Sophos Endpoint Threat Protection Best Practices
De Threat Protection Policy is de belangrijkste Endpoint-policy in Sophos Fusion (voorheen Sophos Central). Ze beheert naast klassieke malwarescans ook gedragsdetectie, Exploit Mitigation, CryptoGuard, webbescherming, Event Journals en andere runtimebeveiliging.
De door Sophos aanbevolen instellingen zijn het beste uitgangspunt. Houd afwijkingen klein, gericht en meetbaar. Een algemeen versoepelde Base Policy kan compatibiliteitsproblemen tijdelijk oplossen, maar vergroot de blinde vlek voor alle Endpoints.
Reikwijdte en platformgrenzen
Deze pagina behandelt alleen de Threat Protection Policy voor Endpoint-computers. Voor servers gelden andere instellingen. In de policy scheidt Show filters > Operating System de opties voor Windows en Mac; neem dus niet aan dat een optie van het ene platform ook op het andere beschikbaar is.
Identificeer onder My Products > Endpoint > Policies eerst de werkelijk toegepaste Threat Protection policy en beantwoord daarna:
- Welke platformen en Agent Modes ontvangen de policy?
- Komen de schakelaars overeen met actuele Sophos-aanbevelingen?
- Zijn er gedocumenteerde afwijkingen of oude uitzonderingen?
- Zijn Event Journals en Threat Graphs beschikbaar voor Investigation?
De Account Health Check markeert afwijkingen. Fix automatically past de aanbevolen waarden toe op alle opties in de getroffen Endpoint Threat Protection policies op de getroffen computers; de wijzigingen zijn daarna zichtbaar in het Audit Log. Open de policy vanuit de waarschuwing en corrigeer de rood gemarkeerde instellingen afzonderlijk als elke wijziging eerst moet worden beoordeeld.
Beveiligingsgebieden en aanbeveling
| Gebied | Praktijkaanbeveling |
|---|---|
| realtime scanning | ingeschakeld laten |
| Download Reputation | ingeschakeld; Action en Reputation level bewust kiezen |
| automatische cleanup | ingeschakeld laten |
| Threat Graph creation | ingeschakeld laten |
| Event Journals | ingeschakeld laten |
| CryptoGuard | ingeschakeld laten |
| bescherming tegen remote uitgevoerde ransomware | ingeschakeld laten |
| Exploit Mitigation en Process Protection | ingeschakeld laten |
| Adaptive Attack Protection | aanvullende beveiligingen bewust inschakelen |
| Advanced Settings | standaardwaarden behouden |
De lijst groeit met nieuwe agentversies. Gebruik de filters Recommended en Not Recommended in plaats van een oude screenshot. “Aanbevolen” betekent niet dat elke schakelaar aanstaat. De actuele policyhelp noemt Prevent malicious network traffic with packet inspection (IPS) en Block QUIC browser connections standaard uitgeschakeld. De afzonderlijke helppagina over herstel beschrijft Reset daarentegen algemeen als het inschakelen van alle instellingen behalve Device Isolation en SSL/TLS-decryptie. Controleer na een Reset daarom de werkelijke schakelaars en aanbevelingsmarkeringen in plaats van de resulterende toestand af te leiden uit het woord “standaard”.
Aanbevolen waarden herstellen
In de Base Policy herstelt Reset de Sophos-aanbevelingen. Corrigeer in andere policies de rode afwijkingen en kies Save. Leg vóór Fix automatically of Reset de reikwijdte, beginwaarden en gedocumenteerde compatibiliteitsafwijkingen vast, omdat meerdere beveiligingsgebieden tegelijk kunnen wijzigen. Gebruik de automatische correctie of een reset van de productie-Base Policy niet als pilot. Neem de beoogde aanbevolen waarden eerst handmatig over in een afzonderlijke policy die alleen aan representatieve pilotapparaten is toegewezen. Pas na acceptatie de bulkactie toe op de beoogde reikwijdte. Herstel bij problemen de vastgelegde waarden en controleer vervolgens opnieuw de policy, Health State, events en de getroffen bedrijfsworkflow.
Realtime- en downloadbescherming
Realtime scanning controleert bestanden bij toegang. Download Reputation beoordeelt downloads aanvullend op herkomst en verspreiding. De policy scheidt Action to take van Reputation level: Prompt User is de gedocumenteerde standaardactie; Recommended blokkeert bestanden met een lage reputatie en Strict ook bestanden met een gemiddelde reputatie. Strict kan daardoor meer legitieme downloads raken.
