Sophos Fusion Endpoint Rollen und Berechtigungen planen

Sophos Fusion (ehemals Sophos Central) Rollen wirken bei Endpoint nicht nur auf sichtbare Menüs. Produktzugriff, Access Type und zusätzliche Berechtigungen bestimmen gemeinsam, ob ein Admin Policies ändern, Live Response starten, Data-Lake-Uploads aktivieren, Tamper Protection ausschalten oder einen Computer aus der Isolation holen darf.

Die tenantweite Auswahl, Zuweisung und Prüfung der Standard- und Custom Roles erklärt das Central-Admin-Runbook zu Administrationsrollen. Dieser Artikel ergänzt gezielt die Endpoint- und XDR-Wirkung, statt Benutzeranlage, Rollenwechsel und Offboarding zu wiederholen.

Endpoint Custom Role statt pauschalem Vollzugriff

Nur ein Super Admin kann eine Custom Role erstellen. Der vollständige Ablauf lautet:

1. Das Symbol Global Settings öffnen und Access Control > Admins and Roles > Roles > Add role wählen.
2. Einen eindeutigen Name und eine zweckbezogene Description eintragen.
3. Unter Base role die Standardrolle auswählen, deren Grundrechte gelten sollen.
4. Für Endpoint Protection, Server Protection und alle weiteren Produkte jeweils den erforderlichen Access Type (Full, Help Desk, Read-only oder None) setzen.
5. Bei den zusätzlichen Zugriffs- und Verwaltungsoptionen der Custom Role nur die benötigten Zusatzrechte aktivieren und mit Save speichern.
6. Die neue Rolle öffnen, neben Role Members auf Edit klicken, die Administratoren auswählen und erneut Save wählen.

Eine praktikable Endpoint-Help-Desk-Rolle kann beispielsweise so aufgebaut sein:

• Basisrolle Help Desk
• Produkt Endpoint Protection
• Access Type passend zum tatsächlichen Auftrag
• alle nicht benötigten Produkte auf None
• Logs und Reports nur bei betrieblichem Bedarf
• Policy-Verwaltung und Policy-Zuweisung getrennt entscheiden
• Live Response, Data Collection und Isolation nicht automatisch mitfreigeben

Die Zusatzoptionen gelten nur für die in der Rolle ausgewählten Produkte. Neben Logs, Policy-Rechten und Live Response gibt es getrennte Optionen für Computer und Server, Enable global search management sowie das Ausschalten von Tamper Protection und das Entfernen aus der Isolation. Global Search setzt Endpoint Protection oder Server Protection mit Access Type Full voraus.

Nach jeder Rollenänderung wird mit einem Testkonto kontrolliert, welche Menüs, Geräte und Aktionen tatsächlich verfügbar sind. Der Rollenname ist kein Berechtigungsnachweis.

Shared Settings benötigen mehrere Produktrechte

Einige Einstellungen werden von Endpoint und Server gemeinsam genutzt. Fehlt einer Custom Role der Zugriff auf beide Produkte, bleiben diese Shared Settings teilweise nur lesbar. Bei einzelnen Funktionen ist zusätzlich Encryption-Zugriff erforderlich.

Zu den gemeinsam verwendeten Einstellungen zählen unter anderem:

• Tamper Protection
• erlaubte Anwendungen
• Website Management
• Proxy-Konfiguration
• Blocked Items
• Bandbreitennutzung
• DLP-Regeln und Content Control Lists
• Ablehnung von Netzwerkverbindungen zu unsicheren Geräten
• XDR Threat Analysis Center

Das ist ein häufiger Grund, weshalb eine vermeintliche Endpoint-Full-Rolle eine globale Ausnahme oder gemeinsame Einstellung nicht ändern kann. Die Lösung ist nicht automatisch Super Admin, sondern eine bewusst erweiterte Custom Role.

Policy-Rechte getrennt vergeben

Sophos unterscheidet zwischen dem Verwalten und dem Zuweisen von Policies:

• Enable policy management erlaubt Policies anzulegen, zu bearbeiten und zu löschen.
• Enable policy assignment erlaubt bestehende Policies ein- oder auszuschalten und Benutzer, Gruppen, Geräte oder Gerätegruppen zuzuweisen.

Ein Betriebsteam kann deshalb Policies zuweisen, ohne die Schutzbaseline selbst verändern zu dürfen. Umgekehrt kann ein Security-Team Policy-Inhalte pflegen, während produktive Zuweisungen einem Change-Prozess folgen. Aufbau und Priorität beschreibt Sophos Fusion Endpoint Policies richtig strukturieren.

