MDR Threat Feeds op Sophos Firewall activeren en controleren

MDR Threat Feeds koppelen de Sophos MDR-service aan Sophos Firewall. MDR-analisten kunnen IPv4-adressen, domeinen en URL’s die verband houden met een actief incident in de eigen omgeving via Sophos Fusion (voorheen Sophos Central) naar de firewall sturen. De firewall registreert of blokkeert daarna overeenkomend verkeer zonder dat een eigen feedbestand handmatig moet worden onderhouden.

Voor een veilige uitrol is meer nodig dan de schakelaar in WebAdmin. De MDR-licentie, Sophos-Fusion-registratie, lokale actie, benodigde zichtbaarheid van verkeer, logbestemmingen en contactroute naar het MDR-team moeten op elkaar aansluiten. Een lokale status Log and drop bewijst nog niet dat een bepaalde IoC is aangekomen of dat de betrokken gegevensstroom de vereiste controles doorloopt.

Benamingen in de interface: De Sophos-Fusion-paden die hier worden gebruikt, volgen de SFOS-22-help. De SFOS-23-help gebruikt voor dezelfde cloudkoppeling nog Sophos Central. Als de eigen build deze benaming toont, opent u de overeenkomstige Sophos-Central-pagina; de naam alleen zegt niets over registratie, MDR-rechten of feedlevering. Send reports and logs to Sophos Central blijft de gedocumenteerde naam van de loggingoptie.

MDR Threat Feeds in acht stappen

1. Controleren of het Xstream Protection Bundle op de firewall en actieve MDR-rechten in Sophos Fusion aanwezig zijn.
2. Onder System > Sophos Fusion controleren of de juiste firewall bij het juiste Sophos-Fusion-account is geregistreerd.
3. De beoogde Threat response mode en de operationele MDR-contactroute in Sophos Fusion documenteren.
4. Onder System services > Log settings minstens één bruikbare logbestemming voor Active threat response activeren.
5. Protect > Active threat response > MDR threat feeds openen en de functie inschakelen.
6. Log only kiezen voor een korte gecontroleerde pilot of Log and drop voor productiebeveiliging na een geslaagde acceptatie, en op Apply klikken.
7. Een positieve en negatieve controle uitvoeren via Log Viewer, endpointcontext en Sophos Fusion.
8. Audit-ID, verantwoordelijken, uitzonderingsproces, evaluatiedatum en rollback documenteren.

Belangrijk: MDR Threat Feeds zijn slechts één onderdeel van de MDR-operatie. Ze vervangen niet het MDR-contract, endpointsensoren, incidentcommunicatie, strikte firewallregels of een getest herstelproces. Een ruime uitzondering of ongecontroleerde uitschakeling kan een lopende reactie van het MDR-team verzwakken.

Wat MDR Threat Feeds doen

Sophos MDR-analisten kunnen informatie over een actief incident rechtstreeks via Sophos Fusion naar de firewall sturen. De feed is daardoor specifieker voor de klant dan een algemene wereldwijde reputatielijst. Een aangeleverde IoC kan een IPv4-adres, domein of URL zijn.

De lokale firewallactie bepaalt wat er bij een overeenkomst gebeurt:

• Log only registreert de treffer, maar staat het verkeer toe.
• Log and drop registreert en verwerpt het overeenkomende verkeer.

Sophos raadt aan bekende IoC’s te blokkeren. Een korte Log only-pilot kan toch zinvol zijn als in een bestaande omgeving eerst de zichtbaarheid, logging en mogelijke neveneffecten moeten worden gecontroleerd. Deze pilot heeft een vaste einddatum nodig. Zonder geplande omschakeling blijft een actieve MDR-integratie anders permanent zonder lokale blokkering.

De Threat response mode in Sophos Fusion en de lokale feedactie zijn twee verschillende niveaus. De Sophos-Fusion-modus bepaalt welke reactiebevoegdheden het MDR-team heeft. Log only of Log and drop bepaalt hoe de firewall een reeds aangeleverde IoC behandelt. Beide instellingen worden vóór de uitrol afgestemd op het MDR-contract en het interne incidentproces. De actuele Sophos-documentatie over Threat response mode maakt onderscheid tussen Collaborate, Authorize en Notify Only.