Test Strict eerst in een pilotgroep op basis van werkelijke downloadworkflows en events.
Sophos Live Protection vraagt bij Sophos de actuele reputatie van onbekende bestanden op. Deep Learning herkent met zijn model verdachte bestanden ook zonder klassieke signature. Beide functies blijven onderdeel van de baseline.
Grenzen van Download Reputation
Download Reputation is een Windows-functie voor bestanden uit ondersteunde Browsers. Firefox-downloads worden niet via dit pad beoordeeld. Sophos bepaalt reputatie uit Hash, verspreiding, leeftijd en bron-URL; de volledige Query geldt vooral voor uitvoerbare bestanden of herkende toepassingen.
De Query gebruikt SXL4 via HTTPS. Scheduled Scans kunnen Hashes sturen en een lokale Cache vullen, maar dwingen geen Download Reputation-besluit af. De Cache is beperkt tot 200 MB en verwijdert daarna oudere vermeldingen.
⚠️ Als Endpoint SXL niet bereikt en de Query een Timeout krijgt, wordt de download zonder Reputation Prompt toegestaan. Download Reputation vervangt File Scanning, Deep Learning of werkende netwerk- en Proxy-vereisten niet.
Maak bij diagnose onderscheid tussen Log only, uitschakelen van Detect low-reputation files, en uitschakelen van Live Protection en de Online Query. De impact verschilt. Gebruik dit alleen in een kleine Test Policy met vaste hersteltijd.
De Policy onderscheidt lokale, netwerk- en verwisselbare media. Scan Network Drives alleen zo breed als nodig, omdat dubbele scanning op Client en File Server prestaties kost. Verwisselbare media en nieuwe downloads blijven belangrijke toegangspaden.
Internet Scanning kan HTTP direct inspecteren. Bij HTTPS hangt zichtbaarheid af van SNI en SSL/TLS Decryption. Een geblokkeerde HTTP Test bewijst niet dezelfde inspectie voor HTTPS.
Cleanup en SafeStore
Sophos kan gedetecteerde malware automatisch opruimen. In Windows gebeurt cleanup van gedetecteerde items onafhankelijk van de zichtbare schakelaar. Opgeruimde bestanden komen in SafeStore en kunnen via een gecontroleerd proces worden hersteld.
Herstel is geen normale gebruikersfunctie. Controleer vooraf detectienaam, bron, hash, handtekening, bedrijfsbehoefte en SophosLabs-beoordeling. De procedure voor False Positives staat in Sophos Endpoint Threat Cleanup en malwareverwijdering.
SafeStore heeft vaste grenzen: één bestand mag maximaal 100 GB groot zijn en in totaal worden maximaal 200 GB of 2.000 bestanden bewaard. Deze grenzen vormen geen back-upconcept. Bedrijfsgegevens worden onafhankelijk daarvan geback-upt.
Event Journals en Threat Graphs
Enable event journals hoort actief te blijven. De journals leveren gegevens voor Threat Graphs, Live Discover en Forensic Snapshots.
Als de functie wordt uitgeschakeld, ontbreken gegevens voor precies de periode die later moet worden onderzocht. Dit vermindert zichtbaarheid en bescherming. Ook achteraf inschakelen reconstrueert de ontbrekende historie niet.
Enable Threat Graph creation helpt de aanvalsketen rond een detectie te reconstrueren en hoort bij de XDR- en Incident Response-baseline.
Onder Windows gebruikt Sophos Data Recorder de gedeelde sessie NT Kernel Logger. Als een andere Trace-tool 0xb7 of “file already exists” meldt, is die sessie bezet. Enable Threat Graph creation uitschakelen geeft de Logger vrij maar stopt Threat Graphs. Gebruik dit alleen als gedocumenteerd, tijdelijk diagnosevenster, activeer daarna de Policy en controleer Telemetry.
Ransomwarebescherming
CryptoGuard beschermt documenten tegen ongeoorloofde versleuteling. Laat ook bescherming tegen remote uitgevoerde ransomware actief, omdat een gecompromitteerd apparaat anders netwerkshares kan versleutelen.
