Sophos Endpoint Detections und Threat Graphs untersuchen
Sophos Central verwendet mehrere Ansichten für Sicherheitsaktivität. Ein Event protokolliert eine Aktion. Ein Alert verlangt möglicherweise eine Reaktion. Eine Detection zeigt ungewöhnliche oder verdächtige Aktivität, die nicht bereits als bekannte Bedrohung blockiert wurde. Ein Threat Graph verbindet Dateien, Prozesse und weitere Artefakte eines erkannten Angriffs.
Diese Unterschiede bestimmen den Arbeitsablauf. Eine Detection wird untersucht, nicht vorschnell als blockierter Angriff abgehakt. Ein geschlossener Alert beweist umgekehrt nicht, dass die zugrunde liegende Bedrohung bereinigt wurde.
Voraussetzungen
Detections und Threat Lineage benötigen EDR, XDR oder MDR sowie Data-Lake-Uploads. Threat Graphs stehen bereits mit Sophos Endpoint zur Verfügung; erweiterte Aktionen wie geräteübergreifende Suche, Isolation sowie Clean and block benötigen XDR.
Threat Graphs werden derzeit für Windows und macOS erstellt. Deep-Learning-PUA-Detections erzeugen keinen Threat Graph. Bei solchen Treffern wird über Live Discover nach Dateiname oder SHA-256 gesucht.
Detections triagieren
Unter Threat Analysis Center > Detections werden Zeitraum, Schweregrad, Typ, Quelle und MITRE-ATT&CK-Zuordnung geprüft. Gruppierung nach Detection ID fasst gleiche Regeln zusammen, darf aber unterschiedliche betroffene Geräte nicht unsichtbar machen.
Die erste Triage beantwortet vier Fragen: Welches Gerät und welcher Benutzer sind betroffen? Welche Prozesse und Kommandozeilen gehören dazu? Ist die Aktivität in diesem Umfeld erwartet? Gibt es ähnliche Detections oder zusätzliche Alerts?
Quick Actions öffnen Gerätedetails oder weitere Detections desselben Geräts. Pivot Queries suchen nach Hash, Prozess oder Benutzer. Enrichments führen zu SophosLabs Intelix oder anderen Threat-Intelligence-Quellen. Die Rohdaten bleiben verfügbar, wenn die zusammengefasste Ansicht nicht ausreicht.
Related Detections können einem bestehenden Case zugeordnet oder als neuer Case mit Severity, Status und Verantwortlichem erfasst werden. Sophos Support übernimmt keine fachliche Investigation einzelner Detections. Für eine 24/7-Analyse ist MDR das vorgesehene Modell.
Eine ATK/-Erkennung kennzeichnet ein Angriffswerkzeug, beispielsweise Metasploit, Mimikatz oder Cobalt Strike. Solche Programme können in einem autorisierten Red-Team-Test legitim sein, werden aber auch für Credential Theft, Persistenz und laterale Bewegung eingesetzt. Der Fund wird deshalb wie ein möglicher aktiver Angriff behandelt: Ursprung und Parent Process, angemeldeter Benutzer, weitere Ausführung, Zugriff auf andere Systeme und ähnliche Funde im Bestand werden geprüft. Nur ein dokumentierter, zeitlich passender Test rechtfertigt eine andere Einstufung.
Threat Lineage
Die Threat Lineage zeigt Prozesse vor und nach einer Detection. Ein Graph kann automatisch vorhanden sein oder manuell generiert werden. Er bleibt sieben Tage verfügbar und kann innerhalb der Data-Lake-Aufbewahrung erneut erzeugt werden.
Beim Öffnen werden Trigger, betroffene Prozesse und zentrale Aktivitäten betrachtet. Enrich lädt weitere Aktivitäten in Drei-Tage-Schritten. Verwandte Prozesse können in den Graph eingeblendet und die Lineage als CSV exportiert werden.
Ein AI-Kommentar zu einer Kommandozeile kann die Analyse beschleunigen, ersetzt aber nicht die Kontrolle von Pfad, Parent Process, Benutzer und Kontext.
Threat Graph analysieren
Ein Threat Graph beginnt mit Summary und Root cause. Danach wird unter Analyze der direkte Pfad oder der vollständige Graph betrachtet. Artefakte umfassen Prozesse, Dateien, Registry Keys und IP-Adressen.
Request latest intelligence übermittelt eine Datei zur aktuellen Sophos-Analyse. Reputation allein ist kein endgültiges Urteil. Eine neue interne Anwendung kann unbekannt sein, während ein signiertes oder häufig gesehenes Programm missbraucht werden kann.
Process Details zeigen Pfad, Kommandozeile, Benutzer, SHA-256, Laufzeit und, mit XDR, statische beziehungsweise Machine-Learning-Merkmale. Erst wenn die Bewertung belastbar ist, folgt eine Bereinigungsaktion.
Bei CryptoGuard- oder Malicious-Behavior-Alerts kann der Link im Alert zunächst fehlen. Der Endpoint meldet den Alert typischerweise nach ein bis zwei Minuten, während die Root-Cause-Analyse und der Threat Graph erst ungefähr 20 Minuten später eintreffen. Der Graph wird dann unter Threat Analysis Center > Threat Graphs gesucht; ein fehlender Link in der ursprünglichen Alert-Aktion beweist nicht, dass keine Analyse existiert.
