Sophos Endpoint Alerts en Account Health verwerken

Een alert in Sophos Fusion (voorheen Sophos Central) is een onderzoekstaak, niet automatisch een bevestigd incident. Meld u aan bij Sophos Fusion; onder My Environment > Alerts begint de verwerking met Severity, getroffen apparaat, Detection Name en bijbehorende Events. Een statusactie hoort aan het einde: ze verwijdert geen malware of onveilige configuratie.

Snel proces voor Alert Triage

1. Alert afbakenen: leg Severity, Status, apparaat, tijd, Detection Name en aantal gegroepeerde Events vast.
2. Context beoordelen: onderzoek details, Associated events, apparaatstatus, Last active, gebruiker, pad, proces, hash en eventuele Threat Graph.
3. Actief risico beperken: is het risico nog actief of lateraal, isoleer de Endpoint via het goedgekeurde Incident-proces. Sophos Endpoint Threat Cleanup en malwareverwijdering beschrijft het volledige herstel.
4. Alert-type behandelen: voer de vereiste Cleanup, Scan, herstart, Policy-correctie of False Positive-controle uit.
5. Technisch valideren: controleer nieuwe Events, Cleanup- en Scan-resultaat, Agent Health en betrokken toepassing.
6. Pas daarna afronden: wijzig Workflow Status alleen nadat oorzaak, actie, resultaat en eigenaar zijn vastgelegd.

High vraagt snelle beoordeling. Medium is niet automatisch onschuldig: een vereiste Scan, onvolledige Cleanup of Remotely-run ransomware kan eveneens vervolgwerk vragen.

Health, Alert en Event niet verwarren

Deze signalen worden niet hetzelfde berekend. Een Endpoint kan groen zijn nadat een detectie is geblokkeerd of in quarantaine geplaatst en toch een te onderzoeken Alert hebben. Omgekeerd kan een Health-probleem zonder open Threat Alert bestaan. Groen bevestigt dus alleen de door Sophos gemelde status, niet dat het apparaat volledig veilig is.

De Account Health Check hoort bewust in een aparte Sophos Fusion-brede review. Sophos Fusion Account Health Check correct gebruiken behandelt formules, Auto-Fix, Snooze, Policy Reset, Agent Mode, Tamper Protection en PDF-export. Voor Endpoint Alerts blijft gelden: een Score- of Status-wijziging vervangt nooit technische validatie op het apparaat.

Threat Protection Alerts prioriteren

Sophos noemt onder meer de volgende meldingen bijzonder urgent:

• Real-time protection disabled: real-time bescherming is langer dan 2,5 uur uitgeschakeld. Alleen een korte diagnose onder begeleiding van Sophos Support is een plausibele uitzondering.
• Malware not cleaned up: Gedetecteerde malware kon na 24 uur niet worden verwijderd, ook al is automatische Cleanup beschikbaar. Manual cleanup required betekent dat automatische Cleanup niet beschikbaar is; Running malware not cleaned up betekent dat een actief kwaadaardig of verdacht programma niet kon worden opgeschoond. Geef het laatste geval de hoogste prioriteit.
• Malicious traffic detected: verdacht netwerkverkeer kan wijzen op Command-and-Control of andere malwareactiviteit.
• Recurring infection: er is herstel geprobeerd, maar de infectie keerde terug. Onderzoek verborgen of nog niet gedetecteerde componenten.
• Ransomware detected of ransomware tegen shares: bepaal onmiddellijk bron, doelsystemen en mogelijke laterale impact.
• Outbreak detected: Sophos meldt een Outbreak wanneer één apparaat 100 Detections binnen 24 uur heeft. Aantallen vervangen geen oorzaakanalyse.

Ook Medium Alerts als Potentially Unwanted Application detected, Computer scan required to complete cleanup, Reboot required to complete cleanup en Remotely-run ransomware detected hebben een duidelijk resultaat nodig. Een offline apparaat voert de gevraagde Scan uit zodra het online komt. Loopt al een Scan, dan wordt het nieuwe verzoek genegeerd en gaat de bestaande Scan door.