Andere opties beschermen tegen EFS- en Master Boot Record-aanvallen. Onderzoek bij een detectie niet alleen het bestand, maar ook apparaat, gebruiker, bronproces, netwerkshares en naburige systemen.
Runtime Protection en Exploit Mitigation
Runtime Protection detecteert verdacht gedrag, procesmanipulatie en schadelijk netwerkverkeer, afhankelijk van platform en agentversie onder meer:
- bescherming tegen Process Hollowing en DLL Injection
- blokkeren van niet-vertrouwde DLL-paden
- Credential Theft-bescherming
- bescherming van MFA-browsercookies
- detectie van schadelijke beacons
- bescherming tegen ETW-manipulatie
- monitoring van misbruikte drivers en systeemcalls
Schakel deze functies niet afzonderlijk uit omdat een applicatie crasht. Koppel eerst het concrete event aan de beveiligingsfunctie en beperk het probleem met een pilot- of policy-uitzondering.
Andere actuele gebieden zijn AMSI Protection voor script- en geheugeninhoud, Intrusion Prevention voor schadelijk netwerkverkeer, Driver Detection en beschermingsevents op Domain Controllers. Prevent malicious network traffic with packet inspection (IPS) staat standaard uit en wordt daarom bewust gepilot. Het controleert netwerkverkeer op het Windows-apparaat en is niet hetzelfde als IPS op een netwerkfirewall.
Block QUIC browser connections dwingt ondersteunde browsers weg van QUIC zodat websitecontrole en SSL/TLS-decryptie kunnen worden toegepast. Op Macs zijn deze optie en SSL/TLS-decryptie volgens de actuele help alleen via een Early Access Program beschikbaar.
Adaptive Attack Protection
Adaptive Attack Protection verscherpt de beveiliging automatisch bij een actieve aanval. Extra functies kunnen permanent worden geactiveerd, zoals bescherming in Safe Mode, blokkeren van kwetsbare drivers en uitgebreide Audit Policy-logging.
Test oudere speciale drivers of administratieve securitytools zorgvuldig. Behandel incompatibiliteit met een nauw begrensde uitzondering, niet met globale uitschakeling.
Als Self Help meldt dat Anti-Ransomware en alle Exploit Mitigation-functies door Policy zijn uitgeschakeld, controleer dan de effectieve Threat Protection Policy. Uitgeschakelde Registry-waarden zoals KernelFeatures of NoCryptoGuard beschrijven de lokale toestand, maar zijn niet de herstelplek. Corrigeer de Policy in Sophos Fusion en verifieer lokaal na synchronisatie.
Disrupt-detecties en Safe Mode
Een detectie met prefix Disrupt_ betekent dat Adaptive Attack Protection gedrag onderbrak dat bij een aanval of Pentest kan horen. Beoordeel vóór een uitsluiting apparaat, gebruiker, Detection, TTP Classification en geplande test. Autoriseer bij legitieme activiteit de specifieke Rule Instance. Globaal uitschakelen is laatste keuze; het stopt Disrupt_*-regels, terwijl TTP Classifications voor XDR blijven.
Block safe mode abuse blokkeert verdachte programmatische Safe Mode-activatie als Prevent_1a (T1562.009). De regel ruimt geen Malware op. Schakel voor onderhoud de instelling op dat apparaat tijdelijk uit via Override Sophos Central Policy, gebruik een beperkte Device Policy of start Safe Mode vanuit geautoriseerde Live Response. De Override verloopt na vier uur, maar moet bewust worden beëindigd.
Autoriseer een Prevent_1a Detection niet permanent; een aanvaller kan de techniek later hergebruiken. Controleer daarna Policy, Tamper Protection en Health State.
Aanvullende Windows Audit Logging
Met Core Agent 2026.1 activeert Sophos de instelling Enable additional audit policy logging standaard. Ze breidt het Windows Security Event Log uit met Events die relevant zijn voor Detection en Threat Hunting, waaronder Kerberos-aanmeldingen, account- en groepswijzigingen, logons, Scheduled Tasks, Credential Manager-toegang, service-installaties en wijzigingen aan Audit Policy.
