Sophos Security Heartbeat und Synchronized Security

Security Heartbeat übermittelt den Gesundheitszustand eines verwalteten Sophos Endpoints an eine registrierte Sophos Firewall. Daraus entsteht noch keine pauschale Isolation: Erst eine passende Firewall-Regel oder die Endpoint-Funktion Reject connections from other devices setzt eine Netzwerkreaktion um.

Für einen sicheren Betrieb müssen drei Mechanismen getrennt werden:

Security Heartbeat: Status- und Identitätsaustausch zwischen Sophos Endpoint und Sophos Firewall. Die Firewall kann damit Quell- und Zielzugriff steuern.
Synchronized Security: Oberbegriff für Reaktionen, die Heartbeat-Informationen nutzen. Dazu gehören Firewall-Regeln und die von Sophos Fusion verteilte Abweisung unsicherer Geräte im selben Subnetz.
Active Threat Response (ATR): isoliert von externen API-Nutzern oder MDR/XDR-Analysten identifizierte Geräte über verwaltete Sophos Switches und AP6 Access Points. Das ist weder eine Heartbeat-Farbe noch die Endpoint-Isolation.

Voraussetzungen und Aktivierung

Sophos nennt drei Voraussetzungen: ein Sophos-Fusion-Konto, eine Trial- oder Vollizenz für mindestens einen von Sophos Fusion verwalteten Endpoint und eine Network Protection Subscription auf der Firewall. Endpoint und Firewall müssen derselben Organisation im richtigen Sophos-Fusion-Tenant angehören.

Die Firewall wird im WebAdmin unter System > Sophos Central registriert. Bei erfolgreicher Registrierung aktiviert SFOS Security Heartbeat und Synchronized Application Control automatisch. Die Sophos-Fusion-Meldung A new firewall has been successfully registered to Sophos Central unter My Products > Firewall Management > Firewalls bestätigt jedoch nur die Registrierung, nicht den Heartbeat eines bestimmten Endpoints und nicht die Wirkung einer Regel. Der vollständige Registrierungsablauf steht unter Sophos Firewall mit Sophos Fusion verbinden.

Technisch erhält jeder Endpoint ein Zertifikat von Sophos Fusion (ehemals Sophos Central). Sophos Fusion stellt diese Zertifikate der Firewall bereit, damit sie nur Endpoints der eigenen Organisation zuordnet. Endpoint und Firewall verwenden eine verschlüsselte TLS-Verbindung über 52.5.76.173 und TCP 8347; eine erreichbare IP und ein offener Port beweisen allein noch keine korrekte Tenant- oder Zertifikatszuordnung.

Heartbeat-Status richtig lesen

Ein Endpoint sendet der Firewall alle 15 Sekunden seinen Zustand. Beim ersten Verbindungsaufbau übermittelt er zusätzlich Netzwerkinterfaces und angemeldete Benutzer. Die Farbe zeigt die Dringlichkeit, ersetzt aber nicht die Untersuchung des konkreten Alerts.

Status	Bedeutung und nächster Schritt
Green	Schutzsoftware arbeitet; keine aktive oder inaktive Malware und keine PUA gemeldet. Baseline und normaler Zugriff können geprüft werden.
Yellow	Beispielsweise PUA, inaktive Malware oder seit 24 Stunden kein Signaturupdate. Alert prüfen; der Zustand kann vorübergehend sein.
Red	Beispielsweise aktive oder nicht bereinigte Malware, schädlicher Netzwerkverkehr oder fehlerhafte Schutzsoftware. Alert und Gerät sofort untersuchen.
Missing	Die Firewall sieht weiter Netzwerkverkehr, hat aber drei Heartbeats in Folge nicht erhalten. Das ist zunächst ein Kommunikations- oder Zuordnungszustand, nicht automatisch Malware.

Yellow ist meist vorübergehend und erfordert allein noch keine Massnahme zur Wiederherstellung eines gesunden Zustands. Den Alert trotzdem prüfen, um die Ursache einzuordnen. Wird eine PUA oder Malware erkannt, kann je nach Befund eine gezielte Massnahme gewählt werden.

