Sophos Endpoint Detections en Threat Graphs onderzoeken

Een Detection toont ongebruikelijke of verdachte activiteit die Sophos niet al als bekende dreiging heeft geblokkeerd. Het is daarom een onderzoekssignaal, geen bewijs van een succesvolle verdediging en evenmin een bevestigd incident. Threat Lineage visualiseert de processen die tot een Detection hebben geleid. Bij een malwaredetectie toont een Threat Graph de Root Cause, het aanvalspad en de getroffen artefacten.

De veilige korte werkwijze is: baken de Detection af, lees de details en ruwe data, controleer Lineage of Threat Graph, zoek vergelijkbare gevallen en beperk of herstel pas bij voldoende bewijs. Cases en responsacties worden hier alleen als overdrachtspunten behandeld; eigen Detection Rules, Case-beheer en Live Response horen bij de gekoppelde runbooks.

Vereisten, platformen en rollen

De tenant heeft Sophos EDR, XDR of MDR nodig voor Threat Analysis Center > Detections en Threat Lineage. De betrokken producten moeten data uploaden naar Sophos Data Lake. Zonder deze telemetrie ontstaan geen Detections voor deze werkwijze.

Threat Graphs zijn beschikbaar met Sophos Endpoint, EDR, XDR of MDR, maar momenteel alleen voor Windows- en Mac-apparaten. Deep Learning-detecties van mogelijk ongewenste toepassingen (ML PUA’s) maken geen Threat Graph. Sophos verwijst hiervoor naar de Live Discover-query Threat Hunting, waarin je zoekt naar de gemelde bestandsnaam of SHA-256; de concrete query wordt hier niet nagebouwd.

Een graph bekijken en er responsacties in uitvoeren zijn verschillende rechten:

• Super Admin en Admin mogen Intelligence Reports opvragen en bekijken, geblokkeerde items bekijken, on-demand Threat Graphs opvragen en bekijken, apparaten isoleren of uit isolatie halen, Clean and block beheren en Forensic Snapshots opvragen.
• Help Desk mag Intelligence Reports opvragen en bekijken, geblokkeerde items bekijken, on-demand Threat Graphs opvragen en bekijken en Forensic Snapshots opvragen, maar niet isoleren of Clean and block beheren.
• Read-only mag met XDR intelligence, geblokkeerde items en on-demand Threat Graphs bekijken, maar geen van deze responsacties uitvoeren.
• Een aangepaste rol heeft telkens het bijbehorende recht nodig. Voor het opheffen van administratieve isolatie noemt Sophos expliciet Super Admin, Admin of een Custom Role met dat recht.

Welke knoppen een beheerder daadwerkelijk ziet, hangt bovendien af van de licentie, de bron van de Detection en de Severity. Controleer een ontbrekende actie daarom eerst aan de hand van deze drie voorwaarden en beschouw haar pas daarna als een interfacefout.

1. Detections triëren

Open Threat Analysis Center > Detections. Detections kunnen afkomstig zijn van Sophos-producten en via MDR-/XDR-integraties ook van producten van derden. Het staafdiagram en de lijst tonen standaard de afgelopen 24 uur. In het diagram verkort of verlengt de schuifregelaar de zichtbare periode; als je over een staafsegment beweegt, verschijnt het aantal resultaten, en een klik erop filtert op die Severity. Kies via het tijdmenu een gangbaar of absoluut bereik en controleer Severity, Type, Detection, Time, Entity, Category, Source en de MITRE ATT&CK-koppeling. Type maakt momenteel onderscheid tussen Threat en Vulnerability; Category geeft het brontype aan, zoals Endpoint, Network, Firewall, Email, Cloud, ID provider of Platform. Platform Detections correleren ogenschijnlijk losstaande gebeurtenissen uit meerdere bronnen. Onder Show filters kun je onder meer filteren op Severity, Type, gebruiker, apparaat en MITRE ATT&CK Tactic. Gebruikers- en apparaatnamen worden vrij ingevoerd; bij lange keuzelijsten is Select all beschikbaar. Apply past de filters toe en Reset to defaults verwijdert ze. Filteren en sorteren werkt zowel gegroepeerd als ongegroepeerd; Severity wordt op Priority gesorteerd.

