Sophos MDR: contactpersonen en Threat Response instellen

Sophos MDR vereist minstens één geautoriseerde contactpersoon voordat verdere MDR-instellingen kunnen worden geconfigureerd of de service kan worden gebruikt. Voor het beheer raadt Avanet minstens twee bereikbare contactpersonen aan. Daarna wordt bewust bepaald of het MDR-team zelfstandig mag reageren of eerst toestemming nodig heeft. Alleen een geactiveerd contract vervangt deze voorbereiding niet.

In Sophos Fusion (voorheen Sophos Central) gaat u via het pictogram Global Settings naar Products & Services > MDR: sla eerst Authorized Contacts op, keur daarna Threat Response goed en sla die op, en vul vervolgens Additional Settings aan. Open tot slot alle drie de tabbladen opnieuw en vergelijk ze met de goedgekeurde gewenste toestand. Deze controle veroorzaakt geen aanval of responsactie.

Vóór de inrichting verantwoordelijkheid en toegang vaststellen

U hebt een actieve MDR-licentie in het juiste klantaccount nodig en beheerderstoegang waarmee MDR-instellingen kunnen worden bewerkt. Na activering van de licentie kan Sophos Fusion bij de eerste aanmelding direct om inrichting vragen. De instellingen blijven later beschikbaar via Global Settings > Products & Services > MDR. Ontbreken tabbladen of bewerkingsopties, controleer dan account, licentie en effectieve rechten; de rol van een selecteerbare contactpersoon bewijst geen algemene minimumrol voor alle instellingswijzigingen.

Leg vóór een wijziging de bestaande contactpersonen met hun volgorde, telefoonnummers, meldingsopties, responsmodus en de toestand van het Collaborate-selectievakje vast in een afgeschermd wijzigingsticket. Documenteer bij een eerste inrichting in plaats daarvan de afgesproken gewenste toestand. De contactpersonen moeten weten dat zij MDR-vragen moeten beantwoorden en intern een beslissing moeten laten nemen, ook buiten kantooruren.

1. Authorized Contacts invoeren en opslaan

MDR-contactpersonen vormen het officiële communicatiekanaal tussen het MDR-team en de organisatie. Bij een actieve dreiging probeert Sophos de ingestelde contactpersonen op volgorde te bereiken totdat iemand antwoordt. Dit is een andere configuratie dan Authorized Contacts bij Managed Risk; daar opgeslagen contactpersonen vervangen de MDR-inrichting niet.

1. Open het pictogram Global Settings en kies Products & Services > MDR > Authorized Contacts.
2. Selecteer onder Primary de beoogde Sophos Fusion-beheerder. Hiervoor komen Super Admin, Admin of Help Desk in aanmerking. Ontbreekt een geschikt account, dan biedt Create new Central administrator de mogelijkheid dit aan te maken. Ken beheerdersrollen toe op basis van de daadwerkelijke taak, niet uit voorzorg Super Admin.
3. Voer de contactgegevens in. Controleer of het telefoonnummer de landcode bevat; bij bestaande nummers zonder landcode kan de pagina vragen deze aan te vullen. Doorslaggevend is een nummer waarop de verantwoordelijke daadwerkelijk bereikbaar is.
4. Kies zo nodig Secondary en Tertiary en vul hun gegevens aan. In totaal zijn zo maximaal drie contactpersonen mogelijk. Minstens Primary is verplicht; een tweede contactpersoon vangt afwezigheid op. De volgorde moet aansluiten op de eigen bereikbaarheidsdienst.
5. Controleer bewust de afmeldselectievakjes voor MDR reports en broadcast announcements. Die betreffen deze e-mails en vervangen geen werkend communicatiekanaal voor incidenten.
6. Kies Save. Verlaat het tabblad, open het opnieuw en lees de opgeslagen selectie, volgorde, telefoonnummers en afmeldinstellingen terug.

Avanet geeft de voorkeur aan duidelijk toegewezen accounts en een geregelde vervanging. Sophos beschrijft ook beheerdersaccounts met een distributielijstadres en raadt daarvoor Help Desk aan vanwege de beperktere rechten. Een distributielijst alleen bewijst echter geen telefonische bereikbaarheid of duidelijke verantwoordelijkheid; geef een account niet uitsluitend voor meldingen uitgebreidere rechten.

