Sophos XDR Cases en Detection Rules beheren

Sophos XDR verzamelt Detections en betrokken entiteiten in onderzoekbare Cases. Een Case is geen automatisch opgelost Incident, maar de gezamenlijke werkruimte voor Evidence, verantwoordelijkheid en Response.

De bestaande procedures in dit artikel beschrijven het beheer van Cases en Detection Rules in Threat Analysis Center, de nog beschikbare Classic view van Security Operations. De afzonderlijke sectie over Security Operations legt de actuele grenzen van MDR-verantwoordelijkheid en statussen uit. Controleer vóór een wijziging welke weergave de tenant gebruikt. Security Operations biedt ook Cases, Detections en Detectors; dat bewijst niet dat daar dezelfde statuswaarden, rollen, verwijdertermijnen of suppressieregels gelden. Met name Detectors wordt niet gelijkgesteld aan de hieronder beschreven Classic-Detection Rules.

In Classic vereisen Cases EDR, XDR of MDR. Sophos maakt bij een High Risk Detection automatisch een Case, tenzij deze op dezelfde dag al in een passende Case staat. Latere Detections van hetzelfde type kunnen worden toegevoegd.

Een Sophos-managed Case op basis van MDR Detections wordt door het MDR-team onderzocht. Een Self-managed Case uit XDR Detections blijft de verantwoordelijkheid van de klant en wordt aan een beheerder toegewezen. Sophos maakt de Case aan, maar onderzoekt hem niet automatisch.

Deze eigendomsgrens geldt ook voor NDR-signalen en geautoriseerde NDR-testtreffers: de bron NDR draagt een Self-managed XDR Case niet automatisch over aan Sophos MDR. De klantbeheerder blijft Owner totdat de Case volgens het eigen proces is afgesloten. Alleen een Case die op basis van MDR Detections als Sophos-managed is aangeduid, valt onder het MDR-team. In het runbook voor de NDR-test-Detection leest u hoe u een testtreffer eenduidig correleert en opruimt.

Detection, Alert en Case in Classic

Meerdere Detections kunnen bij dezelfde aanvalsketen horen. Omgekeerd kan één opvallende Detection al een onderzoek rechtvaardigen.

Voor Self-managed Cases vormen New, Investigating, On Hold en Resolved de volledige statusflow: nieuw aangemaakt, actief onderzocht, tijdelijk gepauzeerd of afgesloten. Sophos-managed Cases gebruiken daarentegen Investigating, Action required en Resolved. Action required betekent dat de klant actie moet ondernemen; Sophos informeert de ingestelde contactpersonen.

Een Case bewerken in Classic

Begin bij Threat Analysis Center > Cases. Open een automatisch gegenereerde Self-managed Case via de Case ID. Gebruik in Overview het menu naast de Case-naam om de ernst in te stellen. Wijzig daarna de status van New in Investigating en kies onder Owner de verantwoordelijke beheerder. Ontbreekt deze, voeg de beheerder daar toe met Add user. De Owner kan ook later worden toegewezen.

Een Self-managed Case kan op twee officieel beschreven manieren handmatig worden gemaakt:

• Voer onder Threat Analysis Center > Cases > Create case > Self-managed case een naam en beschrijving in, kies Severity, status New en eventueel een Assignee, en sla op met Create. Selecteer daarna onder Threat Analysis Center > Detections de treffers en gebruik Actions > Add to Case.
• Of selecteer eerst de treffers onder Threat Analysis Center > Detections en kies Actions > Create Case. Voeg latere Detections toe met Actions > Add to Case.

Handmatig gemaakte Cases kunnen alleen Sophos XDR Detections bevatten, geen MDR- of Managed Risk Detections. Sophos adviseert om in de Case-naam uitsluitend alfanumerieke tekens, spaties en eenvoudige leestekens te gebruiken, omdat API’s speciale tekens als syntaxis kunnen interpreteren.

Voor het onderzoek zelf:

1. De samenvatting, ernst en tijdlijn lezen.
2. Betrokken apparaten, gebruikers, processen, IP’s en bestanden controleren.
3. MITRE ATT&CK-technieken en de bron van de Detection beoordelen.
4. Threat Graph, Live Discover en beschikbare Enrichments gebruiken.
5. Inperking zoals isolatie of Live Response documenteren.
6. Oorzaak, omvang en besluit tot afsluiting vastleggen.

Bewaar bij een Self-managed Case de onderzoeksnotities op het tabblad Notebook. Zo blijft het spoor van Evidence en beslissingen rechtstreeks bij de Case bewaard.

Door AI gegenereerde samenvattingen kunnen de triage versnellen, maar worden getoetst aan ruwe gegevens en de tijdlijn.