Bij een NDR Detection correleer je Category, Source, tijdvenster, bron-IP en doel-IP met de gegevens die je vóór de geautoriseerde test voor de appliance of sensor hebt vastgelegd. Een geautoriseerde Sophos NDR-testtreffer toont alleen aan dat het daarbij geteste capture- en Detection-pad werkt. De treffer bewijst noch volledige netwerkdekking, noch een werkelijk Incident.

Koppel alleen de eenduidig gecorreleerde treffer aan de test. Aanvullende of afwijkende NDR-signalen horen thuis in de reguliere XDR- of MDR-triage. Sophos Support kan fouten in het product- of datapad afbakenen, maar onderzoekt geen Detection. Voor de weergave Detections blijft een EDR-, XDR- of MDR-licentie vereist; NDR alleen volstaat niet.

Group by > Detection ID bundelt gebeurtenissen die dezelfde regel hebben geraakt. Gebruik voor de omvangsbepaling ook de ongegroepeerde weergave: meerdere rijen kunnen verschillende apparaten of tijdstippen van dezelfde techniek betreffen. Via het driepuntenmenu kun je een Detection in een nieuw tabblad openen of de link kopiëren. Open bij vergelijkingen meerdere Detections in afzonderlijke tabbladen in plaats van waarden uit wisselende detailvensters uit het geheugen te vergelijken.

De eerste triage beantwoordt vier vragen:

1. Welk apparaat en welke gebruiker zijn getroffen?
2. Welke processen, opdrachtregels en tijdstippen horen bij de Detection?
3. Is de activiteit voor deze gebruiker, dit apparaat en dit tijdvenster verwacht?
4. Zijn er vergelijkbare Detections, aanvullende Alerts of andere getroffen apparaten?

Klik op de rij om het detailvenster te openen. Daar kopieert Copy device name de apparaatnaam, opent Open device details het apparaat en leidt Detections on device naar de andere Detections ervan. Similar detections filtert de hoofdlijst op vergelijkbare resultaten. Raw Data toont de onderliggende data als de samenvatting niet volstaat. Pivotopties starten een aangeboden Live Discover- of Data Lake-query; Enrichments openen beschikbare threat-intelligencebronnen, zoals VirusTotal of een bestaand SophosLabs Intelix-rapport. Afhankelijk van de context kunnen Actions een scan of Live Response aanbieden. Gebruik alleen de pivots die Central aanbiedt en controleer hun periode en doel, in plaats van een niet-onderbouwde voorbeeldquery over te nemen. Een SophosLabs-beoordeling verschijnt alleen als de antimalwaresoftware het bestand heeft ingediend of een beheerder actuele intelligence heeft opgevraagd.

Typische startpunten zijn ongebruikelijke opdrachten voor Discovery, persistentie, omzeiling of Credential Theft, malware-Alerts zoals Dynamic Shellcode Prevention, Linux-runtime-Detections zoals een Container Escape en aanwijzingen voor verouderde software of onveilige browsers. Zulke voorbeelden helpen het onderzoek te prioriteren, maar bevestigen op zichzelf nog geen aanval. Vouw de MITRE-tactiek open, controleer de toegewezen techniek en open zo nodig de bijbehorende MITRE-pagina. Beslis vervolgens op basis van de concrete proces- en apparaatgegevens.

2. Threat Lineage lezen

Open in de Detection-details het tabblad Lineage en kies Open Lineage Graph. Je kunt ook onder Threat Analysis Center > Cases een Case openen en daar naar Detections gaan. Ontbreekt het tabblad, dan ondersteunt deze Detection de functie niet. Als nog geen graph beschikbaar is, verschijnt Generate. Wanneer een Detection een Case genereert, maakt Sophos de graph automatisch.