2. Threat Response bewust kiezen

Onder Global Settings > Products & Services > MDR > Threat Response zijn voor MDR en MDR Plus drie modi beschikbaar. De keuze bepaalt de bevoegdheid; de concrete dienstverlening blijft daarnaast afhankelijk van de afgenomen service en de beschikbare technische toegang.

• Authorize: Het MDR-team mag zelfstandig inperkingsmaatregelen uitvoeren en informeert daarna over de uitgevoerde acties. Volgens de huidige dienstverlening valt volledige neutralisatie onder MDR Plus. Taken die Sophos niet zelf kan uitvoeren, blijven bij de organisatie.
• Collaborate: Het MDR-team onderzoekt en stemt de respons af met de contactpersonen. Vóór responsacties is mondelinge of schriftelijke autorisatie nodig, of actieve medewerking van de organisatie. Intern moet daarom iemand bereikbaar en beslissingsbevoegd zijn.
• Notify Only: Het MDR-team waarschuwt de contactpersonen en kan slechts beperkt onderzoek doen. Het mag dreigingen niet inperken of neutraliseren. Deze modus is geen gelijkwaardig alternatief voor een operationeel responsproces en wordt niet aangeraden voor langdurig gebruik.

Sophos raadt Authorize of Collaborate aan. Bepaal vóór het opslaan met de incidentverantwoordelijken welke variant past: moet Sophos een bevestigde dreiging direct mogen inperken, of kan de organisatie iedere benodigde toestemming betrouwbaar leveren?

Het selectievakje onder Collaborate is aanvullende voorafgaande autorisatie

Onder Collaborate kunt u afzonderlijk toestaan dat het MDR-team handelt zoals in Authorize wanneer na telefonische contactpogingen bij alle ingestelde contactpersonen geen bevestiging binnenkomt. Zonder dit selectievakje blijft voorafgaande toestemming voor responsacties vereist. Dit is geen vierde gelijkwaardige modus.

Leg de toestemming voor deze fallback expliciet vast in het wijzigingsticket. Alleen Collaborate selecteren zegt nog niet of de fallback is goedgekeurd. Ga ook niet uit van een vaste wachttijd tot een ingreep.

Stel na de beslissing de gewenste modus en eventueel het selectievakje in en kies Save. Open het tabblad opnieuw en vergelijk beide waarden afzonderlijk met de goedgekeurde toestand. Ga bij een afwijking niet uit van een geslaagde toepassing, maar onderzoek het account, de opgeslagen selectie en mogelijke gelijktijdige wijzigingen.

3. Live Response en gevoelige apparaten afbakenen

Bij Authorize vraagt Sophos om Live Response te activeren. Deze toegang stelt het MDR-team in staat op apparaten te werken. Een goedgekeurde responsmodus bewijst op zichzelf niet dat een effectieve apparaatpolicy of een ingerichte responsintegratie bestaat.

Plaats gevoelige computers of servers waartoe MDR geen toegang mag krijgen via Live Response vóór de toestemming in een aparte groep. Pas onder My Products > Endpoint > Policies respectievelijk My Products > Server > Policies een Data Collection and Investigation-policy met uitgeschakelde Live Response op die groep toe. Behandel computer- en serverpolicies afzonderlijk. Controleer vóór het opslaan de groepsomvang en eerdere policytoewijzing, zodat niet onbedoeld de hele omgeving wordt opengesteld of geblokkeerd.

Controleer na de wijziging de effectieve toewijzing en Live Response-instelling op zowel een beoogd als een uitgezonderd apparaat. Start daarvoor geen sessie. Live Response uitschakelen is geen algemene uitzondering op MDR, andere beveiligingsfuncties of alle responsacties; het beperkt deze apparaattoegang. De uitzondering kan onderzoek of opschoning bemoeilijken en vereist daarom een verantwoordelijke lokale contactpersoon. Isolatie en Live Response licht de gedetailleerde policy-, rol- en toegangsgrenzen toe.

Bereid acties in producten van derden afzonderlijk voor via MDR- en XDR-integraties. Gegevensopname geeft niet automatisch schrijfrechten in het bronsysteem. Ook de lokale firewallfeedactie Log only of Log and drop blijft gescheiden van de MDR-responsmodus; daarvoor geldt het MDR Threat Feeds-runbook.

