Sophos-gebeurtenissen voor computers en servers beoordelen

Meld u aan bij Sophos Fusion (voorheen Sophos Central) om gebeurtenissen en rapporten te bekijken. Dit artikel behandelt het Events Report, de gebeurtenissen van afzonderlijke computers en servers, het Computer Report en het beveiligingsoverzicht van de afgelopen 30 dagen. Het afhandelen van waarschuwingen en XDR-onderzoek zijn afzonderlijke werkprocessen.

Kies de juiste weergave

• Wat is er wanneer gebeurd? Open Events Report.
• Wat gebeurde er op een bepaalde computer? Gebruik het tabblad Events in de computerdetails.
• Wat is er op een bepaalde server gedetecteerd? Gebruik het tabblad Events in de serverdetails.
• Welke computers worden beheerd en wanneer hebben deze zich voor het laatst gemeld? Open Computer Report.
• Hoe ziet het beschermingsoverzicht van de afgelopen 30 dagen eruit? Open rapport Overview of your Sophos protection.

Een gebeurtenis is een vastgelegde actie of constatering. Gebeurtenissen die actie vereisen, kunnen ook op de pagina Alerts verschijnen. Nadat een waarschuwing is afgehandeld of genegeerd, blijft de onderliggende gebeurtenis in de lijst staan. De gebeurtenissenweergave biedt dus historie, maar is op zichzelf geen volledig incidentonderzoek.

Gebeurtenissen voor de hele omgeving beoordelen

Het gebeurtenissenrapport is toegankelijk via Reports > General Logs > Events. Voor een reproduceerbare evaluatie gaat u als volgt te werk:

1. Zoek in Search naar de naam van gebruiker, apparaat of bedreiging. Sophos biedt geen ondersteuning voor het zoeken naar een bestandsnaam die in de gebeurtenis wordt vermeld.
2. Selecteer een periode onder Choose period. Voor Custom zijn From en To ingesteld; de weergave gaat maximaal 90 dagen terug.
3. Selecteer of wis onder Event type and count categorieën of afzonderlijke gebeurtenistypen. Standaard zijn alle gebeurtenissen zichtbaar.
4. Laad nieuw ontvangen gebeurtenissen met Update. De grafiek toont het aantal gebeurtenissen per dag.
5. Controleer het resultaat en sla het eventueel op met Save as Custom Report of voer het uit als CSV of PDF met Export.

De gebeurtenissenlijst bevat Sev, Date, Event, User, User Groups, Device en Device Group. Een opgeslagen maatwerkrapport is persoonlijk: alleen de beheerder die het heeft gemaakt, ziet het; Partner- en Enterprise-beheerders zien of maken dit rapport niet. De export biedt de huidige weergave of een rapport van de afgelopen 90 dagen. Daarom horen de zoekterm, tijdsperiode en geselecteerde gebeurtenistypen in de operationele documentatie als evaluaties later vergelijkbaar moeten zijn.

Controleer gebeurtenissen op een computer

Voor een computer loopt de route via My Environment > Computers & Servers of My Products > Endpoint > Computers. Open vervolgens de computernaam en het tabblad Events. De lijst toont de ernst, de rapporterende Sophos-agent en, indien beschikbaar voor de gebeurtenis, Details. View Events Report ordent de gebeurtenissen op type en toont een grafiek per dag.

Een gebeurtenis kan een latere tijdstempel hebben dan Last active in de computerlijst. Dat is niet noodzakelijkerwijs een tegenstrijdigheid: Sophos updatet Last active gemiddeld slechts één keer per uur.

Sommige gebeurtenisdetails bieden acties voor vermoedelijke misclassificatie. Dergelijke toestemmingen of uitsluitingen kunnen breed gelden en mogen niet alleen worden ingesteld omdat een bestandsnaam bekend voorkomt. De veilige scan- en opschoonstroom is beschikbaar in Sophos Endpoint Threat Cleanup and Malware Cleanup.