De Lineage onderscheidt normale processen, getroffen processen, de Detection-trigger en centrale activiteiten; de legenda toont per type het symbool en aantal. De graph bevat het procespad naar de Detection en kan ook aftakkende processen en activiteiten tonen. Beweeg over een proces om basisgegevens en de opdrachtregel te bekijken, open aangeboden Live Discover-pivots via de drie punten bij het proces of naast een waarde onder Info, en klik op het proces voor Info en Activities. Een automatisch gemaakte Lineage toont bij een getroffen proces al activiteiten; bij een handmatig gemaakte Lineage laadt Enrich eerst drie dagen vanaf de processtart en bij elke volgende klik nog eens drie dagen. Het begin van de Enrich-tijdlijn markeert de datum en tijd van de Initial Detection. Activiteiten zijn te filteren op type en actie en kunnen worden opengevouwen voor ruwe data. Het oogpictogram bij een gerelateerd proces voegt het aan de graph toe. De zoekfunctie linksboven toont resultaten in Info, Activities en Matching Results. De exportknop schrijft de Lineage als CSV; selecteer bij een mislukte export eerst een proces en start de export opnieuw.

De graph blijft zeven dagen beschikbaar. Hij kan opnieuw worden gemaakt zolang de XDR Data Lake-data wordt bewaard, wat Sophos omschrijft als doorgaans 90 dagen. Dat is geen garantie voor elke tenant. Beschikbaar AI-commentaar bij de opdrachtregel kan aanknopingspunten geven, maar vervangt de controle van pad, bovenliggend proces, gebruiker, tijdstip en ruwe data niet.

3. Een Threat Graph analyseren

Open Threat Analysis Center > Threat Graphs en klik op de naam van een graph. De lijst bevat de afgelopen 90 dagen en is te filteren op Device, Status of Priority. Met de zoekfunctie vind je graphs op gebruiker, apparaat of dreigingsnaam; de kolommen kunnen worden gesorteerd. Afhankelijk van de weergave toont de lijst Status, aanmaaktijd, Priority, Name, de beheerder die de graph heeft gemaakt, gebruiker, apparaat en apparaattype. Met een MDR-licentie verdeelt Sophos automatisch gemaakte, door Central-beheerders gemaakte en door MDR gemaakte graphs over tabbladen; het tabblad met door MDR gemaakte graphs wordt volgens Sophos momenteel niet gebruikt. Zonder MDR ontbreekt deze tabbladindeling.

Doorloop de detailpagina in deze volgorde:

1. Lees onder Summary de Root cause, Possible data involved, het apparaat, de gebruiker en het tijdstip.
2. Controleer onder Suggested next steps de automatisch ingestelde maar aanpasbare Priority en de Status die standaard op New staat. Na de wijziging naar In progress kan de Status niet terug naar New. Als de actie wordt aangeboden, start Scan the device een scan; de controle van het resultaat staat in het Threat Cleanup-runbook.
3. Ga naar Analyze. Show full graph is de standaardweergave en toont Root Cause, het gedetecteerde item, getroffen toepassingen, bestanden en Registry Keys en hun relaties. Show direct path beperkt de weergave tot het directe pad van Root Cause naar het gedetecteerde item.
4. Klik op relevante items. Process details toont onder meer globale reputatie, pad, naam, opdrachtregel, Process ID, uitvoerende gebruiker, SHA-256, begin, einde en looptijd.
5. Staat er No current intelligence on this file, dan is het bestand nog niet ingediend. Gebruik Request latest intelligence alleen als het bestand naar SophosLabs mag worden verzonden: Central geeft de computer vervolgens opdracht het bestand te uploaden. De nieuwe beoordeling met reputatie en prevalentie verschijnt doorgaans na enkele minuten. De schaal loopt van rood voor bekend kwaadaardig tot groen voor bekend veilig; oranje kan simpelweg een nieuw bestand betekenen. Reputatie, prevalentie en Machine Learning-kenmerken worden samen met herkomst en gedrag beoordeeld.
6. Toon via de typekeuze in de graph alleen de artefacttypen die je op dat moment nodig hebt. Controleer vervolgens in de Artifacts list ten minste Name, Type, Reputation, Time logged en Interactions; een klik op de naam opent de details. Exporteer de lijst zo nodig via Export to CSV. Graph record toont de geschiedenis sinds Sophos of een beheerder de graph heeft gemaakt en bevat opmerkingen over de onderzoeksstappen.
7. Als de centrale telemetrie niet volstaat, kies je onder Analyze > Create forensic snapshot een snapshot, maar alleen nadat opslaglocatie, toegang en analysemethode zijn vastgesteld. De configuratieopties zijn mogelijk nog niet in elke tenant beschikbaar. Voor lokale toegang zijn het Tamper Protection-wachtwoord en een opdrachtprompt met verhoogde rechten vereist. Het runbook over isolatie en Live Response beschrijft lokale paden, S3-upload en conversie.

