Zum Inhalt springen
Avanet

Kompromittierte IP-Adressen mit Sophos Endpoint blockieren

Sophos Endpoint

Sophos Fusion (ehemals Sophos Central) kann verwaltete Windows- und Linux-Geräte daran hindern, mit angegebenen internen oder externen IPv4-/IPv6-Adressen und CIDR-Bereichen zu kommunizieren. Bei Block compromised IP addresses gibt der Administrator die zu blockierenden Adressen selbst an. Prüfen Sie deshalb die Indikatoren vor dem Speichern; der Funktionsname allein bestätigt keine Kompromittierung. macOS wird von dieser Funktion nicht unterstützt.

Zuerst den richtigen Kontrollpunkt wählen

Diese Liste passt, wenn verwaltete Windows- und Linux-Endpoints nicht mehr mit einem bestätigten IP-Indikator kommunizieren sollen. Für andere Aufgaben ist ein anderer Kontrollpunkt sicherer:

  • Ein einzelner verdächtiger Endpoint: Gerät isolieren und den Incident untersuchen. Die IP-Liste ersetzt weder Containment noch Bereinigung. Der Ablauf steht unter Sophos Endpoint isolieren und mit Live Response untersuchen.
  • Alle Systeme hinter einem Gateway, auch unmanaged Geräte: IP auf der Sophos Firewall oder dem zuständigen Netzwerk-Gateway blockieren. Die Central-Liste schützt nur unterstützte verwaltete Endpoints.
  • Einen Host an Sophos Switches oder AP6 Access Points isolieren: Dafür ist Active Threat Response zuständig. Diese Funktion arbeitet mit isolierten Hosts beziehungsweise MAC-Adressen und ist nicht dieselbe IP-Zielliste.
  • MDR/XDR-Aktion oder Threat Feed: Das ist ein eigener Response-Workflow. Zum manuellen Eintragen dieser Liste verlangt die Sophos-Anleitung eine Central-Administratorrolle, aber keinen XDR-Schritt.

Wirkung und Risiko vor dem Speichern prüfen

Eine IP-Adresse erst nach Prüfung von Quelle, Beobachtungszeitraum und betroffenen Verbindungen blockieren. Bei Webhosting, CDN, NAT oder Cloud-Diensten können viele legitime Dienste dieselbe Adresse verwenden. Ein breiter CIDR-Block vergrössert diesen möglichen Schaden zusätzlich.

Besonders kritisch sind Server, DNS- und Identity-Dienste, Managementsysteme, Update Caches und Message Relays. Die Central-Maske dokumentiert keine Auswahl nach Port, Protokoll oder Anwendung und keine Allow-Ausnahme innerhalb des Eintrags. Deshalb möglichst eine exakte IP statt eines Netzes verwenden, einen verantwortlichen Owner benennen und für temporäre IOCs ein Ablaufdatum setzen.

IP-Adresse in Sophos Fusion blockieren

Voraussetzung ist eine Sophos-Central-Administratorrolle. Help Desk-Benutzer können diese Funktion laut Sophos nicht verwenden.

  1. Das Symbol Global Settings öffnen.
  2. Zu Protection and Remediation > Allow and Block > Network > Block compromised IP addresses wechseln.
  3. Block communications with specified IP addresses einschalten.
  4. Add wählen und unter Address eine IPv4-Adresse, IPv6-Adresse oder einen CIDR-Bereich eintragen.
  5. Unter Expiry die passende Dauer wählen. Standard sind 7 days; alternativ stehen 30 days und No expiry zur Verfügung.
  6. Unter Comment mindestens IOC-Quelle, Ticket, Owner und Zweck notieren. Dieses Feld ist optional, macht den späteren Review aber wesentlich sicherer.
  7. Confirm wählen. Weitere Einträge bei Bedarf einzeln hinzufügen.
  8. Oben rechts Save wählen. Erst dieser Schritt speichert die globale Liste.

In der Oberfläche lassen sich bis zu 500 Adressen oder Bereiche verwalten; jeder Eintrag wird einzeln hinzugefügt. Für grössere Response-Aktionen verweist Sophos auf die Endpoint API. Deren Operation POST /settings/blocked-addresses/bulk benötigt den Header X-Tenant-ID und akzeptiert bis zu 100 Adressen oder Bereiche gleichzeitig; jeder Eintrag kann einen Kommentar und einen Wert expireInDays von 1 bis 365 enthalten. Die Authentifizierung muss gemäss Sophos gegen die regionale Endpoint API des Tenants erfolgen; die Rollenanforderung der Benutzeroberfläche darf nicht einfach auf einen API-Client übertragen werden.