Detection Rules

De volgende regels gelden voor de Classic-weergave onder Threat Analysis Center > Detection rules, niet voor Security Operations in het algemeen. Detection Rules kunnen momenteel uitsluitend ongewenste Detections onderdrukken en vereisen een Super Admin. Een regel voorkomt dat een overeenkomende Detection in de Detection List verschijnt en een Self-managed XDR Case genereert. MDR Cases kunnen hiermee niet worden onderdrukt.

Maak een regel vanuit een bestaande Detection: ga naar Threat Analysis Center > Detections, open het menu met drie punten naast de naam en kies Add detection rule. Voer onder Rule Details een naam en beschrijving in; de regel is standaard ingeschakeld. Suppress is momenteel de enige optie onder Actions. Selecteer onder Conditions de kenmerken van de bestaande treffer die de regel moeten activeren en klik op Save. Per tenant zijn maximaal 25 Detection Rules mogelijk.

Documenteer vóór het opslaan van de standaard ingeschakelde regel de naam, het doel, de gegevensbron, de verwachte frequentie, de Owner en de beoordelingsdatum. Voorwaarden moeten uitsluitend de bevestigde legitieme trigger herkennen, niet alleen een ernstniveau of een te ruim proceskenmerk.

Een nieuwe regel kan tot 20 minuten nodig hebben en werkt alleen op Detections die na de aanmaak ontstaan. Conditions zijn case-sensitive: Windows en windows kunnen verschillend worden behandeld.

Beheer bestaande regels onder Threat Analysis Center > Detection rules. Een regel kan worden geactiveerd, gedeactiveerd, gedupliceerd of verwijderd, maar niet direct bewerkt. Dupliceer en wijzig voor een aanpassing de kopie via het menu met drie punten; schakel het origineel na gecontroleerde vervanging uit of verwijder het.

Suppression controleren

Suppression vermindert bekende, verwachte matches. Het is geen opschoning en mag echte activiteit niet onzichtbaar maken. Elke onderdrukking vereist:

• een nauwkeurige voorwaarde in plaats van brede patronen,
• gedocumenteerde legitieme Trigger,
• een verantwoordelijke en beoordelingsdatum,
• controle van reeds onderdrukte Detections.

Een rustige console is geen kwaliteitskenmerk wanneer regels te breed onderdrukken.

Controleer het resultaat via Threat Analysis Center > Detections > Show filters. Schakel onder Detection Visibility de optie Hide Suppressed Detections uit en klik op Apply. Zo wordt zichtbaar wat de regel werkelijk treft. Omdat regels niet met terugwerkende kracht gelden, is deze weergave een betere basis voor de volgende beoordeling dan alleen een daling van het aantal zichtbare treffers.

Security Operations: Cases en MDR-verantwoordelijkheid

Deze sectie geldt voor Security Operations, niet voor de voorgaande Classic-statussen en -regels. Onder Security Operations > Cases opent een klik op de Case-naam eerst de samenvatting. Via het pictogram New Tab gaat u naar de volledige detailpagina. Daar zijn Overview, Evidence, Response, History en Enrichment beschikbaar. Opmerkingen kunnen in de samenvatting worden gelezen, maar alleen op de volledige detailpagina worden toegevoegd.

Beslis over Managed By vóór bevestiging

Bij actuele MDR-Cases bepaalt Managed By wie de Case beheert: Self betekent verantwoordelijkheid van de klant; Sophos MDR betekent beheer door het MDR-team. Assignee duidt daarentegen de gebruiker of groep voor de volgende actie aan. Een wijziging van Assignee draagt de Case-verantwoordelijkheid niet over.

Selecteer op de volledige detailpagina onder Manage Case > Managed By de aangeboden verantwoordelijkheid en bevestig pas na bovenstaande controle. Controleer daarna de weergegeven waarde. Self is alleen selecteerbaar voor de MDR-Case-typen Investigation en Other; Threat Hunt, Health Check en Incident zijn Sophos-managed. Een Incident wordt niet door de klant aangemaakt. Bij handmatige aanmaak wordt Managed By al tijdens het aanmaken vastgesteld. Bij Cases die automatisch uit Sophos-regels ontstaan, moet de waarde zijn ingesteld voordat de bediening onder Manage Case wordt gebruikt. Bij Cases uit klantregels is deze automatisch Self.

Een Self-managed Case wordt door het eigen team onderzocht; beschikbare wijzigingen, responsacties en splitsen/samenvoegen hangen daarnaast af van Case-type en rechten. Bij Sophos-managed Cases kunt u details lezen, opmerkingen plaatsen, aan Sophos toewijzen en afsluiten als een afsluitactie beschikbaar is. Dat geeft geen toestemming om willekeurig statussen te wijzigen, Key Findings te bewerken, extra gebeurtenissen of Detections als bewijs toe te voegen of de Case te splitsen of samen te voegen.

