Sophos Endpoint isoleren en met Live Response onderzoeken

Tijdens actief onderzoek scheidt isolatie een endpoint van het netwerk, terwijl het apparaat vanuit Sophos Central beheerbaar blijft. Geconfigureerde isolatie-uitzonderingen kunnen nog beperkte communicatie toestaan. Live Response opent vervolgens een bevoorrechte remote shell voor onderzoek en herstel. Beide functies beïnvloeden de werking direct: isolatie wijzigt het netwerkverkeer en Live Response kan processen beëindigen, apparaten herstarten, mappen doorzoeken en bestanden verwijderen.

Veilige procedure in het kort

Vergelijk apparaat, gebruiker, waarschuwing en Threat Graph met het ticket of incident.
Isoleer het apparaat administratief bij direct verspreidingsrisico. Bij ransomware, gestolen aanmeldgegevens of command-and-control heeft containment normaal voorrang.
Start Live Response alleen met de juiste licentie, policy, rol en MFA.
Leg toestand en bewijs vast voordat u doelgericht wijzigt.
Sluit af met End Session en bewaar audit- en sessielogs.
Ruim de bedreiging op of blokkeer deze, controleer scan en Health en hef daarna de beheerdersisolatie op.

Beheerdersisolatie en automatische isolatie onderscheiden

Type	Trigger	Uitgang
Admin isolate	Een beheerder isoleert een verdacht apparaat, bijvoorbeeld vanuit een Threat Graph	Na herstel bewust vrijgeven via de Threat Graph of Admin Isolated Devices
Device Isolation	De Threat Protection policy isoleert vanwege lokaal gemelde rode Health	Oorzaak oplossen; Sophos heft pas automatisch op wanneer lokale Health weer groen is

Automatische isolatie gebruikt de Health State die het apparaat meldt. Rood kan wijzen op een bedreiging, verouderde software, niet-naleving van de policy of onvolledige bescherming. De algemene status in Central kan afwijken doordat Central extra factoren gebruikt. Automatisch geïsoleerde apparaten staan niet in Admin Isolated Devices en kunnen daar niet handmatig worden vrijgegeven.

Sophos adviseert Device Isolation te testen via een Threat Protection policy voor een representatieve groep. Test ook de supportroute voor apparaten die rood worden door beveiligings- of updateproblemen in plaats van een aanval. Lokaal gecachte Windows-netwerkbestanden kunnen tijdens isolatie zichtbaar blijven; dat bewijst geen actieve netwerkverbinding.

Zie Sophos Central Threat Protection correct configureren voor de volledige policylogica. Als een uitzondering essentieel is, sta dan alleen richting, adres en poort toe die voor een duidelijk doel nodig zijn. Voorbeelden en beperkingen staan in Sophos Endpoint-uitzonderingen veilig plannen.

Vereisten en rechten voor Live Response

Live Response vereist Sophos EDR, XDR of MDR. Sta voor computers verbindingen toe onder My Products > Endpoint > Policies > Data Collection and Investigation > policy > Settings met Allow Live Response connections to computers. De Base Policy geldt standaard voor alle computers. Plaats gevoelige apparaten zo nodig in een aparte groep met een policy waarin Live Response uit blijft. De functie staat standaard aan bij MDR en uit bij andere geschikte licenties.

Policybeheer en sessiestart zijn afzonderlijke rechten:

Instellingen wijzigen: Super Admin of Custom Role met Manage Data Collection and Investigation settings for computers.
Sessie starten: Super Admin of Custom Role met Start Live Response sessions on computers.
Volgens Sophos vereist de Custom Role Full of Help Desk als Base Role, Full toegang tot Endpoint Protection en de aanvullende instelling voor het starten van Live Response-sessies op computers.
Een MSP kan deze Custom Role momenteel niet vanuit Sophos Central Partner in het klantaccount maken.

Ken rechten volgens least privilege toe en controleer de effectieve toewijzing vóór een incident. Sophos Central Endpoint-rollen en -rechten plannen licht producttoegang en aanvullende rechten toe.

