Sophos XDR Threat Intelligence Explorer gebruiken

De Threat Intelligence Explorer maakt de dreigingsinformatie van de Sophos Counter Threat Unit (CTU) doorzoekbaar in Sophos Fusion (voorheen Sophos Central). Je kunt malwarefamilies, analyses en bekende dreigingsgroepen onderzoeken en de beschreven context vergelijken met detections uit de eigen omgeving. Een vermelding in deze kennisbank is nog geen treffer in de eigen tenant en geen bevestigde compromittering.

De korte route: open Security Operations > Threat Intelligence, zoek via Malware, Threat Report of Threat Group, lees de beschikbare details en maak onderscheid tussen Related Detections en Related Detectors. Pas de eigen gebeurtenissen laten zien of het onderzochte verband relevant is voor een concrete case.

Vereisten en beperkingen

De Explorer vereist een XDR- of Enterprise-licentie. Deze procedure beschrijft de weergave Security Operations. Threat Analysis Center blijft beschikbaar als Classic-weergave; bestaande onderzoeks- en caserunbooks kunnen daarom nog dit menupad tonen. Meng de labels van beide weergaven niet.

De CTU werkt haar intelligence bij op basis van incident-responseonderzoek, wereldwijde dreigingsobservatie, technische malware- en campagneanalyses en samenwerking met partners en overheidsinstanties. Deze informatie beschrijft het dreigingsbeeld; de detections en events in de tenant beschrijven de eigen waargenomen activiteit. Voor een onderzoek zijn beide niveaus nodig.

Daarbij zijn drie begrippen belangrijk:

Een Indicator of Compromise (IOC) is bijvoorbeeld een in een analyse genoemde aanwijzing voor mogelijke compromittering. Beoordeel de betekenis in samenhang met tijdstip, herkomst en waargenomen gedrag.
Een Detector is de detectielogica die uit ongebruikelijke of verdachte events een detection genereert. Een bijbehorende detector is niet hetzelfde als een al aanwezige treffer.
Tactics, Techniques and Procedures (TTPs) beschrijven de werkwijze van een aanvaller. Vergelijkbare TTP’s of dezelfde malware bewijzen niet dat een bepaalde groep de eigen tenant heeft aangevallen.

De Explorer is hier een startpunt voor informatievergaring en onderzoek. Het lezen of filteren van een malwarefamilie is geen configuratie van een firewall-threat-feed, blokkeerregel of response-actie.

Zoeken voordat je de resultaten beperkt

De zoekbalk rechtsboven doorzoekt malware, Threat Reports en Threat Groups. Een begrip uit een detection of rapport, zoals Emotet, is een geschikt startpunt. Dit is alleen een zoekvoorbeeld; gebruik de naam die daadwerkelijk onderzocht moet worden.

Open onder Security Operations > Threat Intelligence een van de drie weergaven en voer de zoekterm in.
Selecteer een concrete treffer om de details te bekijken. Kies View in table of See all als je eerst de resultatenlijst wilt vergelijken. De bijbehorende tabel wordt gefilterd op de zoekresultaten.
Stel pas daarna extra filters in. Zo blijft zichtbaar of een nauw filter nuttige resultaten heeft uitgesloten.
Klik voor een nieuwe zoekrichting op de X rechts in het zoekveld. Daarmee wordt de zoekopdracht gewist en worden ook de tabelfilters gereset. Leg belangrijke zoektermen en filters vooraf vast in het onderzoekslogboek.

Meerdere filters zijn zinvol als ze een concrete vraag beantwoorden. Een bekende malwarenaam plus een CVE is een ander onderzoek dan het zoeken naar actuele ransomwarerapporten voor een sector. Te veel criteria aan het begin maken een lege lijst moeilijk te interpreteren.

Een malwarefamilie onderzoeken

Malware bevat technische analyses, IOC’s en verbanden met dreigingsactoren. Standaard wordt de tabel eerst gesorteerd op de door de CTU ingestelde Threat Priority voor belangrijke of actuele dreigingen, en daarna op de laatste update. Dit is een prioritering van de intelligence, niet de Severity van een eigen detection.