Controleer gebeurtenissen op een server

Open voor een server My Environment > Computers & Servers of My Products > Server > Servers, klik op de servernaam en kies in de serverdetails het tabblad Events. De lijst toont Sev, Type (de rapporterende Sophos-agent), Date en Event; Details is niet voor elke gebeurtenis beschikbaar. View Events Report toont gebeurtenissen per type en hun verloop per dag.

Bij Unauthorized File Protection (UFP) op Windows-servers registreert Monitor execution of unauthorized files without blocking het uitvoeren van niet-toegestane bestanden zonder dit te blokkeren; Block execution of unauthorized file blokkeert de uitvoering ervan. Controleer voor onderzoek de gebeurtenis van de server en, indien beschikbaar, Details. Om een blokkering aan te tonen, vergelijkt u een gemelde blokkeringsgebeurtenis in Summary of Events met de beleidsinstelling die op de server is toegepast. Een melding in de monitormodus bewijst geen blokkering. Gebruik Reports > General Logs > Events voor een specifieke periode.

Lees gebeurtenistypen correct

Welke gebeurtenissen verschijnen, hangt af van de licentie. Gebruik deze operationele indeling; namen en waarden komen exact uit Sophos Fusion:

• Malware and PUA: Running malware not cleaned up (High), Malicious activity detected (High), Remotely-run ransomware detected (Medium), Ransomware attacking a remote machine detected (High), Safe Browsing detected compromised browser (High), Behavioral (Low), AMSI protection could not clean up a threat (High), Malware not cleaned up (High), Recurring infection (High), Potentially Unwanted Application (PUA) blocked (Medium) en Potentially Unwanted Application (PUA) not cleaned up (Medium) hebben Action required? = Yes. Isoleer indien nodig eerst het apparaat, open waarschuwing en details en voltooi de aangegeven handmatige opschoning, scan of herstart. Bevestig daarna een opgeschoonde/opgeloste gebeurtenis of schone technische toestand; detectie of blokkering alleen bewijst geen herstel.
• Management: Reboot required (Medium), Policy non-compliance (Medium), Real-time protection disabled (High), Failed to protect computer or server (High), Device de-duplicated (Low) en Active Directory synchronization error (High) hebben Action required? = Yes. Herstart of herstel beleid, bescherming, groep-/beleidstoewijzing of synchronisatie en controleer de conforme, opnieuw ingeschakelde, beschermde of geslaagde status. Update failed is Low met Action required? = No, maar controleer eerst de verbinding en of later Update succeeded verschijnt. Een waarschuwing voor niet-naleving van beleid volgt na meer dan 2 uur, een waarschuwing voor uitgeschakelde realtimebescherming na 2,5 uur, een gebeurtenis voor mislukte bescherming na 1 uur en een waarschuwing voor een onopgeloste Active Directory-synchronisatiefout na meer dan 1 uur.
• Network access: Peripheral detected (Medium) en Missing heartbeat reported (High) hebben Action required? = Yes. Controleer de toestemming voor het randapparaat; behandel bij een ontbrekende heartbeat doorlopend netwerkverkeer als mogelijk gecompromitteerd, controleer firewallbeperking en bevestig Restored heartbeat reported. Peripheral allowed, Peripheral restricted to read-only, Peripheral blocked en Restored heartbeat reported zijn Low en vereisen op zichzelf geen actie.
• User behavior: Web policy events, Web threat events en alle downloadreputatiegebeurtenissen zijn Low met Action required? = No. Controleer in het passende webrapport de gebruiker, de beleidsovertreding of de malwaredownload. Ga bij User trusted low reputation download na of de beslissing van de gebruiker bewust was; controleer bij Low reputation download automatically trusted of de instelling Log only bewust is gekozen. DLP-regels melden of een gecontroleerde overdracht is geaccepteerd, toegestaan of geblokkeerd, maar publiceren geen ernst of Action required?; toets de overdracht daarom aan het beleid.
• Device encryption: Key creation failed, Device Encryption failed, Device not encrypted, Device Encryption is suspended en Recovery key missing zijn Medium; Device Encryption information, Device Encryption status changed, Received recovery keys en Revoked keys zijn Low. Hun Action required? is See Note: herstart voor de meeste versleutelingswaarschuwingen de computer, laat deze met de server synchroniseren en controleer daarna versleuteling of herstelsleutel. Een bekeken herstelsleutel wordt ingetrokken en vervangen.

