Sophos Security Heartbeat en Synchronized Security
Security Heartbeat stuurt de gezondheidsstatus van een beheerd Sophos Endpoint naar een geregistreerde Sophos Firewall. Dit is op zichzelf geen isolatie: een passende firewallregel of de endpointfunctie Reject connections from other devices moet de netwerkreactie uitvoeren.
Houd drie mechanismen uit elkaar:
- Security Heartbeat: status- en identiteitsuitwisseling tussen Endpoint en Firewall; de Firewall kan bron- en doeltoegang sturen.
- Synchronized Security: verzamelnaam voor reacties die Heartbeat gebruiken, zoals firewallregels en de door Sophos Fusion verspreide weigering van onveilige apparaten in hetzelfde subnet.
- Active Threat Response (ATR): isoleert door externe API-gebruikers of MDR/XDR-analisten geïdentificeerde apparaten via beheerde Sophos Switches en AP6 Access Points. Dit is geen Heartbeat-kleur of endpointisolatie.
Vereisten en activering
Sophos vereist een Sophos Fusion-account (voorheen Sophos Central), een proef- of volledige licentie voor minstens één door Sophos Fusion beheerd Endpoint en een Network Protection-abonnement op de Firewall. Beide producten moeten bij dezelfde organisatie in de juiste Sophos Fusion-tenant horen.
Registreer de Firewall onder System > Sophos Central. SFOS activeert Security Heartbeat en Synchronized Application Control automatisch. A new firewall has been successfully registered to Sophos Central onder My Products > Firewall Management > Firewalls bevestigt alleen registratie, niet de Heartbeat van een Endpoint of het effect van een regel. Zie Sophos Firewall met Sophos Fusion verbinden.
Elk Endpoint krijgt een certificaat van Sophos Fusion, dat met de Firewall wordt gedeeld om de organisatie te identificeren. De versleutelde TLS-verbinding gebruikt 52.5.76.173 en TCP 8347; bereikbaarheid alleen bewijst geen juiste tenant- of certificaatkoppeling.
Heartbeat-status interpreteren
Het Endpoint stuurt elke 15 seconden status; bij de eerste verbinding ook interfaces en aangemelde gebruikers.
| Status | Betekenis en vervolg |
|---|---|
| Green | Bescherming werkt; geen actieve/inactieve malware of PUA. Controleer baseline en normale toegang. |
| Yellow | Bijvoorbeeld PUA, inactieve malware of 24 uur geen signature-update. Beoordeel het alert. |
| Red | Bijvoorbeeld actieve/niet opgeschoonde malware, schadelijk verkeer of defecte bescherming. Onderzoek alert en apparaat direct. |
| Missing | De Firewall ziet nog verkeer maar ontving drie Heartbeats op rij niet. Eerst een communicatie- of koppelingsstatus, niet automatisch malware. |
Yellow is meestal tijdelijk en vereist op zichzelf geen herstelmaatregel om weer een gezonde status te bereiken. Beoordeel het alert wel om de oorzaak te begrijpen. Als een PUA of malware wordt gedetecteerd, kunt u op basis van de bevinding een gerichte maatregel kiezen.
Een verbinding met een bekende schadelijke host kan Red veroorzaken. Het concrete event en rapport tonen of de oorspronkelijke detectie van Endpoint, Firewall of een ander onderdeel kwam; de kleur bewijst dit niet.
Netwerkreactie bewust kiezen
Toegang in de firewallregel sturen
De velden staan onder Rules and policies > Firewall rules > [regel] > Configure Synchronized Security Heartbeat:
- Minimum source HB permitted vereist Green of Yellow voor de bron; No restriction laat ook Red of geen Heartbeat toe.
- Block clients with no heartbeat behandelt bronnen zonder Heartbeat.
- Minimum destination HB permitted controleert interne doelen, niet de WAN-zone.
- Block request to destination with no heartbeat behandelt interne doelen zonder Heartbeat.
