Sophos AI Assistant en AI Search in XDR gebruiken

Sophos AI Search en de assistenten Security Analyst en Threat Hunter zijn XDR-onderzoekstools in Sophos Fusion (voorheen Sophos Central). Het zijn geen algemene functies van de Endpoint-agent en ze voeren geen autonome herstelactie uit. AI Search zet zoekopdrachten in natuurlijke taal om in Data Lake-query’s; de onderzoeksassistenten ondersteunen analisten in een chat. Als derde assistent is Firewall Assistant beschikbaar voor firewallregels en policies. Hij gebruikt de gegevens van een geselecteerde, centraal beheerde Sophos Firewall en wordt hieronder afzonderlijk besproken.

De volledige AI Assistant binnen het XDR-onderzoeksproces vereist Sophos XDR, Sophos MDR, Sophos MDR Plus of Sophos Network Detection and Response. Sophos EDR bevat AI Case Summary, AI Command Analysis en AI Search, maar niet de XDR AI Assistant. Deze XDR-licentiegegevens zeggen niets over de licentiëring van Firewall Assistant. Volgens Sophos is voor volledige toegang tot AI-functies de rol Super Admin of Admin vereist. Momenteel worden alleen Engelse invoer en uitvoer ondersteund.

De juiste tool kiezen

• AI Search: doorzoekt gegevens in het Sophos Data Lake. In de Classic-weergave van Threat Analysis Center kies je Detections of Endpoint Data; zoekopdrachten in Endpoint Data zijn daar beperkt tot Windows. Onder Security Operations > Data Lake Search genereert AI Search daarentegen Advanced Search-query’s in QL. De Windows-beperking van het Classic-proces wordt niet op deze nieuwe zoekinterface toegepast.
• Security Analyst: onderzoekt één Sophos-managed of Self-managed Case en neemt de Case- en Detection-context over.
• Threat Hunter: zoekt naar actoren of Indicators of Compromise in het Data Lake en werkt alleen met Self-managed Cases.
• Firewall Assistant: ondersteunt de configuratie van firewallregels en de analyse van policies van een in Sophos Central beheerde firewall vanaf SFOS 23.0. De chat begint met de selectie van de firewall, niet met een Case-ID.
• AI Case Summary: vat Detections, apparaten, gebruikers, MITRE ATT&CK-tactieken en mogelijke vervolgstappen samen.
• AI Command Analysis: verklaart en deobfusceert commandoregels uit Detections.

De XDR-onderzoeksassistenten Security Analyst en Threat Hunter kunnen momenteel XDR-geïntegreerde gegevens van Sophos Endpoint en Sophos Server op Windows ophalen en analyseren. Ze kunnen geen bedreiging wegnemen en geen Response-actie uitvoeren. Isolatie, Live Response, blokkering, goedkeuring en afsluiting van een Case blijven bewuste menselijke beslissingen. Deze Windows-databronnen en Response-beperkingen beschrijven het onderzoeksproces, niet de firewallconfiguratie met Firewall Assistant.

AI Search veilig gebruiken

Controleer eerst welke interface je tenant gebruikt. Threat Analysis Center is de nog steeds beschikbare Classic view van Security Operations. Het onderstaande SQL-proces hoort bij die Classic-weergave; de nieuwe Data Lake Search wordt daarna apart beschreven. Een nieuwe menuoptie is geen reden om werkende Classic-query’s zonder controle te herschrijven.

Classic: AI Search in Threat Analysis Center

1. Open Threat Analysis Center > AI Search.
2. Kies links Detections of Endpoint Data. Endpoint Data vereist een Windows-apparaat.
3. Kies een voorgestelde zoekopdracht of stel een vraag in het Engels. Noem apparaat, gebruiker, indicator en periode zo precies mogelijk.
4. Kies Search en controleer de resultatentabel.
5. Open Generated Query en controleer de gegenereerde SQL. Databron, velden, filters en periode moeten bij de onderzoeksvraag passen.

Zonder expliciete periode gebruikt AI Search standaard 24 uur. Sophos raadt aan te beginnen met enkele uren of maximaal één dag en daarna geleidelijk uit te breiden. Query’s over dagen of weken kunnen traag worden of een timeout geven.

De tabel toont maximaal 1.000 resultaten. Sophos noemt 90 dagen Data Lake-retentie, of één jaar met de aanvullende licentie Central Data 1-Year Storage Pack. Duizend rijen bewijzen dus niet dat er precies duizend gebeurtenissen bestaan; een lege tabel bewijst evenmin dat er gedurende de hele incidentperiode geen activiteit was.