Bij het starten van Live Response vraagt Sophos Central normaal om MFA. Bij federatief aanmelden kan IdP Enforced MFA die vraag vermijden wanneer een ondersteunde Identity Provider MFA afdwingt. Het gedocumenteerde pad is Global Settings > Access Control > Sign-in and Identity > Federated identity providers.

Een apparaat administratief isoleren

Het officieel gedocumenteerde pad vanuit een Threat Graph is:

Open Threat Analysis Center > Threat Graphs en selecteer de relevante graph.
Controleer Summary en Suggested next steps en bevestig dat graph en apparaat bij het incident horen.
Kies bij hoge prioriteit Isolate this device. Deze actie vereist Sophos XDR en is niet beschikbaar voor een automatisch geïsoleerd apparaat.
Controleer in Central dat het juiste apparaat geïsoleerd en beheerbaar is.
Leg tijdstip, uitvoerder, reden en verwachte impact in het ticket vast.

Aanvullende resultaten kunnen met Isolate device in Item Search Results worden geïsoleerd. Vergelijk elk apparaat met het incident; brede isolatie zonder bevestigde scope kan de bedrijfsvoering onnodig verstoren.

Administratief geïsoleerde apparaten staan onder Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Daar is later ook Remove from Isolation beschikbaar. Een uitzondering voor RDP, SSH of een opschoonserver verruimt bewust de communicatie en moet tijdelijk en zo nauw mogelijk zijn.

Een Live Response-sessie veilig uitvoeren

Vóór de verbinding

Leg minimaal ticket-ID, apparaatnaam, verwacht besturingssysteem, doel, geplande alleen-lezen controles, mogelijke wijzigingen en rollback vast. Stem lokale acties af met Sophos MDR of een ander responseteam, zodat bewijs niet verloren gaat en parallel werk elkaar niet hindert.

De sessie openen

Open My Environment > Computers & Servers.
Selecteer het geverifieerde apparaat en open de detailpagina.
Kies Actions > Live Response.
Geef een nauwkeurig doel op.
Gebruik de terminal in het nieuwe tabblad. Controleer de pop-upinstelling voor Sophos Central als het niet opent.

De shell verwacht DOS-, UNIX- of Linux-opdrachten die bij het verbonden apparaat passen. Een geslaagde verbinding bevestigt alleen toegang, niet dat het endpoint schoon is.

Eerst observeren, dan wijzigen

Een verdedigbare procedure scheidt observatie en herstel:

Leg tijdcontext, aangemelde gebruikers, processen en netwerkverbindingen vast.
Documenteer verdachte bestanden, paden, hashes, handtekeningen en persistentie.
Bewaar relevante logs en artefacten en noteer hun locatie.
Bevestig vóór elke wijziging doel, impact, afhankelijkheden en rollback opnieuw.
Beëindig of verwijder alleen bevestigde schadelijke activiteit.
Herhaal daarna de centrale scan en controleer Threat Graph, waarschuwingen en Health State.

Experimenteer niet met opdrachten in productie. Als een pad, proces of artefact niet duidelijk is toegewezen, houdt u het endpoint geïsoleerd en escaleert u naar Sophos Support, MDR of het incident-responseteam.

De sessie beëindigen en auditen

Gebruik End Session om de verbinding bewust te sluiten. Deze sluit ook bij sluiten of vernieuwen van het tabblad, navigeren naar een andere Central-pagina of na 30 minuten inactiviteit.

Onder Reports > Logs > Audit Logs tonen start- en eindregels de beheerder, het apparaat en het doel. De volledige opdrachtregistratie is als gzip beschikbaar onder Reports > Logs > Live Response session audit > Download session log. Een Custom Role heeft voor downloaden zowel Manage Live Response settings for computers als Manage Live Response settings for servers nodig; anders kan een Super Admin het log bewaren.

Leg in gevoelige omgevingen ook ticket-ID, opdrachten, artefacten, hashes, resultaat en vrijgavebesluit vast.