De naam van de gebeurtenis alleen bepaalt daarom niet de prioriteit. Controleer in ieder geval de ernst, of Sophos een actie vereist, het getroffen apparaat, het tijdstip en de details. De feitelijke triage van waarschuwingen blijft in het afzonderlijke artikel Edit Sophos Endpoint Alerts and Account Health.

Gebruik een computerrapport voor inventarisvragen

Onder Reports > Endpoint & Server Protection > Computers vermeldt het Computerrapport alle computers die door Sophos Fusion worden beheerd. De kolommen beantwoorden specifieke inventarisvragen:

• Online: tijdstip van laatste statusbericht; het display wordt gemiddeld elk uur bijgewerkt.
• Last user: laatst ingelogde gebruiker en verstreken tijd; Ook deze informatie wordt gemiddeld binnen een uur na een gebruikerswissel bijgewerkt.
• Last update: Tijdstip van de laatste Sophos-software-update.
• Group: toegewezen computergroep.
• Agent installed: of Sophos-software is geïnstalleerd.

Het rapport is daarom geschikt voor apparaathygiëne en tracking. Online is echter geen beschikbaarheidstest van seconde tot seconde. Een zogenaamd inactief apparaat wordt eerst vergeleken met de gebeurtenistijden en het verwachte rapportage-interval.

Classificeer 30-dagen beschermingsoverzicht

Onder Reports > Endpoint and Server Protection > Hero Reports staat Overview of your Sophos protection. Het rapport is beschikbaar voor beheerders, superbeheerders en partners en geeft een samenvatting van de afgelopen 30 dagen. Het toont onder andere geblokkeerde dreigingsgebeurtenissen, beschermde activa, geblokkeerde of gewaarschuwde websites, beschermde gebruikers, computers en servers, en licentiegebruik.

De grenzen zijn belangrijk: de periode kan niet worden gewijzigd, het rapport heeft slechts betrekking op één inventaris en kan niet worden gepland. Voor Enterprise Master Licenses wordt geen licentiegebruik weergegeven. Via Export as PDF wordt de huidige weergave gedownload als hero-report.pdf. De rapportage is geschikt voor een managementoverzicht, niet als volledige incidentenregistratie of als vervanging voor de gebeurtenissenlijst.

Verwar gebeurtenisjournalen niet met gebeurtenissen in Sophos Fusion

Gebeurtenisjournalen staan lokaal op beheerde Windows-, macOS- en Linux-apparaten en worden met Live Discover bevraagd. Er is geen vaste bewaartermijn: platform, activiteit en limieten bepalen wanneer de oudste journalen verdwijnen. Configuratie vereist XDR, MDR of MDR Plus. Kies onder Global Settings > Products and Services > Endpoint and Server > Event Journals het tabblad Endpoint of Server. Maximum journal size (MB) accepteert 300 tot 30.000 MB en is standaard 5250 MB. Maximum disk space (optional) biedt Not specified, 10%, 20%, 30% of 40% en is standaard Not specified; bij beide limieten geldt de laagste.

Deze instellingen gelden wereldwijd voor alle endpoints en servers, niet per apparaat. Een verlaging kan sommige journalgegevens verwijderen en de Live Discover-historie op alle apparaten verkorten. Bevraag na een gecontroleerde uitrol representatieve endpoints en controleer of de lokale historie het beoogde onderzoeksvenster dekt.

Dit betekent dat gebeurtenisjournalen geen gebeurtenissenrapport zijn dat voor langere tijd wordt bewaard, noch voor een gegarandeerde periode. Degenen die ruwe activiteit onderzoeken met Live Discover volgen de afzonderlijke XDR-stroom in Investigate Sophos Endpoint Detections and Threat Graphs.

Veelgestelde vragen