Sophos XDR Cases und Detection Rules betreiben
Sophos XDR sammelt Detections und betroffene Entitäten zu untersuchbaren Fällen. Ein Case ist kein automatisch gelöster Incident, sondern der gemeinsame Arbeitsbereich für Evidenz, Verantwortlichkeit und Response.
Cases benötigen EDR, XDR oder MDR. Sophos erzeugt bei einer High-Risk-Detection automatisch einen Case, sofern sie nicht bereits am selben Tag in einem passenden Case liegt. Spätere Detections desselben Typs können ergänzt werden.
Ein Sophos-managed Case auf Basis von MDR-Detections wird vom MDR-Team untersucht. Ein Self-managed Case aus XDR-Detections bleibt in der Verantwortung des Kunden und wird einem Administrator zugewiesen. Sophos erstellt ihn, untersucht ihn aber nicht automatisch.
Diese Eigentumsgrenze gilt auch für NDR-Signale und autorisierte NDR-Testtreffer: Die Quelle NDR überträgt einen Self-managed XDR-Case nicht automatisch an Sophos MDR. Der Kundenadministrator bleibt Owner, bis der Case gemäss dem eigenen Prozess abgeschlossen ist. Nur ein als Sophos-managed ausgewiesener Case auf Basis von MDR-Detections liegt beim MDR-Team. Wie ein Testtreffer eindeutig korreliert und aufgeräumt wird, beschreibt das Runbook zur NDR-Test-Detection.
Detection, Alert und Case
| Element | Zweck |
|---|---|
| Detection | verdächtige Aktivität oder Regel-Treffer |
| Alert | priorisierte Meldung mit Handlungsbedarf |
| Case | gebündelte Untersuchung mit Owner, Status und Evidenz |
| Detection Rule | Regel, die passende Detections ausblendet und deren Case-Erstellung verhindert |
Mehrere Detections können zu derselben Angriffskette gehören. Umgekehrt kann eine einzelne auffällige Detection bereits eine Untersuchung rechtfertigen.
Bei Self-managed Cases bilden New, Investigating, On Hold und Resolved den vollständigen Statusablauf: neu angelegt, aktiv untersucht, vorübergehend pausiert oder abgeschlossen. Sophos-managed Cases verwenden dagegen Investigating, Action required und Resolved. Action required bedeutet, dass der Kunde handeln muss; Sophos benachrichtigt dafür die hinterlegten Kontakte.
Case bearbeiten
Der Einstieg liegt unter Threat Analysis Center > Cases. Ein automatisch erzeugter Self-managed Case wird über seine Case ID geöffnet. Auf Overview setzt man über das Menü neben dem Case-Namen den Schweregrad. Danach ändert man den Status von New auf Investigating und wählt unter Owner den zuständigen Administrator. Fehlt er in der Liste, lässt er sich dort über Add user anlegen. Der Owner kann auch später zugewiesen werden.
Ein manueller Self-managed Case entsteht auf zwei offiziell dokumentierten Wegen:
- Unter Threat Analysis Center > Cases > Create case > Self-managed case Name und Beschreibung eingeben, Severity, Status
Newund optional Assignee wählen und mit Create speichern. Anschliessend unter Threat Analysis Center > Detections die Treffer markieren und über Actions > Add to Case hinzufügen. - Oder unter Threat Analysis Center > Detections zuerst die Treffer markieren und Actions > Create Case wählen. Weitere Detections werden später über Actions > Add to Case ergänzt.
Manuell erstellte Cases können nur Sophos-XDR-Detections enthalten, nicht MDR- oder Managed-Risk-Detections. Im Case-Namen empfiehlt Sophos ausschliesslich alphanumerische Zeichen, Leerzeichen und einfache Satzzeichen, weil APIs Sonderzeichen als Syntax interpretieren können.
Für die eigentliche Untersuchung gilt:
- Zusammenfassung, Schweregrad und Zeitlinie lesen.
- Betroffene Geräte, Benutzer, Prozesse, IPs und Dateien prüfen.
- MITRE-ATT&CK-Techniken und Detection-Quelle einordnen.
