Sophos Endpoint isolieren und mit Live Response prüfen

Bei einem aktiven Verdacht trennt die Isolation einen Endpoint vom Netzwerk, während das Gerät weiterhin aus Sophos Fusion (ehemals Sophos Central) verwaltet werden kann. Konfigurierte Isolationsausnahmen können weiterhin begrenzte Kommunikation erlauben. Live Response öffnet danach eine privilegierte Remote-Shell für Untersuchung und Bereinigung. Beide Funktionen greifen unmittelbar in den Betrieb ein: Isolation verändert den Netzwerkverkehr, Live Response erlaubt Prozesse zu beenden, Geräte neu zu starten, Ordner zu durchsuchen und Dateien zu löschen.

Sicherer Ablauf in Kurzform

1. Gerät, Benutzer, Alarm und Threat Graph gegen Ticket oder Incident abgleichen.
2. Bei akuter Ausbreitungsgefahr das betroffene Gerät administrativ isolieren; bei Ransomware, Credential Theft oder Command-and-Control hat Eindämmung normalerweise Vorrang.
3. Live Response nur mit passender Lizenz, Policy, Rolle und MFA starten.
4. Zuerst Zustand und Beweise erfassen, erst danach gezielt verändern.
5. Sitzung mit End Session beenden und Audit- sowie Sitzungsprotokoll sichern.
6. Bedrohung bereinigen oder blockieren, Scan und Health prüfen und erst dann die Admin Isolation entfernen.

Admin Isolation und automatische Isolation unterscheiden

Für automatische Isolation zählt der vom Gerät gemeldete Health State. Rot kann unter anderem eine erkannte Bedrohung, veraltete Software, Policy-Abweichung oder unvollständigen Schutz bedeuten. Der in Sophos Fusion angezeigte Gesamtstatus kann wegen zusätzlicher Faktoren abweichen. Automatisch isolierte Geräte erscheinen nicht in Admin Isolated Devices und lassen sich dort nicht manuell freigeben.

Sophos empfiehlt, Device Isolation zuerst über eine Threat-Protection-Policy auf einer repräsentativen Gerätegruppe zu pilotieren. Prüfen Sie dabei auch den Supportweg für Geräte, die nicht wegen eines Angriffs, sondern wegen eines Schutz- oder Updateproblems rot werden. Lokal zwischengespeicherte Windows-Netzwerkdateien können während der Isolation noch sichtbar sein; das beweist keine aktive Netzwerkverbindung.

Die vollständige Policy-Logik beschreibt Sophos Fusion Threat Protection richtig konfigurieren. Für notwendige Ausnahmen gilt: nur Richtung, Adresse und Port freigeben, die für einen klaren Zweck erforderlich sind. Beispiele und Grenzen stehen unter Sophos Endpoint Exclusions sicher planen.

Voraussetzungen und Rechte für Live Response

Live Response erfordert Sophos EDR, XDR oder MDR. Für Computer wird die Verbindung in My Products > Endpoint > Policies > Data Collection and Investigation > Policy > Settings mit Allow Live Response connections to computers erlaubt. Die Base Policy gilt standardmässig für alle Computer; sensible Geräte gehören bei Bedarf in eine Gruppe mit eigener Policy, in der Live Response ausgeschaltet bleibt. Bei MDR ist Live Response standardmässig ein-, bei anderen berechtigten Lizenzen standardmässig ausgeschaltet.

Für Server getrennt freischalten: Die Computer-Einstellung gilt nicht für Server. Vor einer Änderung die dem Zielserver tatsächlich zugewiesene Policy und alle betroffenen Server prüfen; die Server-Base-Policy gilt standardmässig für alle Server und darf nicht beiläufig für den ganzen Bestand geöffnet werden. Falls Live Response nur für einen begrenzten Serverkreis benötigt wird, zuerst die Base Policy und alle anderen wirksamen Server-Policies prüfen und Live Response ausserhalb dieses Kreises ausschalten; bei MDR kann es standardmässig eingeschaltet sein. Dann der Zielgruppe eine passende Policy zuweisen und nur dort unter My Products > Server > Policies > Data Collection and Investigation > [Policy] > Settings Allow Live Response connections to servers einschalten und Save wählen. Die wirksame Einstellung am Zielserver und an Servern ausserhalb der Zielgruppe prüfen. Die Server-Policy unterstützt Windows- und Linux-Server.