Ein Netzwerk-Alert wie eine Verbindung zu einem bekannten schädlichen Host kann somit einen roten Zustand auslösen. Ob Sophos Endpoint, Firewall oder eine andere Schutzkomponente die ursprüngliche Erkennung geliefert hat, wird am konkreten Event und zugehörigen Report geprüft; die Farbe allein belegt die Erkennungsquelle nicht.

Netzwerkreaktion bewusst wählen

Zugriff in der Firewall-Regel steuern

Die Heartbeat-Steuerung liegt auf der Sophos Firewall unter Rules and policies > Firewall rules > [Regel] > Configure Synchronized Security Heartbeat. Dort erfüllen die Felder unterschiedliche Aufgaben:

Minimum source HB permitted verlangt für das Quellgerät mindestens Green oder Yellow. No restriction lässt auch Red oder Geräte ohne Heartbeat zu.
Block clients with no heartbeat behandelt Quellgeräte ohne Heartbeat.
Minimum destination HB permitted prüft den Zustand interner Ziele; Sophos wendet Destination Heartbeat nicht auf Ziele in der WAN-Zone an.
Block request to destination with no heartbeat behandelt interne Ziele ohne Heartbeat.

Ein Gerät, das noch nie einen Heartbeat gesendet hat, bleibt standardmässig erlaubt. Laut Sophos wird es erst erfasst, wenn Block clients with no heartbeat und Block request to destination with no heartbeat beide aktiviert sind. Ausserdem kann eine Web Exception, die Policy checks überspringt, Webrequests trotz Block clients with no heartbeat erlauben.

Heartbeat-Bedingungen gehören daher in eine eng abgegrenzte Pilotregel für tatsächlich verwaltete Sophos Endpoints. Drucker, Gäste, IoT-Systeme und Geräte mit Drittanbieter-EDR benötigen ein eigenes Regelkonzept statt immer breiterer Ausnahmen. Das allgemeine Regeldesign erklärt Sophos Firewall Rules sicher planen.

Seitliche Verbindungen am Endpoint ablehnen

In Sophos Fusion öffnet man das Global Settings-Symbol, danach Protection and Remediation > Synchronized Security. Unter Reject connections from other devices aktiviert Allow devices to reject connections from other devices with red health die Endpoint-Reaktion. Sie gilt nur für Geräte, die mit Sophos Firewall verbunden sind.

Bei Red oder Missing informiert Sophos die anderen verwalteten Geräte im selben Subnetz über das unsichere Gerät. Der Ziel-Endpoint protokolliert Access request from computer denied because it may be unsafe; in Gegenrichtung erscheint Access to computer denied because it may be unsafe. Diese lokale Abweisung lässt sich am betroffenen Gerät nicht übersteuern. Der Zugriff kehrt zurück, wenn das Gerät wieder gesund ist.

Kritische Server lassen sich zentral ausnehmen. Update Caches und Message Relays sind für diesen Mechanismus standardmässig ausgenommen, damit Updates und Kommunikationswege erhalten bleiben. Jede weitere Ausnahme erhöht die Bewegungsfreiheit eines roten Servers und braucht deshalb Eigentümer, Begründung und Review-Termin.

Spam- und Virenversand ist ein Sophos-Email-Ablauf

Die Option Scan computers that send spam or viruses auf derselben Sophos-Fusion-Seite setzt sowohl eine Sophos-Endpoint- als auch eine Sophos-Email-Lizenz voraus. Sophos Email reagiert, wenn innerhalb von zehn Minuten mindestens fünf als Spam oder virenhaltig klassifizierte Nachrichten aus einer Mailbox gesendet werden: Es identifiziert Besitzer und zugeordnete Geräte, blockiert die Mailbox zunächst für eine Stunde und startet dort einen On-Demand-Scan.

Jeder erneute Auslöser nach Ablauf der vorherigen Sperre verdoppelt die Dauer. Nach sechs Auslösern ist die Mailbox dauerhaft blockiert; nur Sophos Support kann den Fall behandeln. Das Ausschalten der Synchronized-Security-Option stoppt lediglich den Endpoint-Scan, nicht die Mailbox-Sperre. Deshalb werden Email-Event, Benutzer-Geräte-Zuordnung und Endpoint-Scan getrennt geprüft.