De gedocumenteerde filters hebben verschillende functies:

Malware zoekt op de familienaam, bijvoorbeeld Emotet of TrickBot.
Type beperkt de classificatie, bijvoorbeeld Trojan, Ransomware of Backdoor.
Threat Group zoekt naar malware met een verband met een bepaalde groep, bijvoorbeeld GOLD MYSTIC of BRONZE BUTLER.
CVE zoekt naar malware die een specifieke kwetsbaarheid uitbuit. Gebruik bijvoorbeeld CVE-2021-44228 als juist die kwetsbaarheid onderwerp van het onderzoek is. Het filter vervangt niet de controle of eigen systemen daadwerkelijk getroffen zijn.

Klik op de familienaam om het zijpaneel met details te openen. Lees daar eerst Malware family overview voor beschrijving en classificatie, en daarna Technical details voor gedrag, mogelijkheden en indicatoren. Solution and mitigation bevat aanbevolen beschermingsmaatregelen. Toets aanbevelingen aan het eigen platform en de bestaande bescherming; voer ze niet alleen vanwege een zoektreffer uit.

De bijbehorende intelligence staat, voor zover beschikbaar, in afzonderlijke tabs:

Threat Group noemt groepen die deze malware gebruiken.
Threat Report verwijst naar gerelateerde CTU-rapporten.
Related Detections toont detectiongegevens uit de eigen omgeving.
Related Detectors toont Sophos XDR-detectors die deze malware detecteren.

Met het New Tab-pictogram kun je de detailweergave in een nieuwe tab openen. Kopieer daar de URL als exacte verwijzing in het onderzoekslogboek. Dat is nuttiger dan alleen de familienaam wanneer meerdere analisten dezelfde vermelding moeten beoordelen.

Een Threat Report kiezen voor de concrete vraag

Threat Report bevat CTU-publicaties zoals dagelijkse briefings, diepgaande analyses en dreigingswaarschuwingen. Zoek voor een concrete detection eerst op malware, groep of CVE; voor een regelmatig dreigingsoverzicht zijn onderwerp en publicatievorm geschikt.

De filters onderscheiden inhoud en publicatievorm:

Threat Report zoekt op de rapportnaam, bijvoorbeeld Daily Threat Brief of Ransomware Analysis.
Report Type is de algemene publicatiecategorie, bijvoorbeeld Advisory, Analysis of Brief.
Category geeft de specifiekere vorm aan, bijvoorbeeld Customer Advisory, Threat Analysis of CTU TIPS.
Threat Type beperkt de behandelde dreigingen, bijvoorbeeld Ransomware, APT of Cybercrime.
Threat Actor Type onderscheidt actortypen zoals Nation-state, Cybercriminal of Hacktivist.
Target Geography zoekt op het geografische zwaartepunt, bijvoorbeeld Europe of Global.
Target Sectors beperkt de besproken sectoren, bijvoorbeeld Financial, Healthcare of Government.
Threat Group, Malware en CVE zoeken op de groepen, malwarefamilies en kwetsbaarheden die in het rapport worden behandeld.

Target Geography en Target Sectors helpen bij prioritering, maar sluiten risico’s voor de eigen omgeving niet uit. Opportunistische aanvallen kunnen elke regio en sector treffen, ook zonder specifieke doelvoorkeur. Beperk een dreigingsoverzicht daarom niet uitsluitend tot de eigen sector.

Klik op de rapportnaam en lees het detailpaneel. Afhankelijk van het rapport zijn Full report text, Executive summary, Technical details en Indicators of compromise beschikbaar. Niet elke publicatie bevat al deze onderdelen. Indicators of compromise kan bijbehorende IOC’s en signatures bevatten. De samenvatting geeft houvast; voor het onderzoek zijn de concrete technische gegevens en hun beperkingen bepalend.

Voor zover aanwezig toont Related Detections eigen detections en Related Detectors de XDR-detectors die het rapport noemt. Ook hier zijn beschikbare detectielogica en een waargenomen treffer in de tenant twee verschillende zaken. Open via New Tab het volledige rapport en kopieer indien nodig de URL voor de case.