Save Query bewaart een nuttige query in de nieuwe Live Discover-categorie AI Search; Export downloadt SQL en resultaten als CSV. Sophos Live Discover en Data Lake-query’s verklaart het verschil tussen Live Endpoint en Data Lake en de operationele limieten.

Security Operations: AI Search in Data Lake Search

Voer onder Security Operations > Data Lake Search > AI Search een onderzoeksvraag in natuurlijke taal in of kies een vooraf opgestelde prompt en selecteer Search. Browse Prompts of View All opent de beschikbare prompts; Sophos Only, categoriefilters en de zoekfunctie beperken de selectie. Na het laden kun je een prompt aanpassen aan het apparaat, de indicator en de periode van je onderzoek.

Onder de resultaten verschijnt de gegenereerde query in de Advanced Search query language, hier QL genoemd, niet als de Classic-SQL-query uit Generated Query. Controleer of gegevensbron, velden, filters en periode bij de onderzoeksvraag passen. Verfijn bij een ongeschikt resultaat de prompt en kies opnieuw Search. De rijlimiet en Windows-beperking van Classic zijn geen aangetoonde beperkingen van deze interface.

Save Query vereist een naam en categorie; een beschrijving en Bookmark this Query zijn optioneel. Sla op met Save Query en controleer onder Saved Queries of je de query kunt terugvinden. Het Data Lake Search-gedeelte van het queryrunbook beschrijft het volledige proces met Query Builder, Query Editor, zoekgeschiedenis en export.

AI Assistant vanuit een Case starten

De onderstaande ingang via een Case beschrijft de Classic-weergave. Security Operations heeft ook Cases; dat bewijst niet dat daar dezelfde knop, tabbladen of overdracht naar de chat beschikbaar zijn. Dit artikel behandelt de XDR-onderzoeksassistent, niet een algemene Endpoint-helper of functies van Sophos AI Defense.

Een gecontroleerde Case is een veiliger beginpunt dan een chat zonder context:

1. Open Threat Analysis Center > Cases en kies de Case-ID.
2. Controleer Detection, betrokken apparaten en relevante periode.
3. Kies rechtsboven Ask Sophos AI. Central opent Security Analyst met de Case-context.
4. Bewerk een voorgedefinieerde Prompt of stel een eigen Engelse vraag. / opent voorbereide en opgeslagen Prompts.
5. Stel vervolgvragen in dezelfde chat. Assistant gebruikt de huidige Thread; een nieuwe chat heeft die context niet.

Open anders AI > Assistant, kies New en daarna Security Analyst of Threat Hunter. Security Analyst vraagt vervolgens om een Case-ID. Ask AI kan ook geselecteerde rijen uit een resultatentabel als context overnemen. Controleer vóór verzending welke selectie daadwerkelijk wordt doorgegeven.

Firewall Assistant: een firewall selecteren en verder werken

Firewall Assistant in Sophos Fusion ondersteunt SFOS 23.0 of nieuwer en vereist een centraal beheerde firewall. De minimumversie alleen is geen toezegging dat de functie in elke tenant of build algemeen beschikbaar is; de daadwerkelijke beschikbaarheid en de goedkeuring van de doelbuild moeten bij de eigen omgeving passen. Deze configuratiechat is niet de lokale Sophos Assistant in WebAdmin voor documentatiezoekopdrachten en begeleide procedures.

Onder AI > Assistant > New > Firewall Assistant verschijnt de lijst met firewalls die in Sophos Fusion worden beheerd. Apparaten met een oudere SFOS-versie zijn grijs weergegeven en kunnen niet voor dit proces worden geselecteerd. Elke chat hoort bij precies één firewall. Begin voor een ander apparaat een afzonderlijke chat; meerdere chats voor verschillende firewalls kunnen naast elkaar bestaan. De toegang tot gegevens blijft beperkt tot de machtigingen van de aangemelde beheerder voor de betreffende firewall.

1. Controleer de naam en firmwareversie van de bedoelde firewall en selecteer de bijbehorende vermelding. Zo begint de chat met het juiste apparaat in plaats van met een Threat Case.
2. Kies een voorgedefinieerde Prompt of stel een eigen vraag in het Engels. Met / worden aanvullende voorbereide Prompts weergegeven; met Send wordt de vraag verzonden.
3. Controleer het antwoord aan de hand van de regels en policies van de geselecteerde firewall. Vervolgvragen in dezelfde chat behouden de gesprekscontext. Nadat de pagina is gesloten of New is gekozen, blijft de eerdere chat beschikbaar in de lijst aan de linkerkant en kan deze daar opnieuw worden geopend.