Pilot und Abnahme

Einen von Sophos Fusion verwalteten Testendpoint und eine eng begrenzte Firewall-Regel wählen. Vorher normalen Zugriff, erforderliche Remediation-Ziele und einen unabhängigen Adminzugang dokumentieren.
In Sophos Fusion beim Computer den aktuellen Health Status und zeitgleiche Events prüfen. Auf der Firewall unter Control Center > User & device insights > Security Heartbeat den passenden Zähler kontrollieren; bei einem rein grünen Bestand listet die Detailansicht keine einzelnen Endpoints auf.
In der getroffenen Regel Logging aktivieren und mit gesundem Endpoint einen erlaubten Testflow ausführen. Source-IP, Ziel, Rule ID und Zeitpunkt notieren.
Einen freigegebenen Sophos-Testfall verwenden, nicht den Agent stoppen, Schutz manipulieren oder produktive Malware einsetzen. Sichere Testmethoden beschreibt Sophos Endpoint Schutzfunktionen testen.
Sophos-Fusion-Alert, Endpoint-Event, Heartbeat-Anzeige und Firewall-Log anhand desselben Zeitfensters vergleichen. Nur die ausdrücklich konfigurierte Reaktion darf greifen.
Bereinigung beziehungsweise Testende abwarten und bestätigen, dass der Endpoint wieder Green meldet und der normale Zugriff zurückkehrt. Erst danach den Scope erweitern.

Troubleshooting nach Symptom

Missing statt Green/Yellow/Red: Zuerst Zone, Netzwerkpfad, Adapterwechsel, VPN/NAT, Zeitstempel und Sophos-Fusion-Zuordnung untersuchen. Der vollständige Ablauf steht unter Missing Heartbeat Alerts systematisch prüfen.
Sophos Fusion und Firewall zeigen unterschiedliche Zustände: Dasselbe Gerät und Zeitfenster vergleichen. Registrierung, Endpoint-Onlinezustand, Zertifikats-/Sophos-Fusion-Kommunikation sowie Firewall- und Endpoint-Events prüfen. Nicht durch Deregistrieren oder globale Ausnahmen «reparieren».
Unerwartete Blockierung: Eine der beiden oben genannten Endpoint-Meldungen weist auf Reject connections from other devices hin. Ein Firewall-Log mit Rule ID und Heartbeat-Bedingung weist auf die Regel hin. Danach Ursache und Scope korrigieren.
Verzögerung in einem Switched Network oder über LAG: Sophos dokumentiert dafür einen unterstützten Detection-Delay in der Device Console. Den aktuellen Wert und den Rückweg vor jeder Änderung sichern; nicht auf Verdacht setzen.
Zwei Endpoints verwenden dieselbe Dockingstation oder USB-Schnittstelle: SFOS 22.0 MR2 Build 546 behebt unter NC-176012 falsche Missing-Heartbeat-Meldungen. Bei älteren SFOS-22-Builds zuerst die installierte Version prüfen und den Firmwarewechsel planen, danach das betroffene Dockingstation-/USB-Szenario erneut testen, statt nur einen Timer zu erhöhen.
Ursache bleibt offen: Zeitfenster, Endpoint-ID, Health/Event-Auszug, Firewall Rule ID, IP/MAC und betroffene Interfaces sichern. Die fallbezogene Sammlung steht im nächsten Abschnitt; Self Help und SDU erklärt die sichere Handhabung.

Endpoint-Health-Fall für Support vorbereiten

Die Sophos Minimum Escalation Requirements für Windows Endpoint und Windows Server unterscheiden Status-, Service-, Threat-, Device-Isolation- und Synchronized-Security-Fälle. Für jeden Fall werden nicht nur Dateien, sondern auch die eigene Auswertung mitgeliefert: erster relevanter Fehler, Zeitpunkt, getestete Hypothese und Ergebnis.