Een Threat Group als werkhypothese beoordelen

Threat Group beschrijft bekende dreigingsgroepen en hun TTP’s. Deze weergave is nuttig als een rapport een groep noemt, je een bekende alias wilt opzoeken of de eigen verdediging tegen bepaalde werkwijzen wilt beoordelen.

De filters behandelen identiteit, intentie en werkwijze:

Threat Group zoekt op de groepsnaam, bijvoorbeeld GOLD MYSTIC of BRONZE ATLAS.
Thematic Area beperkt de thematische of regionale context, bijvoorbeeld Cybercrime, China of Russia.
Aliases zoekt op alternatieve namen zoals APT1, Lazarus Group of FIN7.
Status onderscheidt de huidige activiteitsstatus, bijvoorbeeld Active en Inactive.
Motivation beschrijft drijfveren zoals Financial, Political of Military.
Objectives beschrijft doelen zoals Financial Gain, Espionage of Disruption.
Target Geography en Target Sectors zoeken naar geografische of sectorspecifieke doelpatronen.
Malware zoekt naar gerelateerde families; Tools naar gebruikte hulpmiddelen en technieken, bijvoorbeeld PowerShell, Mimikatz of PsExec.

Ook groepen zonder specifieke doelvoorkeur kunnen de eigen regio of sector treffen. Een lege lijst na een sectorfilter is daarom geen bewijs dat er geen gevaar is.

Na een klik op de groepsnaam bevat het detailpaneel Group description met achtergrond en ingeschatte mogelijkheden, Attribution assessment met geografische of organisatorische toeschrijving, Activity timeline met campagnes en operaties, en de analyse van Tactics, Techniques, and Procedures. New Tab opent de details met een directe verwijzing die je kunt kopiëren.

De Attribution assessment blijft een inschatting van de CTU. Zij bewijst niet wie verantwoordelijk is voor een eigen incident, noch dat elk gebruik van dezelfde malware bij deze groep hoort. Noteer in de case bijvoorbeeld ‘Het gedrag past bij de beschreven technieken’ en leg afzonderlijk vast welke eigen events deze uitspraak ondersteunen. Een definitieve toeschrijving aan een actor vereist meer bewijs dan een overeenkomst in naam, tool of malware.

Van intelligencevermelding naar detection en case

Threat Intelligence verrijkt detections automatisch met relevante context; meerdere XDR-detectors gebruiken deze gegevens voor detectie. Dit is geen toezegging dat elke beschreven techniek in elke tenant wordt gedetecteerd. Ga bij het onderzoek daarom van de context terug naar de daadwerkelijke gebeurtenissen.

Eigen detections controleren

Als Related Detections treffers bevat, open dan een passende treffer en bekijk via New Tab de volledige detectiondetails. Je kunt ook zoeken onder Security Operations > Detections. De standaardperiode daar is 72 uur; pas deze aan voor een ouder incident. Controleer filters en Include Options, zodat aangepaste of al getriageerde detections niet onbedoeld uitgesloten blijven.

Controleer in de detection:

Lees op Summary de Affected Entities, de activerende Detector, de beschikbare tijdgegevens en Severity en Confidence. First and Last Activity beschrijven gebeurtenistijdstippen; Inserted At geeft aan wanneer de registratie plaatsvond.
Open op Events de gebeurtenissen die tot de detection hebben geleid. Bekijk op JSON indien nodig de onderliggende detectiongegevens. De samenvatting vervangt dit bewijs niet.
Controleer op Insights gerelateerde open en gesloten detections en cases. Bestaande cases kunnen dubbel werk voorkomen; gesloten cases bieden historische onderzoekscontext.
Klik voor aanvullende intelligence op het schildpictogram in Affected Entities of selecteer op Entities een entiteit met dit pictogram. Zo werkt de overstap van een detection naar intelligence ook in de andere richting.

Voor diepgaand onderzoek naar endpointprocessen en grafen gebruik je het runbook voor detections en Threat Graphs. Dit behandelt ook de Classic-weergave. Ontbrekende eigen detections bij een intelligencevermelding bewijzen noch een schone tenant, noch volledige telemetrie. Als meer queries nodig zijn, legt het runbook voor Data Collection en Live Discover de gegevensbasis en de klassieke queryprocedure uit.

