Sophos MDR: wat doet Sophos en wat blijft bij de klant?

Om drie uur ’s nachts begint een aanvaller zich door het bedrijfsnetwerk te verspreiden. De beveiligingssoftware meldt verdachte activiteiten. Maar wie onderzoekt de melding, beslist over de isolatie van een server en informeert de verantwoordelijke personen?

Sophos MDR stelt daarvoor dag en nacht een analistenteam beschikbaar. Managed Detection and Response omvat detectie, onderzoek en afgesproken responsactiviteiten. Dat ontlast de eigen IT-afdeling. Het vervangt echter niet haar verantwoordelijkheid voor het beheer of de voorbereiding op een incident.

Dit oorspronkelijk in 2022 gepubliceerde artikel is bijgewerkt voor de huidige dienst. De toenmalige overgang van MTR naar MDR blijft relevant als historische toelichting; de vroegere pakketoverzichten zijn geen actuele basis voor een bestelling.

Wat doet Sophos concreet?

De analisten beoordelen de beschikbare beveiligingsmeldingen, onderzoeken verdachte verbanden en behandelen de daaruit voortkomende incidenten. Daarvoor gebruiken ze de telemetrie van de gekoppelde systemen. Het beheer gebeurt in Sophos Fusion, voorheen Sophos Central.

Afhankelijk van de afgenomen dienst en de verleende bevoegdheid kan het team bijvoorbeeld een bereikbare computer isoleren, een schadelijk proces beëindigen of via een ingestelde Microsoft-365-response-integratie een aanmelding blokkeren en sessies intrekken. Dat zijn concrete ingrepen. Daarvoor moeten de betreffende functie, technische toegang en bevoegdheid aanwezig zijn.

Een belangrijk detail zit in de omvang van de dienstverlening: de huidige Sophos-documentatie over de responsmodi maakt onderscheid tussen indamming en volledige neutralisatie. Die laatste hoort volgens de documentatie bij MDR Plus. Een algemene belofte als ‘MDR handelt elk incident volledig af’ is daarom geen bruikbare beschrijving van de dienstverlening. De bestelde dienst is bepalend.

Mag Sophos onmiddellijk handelen?

Het bedrijf stelt een responsmodus in. Die beslissing moet vóór het eerste incident worden genomen, want een dringende waarschuwing geeft op zichzelf nog geen bevoegdheid om te handelen.

Bij Collaborate kan aanvullend worden toegestaan om na mislukte telefonische contactpogingen met alle geregistreerde contactpersonen over te schakelen naar Authorize. Deze optie moet expliciet zijn ingeschakeld. Zonder die instelling mag het team onbereikbaarheid niet als toestemming opvatten.

De inrichting van MDR-contactpersonen en Threat Response legt de instellingen uit. Er is minimaal één bevoegde hoofdcontactpersoon vereist. Extra contactpersonen zijn zinvol, zodat vakantie, ziekte of één uitgeschakelde telefoon de procedure niet onderbreekt. Een geregistreerd nummer vervangt echter geen intern georganiseerde bereikbaarheid.

Externe leveranciers: gegevens zien is iets anders dan ingrijpen

MDR kan ook beveiligingsgegevens van andere leveranciers meenemen. Bestaande producten hoeven daarom niet zonder meer door Sophos te worden vervangen. Welke gegevens een integratie levert en welke reacties ze mogelijk maakt, moet voor het concrete product worden gecontroleerd. De handleiding voor MDR-/XDR-integraties helpt bij inrichting en controle.

Een connector die alleen gegevens aanlevert, kan waarschuwingen doorgeven zonder accounts te kunnen blokkeren of apparaten te kunnen isoleren. Een response-integratie heeft eigen rechten nodig. Ook een firewall die gebeurtenissen verstuurt, is daarmee nog niet op elke responsactie voorbereid. Op endpoints kunnen de agent, beleidsregels en Live Response bepalen welke onderzoeken en ingrepen mogelijk zijn.

