Sophos Endpoint Events, Alerts und Reports auswerten
Sophos Central zeigt dieselbe Umgebung aus verschiedenen Blickwinkeln. Events sind der technische Verlauf, Alerts bündeln Vorgänge mit möglichem Handlungsbedarf, Audit Logs dokumentieren administrative Änderungen und Reports fassen Geräte, Schutz oder Spezialfunktionen zusammen.
Ein Alert kann geschlossen oder automatisch resolved werden, während das zugrunde liegende Event erhalten bleibt. Umgekehrt kann ein Event erst später zum Alert werden, beispielsweise wenn ein Endpoint zwei Stunden nicht policy-konform ist.
Events
Unter Reports > General Logs > Events lassen sich Ereignisse nach Benutzer, Gerät oder Threat-Namen suchen und nach Kategorie filtern. Dateinamen sind derzeit kein Suchfeld. Der Zeitraum reicht bis 90 Tage.
Die Event-Tabelle zeigt Severity, Zeitpunkt, Typ, Benutzer, Benutzergruppe, Gerät und Gerätegruppe. Eine gespeicherte Custom Report-Ansicht ist nur für den Administrator sichtbar, der sie erstellt hat. Partner- oder Enterprise-Admins sehen diese persönliche Ansicht nicht automatisch.
Exports liefern die aktuelle Ansicht oder bis zu 90 Tage als CSV beziehungsweise PDF. Für wiederkehrende Auswertungen wird dokumentiert, welche Filter aktiv waren; sonst sind zwei Exporte kaum vergleichbar.
Alerts
Unter My Environment > Alerts werden offene, geschlossene, reopened und resolved Alerts angezeigt. Mehrere Events können in einem Alert zusammengefasst sein. Filter stehen für Severity, Produkt, Kategorie, verfügbare Aktion, Titel und Zeitraum bereit.
Acknowledge entfernt einen Alert aus der aktiven Liste, löst aber keine Bedrohung und bereinigt nicht den lokalen Quarantine Manager. Mark as Resolved bestätigt ebenfalls nur, dass die Ursache bereits behoben wurde; auf Windows werden dabei Threat-Details im lokalen Quarantine Manager entfernt.
Ein Application-False-Positive wird nicht aus der Alert-Liste freigegeben, sondern über das konkrete Event. Eine PUA-Autorisierung aus Alerts gilt dagegen tenantweit für alle Computer und besitzt deshalb einen grösseren Wirkungsbereich als eine Policy-Ausnahme.
Wichtige Zeitgrenzen
| Vorgang | Schwelle oder Aufbewahrung |
|---|---|
| Policy non-compliance | Alert nach zwei Stunden |
| Real-time protection disabled | High Alert nach 2,5 Stunden |
| fehlgeschlagener Schutzaufbau | High Alert nach einer Stunde |
| Restart pending | Alert nach zwei Wochen |
| Outbreak | 100 Detections in 24 Stunden |
| Events und Audit Log | bis 90 Tage |
| gelöschte Geräte und Tamper-Kennwörter | 120 Tage, Wiederherstellung 30 Tage |
Diese Grenzen erklären, warum eine Änderung nicht sofort in derselben Ansicht erscheint. Ein ausbleibender Alert kurz nach einer Policy-Abweichung ist noch kein Beleg für korrekte Compliance.
Audit Log
Unter Reports > General Logs > Audit Logs zeigt Sophos standardmässig sieben Tage, maximal 90 Tage. Festgehalten werden Administrator, Objekttyp, Änderung, Beschreibung und Quell-IP.
Der aktuelle View-Export übernimmt Datums- und Suchfilter. Ein Export der vergangenen 90 Tage übernimmt nur den Suchfilter, nicht den im Bildschirm gewählten Datumsbereich. Für eine Incident-Dokumentation wird deshalb die Exportoption bewusst gewählt.
Live-Response-Sitzungen erscheinen im Audit Log. Das detaillierte Session Audit enthält zusätzlich die eingegebenen Befehle und wird separat als komprimierte Datei heruntergeladen.
