Sophos MDR: Kontakte und Threat Response einrichten

Sophos MDR benötigt mindestens einen autorisierten Kontakt, bevor weitere MDR-Einstellungen konfiguriert oder der Service genutzt werden können. Für den Betrieb empfiehlt Avanet mindestens zwei erreichbare Kontakte. Anschliessend wird bewusst festgelegt, ob das MDR-Team selbst reagieren darf oder vorher eine Freigabe braucht. Ein aktivierter Vertrag allein ersetzt diese Vorbereitung nicht.

Der Ablauf in Sophos Fusion (ehemals Sophos Central) führt über das Global Settings-Symbol zu Products & Services > MDR: zuerst Authorized Contacts speichern, danach Threat Response genehmigen und speichern, dann Additional Settings ergänzen. Abschliessend werden alle drei Tabs erneut geöffnet und mit dem freigegebenen Sollzustand verglichen. Diese Prüfung löst weder einen Angriff noch eine Response-Aktion aus.

Vor der Einrichtung Zuständigkeit und Zugriff klären

Benötigt werden eine aktive MDR-Lizenz im richtigen Kundenkonto und ein Administrationszugang, mit dem die MDR-Einstellungen bearbeitet werden können. Nach der Lizenzaktivierung kann Sophos Fusion beim ersten Anmelden direkt zur Einrichtung auffordern. Die Einstellungen bleiben später über Global Settings > Products & Services > MDR erreichbar. Fehlen dort Tabs oder Bearbeitungsoptionen, werden Konto, Lizenz und effektive Rechte geprüft; die Rolle eines auswählbaren Kontakts ist kein Nachweis einer allgemeinen Mindestrolle für alle Einstellungsänderungen.

Vor einer Änderung hält man bisherige Kontakte samt Reihenfolge, Telefonnummern, Benachrichtigungsoptionen, Response-Modus und den Zustand der Collaborate-Checkbox in einem zugriffsgeschützten Change-Ticket fest. Bei einer Ersteinrichtung wird stattdessen der vereinbarte Sollzustand dokumentiert. Die Kontaktpersonen müssen wissen, dass sie MDR-Rückfragen entgegennehmen und intern eine Entscheidung herbeiführen sollen – auch ausserhalb der Bürozeit.

1. Authorized Contacts erfassen und speichern

Die MDR-Kontakte sind der offizielle Kommunikationsweg zwischen dem MDR-Team und der Organisation. Bei einer aktiven Bedrohung versucht Sophos die hinterlegten Kontakte nacheinander zu erreichen, bis jemand antwortet. Das ist eine andere Konfiguration als Authorized Contacts bei Managed Risk; dort gespeicherte Kontakte ersetzen die MDR-Einrichtung nicht.

1. Das Global Settings-Symbol öffnen und Products & Services > MDR > Authorized Contacts wählen.
2. Unter Primary den vorgesehenen Sophos-Fusion-Administrator auswählen. Dafür kommen Super Admin, Admin oder Help Desk infrage. Fehlt ein passendes Konto, bietet Create new Central administrator dessen Anlage an. Die Administrationsrollen werden nach der tatsächlichen Aufgabe vergeben, nicht vorsorglich auf Super Admin erweitert.
3. Die Kontaktdaten erfassen. Die Telefonnummer einschliesslich Landesvorwahl prüfen; bei bestehenden Nummern ohne Landesvorwahl kann die Einstellungsseite zum Ergänzen auffordern. Entscheidend ist eine Nummer, unter der die zuständige Person tatsächlich erreichbar ist.
4. Bei Bedarf Secondary und Tertiary auswählen und deren Angaben vervollständigen. Insgesamt sind damit bis zu drei Kontakte möglich. Mindestens Primary ist Pflicht; ein zweiter Kontakt fängt Abwesenheiten ab. Die Reihenfolge soll zum eigenen Bereitschaftsprozess passen.
5. Die Opt-out-Checkboxen für MDR reports und broadcast announcements bewusst prüfen. Sie betreffen diese E-Mails und sind kein Ersatz für einen funktionierenden Incident-Kommunikationsweg.
6. Save wählen. Den Tab verlassen, erneut öffnen und Auswahl, Reihenfolge, Telefonnummern und Opt-out-Zustand zurücklesen.

Avanet bevorzugt eindeutig zugeordnete Konten und eine geregelte Vertretung. Sophos beschreibt auch Administratorkonten mit einer Verteileradresse und empfiehlt dafür wegen der geringeren Rechte Help Desk. Ein Verteiler allein beweist aber weder telefonische Erreichbarkeit noch eine klare Zuständigkeit; ein Konto wird nicht allein für die Benachrichtigung mit erweiterten Rechten ausgestattet.

2. Threat Response bewusst wählen

Unter Global Settings > Products & Services > MDR > Threat Response stehen für MDR und MDR Plus drei Modi zur Verfügung. Die Auswahl regelt die Befugnis; der konkrete Leistungsumfang bleibt zusätzlich vom gebuchten Service und den verfügbaren technischen Zugriffen abhängig.