Firewalltelemetrie en analistenrespons onderscheiden

De gegevensstroom loopt ook in de andere richting: de firewall levert beveiligingsgebeurtenissen voor MDR-onderzoek. Hiervoor moet de firewall bij Sophos Central firewall management zijn geregistreerd; op de firewall moeten Sophos Central services zijn ingeschakeld en Send reports and logs to Sophos Central zijn geselecteerd. MDR analyseert continu de beveiligingslogs van Advanced Threat Protection (ATP), Intrusion Detection and Prevention (IDP/IPS), Antivirus, Antispam, Sandstorm Sandbox, Web Protection en Application Control. Samen met gegevens van endpoints, servers en andere geïntegreerde bronnen helpen deze gebeurtenissen om schadelijke activiteit, IoC’s en pogingen tot laterale beweging te herkennen. Inkomende firewalltelemetrie is echter niet de klantspecifieke IoC-feed die MDR-analisten naar de firewall terugsturen.

Bij een kritiek incident kan het MDR-team bijvoorbeeld de VPN-sessies van gecompromitteerde gebruikers beëindigen. Dat is een incidentresponsmaatregel van de analisten binnen de verleende bevoegdheden, geen automatisch gevolg van een feedtreffer en geen lokale klik- of CLI-handleiding. Bij Authorize kan het team op actieve bedreigingen reageren zonder eerst de aangewezen contactpersonen te raadplegen; bij Collaborate wordt de reactie met die contactpersonen afgestemd. Dit betekent niet dat er onbeperkte reactiebevoegdheden voor alle apparaten of integraties zijn. VPN-sessies in productie worden niet als functietest beëindigd.

Voor ingrepen via Live Response moet Live Response op het betreffende apparaat zijn toegestaan. Sophos Endpoint isoleren en onderzoeken met Live Response beschrijft de voorwaarden en de veilige procedure. Microsoft 365-acties zoals het blokkeren of toestaan van aanmeldingen, het intrekken van actieve sessies en het uitschakelen van Inbox Rules vereisen een ingerichte responsintegratie; hiervoor geldt de aparte procedure onder MDR- en XDR-integraties. Firewalllogging of een aangeleverde MDR-IoC schakelt deze ingrepen niet automatisch in.

De cybora.io Threat Feeds die Avanet voor Sophos Firewall gebruikt, zijn daarentegen Third-Party Threat Feeds, geen Sophos MDR Threat Feeds en geen door Avanet gemaakte MDR-feeds. De inrichting volgt de procedure voor Third-Party feeds; deze verleent het Sophos-MDR-team geen aanvullende reactiebevoegdheden.

Volgorde en levenscyclus begrijpen

SFOS 22 verwerkt Active Threat Response in de volgorde MDR, NDR Essentials, Sophos X-Ops en Third-Party Threat Feeds. Als een IoC bij MDR overeenkomt en Log and drop is ingesteld, verwerpt de firewall het verkeer, registreert het onder MDR en controleert de volgende feeds niet meer. Bij Log only of Monitor kunnen afzonderlijke gebeurtenissen voor MDR, X-Ops en Third-Party Feeds ontstaan. Een MDR-treffer met Log and drop stopt de controle van volgende feeds. Bij Log only of verschillende moduleacties mag geen algemene toestaan-uitzondering worden afgeleid; houd rekening met de andere ingestelde acties en controleer het verkeer en de logbewijzen.

Afzonderlijke MDR-IoC’s worden niet in WebAdmin aangemaakt of bewerkt. MDR-analisten voegen ze via Sophos Fusion toe en verwijderen ze daar weer. Beide handelingen worden met de actie en de identiteit van de analist als audit_ID geregistreerd. Deze beheergebeurtenissen zoekt u in de Admin-detailweergave van Log Viewer of in de Sophos Fusion Firewall Task Queue; ze mogen niet worden verward met de verkeerstreffers onder Active threat response. Lokaal regelt u alleen of de MDR-feed actief is en of treffers worden geregistreerd of ook worden verworpen. Threat Exclusions zijn daarentegen globaal en gelden voor alle Active-Threat-Response-modules.

De SFOS-22-documentatie noemt geen geldigheidsduur voor MDR-IoC’s die de firewallbeheerder kan instellen. Uit de lokale interface mag daarom geen vervaldatum worden afgeleid. Als een vermelding twijfelachtig of mogelijk verouderd is, worden audit_ID, IoC en tijdstip vastgelegd en wordt de status bij het MDR-team nagevraagd. Dit is ook belangrijk bij het terugdraaien: een wijziging van Log and drop naar Log only heeft gevolgen voor alle op dat moment aangeleverde MDR-IoC’s; een Threat Exclusion kan bovendien NDR, X-Ops en Third-Party Feeds verzwakken.