Per bedreigingstype onderzoeken

Ransomware en Remote Ransomware

Controleer bij Ransomware detected of Sophos het proces stopte, betrokken bestanden herstelde, een Memory Scan uitvoerde en een Threat Graph genereerde. Is Cleanup onvolledig, laat de case open.

Selecteer of sleep het verdachte bestand na goedkeuring volgens de gegevensclassificatie rechtstreeks naar het SophosLabs Intelix-portaal; geef het wachtwoord op als het bestand beveiligd is. Analyze start de analyse zonder het bestand op de getroffen Endpoint te openen. Het niet-geauthenticeerde Intelix Guest Portal accepteert één bestand per inzending; na aanmelding met een geldige Sophos ID kan een batch maximaal tien bestanden bevatten. Accepteer vóór de overdracht de gebruiksvoorwaarden en privacyverklaring.

Controleer eerst de classificatie en bevindingen in het Static Analysis-rapport. Is gedragsanalyse nodig, dan maakt Submit for dynamic analysis een Sandbox-rapport. Disagree is een bètafunctie en is mogelijk niet beschikbaar voor elk rapport of account. Waar de functie wordt aangeboden, kan een gebruiker met een gevalideerd Support Portal-profiel klant-, product- en Sample-gegevens plus bron en onderzoekscontext invoeren en de beschikbare escalatiestappen volgen. Afhankelijk van de toegangsrechten kan de procedure escalatie naar Sophos Support aanbieden; gebruik van Disagree garandeert niet dat een case wordt geopend, dus controleer een eventuele Support-referentie afzonderlijk. Is het portaal niet beschikbaar, mislukt de upload of blijft Cleanup onduidelijk, houd het apparaat dan geïsoleerd; Sophos Endpoint Threat Cleanup en malwareverwijdering behandelt het volledige herstel- en Support-proces.

Onderscheid beide remote scenario’s:

• Remotely-run ransomware detected: een ander systeem valt de share aan. Identificeer het bronapparaat via het gemelde IP-adres en bepaal of Sophos Fusion het beheert en CryptoGuard actief is.
• Ransomware attacking a remote machine detected: de gemelde Endpoint probeert zelf bestanden op andere systemen te versleutelen. Sophos blokkeert schrijfrechten op netwerkshares, maar het bronapparaat moet volledig worden onderzocht.

Geblokkeerde share-toegang is beperking, geen bewijs van afsluiting. Neem naburige apparaten, gebruikte accounts en bereikbare shares op in de Incident Scope.

Browser-, Exploit- en IPS-detecties

Bij een web browser attack toont de Threat Graph de betrokken IP- en URL-verbinding. Beoordeel de bestemming en blokkeer die waar nodig op de bedrijfs-Firewall. Heeft de gebruiker een wachtwoord ingevoerd, wijzig dit via het bestaande Identity-proces. Controleer bij bank- of betalingsverkeer ook ongebruikelijke activiteit.

Bij een exploit stopt Sophos de activiteit, waarschuwt de gebruiker, scant processen in het geheugen en maakt een Threat Graph. Onderzoek oorsprong, verspreiding, processen en bestanden. Een terugkerende oorzaak vraagt meer dan awareness: controleer toepassing, Patch Level en Exploit Protection.

Een IPS Alert betreft inkomend of uitgaand netwerkverkeer. Een IPS Exclusion haalt overeenkomend verkeer uit inspectie en moet dus zeer beperkt zijn. Firewall-toestemmingen worden apart ingesteld. Sophos Endpoint-uitzonderingen veilig configureren behandelt Detection-, Process-, Path- en Network-uitsluitingen.

Deep Learning en PUA

Deep Learning-malwaredetecties gebruiken een prefix zoals ML/. Gedetecteerde PE-bestanden gaan in quarantaine, waardoor Device Health al groen kan zijn. Herstel en sta een bestand alleen toe als oorsprong, handtekening of hash en zakelijk doel betrouwbaar bewijzen dat het legitiem is.