Policy-Verwaltung und Sitzungsstart sind getrennte Rechte:

• Einstellungen ändern: Super Admin oder Custom Role mit Manage Data Collection and Investigation settings for computers.
• Server-Einstellungen ändern: Super Admin oder Custom Role mit Manage Data Collection and Investigation settings for servers.
• Sitzung starten: Super Admin oder Custom Role mit Start Live Response sessions on computers für Computer.
• Server-Sitzung starten: Super Admin oder Custom Role mit Start Live Response sessions on servers.
• Für den Sitzungsstart braucht die Custom Role eine Base Role Full oder Help Desk und die jeweilige zusätzliche Startberechtigung. Beim Produktzugriff widersprechen sich die Sophos-Anleitungen: Der allgemeine Custom-Role-Leitfaden erlaubt Full oder Help Desk für Endpoint Protection bzw. Server Protection; die spezielle Live-Response-Anleitung nennt Full. Prüfen Sie deshalb vor dem Einsatz von Help Desk-Produktzugriff die wirksamen Rechte im eigenen Tenant. Zum Ändern der Server-Policy braucht die Custom Role Full-Zugriff auf Server Protection und Manage Data Collection and Investigation settings for servers.
• Ein MSP kann diese Custom Role derzeit nicht aus Sophos Fusion Partner im Kundenkonto erstellen.

Planen Sie diese Rechte nach dem Least-Privilege-Prinzip und prüfen Sie die effektive Rollenzuweisung vor dem Incident. Der separate Leitfaden Sophos Fusion Endpoint Rollen und Berechtigungen planen ordnet Produktzugriff und Zusatzrechte ein.

Beim Start von Live Response fordert Sophos Fusion normalerweise eine MFA-Challenge an. Bei föderierter Anmeldung kann IdP Enforced MFA diese Challenge vermeiden, wenn ein unterstützter Identity Provider MFA erzwingt. Der dokumentierte Pfad lautet Global Settings > Access Control > Sign-in and Identity > Federated identity providers.

Gerät administrativ isolieren

Aus einem Threat Graph ist der offiziell dokumentierte Pfad:

1. Threat Analysis Center > Threat Graphs öffnen und den passenden Graph auswählen.
2. Summary und Suggested next steps prüfen und sicherstellen, dass Graph und Gerät zum Incident gehören.
3. Bei hoher Priorität Isolate this device wählen. Diese Aktion im Threat Graph erfordert Sophos XDR und wird bei bereits automatisch isolierten Geräten nicht angeboten.
4. In Sophos Fusion kontrollieren, dass das richtige Gerät isoliert ist und weiterhin verwaltet werden kann.
5. Im Ticket Zeitpunkt, ausführende Person, Grund und erwartete Auswirkung dokumentieren.

Weitere Treffer können in den Item Search Results über Isolate device isoliert werden. Mehrere betroffene Geräte werden einzeln gegen den Incident abgeglichen; eine breite Isolation ohne bestätigten Scope kann den Geschäftsbetrieb unnötig unterbrechen.

Administrativ isolierte Geräte stehen unter Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Dort lässt sich später auch Remove from Isolation ausführen. Eine Ausnahme für RDP, SSH oder ein Bereinigungssystem erweitert dagegen bewusst die Kommunikation eines isolierten Geräts und wird nur befristet und so eng wie möglich erstellt.

Live-Response-Sitzung sicher durchführen

Vor dem Start

Halten Sie mindestens Ticket-ID, Gerätename, erwartetes Betriebssystem, Zweck, geplante nur lesende Prüfungen, mögliche Änderungen und einen Rückweg fest. Stimmen Sie lokale Massnahmen mit Sophos MDR oder einem anderen Response-Team ab, damit keine Artefakte verschwinden und sich Arbeiten nicht gegenseitig behindern.