Voorwaarden zorgvuldig controleren

Licentie en Sophos Fusion

MDR Threat Feeds vereisen het Xstream Protection Bundle op de firewall. De SFOS-22-licentietabel noemt daarnaast Sophos MDR Essentials of Sophos MDR Complete in Sophos Fusion; de actuele Sophos-Fusion-documentatie noemt de servicevarianten MDR en MDR Plus. Daarom worden de actieve MDR-rechten in het eigen Sophos-Fusion-account gecontroleerd, in plaats van de aanspraak uitsluitend uit een oude productnaam af te leiden. Het Xstream-bundle alleen bevat geen MDR-service.

De firewall moet bij het juiste Sophos-Fusion-account zijn geregistreerd. Onder System > Sophos Fusion worden de registratie en het doorsturen van rapporten en logs gecontroleerd. De volledige verbindingsprocedure wordt uitgelegd in Sophos Firewall verbinden met Sophos Fusion.

Daarnaast moet de Sophos MDR-service ingericht zijn. Alleen firewallregistratie en licentiecontrole vervangen deze inrichting niet. Vóór het lokaal inschakelen bevestigt u met de MDR-verantwoordelijke dat de service voor de juiste klant is ingericht en dat de Threat response mode bewust is vastgesteld. Sophos vereist minstens één geautoriseerde contactpersoon voordat verdere MDR-instellingen kunnen worden geconfigureerd of de service kan worden gebruikt. Voor de aanvullende endpointcontext via Synchronized Security noemt de SFOS-22-licentietabel bovendien een Intercept X-licentie in Sophos Fusion; deze context wordt niet uitsluitend door het Xstream-bundle gegarandeerd.

Sophos MDR: contactpersonen en Threat Response instellen beschrijft de volledige centrale procedure met contactrollen, Collaborate-terugvaloptie, apparaattoegang en veilige controle van opgeslagen waarden. Deze vervangt niet de daaropvolgende lokale feedconfiguratie.

Vóór activering moeten ook de verantwoordelijkheden duidelijk zijn:

• Wie mag de Threat response mode in Sophos Fusion wijzigen?
• Wie beantwoordt een MDR-oproep of aanvullende vraag buiten kantooruren?
• Wie mag een uitzondering goedkeuren?
• Waar worden Audit-ID, Incident-ID en technisch bewijsmateriaal gedocumenteerd?
• Welke systemen mogen bij een bevestigde compromittering worden geïsoleerd?

Logbestemmingen activeren

Onder System services > Log settings wordt in de rij Active threat response minstens één van deze bestemmingen geactiveerd:

• Local reporting voor Log Viewer en lokale rapporten
• een geconfigureerde Syslog server voor SIEM of SOC
• Central reporting voor Sophos Fusion

De kolom Central reporting verschijnt pas wanneer op de Sophos-Fusion-pagina Send reports and logs to Sophos Central is geactiveerd. XGS 87/87w en 107/107w ondersteunen geen lokale rapportage; daarvoor is Central Reporting of Syslog nodig.

Klik na het selecteren van de logbestemmingen op System services > Log settings op Apply. Laad vervolgens de pagina opnieuw en controleer of de beoogde bestemmingen in de rij Active threat response nog steeds geselecteerd zijn. Dit bevestigt de opgeslagen configuratie; het daadwerkelijke logtransport en de aflevering van incidentmeldingen worden afzonderlijk gecontroleerd.

Voor meldingen wordt daarnaast System services > Notification list gecontroleerd. Het activeren van een logbestemming bepaalt de transportroute, maar bewijst niet dat de logs daadwerkelijk worden afgeleverd of dat alarmen correct worden afgehandeld.

Zichtbaarheid voor IP, domein en URL

Een IoC werkt alleen op verkeer dat de firewall op de juiste manier kan verwerken. Voor doorgestuurd verkeer naar een doel-IP is een passende firewallregel nodig. Domeinmatches vereisen in de betreffende regel Application Classification of een IPS-policy. Voor een volledig HTTPS-URL-pad is Web Proxy met ontsleuteling of DPI met een passende SSL/TLS-Inspection-regel nodig.