Als een apparaat grijs wordt weergegeven, controleer dan eerst de SFOS-versie. Als het ontbreekt in de lijst, controleer dan het centrale beheer en of de juiste tenant is geselecteerd. Voer geen firmware-upgrade uit uitsluitend om de assistent beschikbaar te maken; de beoogde build en de goedkeuring voor de upgrade moeten bij de eigen omgeving passen.

Voor de operationele overgang naar regelbeheer licht het overzicht van Sophos Firewall v23 de AI-assistent en het belang van de regelpositie toe. Een chatantwoord is geen goedkeuring om een regel in productie te activeren. De doelfirewall, objecten, regelpositie en veiligheidscontroles worden vóór elke wijziging bewust gecontroleerd; de selectie van de Assistant of een geslaagde Prompt impliceert geen autonome activering.

Het regelconcept controleren, beheerst toepassen en de actie auditen

Binnen de gedocumenteerde scope van fase 1 zijn de acties gericht op firewallregels en alleen-lezen, met één uitzondering: een prompt kan een nieuwe firewallregel aanmaken. De Assistant toont daarvoor eerst een concept met een JSON-samenvatting en weergaven van de gebruikte objecten. Pas na bevestiging wordt de regel op de firewall aangemaakt, standaard uitgeschakeld onderaan de regeltabel. Dit is al een configuratiewijziging, maar laat nog geen verkeer daadwerkelijk toe.

⚠️ Gebruik een aanmaakprompt alleen voor een geplande en geautoriseerde wijziging. Leg vóór bevestiging het doelapparaat, bestaande regels en objecten en de huidige configuratiestatus vast. Latere activering kan verkeer toestaan of blokkeren; daarom moeten de gewenste pakketstroom, beveiligingsinspectie, het onderhoudsvenster en de herstelprocedure vooraf duidelijk zijn.

1. Geef in de chat van de juiste firewall precies de vereiste IP-versie, bestaande objectnamen en de gewenste pakketstroom op. Beantwoord verduidelijkingsvragen in plaats van zonder onderscheid hele netwerken of willekeurige services toe te staan.
2. Vergelijk in het voorbeeld de JSON-samenvatting en objectweergaven met de bedoelde regel: bron, bestemming, services, actie en beveiligingsopties moeten kloppen. Laat bij afwijkingen het concept corrigeren of bevestig het niet.
3. Bevestig het aanmaken pas nadat het concept is gecontroleerd. Open daarna, los van de chat, op dezelfde firewall in WebAdmin Rules and policies en controleer de juiste IPv4- of IPv6-regellijst. De nieuwe regel moet uitgeschakeld onderaan de tabel staan. Als de regel ontbreekt of de status afwijkt, maak hem dan niet blind opnieuw aan en activeer hem niet; vergelijk apparaat, lijst en aanmaakbevestiging.
4. Controleer de daadwerkelijk opgeslagen instellingen en benodigde objecten. Bepaal pas na goedkeuring de inhoudelijk juiste regelpositie en activeer de regel handmatig. Een passende regel onderaan de tabel kan door een eerdere regel zonder effect blijven; een te hoog geplaatste regel kan de bedoelde beperking juist omzeilen. Controleer zowel de toegestane als de nog geblokkeerde pakketstroom met de regeltest met Log Viewer, Policy Test en Packet Capture.
5. Open voor bewijs van de Assistant-actie via Logs and policy test de Log Viewer en filter op het onderdeel AI Assistant. Vergelijk auditevents met de doelfirewall, het wijzigingstijdstip en de daadwerkelijk opgeslagen regel. De auditvermelding bewijst de Assistant-actie, niet het juiste effect op de pakketstroom. Ontbreekt de verwachte vermelding, controleer dan periode en filters en onderzoek het verschil in plaats van aan te nemen dat er niets is gewijzigd.

Schakel bij een onverwacht effect de zojuist geactiveerde regel weer uit en controleer de eerder vastgelegde toestand. Uitschakelen verwijdert noch het concept, noch eventueel nieuw aangemaakte objecten en is geen volledige configuratierollback. Een niet-goedgekeurd concept blijft uitgeschakeld; controleer de objectafhankelijkheden vóór een latere opschoning.