• Authorize: Das MDR-Team darf Eindämmungsmassnahmen selbstständig durchführen und informiert anschliessend über die ausgeführten Aktionen. Die vollständige Neutralisierung gehört laut aktuellem Serviceumfang zu MDR Plus. Aufgaben, die Sophos nicht selbst erledigen kann, bleiben bei der Organisation.
• Collaborate: Das MDR-Team untersucht und stimmt die Reaktion mit den Kontakten ab. Vor Response-Aktionen benötigt es eine mündliche oder schriftliche Autorisierung beziehungsweise die aktive Mitwirkung der Organisation. Dafür muss intern jemand erreichbar und entscheidungsbefugt sein.
• Notify Only: Das MDR-Team benachrichtigt die Kontakte und kann nur eingeschränkt untersuchen. Es darf Bedrohungen weder eindämmen noch neutralisieren. Dieser Modus ist keine gleichwertige Alternative zu einem betriebsbereiten Response-Prozess und wird für einen längeren Einsatz nicht empfohlen.

Sophos empfiehlt Authorize oder Collaborate. Welche Variante zur Organisation passt, wird vor dem Speichern mit den Incident-Verantwortlichen entschieden: Soll Sophos bei einer bestätigten Bedrohung sofort eindämmen dürfen, oder kann die Organisation zuverlässig jede erforderliche Freigabe liefern?

Die Checkbox unter Collaborate ist eine zusätzliche Vorautorisierung

Unter Collaborate kann man separat erlauben, dass das MDR-Team wie im Modus Authorize handelt, wenn nach telefonischen Kontaktversuchen bei allen hinterlegten Kontakten keine Bestätigung eingeht. Ohne diese Checkbox bleibt es bei der erforderlichen Freigabe vor Response-Aktionen. Es gibt dafür keinen vierten gleichrangigen Modus.

Die Zustimmung zu diesem Fallback wird im Change-Ticket ausdrücklich festgehalten. Ein blosses Auswählen von Collaborate sagt noch nicht, ob der Fallback genehmigt wurde. Es wird auch keine feste Wartezeit bis zu einem Eingriff vorausgesetzt.

Nach der Entscheidung den gewünschten Modus und gegebenenfalls die Checkbox setzen und Save wählen. Den Tab erneut öffnen und beide Werte getrennt mit dem genehmigten Zustand vergleichen. Bei einer Abweichung nicht von einer erfolgreichen Übernahme ausgehen, sondern Konto, gespeicherte Auswahl und mögliche parallele Änderungen klären.

3. Live Response und sensible Geräte abgrenzen

Bei Authorize fordert Sophos zur Aktivierung von Live Response auf. Dieser Zugriff ermöglicht dem MDR-Team Arbeiten auf den Geräten. Ein genehmigter Response-Modus allein beweist weder eine wirksame Geräte-Policy noch eine eingerichtete Response-Integration.

Sensible Computer oder Server, auf die MDR nicht per Live Response zugreifen darf, werden vor der Freigabe in einer eigenen Gruppe zusammengefasst. Unter My Products > Endpoint > Policies beziehungsweise My Products > Server > Policies wird eine Data Collection and Investigation-Policy mit ausgeschaltetem Live Response auf diese Gruppe angewendet. Computer- und Server-Policies werden getrennt behandelt. Vor dem Speichern werden Gruppenumfang und bisherige Policy-Zuweisung geprüft, damit nicht versehentlich der ganze Bestand geöffnet oder gesperrt wird.

Nach der Änderung die wirksame Zuweisung und Live-Response-Einstellung sowohl an einem vorgesehenen Gerät als auch an einem ausgenommenen Gerät kontrollieren. Dafür wird keine Sitzung gestartet. Das Abschalten von Live Response ist keine allgemeine Ausnahme von MDR, anderen Schutzfunktionen oder sämtlichen Response-Aktionen; es begrenzt diesen Gerätezugriff. Die Ausnahme kann die Untersuchung oder Bereinigung erschweren und braucht deshalb einen zuständigen lokalen Ansprechpartner. Detaillierte Policy-, Rollen- und Zugriffsgrenzen erklärt Isolation und Live Response.

Drittprodukt-Aktionen werden gesondert über MDR- und XDR-Integrationen vorbereitet. Datenaufnahme ist nicht automatisch eine Schreibberechtigung im Quellsystem. Ebenso bleibt die lokale Firewall-Feedaktion Log only beziehungsweise Log and drop getrennt vom MDR-Response-Modus; dafür gilt das MDR-Threat-Feeds-Runbook.

4. Organisationskontext und Agenten prüfen

Unter Global Settings > Products & Services > MDR > Additional Settings werden der passende Industry Vertical, der Hauptstandort der Organisation und die tatsächlich genutzten Netzwerk-Subnetze erfasst. Dieser Kontext hilft dem MDR-Team bei der Einordnung von Aktivitäten. Es werden reale, intern freigegebene Bestandsangaben eingetragen, keine Beispielnetze oder pauschalen Bereiche ohne Bezug zur Umgebung. Anschliessend Save wählen, den Tab erneut öffnen und die gespeicherten Werte vergleichen.