Sitzung öffnen

1. My Environment > Computers & Servers öffnen.
2. Das verifizierte Gerät auswählen und dessen Detailseite öffnen. Bei einem Server zusätzlich Zielidentität, wirksame Server-Policy und Startberechtigung prüfen.
3. Actions > Live Response wählen.
4. Zweck der Sitzung präzise angeben.
5. Das Terminal in der neuen Browser-Registerkarte verwenden. Öffnet sie sich nicht, Pop-up-Blockierung für Sophos Fusion prüfen.

Der Server-Policy-Pfad oben dient nur der Freischaltung, nicht dem Sitzungsstart. Die MFA-Prüfung gilt für Computer und Server.

Die Shell erwartet DOS-, UNIX- oder Linux-Befehle passend zum verbundenen Gerät. Ein erfolgreicher Verbindungsaufbau ist nur die Freigabe zum Arbeiten, kein Beweis für einen bereinigten Endpoint.

Erst erfassen, dann verändern

Ein belastbarer Ablauf trennt Beobachtung und Remediation:

1. Zeitbezug, angemeldete Benutzer, laufende Prozesse und Netzwerkverbindungen erfassen.
2. Verdächtige Dateien, Pfade, Hashes, Signaturen und Persistenzmechanismen dokumentieren.
3. Relevante Logs und Artefakte sichern und ihren Speicherort notieren.
4. Vor jeder Änderung Ziel, Auswirkung, Abhängigkeiten und Rückweg nochmals prüfen.
5. Nur die bestätigte schädliche Aktivität stoppen oder entfernen.
6. Danach zentralen Scan, Threat Graph, Alerts und Health State erneut prüfen.

Befehle nicht explorativ auf Produktivsystemen ausprobieren. Ist ein Pfad, Prozess oder Artefakt nicht eindeutig zugeordnet, bleibt der Endpoint isoliert und der Fall wird an Sophos Support, MDR oder das Incident-Response-Team eskaliert.

Sitzung beenden und Audit sichern

Mit End Session wird die Verbindung kontrolliert beendet. Sie endet auch beim Schliessen oder Aktualisieren der Registerkarte, beim Wegnavigieren in Sophos Fusion oder nach 30 Minuten ohne Aktivität.

Unter Reports > Logs > Audit Logs belegen Start- und Endeinträge Administrator, Zielgerät und angegebenen Zweck. Das vollständige Befehlsprotokoll steht unter Reports > Logs > Live Response session audit > Download session log als gzip-Datei bereit. Zum Abruf benötigt eine Custom Role sowohl Manage Live Response settings for computers als auch Manage Live Response settings for servers; alternativ kann ein Super Admin das Protokoll sichern.

Bei Server-Sitzungen Zielserver und Zweck in den Audit-Einträgen gegen das Ticket abgleichen und das heruntergeladene Sitzungsprotokoll auf die tatsächlich ausgeführten Befehle prüfen. Eine erfolgreiche Verbindung allein bestätigt nicht die Bereinigung des Zielservers.

Für sensible Umgebungen werden zusätzlich Ticket-ID, Befehle, gesicherte Artefakte, Hashes, Resultat und die Entscheidung über die Freigabe dokumentiert.

Optional einen Forensic Snapshot erstellen

Ein Forensic Snapshot erfasst jüngste Geräteaktivität. Sophos erzeugt bei bestimmten Erkennungen automatisch Daten für einen Threat Graph; zusätzlich lässt sich ein Snapshot anfordern:

1. My Environment > Computers & Servers > Gerät > Summary öffnen.
2. More actions > Create forensic snapshot > Create now wählen.
3. Auf Windows liegt ein manuell erstellter Snapshot standardmässig unter:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\

Automatisch aufgrund von Erkennungen gespeicherte Daten liegen unter:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\

Bei aktivem Tamper Protection erfordert der lokale Zugriff eine erhöhte Eingabeaufforderung. Der Snapshot wird anschliessend mit SDR Exporter in SQLite oder JSON umgewandelt; er ist kein direkt lesbarer Bericht. Dokumentieren Sie Eingabedatei, Ausgabeformat und einen selbst ermittelten Hash des Originals, ohne ihn als von Sophos erzeugten Prüfnachweis zu missverstehen.