Verkeer naar het systeem zelf, gericht op services onder Administration > Device access, zoals WebAdmin, VPN Portal en VPN, kan op basis van een kwaadaardig bron-IPv4-adres worden gecontroleerd. Bij inkomend doorgestuurd DNAT- of WAF-verkeer moet voor de verwachte zichtbaarheid in de logs onder System services > Log settings > Active threat response bovendien Remote source match (inbound traffic) geactiveerd zijn.

Onopgehelderde beperking bij ATR/X-Ops: De officiële beschrijving en de verkeersmatrix spreken elkaar tegen bij matches op doeladressen en lokale bronadressen voor Sophos X-Ops. Voor deze gevallen is noch ondersteuning noch uitsluiting betrouwbaar vastgesteld; de gekoppelde informatie over verkeer en modules vormt hiervoor geen goedgekeurde configuratiebasis. Hieruit wordt geen MDR-verkeersrichting afgeleid en voor de betrokken X-Ops-gevallen wordt geen beschermende werking verondersteld. Vóór een wijziging die hierop steunt, is een bindende verduidelijking door Sophos of een uitdrukkelijk goedgekeurde producttest nodig; de volgende links lossen deze tegenstrijdigheid niet op.

De algemene logica voor verkeer, modules en inspectie staat in Sophos Firewall Threat Feeds instellen en veilig beheren. Daar wordt ook uitgelegd waarom domein- of URL-detectie kan uitblijven zonder de passende classificatie of ontsleuteling.

MDR Threat Feeds configureren

1. Met een persoonlijk beheerdersaccount aanmelden bij WebAdmin.
2. Protect > Active threat response > MDR threat feeds openen.
3. MDR threat feeds inschakelen.
4. Als Action voor een pilot met een vaste einddatum Log only kiezen, of na een geslaagde acceptatie Log and drop.
5. Opslaan met Apply.
6. De pagina opnieuw laden en controleren of de schakelaar en Action zijn opgeslagen.
7. In de Audit Trail het tijdstempel, de beheerder en de wijziging controleren.
8. In Sophos Fusion controleren of de firewall online is en MDR aan de juiste klant of tenant is gekoppeld.

Voer niet tegelijkertijd grootschalige wijzigingen in logging, inspectie, uitzonderingen en Action door. Een gefaseerde uitrol maakt zichtbaar welke wijziging een treffer of een neveneffect heeft veroorzaakt.

De werking betrouwbaar valideren

De MDR-help die hier is geraadpleegd, noemt geen algemene onschadelijke MDR-testindicator. Het bezoeken van een echt malwaredomein of een bekend schadelijk IP-adres is daarom geen geschikte acceptatietest. De technische controle wordt opgesplitst in meerdere aantoonbare niveaus. Een eigen Third-Party-test bewijst alleen het geteste verkeers- en inspectiepad daarvan, niet de levering van een MDR-IoC door het analistenteam.

Configuratie en transport

1. De MDR-schakelaar en gewenste Action op de firewall controleren.
2. De Sophos-Fusion-registratie en MDR-licentie controleren.
3. Active-Threat-Response-logging voor de verwachte bestemming bevestigen.
4. In Sophos Fusion controleren of MDR- of firewalltaken succesvol zijn verwerkt.
5. Bij een echt MDR-incident de verwachte IoC en de bijbehorende Audit-ID met het MDR-team afstemmen.

De Sophos Fusion Firewall Task Queue toont MDR- en API-opdrachten. Success bevestigt de verwerking van de Sophos-Fusion-taak, maar nog niet de werking op een concrete gegevensstroom. Bij Partial Success of Failed worden de betrokken firewall, Entity, Action en Credential ID vastgelegd en met de lokale configuratie vergeleken.

Treffers in Log Viewer onderzoeken

Onder Log viewer > Active threat response wordt minstens de volgende informatie vastgelegd:

• Tijdstempel, firewall en bij HA de verwerkende node
• Action en feednaam
• Bron- en doel-IP, domein of URL
• Poorten en protocol
• Event-ID en overige detailvelden
• Bij MDR daarnaast de bijbehorende audit_ID uit de beheergebeurtenis of de Task Queue

Bewijs van verkeer en de analistenactie zijn afzonderlijke bewijsstukken. Een ontbrekend veld audit_ID in de verkeersvermelding is op zichzelf geen leveringsfout. De koppeling wordt gemaakt op basis van IoC, firewall en tijdvenster en bij onduidelijkheden met MDR bevestigd.