Een controleerbare Prompt schrijven

Een goede Prompt vermeldt doel, Scope en gewenste uitvoer. Bijvoorbeeld:

Compare the detections for endpoint WS-023 during 10 September 2026, 08:00-12:00 UTC. List process names, command lines and hashes, and mark every conclusion that still needs validation.

WS-023 is een neutraal voorbeeld en moet door het onderzochte apparaat worden vervangen. Datum, tijd en tijdzone moeten bij de Case passen. Voeg processen, IP-adressen, gebruikers of hashes alleen toe als de hypothese dat vereist. Opgeslagen Prompts hebben een duidelijke Alias nodig; Alias en volledige Prompt moeten uniek zijn. Een eigenaar, doel en beoordelingsdatum voorkomen dat een verouderde Prompt een ongecontroleerd Runbook wordt.

Resultaten valideren en documenteren

AI-antwoorden kunnen onjuist of misleidend zijn. Controleer uitspraken als ‘geen andere apparaten getroffen’ tegen Case Timeline, Detection-details, apparaatdata en queryresultaten. Controleer vooral:

• Kloppen periode en tijdzone met de Case?
• Leverde het apparaat in die periode telemetrie?
• Beperken filters, platformondersteuning of, in het Classic-proces van AI Search, de limiet van 1.000 rijen de uitspraak?
• Ondersteunen ruwe gebeurtenissen de voorgestelde conclusie en Response?

Antwoorden, afzonderlijke tabelrijen, complete tabellen en query’s kunnen worden vastgezet. Deze Pinned Items blijven tijdens de chat in de Workbench en kunnen een motiveringsnotitie bevatten. Het is een persoonlijk hulpmiddel, geen Case-documentatie. Feedbackknoppen beoordelen het concrete antwoord; vertrouwelijke details horen niet in het optionele commentaarveld.

Een of meer geverifieerde resultaten van Security Analyst of Threat Hunter kunnen naar de Notebook-tab van de Case worden overgenomen. Dit Case-Notebook-proces is niet beschreven als overdrachtsroute voor Firewall Assistant. Gebruik voor één antwoord het pluspictogram onder het antwoord en bevestig vervolgens het toevoegen. Gebruik voor meerdere antwoorden driepuntenmenu > Select responses > Add to case. Bij Threat Hunter moet de doel-Case worden geselecteerd; bij Security Analyst ligt deze vast door de onderzochte Case.

Een privéchat is alleen zichtbaar voor degene die hem startte. Andere beheerders met Case-toegang zien alleen antwoorden die aan Notebook zijn toegevoegd. Open het menu met drie punten naast de chattitel en selecteer Delete om de hele Thread te verwijderen. Valideer benodigde bewijzen eerst tegen ruwe data en documenteer ze in de Case of het incidentsysteem; de chat is geen auditarchief.

Privacy en gebruikslimieten

Wachtwoorden, private keys, Recovery Codes en onnodige persoonsgegevens horen niet in Prompts of Feedback. Beperk context tot de onderzoeksvraag en pas interne regels voor classificatie, retentie en export toe.

De XDR-AI-functies gebruiken Azure OpenAI en Amazon Bedrock. Invoer en uitvoer worden niet gebruikt om modellen te trainen of diensten van derden te verbeteren en alle data die naar externe LLM-diensten worden verzonden, worden tijdens de overdracht versleuteld. De bestaande rolgebaseerde Central-rechten blijven beperken tot welke gegevens een gebruiker toegang heeft. Vóór activering moeten verantwoordelijken de actuele informatie over gegevensverwerking en subverwerkers in het XDR Privacy Data Sheet controleren.

De gepubliceerde limieten voor de hier beschreven XDR-AI-functies gelden binnen een voortschrijdend venster van 24 uur; hieruit worden geen afzonderlijke limieten voor Firewall Assistant afgeleid:

• AI Command Analysis: 50 per gebruiker, 250 per tenant
• AI Search: 20 per gebruiker, 100 per tenant
• AI Case Summary: 10 per gebruiker, 50 per tenant
• AI Assistant-threads: 20 per gebruiker, 100 per tenant
• afzonderlijke Assistant-berichten: 200 per gebruiker, 1.000 per tenant

Bij het bereiken van een limiet pauzeert de functie met HTTP 429. Sophos kan de waarden wijzigen; gebruik de actuele limietpagina voor planning. Kritieke onderzoeken vereisen altijd een handmatige route via Cases, Detections, Live Discover en onderliggende telemetrie.

Veelgestelde vragen