Passend bewijs aan een case toevoegen

Controleer vóór het toevoegen of er al een case voor hetzelfde onderzoek bestaat en of die bewerkbaar is. Cases met een Closed-status zijn alleen-lezen, behalve Status en Archive; gearchiveerde cases staan alleen Unarchive toe. Gebruik zulke cases eerst als historische context, niet als vanzelfsprekend bewerkbaar doel voor nieuw bewijs, opmerkingen of een andere toewijzing. Bij MDR-cases hangen de beschikbare acties en opties voor Assignee ook af van wie de case beheert. Controleer vóór een wijziging de daadwerkelijk beschikbare acties en bespreek ontbrekende mogelijkheden met de verantwoordelijke behandelaar.

Maak bij het toevoegen onderscheid tussen de tabelactie en de volledige detectiondetails. De officiële handleidingen gebruiken voor de detailweergave niet overal dezelfde labels. Daarom is hier geen universeel menupad voor elke weergave betrouwbaar onderbouwd:

Geselecteerde rijen in de Detections-tabel: selecteer de gewenste detections en open Actions > Add to Case.
Volledige detectiondetails: de detailhandleiding noemt onder Actions de directe acties Add to Existing Case en Create New Case. De casehandleiding beschrijft voor afzonderlijke detections daarentegen Actions > Add to Case, gevolgd door Existing Case of New Case. Gebruik de daadwerkelijk getoonde actie voor een bestaande of nieuwe case; zoek niet naar een label dat in deze weergave ontbreekt.

Als het dialoogvenster Add to Case verschijnt, gelden de volgende stappen:

Kies voor een bestaande case Existing Case, zoek en selecteer de case en sla op met Save to Existing Case.
Kies voor een nieuwe case New Case en stel Case Type, eventueel een template, titel, Case Severity en Case Status in. Voeg via het potloodpictogram bij Key Findings de eerste bevindingen en context toe en kies Create New Case.

Let bij een meervoudige selectie op of alleen de geselecteerde detections of alle detections uit de tabel worden toegevoegd. Neem niet ongecontroleerd een volledige resultatenlijst over. Het kan enkele minuten duren voordat het bewijs in de case verschijnt; open daarna de doelcase en controleer de daadwerkelijke koppeling.

Voor MDR-klanten vereisen de casetypen Investigation en Other ook Managed By. Deze keuze bepaalt wie de case beheert en kan na het instellen niet worden gewijzigd. Stem haar vóór het opslaan af op de bedoelde verantwoordelijkheid. Een latere wijziging van Assignee verandert Managed By niet.

Leg in een bewerkbare case de gekopieerde intelligence-URL en de concreet gebruikte uitspraken vast als onderzoekscontext, bijvoorbeeld in Key Findings of, indien beschikbaar, als opmerking op de volledige casedetailpagina via Comments > Comment > Save. Maak daarbij onderscheid tussen informatie uit het onderzoek en bewijs uit de tenant: wat zegt het rapport, wat tonen eigen events en wat blijft een hypothese? De URL alleen bewaart niet de inhoud van een analyse die later kan worden bijgewerkt. Neem daarom ook de relevante uitspraak en het tijdstip op in de notitie.

De bestaande handleiding voor cases en detectionregels beschrijft de klassieke procedure. Houd voor Security Operations rekening met de hierboven toegelichte labelvarianten en de acties die de tenant toont. De Explorer vervangt noch een verantwoordelijke analist, noch de beslissing over inperking of herstel.

Voorbeeld: een malware-aanwijzing navolgbaar onderzoeken

Stel dat een eigen detection een malwarefamilie noemt die je nog onvoldoende kent. Het volgende voorbeeld beweert niet dat er al een treffer bestaat:

Zoek de daadwerkelijke familienaam; Emotet is alleen een voorbeeldwaarde. Kies niet meteen ook een sector of groep.
Lees de beschrijving, technische details en beschermingsaanbevelingen. Bekijk onder Threat Report een beschikbaar rapport over het waargenomen gedrag.
Zoek onder Related Detections naar eigen treffers. Vergelijk elke relevante treffer met apparaat of entiteit, gebeurtenistijd en concrete events. Bekijk onder Related Detectors welke detectielogica bij de context hoort.
Als een groep wordt genoemd, vergelijk dan haar TTP’s en activiteitentijdlijn. Behoud de toeschrijving als inschatting, ook als enkele kenmerken overeenkomen.
Koppel passende detections aan een bestaande of nieuwe case. Noteer in de case: onderzochte intelligencevermelding, onderzoekstijdstip, zoektermen en filters, eigen detectionverwijzingen, aangetoonde overeenkomsten, open vragen en volgende behandelaar.