4. Organisatiecontext en agents controleren

Voer onder Global Settings > Products & Services > MDR > Additional Settings de juiste Industry Vertical, de hoofdlocatie van de organisatie en de daadwerkelijk gebruikte netwerksubnetten in. Deze context helpt het MDR-team activiteiten te beoordelen. Gebruik echte, intern goedgekeurde inventarisgegevens, geen voorbeeldnetwerken of algemene bereiken zonder verband met de omgeving. Kies vervolgens Save, open het tabblad opnieuw en vergelijk de opgeslagen waarden.

Voor MDR-gebruik heeft elke betrokken computer of server een Sophos-agent nodig die MDR ondersteunt. Contactpersonen instellen installeert geen agent en levert op zichzelf geen telemetrie. Ontbreken apparaten of is de agentstatus onduidelijk, vervolg dan de inventarisatie via het Endpoint-onboardingpad. Accepteer de inrichting niet als volledig zolang de beoogde apparaten en gegevensbronnen onduidelijk zijn.

Acceptatie zonder aanval of responstest

De acceptatie bestaat uit opgeslagen configuratie en organisatorische bereikbaarheid, niet uit een kunstmatig gegenereerde Detection:

1. Open Authorized Contacts, Threat Response en Additional Settings opnieuw. Controleer de opgeslagen waarden aan de hand van het goedgekeurde ticket; neem bij Collaborate expliciet het selectievakje mee.
2. Stem intern met Primary en de vervanger telefoonnummers, landcode, bereikbaarheid en de route naar incidentgoedkeuring af. Een afgesproken interne controleoproep kan het opgeslagen nummer controleren, maar bewijst niet het belpad vanuit Sophos.
3. Controleer met het mailbeheer of bestaande echte MDR-berichten de beoogde ontvangers bereiken en niet in spam of quarantaine staan. Ontbreekt dat bewijs, dan blijft externe MDR-mailaflevering onbevestigd. Een interne mailtest noch een opgeslagen contactpersoon bewijst die aflevering. Zonder geverifieerde actuele afzendergegevens worden geen hele domeinen toegestaan en wordt mailinspectie niet uitgeschakeld.
4. Controleer de beoogde agentinventaris, effectieve Live Response-policies en gedocumenteerde uitzonderingen. Start geen remote shell, isolatie of andere productieactie voor acceptatie.
5. Documenteer verantwoordelijken, controledatum en open vragen over aflevering of inventaris. Ontbrekend bewijs blijft open en wordt met MDR of het mailbeheer opgehelderd; het wordt niet vervangen door een testincident.

Voor vereiste klantacties gelden later de status- en eigendomsgrenzen van de betreffende Case. Assignee en Managed By zijn niet uitwisselbaar. De gescheiden werkwijzen voor Classic en actuele MDR Cases staan in Cases en Detection Rules.

Als de inrichting niet overeenkomt met de gewenste toestand

• Verdere MDR-instellingen zijn nog niet bruikbaar: Controleer eerst of minstens Primary in het juiste klantaccount volledig is ingevuld en met Save is opgeslagen. Gebruik de gelijknamige Managed Risk-pagina niet als vervanging.
• De gewenste persoon ontbreekt in Primary: Controleer het beheerdersaccount en de rol. Super Admin, Admin of Help Desk zijn de gedocumenteerde contactrollen; contactrol en bewerkingsrecht voor andere functies blijven gescheiden.
• MDR bereikt niemand: Controleer volgorde, landcode, vervanging en daadwerkelijke beschikbaarheid. Leid uit Collaborate geen automatische reactie af zolang het aanvullende selectievakje niet bewust is goedgekeurd en opgeslagen.
• Een bericht ontbreekt: Controleer ontvangerstoewijzing, quarantaine en bestaande afleverlogs. Stem een concrete mailallowlist pas af met actuele, geverifieerde MDR-afzendergegevens, niet op basis van een vermoed adres.
• Live Response is nog toegestaan voor een gevoelig apparaat: Controleer de werkelijk toegewezen Endpoint- of Server-policy en het groepslidmaatschap. Een geplande uitzondering werkt pas wanneer de juiste policy op het juiste apparaat van toepassing is.

Voer bij een onjuiste contactpersoon of onbedoeld gewijzigde modus de gedocumenteerde vorige waarden alleen na overleg met de incidentverantwoordelijke opnieuw in, sla ze op en lees ze terug. Dit maakt reeds uitgevoerde MDR-acties niet ongedaan. Coördineer tijdens een lopend incident een wijziging van reactiebevoegdheid met het MDR-team; instellingen terugzetten is geen technische rollback van een incident.