Sophos XDR Cases en Detection Rules beheren

Sophos XDR verzamelt Detections en betrokken entiteiten in onderzoekbare Cases. Een Case is geen automatisch opgelost Incident, maar de gezamenlijke werkruimte voor Evidence, verantwoordelijkheid en Response.

Cases vereisen EDR, XDR of MDR. Sophos maakt bij een High Risk Detection automatisch een Case, tenzij deze op dezelfde dag al in een passende Case staat. Latere Detections van hetzelfde type kunnen worden toegevoegd.

Een Sophos-managed Case op basis van MDR Detections wordt door het MDR-team onderzocht. Een Self-managed Case uit XDR Detections blijft de verantwoordelijkheid van de klant en wordt aan een beheerder toegewezen. Sophos maakt de Case aan, maar onderzoekt hem niet automatisch.

Deze eigendomsgrens geldt ook voor NDR-signalen en geautoriseerde NDR-testtreffers: de bron NDR draagt een Self-managed XDR Case niet automatisch over aan Sophos MDR. De klantbeheerder blijft Owner totdat de Case volgens het eigen proces is afgesloten. Alleen een Case die op basis van MDR Detections als Sophos-managed is aangeduid, valt onder het MDR-team. In het runbook voor de NDR-test-Detection leest u hoe u een testtreffer eenduidig correleert en opruimt.

Detection, Alert en Case

Meerdere Detections kunnen bij dezelfde Attack Chain horen. Omgekeerd kan één opvallende Detection al een onderzoek rechtvaardigen.

Voor Self-managed Cases vormen New, Investigating, On Hold en Resolved de volledige statusflow: nieuw aangemaakt, actief onderzocht, tijdelijk gepauzeerd of afgesloten. Sophos-managed Cases gebruiken daarentegen Investigating, Action required en Resolved. Action required betekent dat de klant actie moet ondernemen; Sophos informeert de ingestelde contactpersonen.

Case behandelen

Begin bij Threat Analysis Center > Cases. Open een automatisch gegenereerde Self-managed Case via de Case ID. Gebruik in Overview het menu naast de Case-naam om de ernst in te stellen. Wijzig daarna de status van New in Investigating en kies onder Owner de verantwoordelijke beheerder. Ontbreekt deze, voeg de beheerder daar toe met Add user. De Owner kan ook later worden toegewezen.

Een Self-managed Case kan op twee officieel beschreven manieren handmatig worden gemaakt:

• Voer onder Threat Analysis Center > Cases > Create case > Self-managed case een naam en beschrijving in, kies Severity, status New en eventueel een Assignee, en sla op met Create. Selecteer daarna onder Threat Analysis Center > Detections de treffers en gebruik Actions > Add to Case.
• Of selecteer eerst de treffers onder Threat Analysis Center > Detections en kies Actions > Create Case. Voeg latere Detections toe met Actions > Add to Case.

Handmatig gemaakte Cases kunnen alleen Sophos XDR Detections bevatten, geen MDR- of Managed Risk Detections. Sophos adviseert om in de Case-naam uitsluitend alfanumerieke tekens, spaties en eenvoudige leestekens te gebruiken, omdat API’s speciale tekens als syntaxis kunnen interpreteren.

Voor het onderzoek zelf:

1. Summary, Severity en Timeline lezen.
2. Betrokken apparaten, gebruikers, processen, IP’s en bestanden controleren.
3. MITRE ATT&CK Techniques en Detection Source beoordelen.
4. Threat Graph, Live Discover en beschikbare Enrichments gebruiken.
5. Containment zoals isolatie of Live Response documenteren.
6. Root Cause, Scope en Closure Decision vastleggen.

Bewaar bij een Self-managed Case de onderzoeksnotities op het tabblad Notebook. Zo blijft het spoor van Evidence en beslissingen rechtstreeks bij de Case bewaard.

AI-generated Summaries kunnen Triage versnellen, maar worden tegen Raw Data en Timeline gecontroleerd.

Detection Rules

Detection Rules kunnen momenteel uitsluitend ongewenste Detections onderdrukken en vereisen een Super Admin. Een regel voorkomt dat een overeenkomende Detection in de Detection List verschijnt en een Self-managed XDR Case genereert. MDR Cases kunnen hiermee niet worden onderdrukt.

Maak een regel vanuit een bestaande Detection: ga naar Threat Analysis Center > Detections, open het menu met drie punten naast de naam en kies Add detection rule. Voer onder Rule Details een naam en beschrijving in; de regel is standaard ingeschakeld. Suppress is momenteel de enige optie onder Actions. Selecteer onder Conditions de kenmerken van de bestaande treffer die de regel moeten activeren en klik op Save. Per tenant zijn maximaal 25 Detection Rules mogelijk.

Documenteer vóór het opslaan van de standaard ingeschakelde regel de naam, het doel, de gegevensbron, de verwachte frequentie, de Owner en de beoordelingsdatum. Voorwaarden moeten uitsluitend de bevestigde legitieme trigger herkennen, niet alleen een ernstniveau of een te ruim proceskenmerk.

Een nieuwe regel kan tot 20 minuten nodig hebben en werkt alleen op Detections die na de aanmaak ontstaan. Conditions zijn case-sensitive: Windows en windows kunnen verschillend worden behandeld.

Beheer bestaande regels onder Threat Analysis Center > Detection rules. Een regel kan worden geactiveerd, gedeactiveerd, gedupliceerd of verwijderd, maar niet direct bewerkt. Dupliceer en wijzig voor een aanpassing de kopie via het menu met drie punten; schakel het origineel na gecontroleerde vervanging uit of verwijder het.

Suppression controleren

Suppression vermindert bekende, verwachte matches. Het is geen Cleanup en mag echte activiteit niet onzichtbaar maken. Elke onderdrukking vereist:

• exacte Condition in plaats van een breed Pattern,
• gedocumenteerde legitieme Trigger,
• Owner en Review Date,
• controle van reeds onderdrukte Detections.

Een rustige console is geen kwaliteitskenmerk wanneer regels te breed onderdrukken.

Controleer het resultaat via Threat Analysis Center > Detections > Show filters. Schakel onder Detection Visibility de optie Hide Suppressed Detections uit en klik op Apply. Zo wordt zichtbaar wat de regel werkelijk treft. Omdat regels niet met terugwerkende kracht gelden, is deze weergave een betere basis voor de volgende beoordeling dan alleen een daling van het aantal zichtbare treffers.

Afsluiting en Lessons Learned

Een Case wordt gesloten wanneer Scope, Root Cause, Containment, Cleanup en Recovery zijn gedocumenteerd. Daarna worden Detection Rules, Policies, uitzonderingen en Runbooks aangepast wanneer het onderzoek een gat heeft aangetoond.

Sluit een Self-managed Case door de status op Resolved te zetten. De Case blijft 30 dagen in de lijst en wordt daarna door Sophos verwijderd. Partner Super Admins en Enterprise Super Admins kunnen Cases niet sluiten of verwijderen; houd rekening met deze rolgrens voordat een Owner wordt toegewezen.

De onderliggende telemetrie en Query Work staan in Sophos XDR Data Collection en Live Discover.

Veelgestelde vragen