Sophos Endpoint isolieren und mit Live Response prüfen
Bei einem aktiven Verdacht ist Isolation oft die schnellste Möglichkeit, weitere Kommunikation zu stoppen. Sophos Central hält dabei den eigenen Managementkanal offen. Dadurch kann ein isoliertes Gerät weiterhin Richtlinien empfangen und mit Live Response untersucht werden.
Die Isolation wird technisch durch den Network-Threat-Protection-Treiber umgesetzt. Administrator-Isolation benötigt EDR, XDR oder MDR. Dieser Artikel behandelt Windows- und macOS-Endpoints. Sophos Protection for Linux gehört zum getrennten Server- und Workload-Bereich und verwendet nicht automatisch dieselben Isolation Exclusions.
Vor der Isolation werden Geschäftsimpact, Beweissicherung und Erreichbarkeit der verantwortlichen Person berücksichtigt. Bei Ransomware, Credential Theft oder Command-and-Control-Verkehr hat die Eindämmung normalerweise Vorrang.
Zwei Arten der Isolation
| Art | Auslöser | Aufhebung |
|---|---|---|
| Admin isolate | Administrator isoliert ein Gerät manuell | Administrator kann Isolation entfernen |
| Automatic device isolation | Threat-Protection-Policy isoliert bei lokal rotem Health | erst nach Behebung und lokal grünem Health automatisch |
Die Liste Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices enthält nur administrativ isolierte Geräte. Automatisch isolierte Geräte erscheinen dort nicht.
Automatische Isolation pilotieren
Die Option liegt in der Threat-Protection-Policy. Ein Gerät isoliert sich, wenn sein lokaler Health State rot ist, etwa wegen Bedrohung, veralteter Software, Policy-Abweichung oder unvollständigem Schutz.
Sophos empfiehlt einen Test mit einer repräsentativen Gerätegruppe. Ein automatisches Isolationsmodell braucht einen Supportweg für Geräte, die wegen Netzwerk- oder Softwareproblemen rot werden.
Eine automatisch ausgelöste Isolation kann nicht einfach manuell aufgehoben werden. Zuerst wird die Ursache korrigiert. Sobald der Endpoint lokal wieder grünen Health meldet, endet die Isolation.
Ein roter Health State kann beim Herunterfahren entstehen, wenn ein Fremddienst den Shutdown verzögert, Sophos Health aber einen bereits gestoppten Schutzdienst sieht. Wird das Gerät nach dem Start automatisch isoliert, werden System Event Log und Service Control Manager rund um den Shutdown geprüft. Bekannter Auslöser ist ein Timeout von HPAudioAnalytics mit Event ID 7011; der verursachende Fremddienst wird mit dessen Hersteller behoben, nicht durch dauerhaftes Abschalten der automatischen Isolation.
Admin Isolation
Für eine manuelle Isolation wird unter My Environment > Computers & Servers das Gerät geöffnet und über Actions isoliert. Ein administrativ isoliertes Gerät kann später über das Geräteobjekt oder Admin Isolated Devices zurück ins Netz gebracht werden.
Die Freigabe erfolgt erst, wenn:
- aktive Prozesse und Persistenz geprüft sind
- Bedrohungen bereinigt oder blockiert wurden
- Anmeldedaten bei Bedarf rotiert sind
- Agent und Betriebssystem aktuell sind
- Health State plausibel ist
- Monitoring für einen möglichen Rückfall besteht
Live Response vorbereiten
Live Response setzt Sophos EDR, XDR oder MDR voraus. Für Computer wird die Funktion in der Data Collection and Investigation policy unter My Products > Endpoint > Policies aktiviert.
Die Berechtigungen werden getrennt vergeben:
- Policy-Einstellung verwalten
- Live-Response-Sitzung starten
Super Admins besitzen die nötigen Rechte. Für andere Personen wird eine Custom Role mit möglichst engem Umfang eingerichtet. Zum Sitzungsstart ist MFA erforderlich.
Bei einer föderierten Anmeldung mit einem unterstützten Identity Provider kann IdP Enforced MFA die zusätzliche Central-MFA-Abfrage beim Sitzungsstart ersetzen. Das wird nur aktiviert, wenn der Identity Provider die MFA-Challenge zuverlässig erzwingt und protokolliert.
Live Response ist bei MDR standardmässig aktiviert, bei anderen passenden Lizenzen normalerweise standardmässig deaktiviert. Sensible Geräte können eine eigene Policy erhalten, in der Live Response ausgeschaltet ist.
Sitzung starten
- My Environment > Computers & Servers öffnen.
- Gerät auswählen.
- Actions > Live Response wählen.
- Zweck der Sitzung präzise beschreiben.
- Terminal in der neuen Browser-Registerkarte verwenden.
- Untersuchung und Änderungen fortlaufend dokumentieren.
- Sitzung mit End Session beenden.
Die Verbindung endet auch beim Schliessen oder Neuladen der Registerkarte sowie nach 30 Minuten ohne Aktivität.