De onderliggende eventlijst kan niet afzonderlijk worden geconfigureerd. Op Domain Controllers, terminalservers of andere intensief gebruikte systemen kan het Security Log daardoor aanzienlijk sneller groeien. Controleer SIEM-ingestie, bewaring, Event Log-grootte en bestaand Windows Audit-groepsbeleid vóór brede uitrol.
De schakelaar kan worden uitgeschakeld, maar vermindert dan de beschikbare data voor geavanceerde detectie en Threat Hunting. Uitschakeling gebeurt daarom alleen na gemeten impact en een gedocumenteerde afweging, niet uitsluitend vanwege een groter aantal Events.
HTTPS-decryptie
Decrypt websites using SSL/TLS maakt inspectie van versleutelde websites mogelijk. De functie staat standaard uit en kan browsing vertragen of applicaties met Certificate Pinning verstoren.
Het korte klikpad is My Products > Endpoint > Policies > Threat Protection. Open de pilotpolicy, schakel onder SSL/TLS decryption of HTTPS websites de optie Decrypt websites using SSL/TLS in en kies Save.
De privacy- en compliancecontrole gaat over een concrete gegevensverwerking: ontsleuteld verkeer kan persoonsgegevens bevatten die mogelijk worden vastgelegd en in logs zichtbaar zijn voor bevoegde beheerders. Leg vóór activering het doel en de rechtsgrond, de betrokken gebruikersgroepen, gevoelige categorieën, toegang tot logs en bewaartermijnen vast. Sophos Fusion sluit standaard onder meer categorieën voor bankieren en webmail uit van decryptie; vergelijk deze standaarduitsluitingen vóór de uitrol met de eisen van de organisatie.
Avanet adviseert decryptie in te schakelen als deze beoordeling inspectie toestaat, geen andere securitydienst hetzelfde verkeer al ontsleutelt en de pilot met belangrijke browsers en bedrijfsapplicaties stabiel blijft. Laat de functie anders uitgeschakeld en documenteer de beslissing. Beperk uitzonderingen voor Certificate Pinning of categorieën strikt en beheer hun levenscyclus volgens Sophos Endpoint-uitzonderingen veilig configureren. Dit artikel behandelt uitsluitend de Sophos Fusion Endpoint Policy.
Scheduled Scan
Een wekelijkse Scheduled Scan kan zelden gebruikte gegevens vinden. De ingestelde tijd is de lokale tijd van de Endpoint. Staat het apparaat uit, dan wacht de scan tot het volgende geplande moment.
Een Scheduled Scan vervangt realtime bescherming niet. De huidige achtergrondoptie is beperkt tot Windows. Een gemiste geplande scan wordt niet onbeperkt ingehaald; test daarom het precieze gedrag van de gekozen scanoptie met een offline pilot. Kies voor mobiele apparaten een gebruikelijk online tijdvenster buiten de belangrijkste werktijd.
Uitzonderingen
Policy-uitzonderingen gelden alleen voor de doelgroep en hebben daarom de voorkeur boven globale uitzonderingen. Elke uitzondering vermindert bescherming en moet zo specifiek mogelijk zijn.
Brede uitzonderingen voor schijven, profielen, Temp of processen zijn bijzonder riskant. Zie Sophos Endpoint-uitzonderingen veilig configureren.
Tools zoals WinDbg Time Travel Debugging kunnen niet aan beveiligde Processes koppelen zolang Exploit Mitigation actief is. Geef alleen het onderzochte Process een tijdelijke Exploit Mitigation and Activity Monitoring-uitsluiting in een aparte Device Policy. Verwijder daarna de Policy en verifieer bescherming opnieuw.
Pilot en acceptatie
Controleer na wijzigingen op pilotapparaten de effectieve policy, Health State, nieuwe events, bedrijfsprocessen, prestaties, browsergedrag en beschikbaarheid van Threat Graph en Event Journals.
Breid daarna stapsgewijs uit. Isoleer bij problemen de laatste wijziging en zet niet de hele policy terug naar een onveilige toestand.
Gebruik uitsluitend testmethoden die door de organisatie zijn goedgekeurd. Voor acceptatie moet Sophos Fusion minimaal de verwachte policy op het pilotapparaat tonen, moet het Endpoint gezond en bereikbaar blijven en moeten relevante events en bedrijfsprocessen zich gedragen zoals gedocumenteerd. Deze policycontrole vervangt noch de afzonderlijke scanprocedure noch een Incident Response-runbook.