Schlechter Red-/Amber-Status: Ursache und sichtbaren Status per Screenshot sichern, denselben schlechten Zustand in Sophos Fusion bestätigen und klären, ob das Problem noch aktuell oder nur ein alter Reststatus ist. Reset health status darf als kontrollierter Test verwendet werden. Danach prüfen, ob der Zustand gesund bleibt oder mit demselben Event zurückkehrt; anschliessend SDU und Analyse beifügen.
Gestoppter oder fehlender Dienst/Prozess: In Endpoint Self Help die Seite Services und deren Meldung erfassen, die dort verlinkte Anleitung prüfen und das zum Dienst gehörende Log auswerten. Einen reproduzierbaren Startfehler mit Process Monitor als Administrator aufzeichnen; unter Filter muss Enable Advanced Output und beim Speichern All events gewählt sein. Danach SDU aus demselben Zeitfenster sammeln. Die Aufzeichnung nach der Reproduktion stoppen und geschützt behandeln, da sie Prozess-, Pfad- und Benutzerdaten enthalten kann.
Offener Threat: In der lokalen Eventliste und auf der Sophos-Fusion-Seite Events nach demselben Threat suchen. Ist er dort vorhanden, zuerst die Bereinigung in Sophos Fusion versuchen; fehlt er dort, Reset health status kontrolliert testen. Ein Reset ersetzt weder Threat-Bereinigung noch die Prüfung auf Wiederkehr. Ergebnis, SDU und Analyse beifügen.
Gerät tritt nicht in Isolation ein: Prüfen, ob es in einer Isolation Exclusions List steht oder standardmässig ausgenommen ist. Bei automatischer Isolation müssen die Policy aktiviert und der Red-Status tatsächlich eingetreten sein. Sophos-Fusion-Kommunikation und für Reject connections from other devices den Heartbeat-Verbindungsstatus unter Endpoint Self Help > Operations prüfen.
Gerät verlässt Isolation nicht: Health muss wieder gesund und die Sophos-Fusion-Kommunikation funktionsfähig sein; bei einem ausgenommenen Gerät zusätzlich die konfigurierte Exclusion prüfen. Bei beiden Isolationsrichtungen Beobachtung, SDU und eigene Analyse sichern, bevor Policy oder Ausnahmen geändert werden.
Security Heartbeat verbindet sich nicht: Zuerst prüfen, ob Security Heartbeat auf der Sophos Firewall aktiviert ist. Danach den Verbindungsstatus unter Endpoint Self Help > Operations, Fehler in Heartbeat.log und heartbeatd.log von der Firewall für dasselbe Zeitfenster vergleichen. DEBUG-Logging nur für den Heartbeat-Prozess und die kurze Reproduktion aktivieren, danach auf den Ausgangswert zurücksetzen und eine SDU sammeln. Der Abschluss ist erst belegt, wenn Operations eine Verbindung zeigt, neue Fehler ausbleiben und der erwartete Firewall-/Endpoint-Zugriff wieder funktioniert.

Active Threat Response und Endpoint-Isolation abgrenzen

Sophos Fusion ATR unter Global Settings > Protection and Remediation > Allow and Block > Network > Active Threat Response betrifft Sophos Switches und AP6 Access Points. Externe API-Nutzer oder MDR/XDR-Analysten können identifizierte MAC-Adressen über diese Netzwerkgeräte isolieren. Bei AP6 übersteuert ATR die auf SSIDs konfigurierte MAC Filtering Allowed List.

Das ist ein anderer Kontrollpfad als eine Firewall-Regel mit Heartbeat, die seitliche Endpoint-Abweisung oder die manuelle Endpoint-Isolation. Wer einen einzelnen Endpoint während einer Untersuchung isolieren und kontrolliert freigeben muss, folgt Endpoint isolieren und mit Live Response prüfen. Ein ATR-Status in der Netzwerkansicht beweist weder einen roten Heartbeat noch eine ausgeführte Endpoint-Aktion.

Häufige Fragen

Blockiert ein roter Heartbeat automatisch das ganze Netzwerk?

Nein. Die Wirkung hängt von der getroffenen Firewall-Regel oder der separat aktivierten Endpoint-Funktion Reject connections from other devices ab. Beide haben eigenen Scope und eigene Logs.

Kann Microsoft Defender einen Sophos Security Heartbeat senden?

Nein. Security Heartbeat setzt einen von Sophos Fusion verwalteten Endpoint mit Sophos Endpoint Protection voraus. Drittanbieter-EDR-Geräte brauchen ein separates Zugriffs- und Segmentierungskonzept.

Ist Active Threat Response dasselbe wie Endpoint-Isolation?

Nein. Der hier beschriebene Sophos-Fusion-ATR-Pfad isoliert MAC-Adressen über Sophos Switches und AP6 Access Points. Endpoint-Isolation ist eine separate Response-Aktion am verwalteten Endpoint.