- Threat Graph, Live Discover und verfügbare Enrichments verwenden.
- Eindämmung wie Isolation oder Live Response dokumentieren.
- Ursache, Umfang und Abschlussentscheidung festhalten.
Bei einem Self-managed Case gehören die Untersuchungsnotizen auf den Tab Notebook. Damit bleibt der Evidenz- und Entscheidungsverlauf direkt am Case erhalten.
AI-generierte Zusammenfassungen können die Triage beschleunigen, werden aber gegen Rohdaten und Zeitlinie geprüft.
Detection Rules
Detection Rules können derzeit ausschliesslich unerwünschte Detections unterdrücken und benötigen einen Super Admin. Eine Regel verhindert, dass eine passende Detection in der Detection-Liste erscheint und einen Self-managed-XDR-Case erzeugt. MDR-Cases lassen sich damit nicht unterdrücken.
Regeln werden aus einer vorhandenen Detection erstellt: Threat Analysis Center > Detections, Drei-Punkte-Menü neben dem Detection-Namen, Add detection rule. Unter Rule Details werden Name und Beschreibung erfasst; die Regel ist standardmässig aktiviert. Unter Actions steht derzeit nur Suppress zur Verfügung. Unter Conditions wählt man die Merkmale des vorhandenen Treffers, die die Regel auslösen sollen, und speichert mit Save. Pro Tenant sind höchstens 25 Detection Rules möglich.
Bevor die standardmässig aktivierte Regel gespeichert wird, werden Regelname, Zweck, Datenquelle, erwartete Häufigkeit, Owner und Review-Termin dokumentiert. Bedingungen sollten nur den bestätigten legitimen Auslöser erfassen, nicht bloss Schweregrad oder ein weit gefasstes Prozessmerkmal.
Eine neue Regel kann bis zu 20 Minuten benötigen und wirkt nur auf Detections, die nach ihrer Erstellung entstehen. Bedingungen sind case-sensitive: Windows und windows können unterschiedlich behandelt werden.
Bestehende Regeln verwaltet man unter Threat Analysis Center > Detection rules. Eine Regel kann aktiviert, deaktiviert, dupliziert oder gelöscht, aber nicht direkt bearbeitet werden. Für eine Änderung wird sie über das Drei-Punkte-Menü dupliziert und angepasst; nach kontrollierter Ablösung wird das Original deaktiviert oder entfernt.
Suppression kontrollieren
Suppression reduziert bekannte, erwartete Treffer. Sie ist keine Bereinigung und darf keine echte Aktivität unsichtbar machen. Jede Unterdrückung braucht:
- genaue Bedingung statt breiter Muster,
- dokumentierten legitimen Auslöser,
- Owner und Review-Datum,
- Prüfung der bereits unterdrückten Detections.
Eine ruhige Konsole ist kein Qualitätsmerkmal, wenn Regeln zu breit unterdrückt werden.
Zur Kontrolle blendet man unter Threat Analysis Center > Detections > Show filters im Bereich Detection Visibility die Option Hide Suppressed Detections aus und klickt Apply. So lässt sich prüfen, was eine Regel tatsächlich erfasst. Da Regeln nicht rückwirkend gelten, ist diese Ansicht zugleich die bessere Grundlage für den nächsten Review als eine blosse Abnahme der sichtbaren Trefferzahl.
Abschluss und Lessons Learned
Ein Case wird geschlossen, wenn Umfang, Ursache, Eindämmung, Bereinigung und Wiederherstellung dokumentiert sind. Anschliessend werden Detection-Regeln, Policies, Ausnahmen und Runbooks angepasst, wenn die Untersuchung eine Lücke gezeigt hat.
Ein Self-managed Case wird mit dem Status Resolved geschlossen. Er bleibt danach 30 Tage in der Liste und wird anschliessend von Sophos gelöscht. Partner Super Admins und Enterprise Super Admins können Cases weder schliessen noch entfernen; diese Rollengrenze wird vor der Übergabe des Owners berücksichtigt.
Die zugrunde liegende Telemetrie und Abfragearbeit erklärt Sophos XDR Data Collection und Live Discover.