Threat Graphs entstehen für Malware-Erkennungen, nicht für PUA, Application Control, Device Control oder Web Control. Kann Sophos keine Root Cause bestimmen, kann auch bei einer Malware-Erkennung ein Graph fehlen. In diesem Fall werden Endpoint-Events, Detection-Daten und Live-Discover-Abfragen kombiniert, statt auf einen nie erscheinenden Graph zu warten.
Exploit-Detections richtig untersuchen
CredGuard, PrivGuard, Lockdown, LoadLib, APC Violation, Code Cave und ähnliche Meldungen bezeichnen blockiertes Verhalten, nicht automatisch einen Fehlalarm. Die Untersuchung beginnt mit Windows Application Event ID 911 von HitmanPro.Alert. Application, Process Trace, Kommandozeile, Detection ID beziehungsweise Thumbprint und Parent-Prozesse werden mit dem Benutzerablauf und weiteren Geräten verglichen.
CredGuard schützt lsass.exe gegen Speicherzugriffe. Eine bekannte PAM- oder Security-Anwendung kann denselben Zugriff ausführen wie Credential-Dumping-Malware. Bekanntheit des Herstellers allein reicht deshalb nicht; Prozesspfad, Signatur, Zweck und konkrete Kommandozeile müssen passen. PrivGuard blockiert Privilegieneskalation. Kollidiert ein geprüftes PAM-Produkt ausschliesslich mit Token-Manipulation, kann auf Endpoints ab Core Agent 2024.3 gezielt Prevent access token manipulation deaktiviert werden, während die übrigen PrivGuard-Funktionen aktiv bleiben.
Lockdown verhindert, dass Browser, Office- oder Mail-Prozesse Code starten. LoadLib verhindert insbesondere das Laden von DLLs aus nicht vertrauenswürdigen oder Netzwerkpfaden. Die sicherste Korrektur liegt beim Anwendungsdesign: Plugin aktualisieren, ausführbare Datei ausserhalb des Browserkontexts starten oder DLL lokal installieren. Erst danach kommen eine stabile Detection-ID-/Thumbprint-Ausnahme, das Abschalten nur der betroffenen Mitigation für diese Anwendung und als letzter Weg der vollständige Ausschluss aus Exploit Monitoring infrage.
Für eine Sophos-Eskalation werden SDU, exakter reproduzierbarer Ablauf, betroffene Software beziehungsweise Datei und ein Test mit dem neuesten verfügbaren Maintenance Release gesichert. Bei CryptoGuard gehört zusätzlich der von Sophos angeforderte Event-Journal-Ordner aus demselben Zeitfenster dazu. Eine Ausnahme wird nicht erstellt, bevor legitimes Verhalten oder ein echter Fehlalarm belegt ist.
Isolation und Clean and block
Bei hoher Priorität kann das Gerät isoliert werden. Central-Management und Dateisubmission bleiben möglich. Notwendige RDP-, SSH- oder Toolserver-Verbindungen werden über enge Device-Isolation-Ausnahmen erlaubt.
Clean and block bereinigt die Datei und zugehörige Artefakte auf gefundenen Windows-Geräten und fügt den SHA-256 zur Blockliste hinzu. Die Blockliste gilt tenantweit für Windows. Sie ist kein Testknopf für eine unsichere Vermutung.
Unter Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items lassen sich bis zu 5'000 SHA-256-Hashes verdächtiger Anwendungen verwalten. Die Funktion benötigt XDR und blockiert nur Anwendungen auf Windows-Geräten. Hashes anderer Dateitypen oder Dateien mit bereits vertrauenswürdiger Reputation ignoriert Sophos.
Ein manuell hinzugefügter Hash blockiert die Anwendung auf allen Computern und löst Cleanup vorhandener Kopien aus. Grund und ausführende Person bleiben sichtbar. Vor dem Entfernen wird geklärt, weshalb der Hash nicht mehr als verdächtig gilt.
Nach der Bereinigung werden weitere Vorkommen gesucht, Speicher und Persistenz geprüft und erst danach die Isolation aufgehoben. Mehrere isolierte Geräte werden unter Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices verwaltet.
Outbreak und Reporting-Lücke
Bei 100 Detections innerhalb von 24 Stunden erzeugt Sophos einen Outbreak Alert und reduziert die Meldung gleichartiger Detections. Der Schutz läuft weiter, aber vollständige Detection-Berichte erscheinen erst wieder, wenn der Outbreak nach der Bereinigung als resolved markiert wurde.
Deshalb wird ein Outbreak Alert nie nur geschlossen, um die Liste zu bereinigen. Zuerst werden Gerät, Root Cause, weitere Artefakte und Bereinigung geprüft.
Abschluss
Der Case dokumentiert Ursache, betroffene Geräte, Hashes, Benutzer, ausgeführte Aktionen und Kontrollabfragen. Threat Graph und Alert werden erst geschlossen, wenn keine weiteren Vorkommen sichtbar sind und das Gerät wieder einen plausiblen Health State besitzt.
Verwandte Artikel
Threat Cleanup und False Positives erklärt Sophos Endpoint Threat Cleanup und Malware-Bereinigung. Für Query-Grundlagen dient Sophos Endpoint Data Collection und Live Discover. Isolation und Terminalzugriff stehen in Sophos Endpoint isolieren und mit Live Response prüfen.