Met Synchronized Security kan de firewall bij beheerde Windows-endpoints ook de gebruiker, host en het proces tonen. In Log Viewer zijn daarvoor Process user en Executable en in de detailweergave host_process_user, endpoint_id en execution_path relevant. Op macOS worden deze procesdetails niet getoond; daar wordt het endpoint geïdentificeerd aan de hand van het bron-IP en de Sophos-Fusion-gegevens.

Bij een detectie vraagt de firewall deze details op bij de endpoints die via Sophos Fusion worden beheerd. De help beschrijft de weergave voor Windows 7 en nieuwer; dit is geen aanbeveling voor Windows 7 en geen garantie voor actuele endpointondersteuning van elk ouder Windows-systeem. Op macOS kan in plaats daarvan een generieke melding zoals Active threat C2/Generic-C deleted verschijnen. Die vervangt noch de identificatie van de host via het bron-IP, noch het bewijs van de firewallactie die op het verkeer is toegepast.

De lokale samenvatting staat onder Reports > Network & threats > Active threat response in de lijst Synchronized IoC. Het Overzicht van Sophos-Firewall-services en logbestanden geeft daarnaast context bij atr.log. Een afzonderlijke logvermelding wordt nooit op zichzelf beoordeeld: firewall-, DNS-, web-, IPS-, endpoint- en Sophos-Fusion-gebeurtenissen uit hetzelfde tijdvenster horen bij elkaar.

Positieve en negatieve controle

Een pilot in de productieomgeving moet minstens deze twee gevallen omvatten:

1. Positief: Bij een echte, door het MDR-team bevestigde IoC of een bevestigd incident worden een traceerbare verkeersvermelding met de juiste Action en de bijbehorende analistenactie met Audit-ID afzonderlijk vastgelegd en met elkaar vergeleken. Hiervoor wordt geen extra verkeer naar schadelijke infrastructuur gegenereerd.
2. Negatief: Een vergelijkbaar legitiem bedrijfsproces blijft bereikbaar en veroorzaakt geen onbedoelde MDR-blokkering.

Zonder echt incident wordt niet kunstmatig een MDR-IoC aangemaakt. In plaats daarvan worden configuratie, taakverwerking, logtransport en de communicatieroute gecontroleerd. Voor een volledig controleerbare verkeerstest is een eigen Third-Party-pilotfeed geschikter dan een schadelijke bestemming van derden.

MDR-treffers als incident behandelen

Een MDR-treffer is een sterk signaal, maar de logvermelding alleen verklaart nog niet het volledige aanvalspad. Een beheerste aanpak is:

1. Tijdstip, Action, IoC, feednaam, Event-ID en audit_ID vastleggen.
2. De betrokken host en gebruiker bepalen via bron-IP, DHCP, Synchronized Security en endpointgegevens.
3. In Sophos Fusion de bijbehorende MDR-case, de Detection en verdere apparaatgebeurtenissen openen.
4. Firewall-, DNS-, web-, IPS- en endpointlogs binnen hetzelfde tijdvenster correleren.
5. Met het MDR-team bespreken waarom de IoC is toegevoegd en welke reactie is voorzien.
6. Bij een bevestigde compromittering het interne incidentresponsproces starten.
7. Pas daarna beslissen over opschoning, aanvullende regels of een nauw afgebakende uitzondering.

De Audit-ID identificeert de MDR-analistenactie. Klik in Log Viewer eerst op de knop voor de detailweergave en kies vervolgens Admin in het vervolgkeuzemenu. Leg daar de actie en de audit_ID van de toevoeging of verwijdering vast. De analistenactie is ook te vinden onder My Products > Firewall management > Tasks Queue in Sophos Fusion. Bij een vraag aan MDR wordt de Audit-ID samen met het serienummer van de firewall, het tijdstip, de IoC, de Event-ID en de Incident-ID aan de case toegevoegd. Een geregistreerde verwijdering bewijst een beheeractie, niet dat het betrokken endpoint is opgeschoond.

Uitzonderingen gecontroleerd beheren

Onder Protect > Active threat response > Add threat exclusions kunnen host-/netwerkuitzonderingen en threatuitzonderingen worden aangemaakt. Deze uitzonderingen gelden voor meerdere modules. Een uitzondering voor een MDR-treffer kan daardoor ook X-Ops, NDR of Third-Party Threat Feeds verzwakken.