Live Response ist eine privilegierte Remote-Shell. Befehle werden nicht explorativ auf Produktivsystemen ausprobiert. Vor Datei- oder Prozessänderungen werden Pfad, Hash, Abhängigkeiten und Beweiswert geprüft.
Investigation auf einem isolierten Gerät
Ein sinnvoller Ablauf trennt Sammeln und Verändern:
- Zeit, Benutzer, Netzwerkverbindungen und laufende Prozesse erfassen.
- verdächtige Dateien hashen und Signaturen prüfen.
- Autostarts, geplante Tasks und Persistenz untersuchen.
- relevante Logs und Artefakte sichern.
- erst danach Prozess stoppen, Datei entfernen oder Konfiguration ändern.
- zentralen Scan und Threat Graph erneut prüfen.
Falls ein MDR-Team beteiligt ist, werden parallele lokale Änderungen abgestimmt. Sonst können Artefakte verschwinden oder zwei Response-Wege einander behindern.
Forensic Snapshots
Ein Forensic Snapshot erfasst die jüngste Aktivität eines Geräts. Sophos erstellt bei bestimmten Erkennungen automatisch Daten für Threat Graphs. Zusätzlich kann ein Snapshot unter My Environment > Computers & Servers > Gerät > Summary > More actions > Create forensic snapshot angefordert werden.
Standardpfad für manuelle Snapshots unter Windows:
%PROGRAMDATA%\\Sophos\\Endpoint Defense\\Data\\Forensic Snapshots\\
Automatisch gespeicherte Erkennungsdaten liegen unter:
%PROGRAMDATA%\\Sophos\\Endpoint Defense\\Data\\Saved Data\\
Mit aktivem Tamper Protection braucht der lokale Zugriff eine erhöhte Eingabeaufforderung. Für die Umwandlung und eigene Analyse ist ein separater Arbeitsschritt nötig. Der Upload in einen S3-Bucket steht nur für Windows und mit XDR- oder MDR-Lizenz zur Verfügung.
Standardmässig umfasst ein Snapshot die vergangenen zwei Wochen. Unter Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots kann der Zeitraum angepasst oder alle verfügbaren Logdaten gewählt werden.
Für die Analyse wird der Snapshot mit SDR Exporter in SQLite oder JSON umgewandelt. Ein Snapshot ist somit kein direkt lesbarer Bericht. Eingabe, Ausgabeformat und Hash des Originals werden in der Untersuchung dokumentiert.
Beim zentralen Upload in AWS S3 erhält die Sophos-Rolle nur s3:ListBucket und s3:PutObject für den vorgesehenen Bucket. Eine Lifecycle-Regel entfernt abgebrochene Multipart Uploads, damit keine unbemerkten Speicherkosten entstehen. KMS-Verschlüsselung wird für diesen Upload derzeit nicht unterstützt; AES-256 ist unterstützt und wird empfohlen.
Bucket-Name und optionales Zielverzeichnis werden unter Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots zusammen mit dem Role ARN hinterlegt. Die von Central angezeigte AWS Account ID und External ID gehören in die Trust Policy der Rolle. Nach dem Erstellen der Rolle wartet man bis zu fünf Minuten auf die AWS-Replikation, bevor die Konfiguration gespeichert und mit einem Pilotgerät getestet wird.
Sonderzeichen im Bucket-Namen werden nicht unterstützt. Dauert ein Snapshot-Upload länger als eine Stunde, läuft er ab; grosse Zeiträume und langsame Leitungen werden deshalb vor dem produktiven Einsatz getestet. Firewall-Regeln müssen den S3-Upload zulassen. Im MCS-Log belegen eine erhaltene Presigned URL, der anschliessende PUT und die Meldung Upload ... succeeded den erfolgreichen Transfer. Eine Central-Erfolgsmeldung und das Geräte-Event werden zusätzlich mit dem tatsächlich vorhandenen Objekt im Bucket abgeglichen.
Event Journals müssen aktiv gewesen sein, damit die entsprechende Historie vorhanden ist. Ein späterer Snapshot kann zuvor nicht erfasste Aktivität nicht rekonstruieren.
Audit und Nachbereitung
Start und Ende allgemeiner Live-Response-Sitzungen erscheinen im Sophos-Central-Audit-Log. Unter Reports > Logs > Live Response session audit lässt sich zusätzlich ein komprimiertes Sitzungsprotokoll mit den eingegebenen Befehlen herunterladen. Dafür braucht die Rolle sowohl die Computer- als auch die Server-Berechtigung zur Verwaltung von Live Response.
Für sensible Umgebungen werden zusätzlich Ticket-ID, Zweck, ausführende Person, Befehle, gesicherte Artefakte und Resultat dokumentiert.
Nach der Bereinigung folgt kein sofortiges «alles grün». Das Gerät wird aktualisiert, gescannt, auf korrekte Policies geprüft und für einen definierten Zeitraum beobachtet. Erst dann wird eine Admin Isolation aufgehoben.