Geavanceerde bestandsintelligence beoordelen

Met XDR vult Process details de basisgegevens aan met Report summary, Machine learning analysis, Code similarity, File properties en File breakdown. Prevalence, First seen en Last seen beschrijven de verspreiding bij SophosLabs, niet of het bestand in jouw tenant goedaardig is. De Machine Learning-weergave beoordeelt onder meer imports, opvallende strings, compiler, exploitbeperkingen, resources, aanwijzingen voor packers, PEiD-kenmerken, Bitcoin-adressen en verdachte cryptografische constanten. Code similarity vergelijkt het bestand met bekende goede en kwaadaardige bestanden.

Onder File properties staan bijvoorbeeld product, type, copyright, fabrikant, versie, grootte en tijdstempels. File breakdown toont PE-secties met hun grootte op schijf en in het geheugen, entropie en Read/Write/Execute-eigenschappen; PE-imports en -exports tonen gebruikte DLL’s, API’s en aangeboden functies. Geen enkel afzonderlijk kenmerk bewijst kwaadaardigheid. Beoordeel de combinatie van handtekening, herkomst, uitvoeringsketen, gedrag, prevalentie en vergelijkingstreffers, en gebruik Search for item voor de omvangsbepaling voordat je Clean and block overweegt. Een bevoegde beheerder controleert geblokkeerde bestanden onder Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items.

Sophos maakt automatisch een Threat Graph wanneer het malware detecteert die verder onderzoek vereist. Dit geldt niet voor elke beveiligingsmelding. Vooral ML PUA Detections maken geen graph. Heeft een Detection geen graph, werk dan verder met de Detection-details, Raw Data en de ondersteunde Lineage in plaats van de afwezigheid als veiligsignaal te zien.

Een on-demand Threat Graph kan alleen worden gemaakt vanuit Live Discover-resultaten waarbij Central de actie aanbiedt: open Threat Analysis Center > Live Discover, selecteer een ondersteunde query, stel bij een Endpoint Query de doelapparaten of bij een Data Lake Query het tijdsbereik in en voer de query uit. Data Lake Queries omvatten altijd alle endpoints. Open in het resultaat het driepuntenmenu naast Path en kies Actions > Generate a threat graph. De graph verschijnt daarna in het tabblad Admin generated. De beschikbaarheid hangt af van query, licentie en rol. Sophos Endpoint Data Collection en Live Discover legt de querybasis uit.

4. Case en respons zorgvuldig overdragen

Cases vereisen eveneens EDR, XDR of MDR. Als meerdere Detections samenhangen of een eigenaar nodig hebben, markeer je ze onder Threat Analysis Center > Detections. Actions > Add to Case koppelt ze aan een bestaande Case; daarna verschijnt de naam van de Case in de kolom Cases en onderaan het Detection-detailvenster. Actions > Create Case vraagt om naam, beschrijving, Severity, Status (New of Investigating) en Assignee. Sophos gebruikt Critical voor een bevestigde compromittering of ongeoorloofde toegang, High voor aanwijzingen voor een gerichte aanval, Medium voor activiteit die op zichzelf mogelijk niet kwaadaardig is, Low voor resultaten zonder aanwijzing voor een slechte Health State of compromittering en Info doorgaans voor eerste statuscontroles.

