS steht diese Allow-Application-Funktion nicht zur Verfügung.

False Positives sicher behandeln

«Die Anwendung ist bekannt» reicht als Freigabenachweis nicht. Vor einer Ausnahme werden Hersteller, Signatur, Hash, Quelle, betroffene Version, Detection Name und beobachtetes Verhalten geprüft. Bei Unsicherheit bleibt die Erkennung aktiv und Sophos Support erhält Sample und Falldaten.

• Anwendung: In den Gerätedetails unter Events > Details steht für unterstützte Plattformen Allow this application zur Verfügung. Zertifikat ist enger an den Herausgeber gebunden, SHA-256 an genau eine Version und Pfad an einen Speicherort. Die Freigabe gilt global für alle Benutzer und Computer und nimmt die Anwendung aus weiteren Threat Detections heraus; Prüfungen auf Exploits, Ransomware und Malicious Behavior bleiben aktiv.
• Exploit: Exclude this Detection ID from checking wirkt für alle Benutzer und Computer und wird in Global Exclusions gespeichert. Wo nur einzelne Benutzer oder Geräte betroffen sind, ist stattdessen eine gezielte Threat-Protection-Policy zu verwenden. Die ganze Anwendung von sämtlichen Exploit-Prüfungen auszunehmen, ist laut Sophos die riskanteste Variante und nur der letzte Ausweg.
• Ransomware: Exclude this Detection ID from checking aus den Eventdetails wirkt global für Benutzer und Computer und landet in Global Exclusions. Diese Reichweite muss vor der Bestätigung freigegeben sein.

Jede Ausnahme erhält Eigentümer, Begründung, Zielgruppe, Ablaufdatum und einen Funktionstest. Nach einer Herstellerkorrektur wird sie wieder entfernt.

Nicht sicherheitsbezogene Alerts richtig weiterleiten

Installations-, Policy-, Peripherie-, VDI- und reine Neustartprobleme sind keine automatische Malware-Bestätigung, brauchen aber einen eigenen technischen Eigentümer:

• Bei fehlgeschlagenem Schutz oder Agent-Installation hilft Sophos Endpoint Installation systematisch troubleshooten.
• Wiederkehrende Policy-Abweichungen werden über Sophos Endpoint-Richtlinien richtig aufbauen eingegrenzt.
• Geklonte Systeme benötigen den vorgesehenen Ablauf aus Sophos Endpoint in VDI-Gold-Images vorbereiten.
• Ein ausstehender Neustart erzeugt zunächst Events und nach zwei Wochen einen Alert. Wartungsfenster werden nicht erst nach Ablauf dieser Frist organisiert.

Für Zustellung, Empfänger, Frequenzen und Eskalation ist Sophos-Fusion-Alert-E-Mails und -Benachrichtigungen einrichten zuständig. Eine E-Mail ist nur der Transportkanal; massgeblich bleiben Alert, Events und Gerätezustand in Sophos Fusion.

Abschlusskriterien und Support-Übergabe

Ein Alert ist erst fachlich abgeschlossen, wenn:

• Ursache und betroffener Scope bekannt sind,
• Cleanup, Scan, Neustart oder Konfigurationskorrektur nachweislich beendet ist,
• keine neuen zugehörigen Events auftreten,
• Gerätestatus und benötigte Schutzfunktionen plausibel sind,
• eine Ausnahme getestet, befristet und verantwortet ist,
• die Dokumentation Alert-ID, Zeit, Gerät, Detection Name und Ergebnis enthält.

Sophos Support ist angemessen, wenn Cleanup wiederholt fehlschlägt, eine Infektion zurückkehrt, der Agent beschädigt wirkt oder ein belastbar vermutetes False Positive nicht sicher freigegeben werden kann. Zum Ticket gehören Alert-ID, Gerät, Zeitfenster, Detection Name, Hash, Signatur, relevante Logs, Threat-Graph-Befund, bereits ausgeführte Schritte und das erwartete Ergebnis.

Häufige Fragen