Een typisch voorbeeld is een gecompromitteerd Microsoft-365-account: aangemelde sessies intrekken en nieuwe aanmeldingen blokkeren kan het directe gebruik onderbreken. Daarmee zijn echter nog niet alle mogelijke gevolgen opgehelderd. Gemanipuleerde doorstuurregels, getroffen bedrijfsprocessen, verdere toegangen en het veilig opnieuw vrijgeven moeten tijdens het incident gericht worden onderzocht en aan verantwoordelijken toegewezen. Welke stappen Sophos kan uitvoeren, hangt ook hier af van de integratie en de omvang van de dienstverlening.

Wat blijft bij de klant of IT-partner?

De eigen IT-afdeling blijft de infrastructuur beheren. Dat omvat updates, veilige configuraties, gebruikersbeheer, werkende back-ups en het herstellen van toepassingen. MDR maakt een ongepatchte server niet blijvend veilig en herstelt geen versleutelde bedrijfsgegevens uit een back-up.

Ook zakelijke beslissingen blijven bij het bedrijf: welke systemen mogen tijdelijk uitvallen? Wie informeert de directie, klanten of verzekeraar? Wie beoordeelt meldplichten en schakelt de vereiste externe ondersteuning in? Zulke taken moeten in het noodplan zijn toegewezen. Het MDR-contract alleen verdeelt ze niet over interne personen.

Ook na indamming blijft er werk. De oorzaak moet worden weggenomen, een getroffen toegang moet zorgvuldig worden hersteld en een aanbevolen configuratiewijziging moet worden uitgevoerd. Een rapport levert pas operationele vooruitgang op als iemand de openstaande taken oppakt en de afronding controleert.

Daarom moet voor elke kritieke omgeving een korte lijst met verantwoordelijkheden bestaan: wat mag Sophos zelfstandig doen, wat doet de IT-partner en wie beslist binnen het bedrijf? Vooral bij productiekritieke servers moeten de gevolgen van isolatie vooraf worden besproken.

Wat kost MDR en wat moet in de offerte staan?

Een betrouwbare totaalprijs vereist aantallen gebruikers en servers, de looptijd, de gewenste responsomvang en de meegenomen systemen. Daar komen inrichting en de taken van de eigen IT-partner bij. Een lagere licentieprijs kan weinig zeggen als de noodzakelijke integraties en bereikbaarheid bij incidenten ontbreken.

In de Avanet-shop zijn aanbiedingen te vinden onder Sophos MDR, MDR Complete, MDR voor servers en MDR Complete voor servers. De huidige fabrikantdocumentatie gebruikt ook de naam MDR Plus. Oude productnamen en shopbenamingen mogen daarom niet zonder controle van de offerte worden gelijkgesteld aan een huidige dienstverlening.

De integratiepakketten uit de oorspronkelijke versie van dit artikel vormen evenmin een betrouwbare huidige prijslijst. Voor een offerte moeten de inbegrepen integraties, bewaartermijnen en eventuele aanvullende diensten expliciet vaststaan. Een inbegrepen koppeling geeft bovendien niet automatisch een licentie voor het gekoppelde product van een andere leverancier. Daarom noemen we hier geen ongecontroleerde algemene prijs per eenheid.

Waaraan herken je een operationeel gereedstaande MDR-omgeving?

Na aanschaf is het niet voldoende dat de licentie in het portaal verschijnt. Alle te bewaken apparaten moeten zijn opgenomen, de beoogde gegevensbronnen moeten actuele gebeurtenissen leveren en de responstoegangen moeten werken. De gekozen modus moet aansluiten op de afgesproken noodprocedure.

Voor acceptatie moet je samen met de dienstverlener de contactwegen en verantwoordelijkheden doornemen, de toestand van de integraties controleren en een afgestemde, ongevaarlijke functietest afspreken. Het resultaat moet laten zien wie een melding ontvangt en welke reactie technisch en organisatorisch mogelijk is. Voor zo’n test hoeft geen malware bewust te worden gestart.

Ik zou MDR beoordelen op de vraag of er bij een incident een bereikbare keten ontstaat die daadwerkelijk kan handelen. Een analistenteam, werkende technische toegang en duidelijke toestemming moeten samenkomen. Als één daarvan ontbreekt, blijft ook met een goede licentie een doorslaggevende leemte bestaan.

Veelgestelde vragen