Een apparaat dat nooit Heartbeat stuurde blijft standaard toegestaan. Volgens Sophos valt het pas onder de controle als beide opties Block clients with no heartbeat en Block request to destination with no heartbeat actief zijn. Een Web Exception die Policy checks overslaat kan bovendien webverkeer ondanks de eerste optie toelaten.
Gebruik een smalle pilotregel voor werkelijk beheerde Sophos Endpoints. Printers, gasten, IoT en apparaten met andere EDR hebben eigen regels nodig, geen steeds bredere uitzonderingen. Zie Sophos Firewall-regels plannen.
Laterale verbindingen op het Endpoint weigeren
Open in Sophos Fusion het pictogram Global Settings, daarna Protection and Remediation > Synchronized Security. Onder Reject connections from other devices activeert Allow devices to reject connections from other devices with red health de reactie. Dit geldt alleen voor apparaten die met Sophos Firewall zijn verbonden.
Bij Red of Missing ontvangen andere beheerde apparaten in hetzelfde subnet de informatie. De bestemming logt Access request from computer
Kritieke servers kunnen worden uitgesloten. Update Caches en Message Relays zijn standaard uitgesloten om updates en communicatie te behouden. Elke extra uitzondering vereist eigenaar, reden en reviewdatum.
Spam- en virusverzending hoort bij Sophos Email
Scan computers that send spam or viruses vereist Sophos Endpoint- én Sophos Email-licenties. Als binnen tien minuten minstens vijf als spam of virus geclassificeerde berichten uit een mailbox komen, identificeert Sophos Email eigenaar en apparaten, blokkeert de mailbox eerst één uur en start een on-demand scan.
Elke nieuwe trigger na afloop verdubbelt de duur. Na zes triggers is de blokkade permanent en is Sophos Support nodig. Uitschakelen stopt alleen de Endpoint-scan, niet de Email-blokkade. Controleer Email-event, gebruiker-apparaatkoppeling en scan afzonderlijk.
Pilot en acceptatie
- Kies één beheerd Endpoint en een smalle regel; leg normale toegang, remediationdoelen en onafhankelijke admintoegang vast.
- Controleer status en events van dezelfde computer in Sophos Fusion en Control Center > User & device insights > Security Heartbeat op de Firewall. Bij uitsluitend Green toont de detailweergave geen afzonderlijke Endpoints.
- Activeer logging, voer toegestaan verkeer uit en noteer bron-IP, doel, Rule ID en tijd.
- Gebruik een goedgekeurde Sophos-test, zonder agentstop, manipulatie of echte malware. Zie Sophos Endpoint-bescherming testen.
- Vergelijk de Sophos Fusion-alert, het Endpoint-event, de Heartbeat-weergave en het Firewall-log in hetzelfde tijdvak. Alleen de ingestelde reactie mag optreden.
- Bevestig na opruiming Green en normale toegang voordat de scope groeit.
Troubleshooting per symptoom
- Missing: controleer zone, netwerkpad, adapterwissel, VPN/NAT, tijd en Sophos Fusion-koppeling; volg Missing Heartbeat-alerts onderzoeken.
- Sophos Fusion en Firewall verschillen: vergelijk hetzelfde apparaat/tijdvak en controleer registratie, online-status, certificaat/Sophos Fusion-communicatie en events. Niet deregistreren of globaal uitzonderen.
- Onverwachte blokkade: bovenstaande Endpoint-meldingen wijzen op laterale weigering; een Firewall-log met Rule ID en Heartbeat-voorwaarde wijst op de regel.
- Vertraging via switches/LAG: Sophos documenteert een ondersteunde detection delay in Device Console. Leg actuele waarde en terugweg vast vóór wijziging.