Een nuttig resultaat kan ook zijn dat het rapport alleen een algemene gelijkenis oplevert. Documenteer dan die beperking in plaats van daaruit een compromittering of een specifieke aanvaller af te leiden.

Het resultaat controleren en typische doodlopende wegen oplossen

Het onderzoek is navolgbaar wanneer een andere analist dezelfde intelligencevermelding kan openen, de gebruikte filters kan begrijpen en elke conclusie kan terugvoeren naar de eigen detection- en eventgegevens. Controleer bij overdracht naar een case ook of de juiste detections in de juiste case staan en of de volgende actie aan een verantwoordelijke behandelaar is toegewezen. Als de case bewerkbaar is en de actie beschikbaar is, kun je die behandelaar in de volledige casedetails selecteren onder Manage Case > Assignee.

Als de resultaten niet passen, helpen de volgende controles:

Geen zoektreffers: controleer de schrijfwijze en bij groepen de Aliases. Verwijder extra filters; reset met de X in het zoekveld de zoekopdracht en tabelfilters en begin breder. Een lege zoekopdracht zegt op zichzelf niets over het risico van de omgeving.
Te veel treffers: voeg een inhoudelijk passend kenmerk toe, bijvoorbeeld Type bij malware of Report Type en Threat Type bij rapporten. Beperk in Detections ook de periode. De Detections-tabel is beperkt tot 10'000 resultaten; geaggregeerde filterresultaten gaan tot maximaal 1'000. Een brede weergave is daarom geen volledige inventarisatie.
Rapport zonder verwachte IOC’s of tabs: de beschikbare inhoud hangt af van het rapport. Lees de volledige tekst en aanwezige gerelateerde intelligence zonder ontbrekende inhoud of een specifieke dekking te veronderstellen.
Detectors aanwezig, maar geen eigen treffers: onderscheid detectorcontext van een waargenomen detection. Controleer de periode, filters en de voor het onderzoek beschikbare telemetrie. Voer geen malware uit als test en schakel de bescherming niet uit.
Explorer niet beschikbaar: controleer eerst de XDR-/Enterprise-licentie en de gebruikte tenant. Ontbreekt de nieuwe navigatie, controleer dan de console op overstapmeldingen; leid uit een ontbrekend menu geen technisch productdefect af.
Casebewijs nog niet zichtbaar: wacht enkele minuten op de verwerking en controleer daarna opnieuw de selectie en doelcase. Maak niet meteen een tweede case aan.

Zoekopdrachten en filters dienen hier alleen voor informatievergaring; voor een nieuwe start volstaat de beschreven reset. Het toevoegen van bewijs of opmerkingen en vooral de onveranderlijke keuze van Managed By zijn daarentegen casewijzigingen. Dit runbook biedt daarvoor geen algemene stap om alles ongedaan te maken. Bespreek en documenteer verkeerde koppelingen met de verantwoordelijke casebehandelaar. Sluit cases niet als opruimactie: afsluiten verandert ook de bijbehorende detectionbeoordelingen.

Controleer voor het dagelijkse beheer regelmatig nieuwe malwarevermeldingen, groepsactiviteiten en rapporten. Sectorfilters kunnen het dreigingsoverzicht focussen, maar moeten het algemene overzicht aanvullen. Neem inzichten op in de incident-responseprocedure; groeps-TTP’s zijn bruikbaar voor threat modeling en malwareanalyses voor het plannen en beoordelen van eigen beschermingsmaatregelen. Nieuwe intelligence is aanleiding voor een herbeoordeling, geen automatisch bewijs dat een configuratiewijziging nodig is.