DLP Event Log
Das Endpoint-DLP-Protokoll steht unter Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Es zeigt Regel, Aktion, Dateiname und Ziel. Ein Endpoint sendet höchstens 50 DLP-Events pro Stunde an Central, weitere bleiben lokal. Ein Export umfasst maximal 5'000 Events.
Der Data Control Summary Report unter Sophos Email ist ein anderes Produkt und darf nicht für Endpoint-DLP ausgewertet werden.
Computer- und Hero-Report
Der Computer Report zeigt verwaltete Endpoints mit letztem Status, letztem Benutzer, Updatezeit, Gruppe und Agent-Status. «Online» beziehungsweise Last Active wird im Mittel nur einmal pro Stunde aktualisiert.
Der Hero Report fasst 30 Tage mit blockierten Threats, geschützten Assets, Web-Control-Wirkung und Lizenznutzung zusammen. Der Zeitraum ist nicht änderbar, der Report umfasst nur einen Tenant und kann nicht geplant werden. Er eignet sich für eine Managementübersicht, nicht als vollständiges Incident-Protokoll.
Dashboards und Widgets
Das Central Overview Dashboard verbindet die wichtigsten Alert-, Health-, Geräte-, Benutzer- und Web-Control-Informationen. Weitere Sophos-Dashboards hängen von den vorhandenen Lizenzen ab. Das Threat-Analysis-Center-Dashboard benötigt beispielsweise XDR.
Central Admins und Super Admins können unter Dashboards > Manage dashboards eigene Dashboards erstellen, klonen, als Standard setzen und an das Menü anheften. Diese Custom Dashboards sind persönlich: Andere Administratoren sehen sie nicht automatisch. Ein Dashboard ist deshalb keine gemeinsam verwaltete Betriebsdefinition, solange Filter, Widget-Auswahl und Verantwortlichkeiten nicht zusätzlich dokumentiert sind.
Widgets lassen sich mehrfach mit unterschiedlichen Filtern verwenden. Fehlt ein Widget oder zeigt es keine Daten, werden zuerst Lizenz, Rolle, Datenquelle, Zeitraum und Filter geprüft. Ein leeres Widget beweist nicht, dass keine Events existieren.
Sophos- und Custom-Dashboards lassen sich als PDF-Snapshot exportieren, nicht jedoch das Central Overview Dashboard. Kartenbasierte Widgets erscheinen im PDF leer. Für prüfbare Auswertungen bleiben CSV- beziehungsweise API-Exporte und die dokumentierten Filter wichtiger als ein optischer Dashboard-Snapshot.
Attack Details
Bei einem von Sophos erkannten laufenden schweren Angriff erscheint ein nicht einfach ausblendbares Banner. Der Attack-Details-Report zeigt betroffene Geräte und eine Timeline. Neue Events werden bis zu 30 Tage ergänzt oder bis der Administrator bestätigt, dass der Angriff behoben ist.
Das Schliessen des Banners schliesst den zugehörigen kritischen Alert nicht automatisch. Beide Zustände werden getrennt geprüft. Diese Funktion steht Endpoint- beziehungsweise XDR-Kunden mit passenden Administratorrechten zur Verfügung, nicht in derselben Form für MDR-Kunden.
Betriebsrhythmus
Täglich werden High Alerts, nicht bereinigte Threats, Outbreaks und fehlgeschlagene Installationen geprüft. Wöchentlich folgen Policy-Compliance, Update- und Restart-Events sowie wiederkehrende PUAs. Monatlich werden Audit Log, Hero Report, Lizenzanzeige und langfristige Gerätehygiene ausgewertet.
Der Report ersetzt keine Reaktion. Jede Metrik besitzt einen Verantwortlichen, einen Schwellenwert und einen definierten nächsten Schritt.
Verwandte Artikel
Die technische Behandlung von Threats steht in Sophos Endpoint Threat Cleanup und Malware-Bereinigung. DLP-spezifische Ereignisse erklärt Sophos Endpoint Data Loss Prevention konfigurieren.