Zum Inhalt springen
Avanet

Sophos ITDR

Sophos ITDR (Identity Threat Detection and Response) macht Identitätsrisiken, Fehlkonfigurationen und Hinweise auf kompromittierte Zugangsdaten sichtbar. Die Anleitungen führen von Voraussetzungen und Anbindung über die Bewertung von Sicherheitslage und Verzeichnis bis zur Untersuchung von Findings und zur kontrollierten Konfiguration oder Ausserbetriebnahme.

Inhaltsverzeichnis

Planen und verbinden 3 Sicherheitslage und Verzeichnis bewerten 3 Untersuchen und reagieren 2 Konfigurieren und ausser Betrieb nehmen 1

Sophos ITDR entlang des Betriebslebenszyklus

Zuerst Einsatzgrenzen, Berechtigungen und Identitätsquellen klären und die jeweilige Integration anbinden. Danach Organisations- und Identitätsrisiken priorisieren, Verzeichnisobjekte untersuchen und Findings oder kompromittierte Zugangsdaten mit autorisierten Massnahmen bearbeiten. Einstellungen, Integrationen und Offboarding bilden den kontrollierten Abschluss.

Planen und verbinden 3

Voraussetzungen zu Lizenzierung, Region, Rollen und Produktgrenzen prüfen. Danach Microsoft Entra ID oder lokales Active Directory über die passende ITDR-Integration anbinden und die Anbindung prüfen.

Sicherheitslage und Verzeichnis bewerten 3

Identity Overview und den organisationsweiten Risk Posture Score einordnen. Danach identitätsbezogene Risk Scores sowie Benutzer, nicht-menschliche Identitäten, Gruppen, Geräte und Anwendungen im ITDR Directory untersuchen.

Untersuchen und reagieren 2

ITDR Findings priorisieren, Details und Verlauf prüfen und die Wirkung von Abhilfemassnahmen kontrollieren. Hinweise auf kompromittierte Zugangsdaten in Dark Web Intelligence nur innerhalb der eigenen Zuständigkeit bearbeiten.

Konfigurieren und ausser Betrieb nehmen 1

Integrationen, überwachte Domains, VIP-Benutzer und Posture Checks verwalten. Änderungen und das Entfernen einer Integration erst vorbereiten, wenn die Auswirkungen dokumentiert sind.

ITDR klar von angrenzenden Produktwegen trennen

Sophos ITDR bewertet die Identitätssicherheitslage und stellt ITDR Findings, Risikowerte, Verzeichnisinformationen und Dark-Web-Hinweise bereit. Es ersetzt weder die Verwaltung der Quellverzeichnisse noch eine allgemeine Detection-and-Response-Plattform. Vor einer Massnahme muss deshalb klar sein, in welchem Produkt der Befund entstanden ist und wer die Änderung am Identitätsanbieter freigibt.

Für angrenzende Aufgaben gelten feste Grenzen:

  • Das Produkt Sophos Central Directory Sync synchronisiert Verzeichnisdaten für Verwaltungsaufgaben in Sophos Fusion (früher Sophos Central). ITDR-Integrationen für Entra ID und lokale Active Directories werden nicht über Directory Sync eingerichtet.
  • XDR behandelt XDR Detections, Cases und produktübergreifende Untersuchungen. Ein ITDR Finding wird dadurch nicht zu einer XDR Detection oder zu einem XDR Case; Status und Arbeitsabläufe dürfen nicht gleichgesetzt werden.
  • MDR ist ein separat lizenzierter Managed Service. ITDR bleibt grundsätzlich kundenseitig überwachte Software; MDR bearbeitet nur den vereinbarten Umfang aktiver Identitätsbedrohungen und übernimmt nicht automatisch Routine-Findings oder die Verzeichnisadministration.
  • Sophos Firewall verwaltet eigene Identitäts-, Netzwerk- und Response-Funktionen. Firewall-Identitäten, NDR Essentials und Active Threat Response sind keine ITDR-Integrationen oder ITDR Findings.
  • Sophos ZTNA steuert den Zugriff auf Anwendungen und Ressourcen. ITDR liefert keine ZTNA-Gateways, Zugriffsrichtlinien oder Verbindungen und ersetzt deren Konfiguration nicht.

In der Praxis bedeutet das: Quellen kontrolliert anbinden, Risiken und Verzeichnisdaten in ITDR bewerten, Findings untersuchen, autorisierte Korrekturen im zuständigen System durchführen und die Wirkung danach erneut in ITDR prüfen. Integrationen erst ändern oder entfernen, wenn Auswirkungen und Zuständigkeiten geklärt sind.