Self-managed Cases kunnen tijdens de behandeling Investigating, On Hold of Resolved zijn; de Status kan al vóór de toewijzing van een Owner worden gewijzigd. Sophos-managed Cases gebruiken Investigating, Action required of Resolved; Action required vereist een actie van de klant en informeert de contactpersonen. De kop van de detailpagina toont Severity, Status, Owner en de tijd van aanmaak, toewijzing en wijziging. Onder Overview staan samenvatting, MITRE-technieken, apparaten, gebruikers en recente activiteiten; Detections, Notebook en History scheiden resultaten, onderzoeksnotities en wijzigingen. In een Self-managed Case kan Ask Sophos AI het onderzoek ondersteunen; de samenvatting en opdrachtregelanalyse moeten nog steeds aan de ruwe data en tijdlijn worden getoetst. Bij MDR schrijft het MDR-team de samenvatting; bij XDR maakt de klant die zelf of met Sophos AI. De klant kan een Sophos-managed MDR Case niet zelf wijzigen, maar kan via Messages berichten en bijlagen uitwisselen. De berichten komen bij het MDR-team terecht en worden ook naar de geautoriseerde contactpersonen gekopieerd.

Als de Case-lijst leeg blijft, wacht je eerst op de automatische aanmaak en controleer je vervolgens of er überhaupt Detections zijn. Controleer voor Sophos-producten de Data Lake-upload en voor bronnen van derden de Data Ingest-integratie. Het eigenlijke Case-beheer valt buiten deze onderzoekswerkwijze en staat in Sophos XDR Cases en Detection Rules beheren. Sophos Support onderzoekt geen afzonderlijke Detections; MDR is de beoogde dienst voor 24/7-bewaking en respons. Bij een vermoedelijke actieve inbraak is Sophos Rapid Response de afzonderlijke betaalde route voor directe hulp.

Respons volgt pas op een goed onderbouwde bevinding:

• Bij een high-priority graph en een XDR-licentie biedt Suggested next steps > Isolate this device isolatie, tenzij het apparaat zichzelf al automatisch heeft geïsoleerd. Central-beheer en bestandsinzending blijven mogelijk.
• Search for item zoekt met XDR naar andere gevallen. Als er resultaten worden getoond, biedt de resultatenpagina isolatie van de getroffen apparaten aan.
• Clean and block is een XDR-actie voor een als kwaadaardig bevestigd bestand. De actie ruimt het bestand, bijbehorende bestanden en Registry Keys op de Windows-apparaten op waar ze zijn gevonden, en blokkeert het bestand op alle Windows-apparaten. Het is geen test voor een onzekere beoordeling.
• Een bevoegde beheerder beheert meerdere administratief geïsoleerde apparaten via het Global Settings-pictogram en Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Deze lijst bevat geen apparaten die zichzelf vanwege een rode Health Status automatisch hebben geïsoleerd.

Controleer voor het opheffen van isolatie andere gevallen, persistentie, herstel en apparaatstatus. Praktische isolatie en gecontroleerde terminaltoegang staan in het afzonderlijke runbook Een Sophos Endpoint isoleren en onderzoeken met Live Response. Gebruik voor malwareherstel, exploitmeldingen en foutpositieven Sophos Endpoint Threat Cleanup en malwareherstel.

Afsluitcriteria

Sluit een Threat Graph niet alleen omdat de reputatie onschuldig lijkt. Noteer ten minste Root Cause, getroffen apparaten en gebruikers, relevante SHA-256-waarden, omvangszoekopdrachten, uitgevoerde acties en hun resultaten. Controleer vervolgens dat geen andere gevallen zichtbaar zijn, de verwachte apparaten weer een plausibele Health State melden en de vereiste Cases een Owner en traceerbare Status hebben. Markeer pas dan de graph in de lijst en sluit hem met Close.

Veelgestelde vragen