Voordat een uitzondering wordt ingesteld, worden de IoC, het betrokken bedrijfsproces, de MDR-case en de bevestiging van de foutpositieve detectie gedocumenteerd. De uitzondering blijft zo beperkt mogelijk en krijgt een reden, eigenaar, ticket en evaluatie- of vervaldatum. Volledige clientnetwerken of brede domeinbereiken zijn geen geschikte snelle oplossing.

Threat-Feed-configuraties kunnen niet afzonderlijk worden geïmporteerd of geëxporteerd; Threat Exclusions wel. De MDR-feedinstellingen kunnen ook niet via Import existing configuration worden overgenomen in de initiële configuratie van een nieuwe Sophos-Fusion-firewallgroep. Na migratie, herstel of vervanging worden de functie, Action, logging en Sophos-Fusion-koppeling daarom expliciet opnieuw gecontroleerd.

Als er geen MDR-treffer verschijnt

De controle begint niet met het herstarten van een service. Eerst worden de lagen afzonderlijk onderzocht:

1. Kloppen de MDR-licentie, het Sophos-Fusion-account, de firewallregistratie en de Threat response mode?
2. Zijn MDR Threat Feeds lokaal actief en is de Action opgeslagen?
3. Is de betreffende IoC daadwerkelijk door het MDR-team voor deze omgeving aangeleverd?
4. Toont de Sophos Fusion Firewall Task Queue Success, Partial Success, Failed of nog Pending?
5. Zijn Active-Threat-Response-logs lokaal, naar Syslog of in Sophos Fusion geactiveerd?
6. Loopt het verkeer via de verwachte firewall, regel en inspectie?
7. Is de IoC opgenomen in Active-Threat-Response-, web- of SSL/TLS-uitzonderingen?
8. Kloppen het tijdvenster en bij HA de onderzochte node?

Voor de engine- en feedstatus kunnen gegevens uit atr.log, Log Viewer en Sophos Fusion Firewall Task Queue op basis van tijdstempels met elkaar worden gecorreleerd. Logs worden alleen gelezen; ongedocumenteerde wijzigingen in feedgegevens, databases of services zijn geen standaardstap. Als de oorzaak onduidelijk blijft, worden CTR, relevante logs, Task-ID, Audit-ID, build en tijdstip vastgelegd voor Sophos MDR of Sophos Support.

Rollback en wijzigingsbeheer

Vóór activering worden de eerdere schakelaarstatus, Action, logbestemmingen en bestaande uitzonderingen gedocumenteerd. Bij een onverwachte verstoring van de bedrijfsvoering wordt niet onmiddellijk een ruime uitzondering ingesteld.

1. De betrokken treffer en de impact op de bedrijfsvoering vastleggen.
2. Het MDR-team informeren met de Audit-ID en informatie over het incident.
3. Indien door de verantwoordelijken goedgekeurd, de lokale Action tijdelijk van Log and drop terugzetten naar Log only.
4. Alleen als ook dat niet volstaat en MDR ermee instemt, de feed gecontroleerd terugzetten naar de gedocumenteerde vorige toestand.
5. Na elke wijziging hetzelfde bedrijfsproces en het effect op de logs opnieuw controleren.
6. De oorzaak verhelpen en de productiebeveiliging herstellen met een nieuwe evaluatiedatum.

In HA-omgevingen worden configuratie en status op de huidige Primary gecontroleerd. Logs bevinden zich op de node die het verkeer heeft verwerkt. Na een gecontroleerde failover worden de Sophos-Fusion-verbinding, feedstatus, nieuwe logvermeldingen en het echte verkeer opnieuw gevalideerd; ononderbroken MDR- of logcontinuïteit wordt niet verondersteld.

Checklist

• Xstream Protection Bundle actief
• Actieve MDR-rechten in Sophos Fusion aanwezig
• Firewall bij het juiste Sophos-Fusion-account geregistreerd
• Threat response mode en MDR-contactroute gedocumenteerd
• Active-Threat-Response-logbestemming geactiveerd
• MDR Threat Feeds ingeschakeld
• Action bewust gekozen en einddatum voor de pilot vastgesteld
• Zichtbaarheid van verkeer voor IPv4, domein en URL gecontroleerd
• Remote source match voor DNAT/WAF indien nodig geactiveerd
• Task Queue en lokale status vergeleken
• Audit-ID en incidentproces bekend
• Endpointcontext en platformbeperkingen gecontroleerd
• Uitzonderingen voorzien van een eigenaar en evaluatiedatum
• Rollback en HA-controle gedocumenteerd

Veelgestelde vragen