Actuele MDR-statussen en klantacties

Actuele MDR-Cases gebruiken afhankelijk van het type New, In Progress, Customer Action Required, Awaiting Sophos Assignment en Closed. Deze waarden worden niet gelijkgesteld aan de Classic-statussen of aan de algemene XDR-statussen Open, Active, Awaiting Action, Suspended en Closed. Awaiting Sophos Assignment betekent dat interne toewijzing bij het MDR-team nog moet plaatsvinden; Customer Action Required vereist daarentegen een actie van de organisatie.

Zet het MDR-team een Sophos-managed Case op Customer Action Required, dan begint de inactiviteitsteller. Zonder klantactie volgt elke 24 uur een herinnering per e-mail; na vijf dagen inactiviteit wordt de Case automatisch gesloten. Een opmerking, responsactie, wijziging van Assignee of nieuwe link of bijlage zet de teller terug. Dit vervangt niet het gevraagde inhoudelijke werk: stem vragen af met het MDR-team in plaats van de teller alleen met formele wijzigingen draaiende te houden. Voer nooit responsacties uit uitsluitend om de teller terug te zetten.

Op de volledige detailpagina opent het opmerkingenpictogram rechts Comments. Voer de benodigde gegevens in bij Comment en sla op met Save. @sophos stelt het MDR-team op de hoogte. Controleer na het opslaan of de opmerking bij de juiste Case staat. Stel MDR-contactpersonen en responsbevoegdheden vóór een incident in, niet pas bij de eerste gemiste vraag.

Afsluiten lost ook de bijbehorende Detections op en labelt ze volgens het gekozen oordeel. Voor MDR zijn True Positive – Benign, True Positive – Malicious, Inconclusive en False Positive beschikbaar; bij Inconclusive is het Detection-label Not Actionable. Een gesloten Case is geen technisch bewijs van opschoning. Controleer vóór afsluiting het onderzoeksresultaat en openstaande klanttaken.

Binnen 30 dagen na afsluiting kan een Sophos-managed MDR-Case via een opmerking met @sophos worden heropend; bij een customer-managed Case wordt de status Closed gewijzigd. Na die 30 dagen is een nieuwe Case nodig. Deze heropeningsgrens zegt niets over verwijdering of bewaring van actuele MDR-Cases; de hierboven of hieronder genoemde Classic-termijnen blijven beperkt tot Classic.

Rules in plaats van uitsluitend Classic-suppressie

Onder Security Operations > Rules bestaan twee afzonderlijke soorten Customization Rules: Custom detection rules genereren nieuwe Detections uit genormaliseerde gebeurtenissen met een geavanceerde zoekopdracht. Detection suppression rules lossen overeenkomende Detections bij het aanmaken op als onderdrukt, zodat ze standaard niet in de Detection-lijst verschijnen. Detectors is niet hetzelfde beheeronderdeel als deze regels.

Cases die automatisch uit klantregels ontstaan, zijn customer-managed en starten geen automatisch MDR-onderzoek. De Classic-grenzen van 25 regels, verplichte Super Admin, 20 minuten wachttijd en dupliceren in plaats van bewerken worden niet op deze nieuwe interface overgedragen. Deze sectie verklaart het onderscheid, niet een volledige procedure om Custom Rules aan te maken. Vóór suppressie moet nog steeds de legitieme oorzaak worden bevestigd en het verlies aan zichtbaarheid worden beoordeeld.

Afsluiting en geleerde lessen in Classic

Een Case wordt gesloten wanneer omvang, oorzaak, inperking, opschoning en herstel zijn gedocumenteerd. Daarna worden Detection Rules, Policies, uitzonderingen en Runbooks aangepast wanneer het onderzoek een gat heeft aangetoond.

Sluit een Self-managed Case door de status op Resolved te zetten. De Case blijft 30 dagen in de lijst en wordt daarna door Sophos verwijderd. Partner Super Admins en Enterprise Super Admins kunnen Cases niet sluiten of verwijderen; houd rekening met deze rolgrens voordat een Owner wordt toegewezen.

De onderliggende telemetrie en het uitvoeren van zoekopdrachten worden beschreven in Sophos XDR Data Collection en Live Discover.

Veelgestelde vragen

De volledige actuele werkwijze onder Security Operations > Rules staat in Custom Detection en Suppression Rules beheren. Streamingvoorwaarden, circuit breaker, previewgrenzen en terugdraaien worden daarin apart behandeld van de hier behouden Classic-regels.