Die aktuelle Sophos-Dokumentation enthält eine wichtige Plattformabweichung: Die Central-Funktionsseite nennt Windows und Linux, während die Beschreibung der Bulk-Operation in der Endpoint API die Operation als nur für Windows-Geräte verfügbar bezeichnet. Vor einer API-Automation für Linux muss das benötigte Verhalten deshalb mit Sophos geklärt werden. Payloads gehören in einen getesteten Automationsprozess; die UI-Grenze darf nicht durch unbestätigte Skripte umgangen werden.

Praxisempfehlung: Für einen kurzfristigen IOC zuerst 7 days verwenden. No expiry ist für dauerhaft verbotene Infrastruktur gedacht und benötigt einen regelmässigen Review. Ablauf ersetzt keine Incident-Dokumentation.

Global sicher validieren und zurücknehmen

Da kein Gruppen-Scope vorhanden ist, lässt sich der eigentliche IOC nicht gefahrlos nur auf einem Pilotgerät aktivieren. Die Mechanik kann stattdessen vorab mit der exakten IP eines dedizierten, entbehrlichen Testziels geprüft werden:

  1. Vorher von einem verwalteten Windows- oder Linux-Testgerät bestätigen, dass das Testziel erreichbar ist.
  2. Nur diese Test-IP mit 7 days und eindeutigem Testkommentar eintragen und Save wählen.
  3. Nach der nächsten erfolgreichen Central-Kommunikation denselben Zugriff erneut versuchen. Erwartet wird, dass das verwaltete Gerät nicht mehr mit dem Ziel kommunizieren kann.
  4. Von einem nicht verwalteten Kontrollgerät aus prüfen: Dort sollte die Verbindung weiterhin möglich sein. So trennt man Endpoint-Wirkung von einem Ausfall am Ziel oder einer Firewall-Regel.
  5. Den Testeintrag markieren, Delete und danach oben rechts Save wählen. Anschliessend prüfen, dass die Verbindung am verwalteten Gerät wieder möglich ist.

Für den echten IOC vor dem Speichern die betroffenen Anwendungen und mögliche Geschäftsverbindungen bestimmen. Während des Rollouts Service Desk und Incident Owner informieren und eine sofortige Rücknahme vorbereiten.

Troubleshooting nach Symptom

Die Verbindung bleibt möglich

  • Kontrollieren, ob Block communications with specified IP addresses eingeschaltet und nach Confirm auch Save gewählt wurde.
  • Prüfen, ob das Gerät Windows oder Linux nutzt. macOS ist nicht unterstützt.
  • Sicherstellen, dass der Endpoint Sophos Fusion erreicht und aktuelle Änderungen empfangen kann.
  • Die tatsächlich verwendete Ziel-IP erneut auflösen beziehungsweise an der Anwendung prüfen. Ein Hostname kann mehrere IPv4- und IPv6-Adressen liefern; die Liste blockiert IP-Adressen, keine Domainnamen.
  • Adresse, IP-Familie und CIDR-Präfix auf Tippfehler prüfen. Nicht vorschnell ein breiteres Netz blockieren.

Sophos nennt keine feste Verteilzeit und dokumentiert auf der Funktionsseite weder ein eigenes Event noch ein Mindest-Agent-Release. Bleibt die Verbindung trotz korrekter Liste und funktionierender Central-Kommunikation bestehen, Zeitpunkt, Endpoint, Ziel-IP und Testmethode sichern und den Fall an Sophos Support eskalieren.

Ein legitimer Dienst fällt aus

Den spezifischen Eintrag markieren, Delete und Save wählen. Danach die Wiederherstellung vom betroffenen verwalteten Endpoint aus prüfen. Nicht dauerhaft die ganze Funktion ausschalten: Erst IOC und Ziel-IP gegen DNS-Auflösung, Shared Hosting, CDN und die Abhängigkeiten des Dienstes abgleichen und anschliessend enger oder am passenderen Kontrollpunkt blockieren.

Eine IP-Sperre beendet keinen laufenden Incident. Betroffene Geräte weiterhin isolieren und auf Prozesse, Persistenz, Zugangsdaten und weitere Ziele untersuchen.

Häufige Fragen

Unterstützt die IP-Sperre macOS?

Nein. Sophos dokumentiert Block compromised IP addresses derzeit nur für Windows- und Linux-Geräte. Für macOS oder unmanaged Systeme muss die Sperre an einem passenden Netzwerk-Kontrollpunkt erfolgen.

Wie viele Einträge sind möglich?

In Central können bis zu 500 Adressen oder Bereiche einzeln verwaltet werden. Über die Endpoint API lassen sich laut Sophos bis zu 100 Einträge gleichzeitig hinzufügen.