Live Response und Datenerfassung

Die Berechtigung zum Start einer Live-Response-Sitzung wird ausdrücklich gesetzt. Eine Custom Role benötigt dafür die Basisrolle Full oder Help Desk, Endpoint Protection mit Access Type Full und Start Live Response sessions on computers. Das Recht für Server wird mit Start Live Response sessions on servers separat vergeben und benötigt Server Protection mit Full. Live Response setzt eine Sophos-EDR-, XDR- oder MDR-Lizenz voraus.

Auch Manage Data Collection and Investigation settings for computers ist ein eigenes Recht. Es erlaubt, Live Response und Data-Lake-Uploads für Computer in der Policy zu aktivieren, und verlangt Endpoint Protection mit Full. Für Server gibt es eine gleichnamige separate Option mit Server Protection. Das Starten einer Sitzung und das Aktivieren der Funktion sind damit zwei verschiedene Aufgaben.

Eine aktuelle Einschränkung gilt für MSPs: Wer den Kundentenant aus Sophos Fusion Partner heraus öffnet, kann diese Live-Response-Custom-Role derzeit nicht erstellen. Die fehlende Schaltfläche ist in diesem Zugriffskontext daher kein lokaler Berechtigungsfehler.

Live Response gewährt eine leistungsfähige Remote-Shell. Rollenfreigabe, MFA, Audit und Sitzungsablauf stehen unter Sophos Endpoint isolieren und mit Live Response untersuchen.

Tamper Protection und Isolation

Das Ausschalten von Tamper Protection und das Entfernen eines Computers aus der Admin-Isolation werden nicht beiläufig über allgemeinen Help-Desk-Zugriff freigegeben. Sophos verlangt für diese Optionen eine Custom Role mit Basisrolle Help Desk, Endpoint Protection und Access Type Full.

Diese Rechte gehören nur an Personen, die einen dokumentierten Wartungs- oder Incident-Prozess ausführen. Eine dauerhafte Freigabe für den gesamten First-Level-Support ist selten angemessen.

Zusätzliche XDR-Rechte

Mit einer XDR-Lizenz erhalten Standardrollen zusätzliche Möglichkeiten:

• Super Admin und Admin können Intelligence Reports anfordern, Clean-and-Block-Einträge verwalten, Blocked Items ansehen, On-Demand Threat Graphs anfordern, Geräte isolieren beziehungsweise freigeben und Forensic Snapshots anfordern.
• Help Desk kann Intelligence Reports und Threat Graphs anfordern, Blocked Items ansehen und Forensic Snapshots anfordern, aber nicht alle Response-Aktionen ausführen.
• Read-only kann Intelligence Reports, Blocked Items und vorhandene On-Demand Threat Graphs ansehen.

Die tatsächliche Oberfläche hängt zusätzlich von Lizenz, Produktzuweisung und Datenquelle ab. XDR-Funktionen werden daher mit einem repräsentativen Testgerät geprüft. Cases, Suppression Rules und Expositionsdaten erklärt Sophos XDR Cases und Detection Suppression Rules verwalten.

Validieren und Fehler eingrenzen

Die Abnahme erfolgt mit einem Testadmin und mindestens einem repräsentativen Computer; für Serverrechte zusätzlich mit einem Server. Dabei werden Anmeldung, sichtbare Produkte, Logs & Reports, Policy-Bearbeitung, Policy-Zuweisung und jede genehmigte Response-Aktion einzeln geprüft. Negativtests müssen bestätigen, dass nicht freigegebene Produkte, Einstellungen und Aktionen fehlen oder nur lesbar sind. Anschließend werden Rollenmitgliedschaft und Testergebnis dokumentiert und die Audit Logs kontrolliert.

Wenn eine Funktion fehlt oder ausgegraut ist, wird in dieser Reihenfolge geprüft:

1. Ist die benötigte Lizenz im Tenant aktiv und liefert das Testgerät die erforderliche Datenquelle?
2. Ist der Admin unter Role Members tatsächlich dieser Rolle zugewiesen und hat er sich nach der Änderung neu angemeldet?
3. Stimmen Base role, Produkt und Access Type mit der Zusatzoption überein?
4. Benötigt die Einstellung kombinierten Zugriff auf Endpoint Protection, Server Protection oder zusätzlich Encryption?
5. Ist Live Response in der betreffenden Data Collection and Investigation Policy für Computer beziehungsweise Server aktiviert? Ein Session-Startrecht allein aktiviert die Funktion nicht.
6. Wird der Kundentenant aus Sophos Fusion Partner geöffnet oder blockiert der Browser den neuen Live-Response-Tab?

Bleibt der Fehler bestehen, werden Tenant, Benutzer, Rollenname, betroffene Produktseite, Gerät, Zeitpunkt und das Ergebnis des Negativtests erfasst. So lässt sich eine Rollenlücke von Lizenz-, Policy-, Geräte- oder Browserproblemen unterscheiden.

Häufige Fragen