Optioneel een Forensic Snapshot maken

Een Forensic Snapshot legt recente activiteit vast. Sophos maakt bij bepaalde detecties automatisch gegevens voor een Threat Graph; u kunt ook een snapshot aanvragen:

Open My Environment > Computers & Servers > apparaat > Summary.
Kies More actions > Create forensic snapshot > Create now.
In Windows staat een handmatig snapshot standaard in:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\

Automatisch na detecties opgeslagen gegevens staan in:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\

Met Tamper Protection aan vereist lokale toegang een verhoogde Command Prompt. Converteer het snapshot met SDR Exporter naar SQLite of JSON; het is geen direct leesbaar rapport. Leg invoerbestand, uitvoerformaat en een zelf berekende hash van het origineel vast zonder deze als een Sophos-attestatie te presenteren.

Standaard omvat een snapshot de afgelopen twee weken. Wijzig de periode of kies All log data onder Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots.

Upload naar AWS S3

Centrale S3-upload is alleen beschikbaar vanaf Windows met XDR of MDR. De door Sophos gedocumenteerde IAM-policy vereist s3:ListBucket en s3:PutObject voor de bedoelde bucket. Central toont AWS Account ID en External ID voor de Trust Policy; verspreiding van een nieuwe IAM-rol kan vijf minuten duren.

Sla bucketnaam, optionele doelmap en Role ARN op onder Forensic Snapshots. Sophos adviseert ook een beperkende Bucket Policy, AES-256-versleuteling en een Lifecycle Rule voor onvolledige Multipart Uploads. KMS-versleutelde buckets en speciale tekens in bucketnamen worden niet ondersteund. Firewallregels moeten de verbinding met S3 toestaan.

Een geslaagde pilot eindigt niet bij een melding in Central. Controleer of het verwachte object in de juiste bucket en prefix staat en door uw bewaarbeleid wordt beschermd.

Opschonen, vrijgeven en bewaken

Hef beheerdersisolatie pas op nadat:

verdachte processen en persistentie zijn onderzocht;
schadelijke toepassingen zijn opgeruimd of geblokkeerd;
gecompromitteerde aanmeldgegevens waar nodig zijn geroteerd;
agent en besturingssysteem de verwachte updatestatus hebben;
scan, waarschuwingen, Threat Graph en Health geen onverklaarde actieve bedreiging tonen;
verantwoordelijke en bewakingsperiode zijn bepaald.

Kies daarna Suggested next steps > Remove from isolation in de Threat Graph of selecteer het apparaat onder Admin Isolated Devices en kies Remove from Isolation. Controleer op het juiste apparaat of benodigde bedrijfsverbindingen werken, Central actuele gegevens blijft ontvangen en geen nieuwe detectie of isolatie optreedt.

Hef automatische isolatie niet handmatig op. Los de oorzaak van lokale rode Health op. Blijft het apparaat rood of wordt het niet automatisch vrijgegeven, bewaar dan tijdstippen, gebeurtenissen en Health-details en escaleer in plaats van isolatie of bescherming met brede uitzonderingen te omzeilen.

Veelvoorkomende fouten en veilige vervolgstappen

Het Live Response-tabblad opent niet: sta pop-ups voor Sophos Central toe en start de verbinding opnieuw bewust.
De sessie eindigt onverwacht: controleer sluiten, vernieuwen, wegnavigeren of 30 minuten inactiviteit. Vergelijk vóór opnieuw verbinden het laatste audititem en reeds uitgevoerde wijzigingen.
Het apparaat ontbreekt in Admin Isolated Devices: controleer lokale Health en de Threat Protection policy. Automatisch geïsoleerde apparaten staan niet in deze lijst.
Live Response maakt geen verbinding: controleer policytoewijzing, licentie, rol, MFA en bereikbaarheid van het Sophos-managementpad. Houd het apparaat geïsoleerd en maak geen brede netwerkuitzondering.
Een opdracht of artefact is onduidelijk: wijzig niets. Beëindig en documenteer de sessie en ga verder met Sophos Support, MDR of incident response.
Het S3-object ontbreekt: controleer Windows-/licentievereisten, bucket, Role ARN, Trust/IAM Policies en firewall en test opnieuw met een pilotapparaat.