Für die MDR-Nutzung benötigt jeder betreffende Computer oder Server einen Sophos-Agenten, der MDR unterstützt. Die Einstellung der Kontakte installiert keinen Agenten und liefert allein noch keine Telemetrie. Fehlen Geräte oder ist der Agentenstand unklar, wird die Bestandsaufnahme über den Endpoint-Onboarding-Pfad fortgesetzt. Die Einrichtung wird nicht als vollständig abgenommen, solange die vorgesehenen Geräte und Datenquellen ungeklärt sind.

Abnahme ohne Angriff oder Response-Test

Die Abnahme besteht aus gespeicherter Konfiguration und organisatorischer Erreichbarkeit, nicht aus einer künstlich erzeugten Detection:

1. Authorized Contacts, Threat Response und Additional Settings erneut öffnen. Die gespeicherten Werte gegen das freigegebene Ticket prüfen; bei Collaborate die Checkbox ausdrücklich mit erfassen.
2. Mit Primary und Vertretung intern Telefonnummern, Landesvorwahl, Erreichbarkeit und den Weg zur Incident-Freigabe abgleichen. Ein vereinbarter interner Kontrollanruf kann die hinterlegte Nummer prüfen, nicht aber den Anrufweg von Sophos nachweisen.
3. Mit der Mailadministration prüfen, ob vorhandene echte MDR-Nachrichten die vorgesehenen Empfänger erreichen und nicht im Spam oder in Quarantäne liegen. Fehlt ein solcher Nachweis, bleibt die externe MDR-Mailzustellung offen. Weder ein interner Mailtest noch ein gespeicherter Kontakt belegt sie. Ohne verifizierte aktuelle Absenderangaben wird keine pauschale Domainfreigabe und kein Abschalten der Mailprüfung vorgenommen.
4. Den vorgesehenen Agentenbestand sowie die wirksamen Live-Response-Policies und dokumentierten Ausnahmen kontrollieren. Keine Remote-Shell, Isolation oder andere produktive Aktion zur Abnahme starten.
5. Verantwortliche, Prüfdatum und noch offene Zustellungs- oder Bestandsfragen dokumentieren. Fehlende Nachweise bleiben offen und werden mit MDR beziehungsweise der Mailadministration geklärt; sie werden nicht durch einen Test-Incident ersetzt.

Im späteren Betrieb gelten für erforderliche Kundenaktionen die Status- und Ownership-Grenzen des jeweiligen Cases. Assignee und Managed By sind keine austauschbaren Begriffe. Der getrennte Ablauf für Classic und aktuelle MDR-Cases steht unter Cases und Detection Rules.

Wenn die Einrichtung nicht dem Sollzustand entspricht

• Weitere MDR-Einstellungen sind noch nicht nutzbar: Zuerst prüfen, ob im richtigen Kundenkonto mindestens Primary vollständig erfasst und mit Save gespeichert wurde. Nicht die gleichnamige Managed-Risk-Seite als Ersatz verwenden.
• Die gewünschte Person fehlt in Primary: Das Administratorkonto und dessen Rolle prüfen. Super Admin, Admin oder Help Desk sind die dokumentierten Kontaktrollen; Kontaktrolle und Bearbeitungsrecht für andere Funktionen bleiben getrennt.
• MDR erreicht niemanden: Reihenfolge, Landesvorwahl, Vertretung und tatsächliche Bereitschaft abgleichen. Keine automatische Reaktion aus Collaborate ableiten, solange die zusätzliche Checkbox nicht bewusst genehmigt und gespeichert ist.
• Eine Nachricht fehlt: Empfängerzuordnung, Quarantäne und vorhandene Zustellungsprotokolle prüfen. Eine konkrete Mail-Allowlist wird erst mit aktuellen, verifizierten MDR-Absenderangaben abgestimmt, nicht aus einer vermuteten Adresse abgeleitet.
• Live Response ist für ein sensibles Gerät noch erlaubt: Die tatsächlich zugewiesene Endpoint- oder Server-Policy und die Gruppenzugehörigkeit prüfen. Eine geplante Ausnahme wirkt erst, wenn die richtige Policy am richtigen Gerät greift.

Bei einem fehlerhaften Kontakt oder versehentlich geänderten Modus werden die dokumentierten vorherigen Werte nur nach Abstimmung mit dem Incident-Verantwortlichen wieder eingetragen, gespeichert und erneut zurückgelesen. Bereits ausgeführte MDR-Aktionen werden dadurch nicht rückgängig gemacht. Während eines laufenden Vorfalls wird eine Änderung der Reaktionsbefugnis mit dem MDR-Team koordiniert; das Zurücksetzen der Einstellungen ist kein technischer Rollback eines Incidents.