Een Potentially Unwanted Application (PUA) is niet noodzakelijk kwaadaardig, maar kan privacy-, beveiligings- of operationele risico’s veroorzaken. Sophos blokkeert en verwijdert PUAs normaal automatisch. Cleanup kan mislukken als de locatie alleen-lezen is, een Scan of herstart nodig is, het bestand in een archief zit of geen Cleanup-instructie bestaat. Onderzoek dan Alert en Threat Graph, verwijder afhankelijke processen en controleer daarna Scan en Events.

Authorize PUA op de Alerts-pagina staat de PUA toe op alle computers. Voor een beperkte zakelijke behoefte is de smalst mogelijke Policy Exclusion veiliger. Op Windows en Linux kan een legitieme toepassing afhankelijk van het platform via Certificate, SHA-256 of Path worden toegestaan; Sophos beveelt op Windows Certificate aan. Een hash geldt voor één versie, een Path voor alles op die locatie. Deze functie is niet beschikbaar op macOS.

False Positives veilig behandelen

“Bekende toepassing” is onvoldoende bewijs. Controleer vóór een uitsluiting leverancier, handtekening, hash, bron, versie, Detection Name en waargenomen gedrag. Blijft twijfel bestaan, laat detectie actief en lever Sample en casegegevens aan Sophos Support.

• Toepassing: op ondersteunde platformen staat Allow this application in apparaatdetails onder Events > Details. Certificate is gekoppeld aan de uitgever, SHA-256 aan exact één versie en Path aan een locatie. De toestemming geldt wereldwijd voor alle gebruikers en computers en sluit de toepassing uit van verdere Threat Detections, maar controles op Exploits, Ransomware en Malicious Behavior blijven actief.
• Exploit: Exclude this Detection ID from checking geldt voor alle gebruikers en computers en wordt opgeslagen in Global Exclusions. Gebruik een gerichte Threat Protection Policy als slechts bepaalde gebruikers of apparaten zijn getroffen. Sophos noemt uitsluiting van de volledige toepassing van alle Exploit-controles de riskantste optie en een laatste redmiddel.
• Ransomware: Exclude this Detection ID from checking in Event details geldt globaal voor gebruikers en computers en komt in Global Exclusions. Keur die Scope goed vóór bevestiging.

Elke uitsluiting heeft een eigenaar, reden, doelgroep, vervaldatum en functietest nodig. Verwijder haar na een leveranciersfix.

Niet-beveiligingsalerts correct routeren

Installatie-, Policy-, periferie-, VDI- en herstartproblemen bewijzen niet automatisch malware, maar hebben wel een technische eigenaar nodig:

• Gebruik bij mislukte bescherming of Agent-installatie Sophos Endpoint-installatie systematisch troubleshooten.
• Onderzoek terugkerende afwijkingen met Sophos Endpoint-policies correct opbouwen.
• Gekloonde systemen volgen Sophos Endpoint in VDI-gold-images voorbereiden.
• Een wachtende herstart maakt eerst Events en na twee weken een Alert. Wacht niet tot die termijn voor een onderhoudsvenster.

Sophos Fusion-alert-e-mails en meldingen configureren behandelt bezorging, ontvangers, frequenties en escalatie. E-mail is alleen het kanaal; Alert, Events en apparaatstatus in Sophos Fusion zijn leidend.

Afsluitcriteria en overdracht aan Support

Een Alert is technisch pas afgerond wanneer:

• oorzaak en getroffen Scope bekend zijn,
• Cleanup, Scan, herstart of correctie aantoonbaar klaar is,
• geen nieuwe gerelateerde Events verschijnen,
• Device Health en vereiste beschermingsfuncties aannemelijk zijn,
• elke uitsluiting getest, tijdelijk en toegewezen is,
• het dossier Alert ID, tijd, apparaat, Detection Name en resultaat bevat.

Sophos Support past wanneer Cleanup herhaaldelijk faalt, een infectie terugkeert, de Agent beschadigd lijkt of een gefundeerd False Positive niet veilig kan worden toegestaan. Voeg Alert ID, apparaat, periode, Detection Name, hash, handtekening, Logs, Threat Graph-bevindingen, uitgevoerde acties en gewenst resultaat toe.

Veelgestelde vragen