Standardmässig umfasst ein Snapshot die vergangenen zwei Wochen. Unter Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots lässt sich der Zeitraum ändern oder All log data wählen.

Upload nach AWS S3

Der S3-Upload aus Sophos Fusion ist nur von Windows-Geräten und mit XDR oder MDR verfügbar. Die von Sophos dokumentierte IAM-Policy benötigt für den vorgesehenen Bucket s3:ListBucket und s3:PutObject. Sophos Fusion zeigt eine AWS Account ID und External ID für die Trust Policy an; nach Erstellung der IAM-Rolle kann ihre Replikation bis zu fünf Minuten dauern.

Bucket-Name, optionales Zielverzeichnis und Role ARN werden unter Forensic Snapshots gespeichert. Sophos empfiehlt zusätzlich eine restriktive Bucket Policy, AES-256-Verschlüsselung und eine Lifecycle-Regel für unvollständige Multipart Uploads. KMS-verschlüsselte Buckets und Sonderzeichen im Bucket-Namen werden für diesen Upload nicht unterstützt. Firewall-Regeln müssen die Verbindung zum S3-Bucket erlauben.

Ein erfolgreicher Pilot endet nicht bei einer Meldung in Sophos Fusion: Prüfen Sie, ob das erwartete Objekt im richtigen Bucket und Präfix vorhanden ist und gemäss eigener Aufbewahrungsregel geschützt wird.

Bereinigen, freigeben und überwachen

Eine Admin Isolation wird erst entfernt, wenn:

• verdächtige Prozesse und Persistenz untersucht sind,
• schädliche Anwendungen bereinigt oder blockiert wurden,
• kompromittierte Anmeldedaten bei Bedarf rotiert sind,
• Agent und Betriebssystem den erwarteten Update-Stand haben,
• Scan, Alerts, Threat Graph und Health State keine ungeklärte aktive Bedrohung zeigen,
• ein Zeitraum und eine verantwortliche Person für die Nachbeobachtung feststehen.

Danach im Threat Graph Suggested next steps > Remove from isolation oder unter Admin Isolated Devices das Gerät auswählen und Remove from Isolation wählen. Prüfen Sie anschliessend am richtigen Gerät, ob notwendige Geschäftsverbindungen wieder funktionieren, Sophos Fusion weiterhin aktuelle Daten erhält und keine erneute Erkennung oder Isolation auftritt.

Bei automatischer Isolation wird nicht manuell freigegeben. Beheben Sie den Grund für den lokal roten Health State. Bleibt das Gerät danach rot oder wird nicht automatisch freigegeben, sichern Sie Zeitpunkte, Events und Health-Details und eskalieren Sie, statt Isolation oder Schutz dauerhaft über breite Ausnahmen zu umgehen.

Typische Fehler und sichere nächste Schritte

• Live-Response-Registerkarte öffnet nicht: Pop-up-Freigabe des Browsers für Sophos Fusion prüfen und den Start erneut bewusst auslösen.
• Sitzung endet unerwartet: Prüfen, ob die Registerkarte geschlossen, aktualisiert, verlassen oder 30 Minuten inaktiv war. Vor einer neuen Sitzung den letzten Audit-Eintrag und bereits ausgeführte Änderungen abgleichen.
• Gerät fehlt unter Admin Isolated Devices: Den lokalen Health State und die Threat-Protection-Policy prüfen. Automatisch isolierte Geräte stehen nicht in dieser Liste.
• Live Response verbindet nicht: Policy-Zuweisung, Lizenz, Rolle, MFA und Erreichbarkeit des Sophos-Managementpfads prüfen. Das Gerät isoliert lassen und keine breite Netzwerkausnahme als Schnelllösung erstellen.
• Befehl oder Artefakt ist unklar: Keine Mutation ausführen. Sitzung dokumentiert beenden und mit Sophos Support, MDR oder dem Incident-Response-Team weiterarbeiten.
• S3-Objekt fehlt: Windows- und Lizenzvoraussetzung, Bucket-Name, Role ARN, Trust- und IAM-Policy sowie Firewall-Freigabe prüfen; danach mit einem Pilotgerät erneut validieren.