- Twee Endpoints delen dock/USB: SFOS 22.0 MR2 Build 546 verhelpt foutieve Missing-meldingen onder
NC-176012. Controleer bij oudere SFOS 22-builds de geïnstalleerde versie en plan de firmwarewijziging, en test daarna het getroffen dock-/USB-scenario opnieuw in plaats van alleen een timer te verhogen. - Oorzaak onbekend: bewaar tijdvak, Endpoint ID, status/events, Rule ID, IP/MAC en interfaces. Gebruik de casusspecifieke verzameling hieronder; Self Help en SDU beschrijft veilige verwerking.
Een Endpoint Health-case voor support voorbereiden
De Sophos Minimum Escalation Requirements voor Windows Endpoint en Windows Server onderscheiden status-, service-, threat-, isolatie- en Synchronized Security-cases. Lever altijd naast de bestanden uw analyse: eerste relevante fout, tijdstip, geteste hypothese en resultaat.
- Onjuiste Red/Amber-status: leg oorzaak en zichtbare status vast met een screenshot, bevestig dezelfde status in Sophos Fusion en bepaal of het probleem actueel of een oud restant is. Gebruik Reset health status alleen als gecontroleerde test en controleer daarna of de status gezond blijft of met hetzelfde event terugkomt; voeg SDU en analyse toe.
- Gestopte/ontbrekende service of gestopt/ontbrekend proces: leg de pagina Services en melding in Endpoint Self Help vast, volg de gekoppelde instructie en bekijk het bijbehorende log. Neem een reproduceerbare startfout op met Process Monitor als Administrator, met Enable Advanced Output onder Filter en All events bij opslaan. Verzamel daarna een SDU uit hetzelfde tijdvak. Stop en bescherm de opname, omdat die proces-, pad- en gebruikersgegevens kan bevatten.
- Openstaande threat: zoek dezelfde threat in de lokale lijst en de Sophos Fusion-pagina Events. Probeer bij aanwezigheid eerst een oplossing vanuit Sophos Fusion; test bij afwezigheid gecontroleerd Reset health status. Een reset ruimt geen threat op en vervangt geen controle op terugkeer. Voeg resultaat, SDU en analyse toe.
- Apparaat gaat niet in isolatie: controleer of het apparaat op een lijst met isolatie-uitsluitingen staat of standaard is uitgesloten. Automatische isolatie vereist een ingeschakelde Policy en een daadwerkelijke Red-status. Controleer Sophos Fusion-communicatie en voor Reject connections from other devices de Heartbeat-verbinding onder Endpoint Self Help > Operations.
- Apparaat verlaat isolatie niet: de status moet weer gezond zijn en Sophos Fusion-communicatie moet werken; controleer ook eventuele ingestelde uitsluitingen. Bewaar voor beide richtingen observaties, SDU en analyse voordat u de Policy of uitzonderingen wijzigt.
- Security Heartbeat maakt geen verbinding: bevestig eerst dat deze op Sophos Firewall actief is. Vergelijk in hetzelfde tijdvak Endpoint Self Help > Operations, fouten in
Heartbeat.logenheartbeatd.logvan de Firewall. Activeer DEBUG alleen voor het proces Heartbeat en de korte reproductie, herstel daarna het vorige niveau en verzamel een SDU. Afsluiting vereist verbinding in Operations, geen nieuwe bijpassende fouten en herstel van de verwachte toegang.
ATR en endpointisolatie onderscheiden
Sophos Fusion ATR onder Global Settings > Protection and Remediation > Allow and Block > Network > Active Threat Response geldt voor Sophos Switches en AP6. Externe API-gebruikers of MDR/XDR-analisten isoleren MAC-adressen via die netwerkapparaten. Op AP6 overrulet ATR de MAC Filtering Allowed list van SSID’s.
Dit verschilt van een Heartbeat-regel, laterale weigering en handmatige endpointisolatie. Zie daarvoor Endpoint isoleren en met Live Response controleren. Een ATR-status bewijst geen Red Heartbeat of Endpoint-actie.