Sophos MDR: co robi Sophos, a co pozostaje klientowi?

O trzeciej nad ranem atakujący zaczyna przemieszczać się po sieci firmowej. Oprogramowanie ochronne zgłasza podejrzane działania. Kto jednak zbada zgłoszenie, zdecyduje o izolacji serwera i poinformuje właściwe osoby?

Sophos MDR zapewnia w tym celu całodobowy zespół analityków. Managed Detection and Response obejmuje wykrywanie, badanie i uzgodnione działania reakcji. Odciąża to własne IT. Nie zastępuje jednak jego odpowiedzialności operacyjnej ani przygotowania do incydentu.

Ten artykuł, pierwotnie opublikowany w 2022 roku, został zaktualizowany pod kątem obecnej usługi. Ówczesne przejście z MTR na MDR pozostaje istotnym kontekstem historycznym; dawne zestawienia pakietów nie stanowią podstawy aktualnego zamówienia.

Co konkretnie przejmuje Sophos?

Analitycy oceniają dostępne zgłoszenia bezpieczeństwa, badają podejrzane powiązania i obsługują wynikające z nich incydenty. Wykorzystują przy tym telemetrię podłączonych systemów. Zarządzanie odbywa się w Sophos Fusion, wcześniej Sophos Central.

Zależnie od zakupionej usługi i nadanych uprawnień zespół może na przykład odizolować dostępny komputer, zakończyć szkodliwy proces lub, przez skonfigurowaną integrację reakcji Microsoft 365, zablokować logowanie i unieważnić sesje. To konkretne ingerencje. Wymagają dostępności danej funkcji, dostępu technicznego i uprawnień.

Istotny szczegół dotyczy zakresu usługi: aktualna dokumentacja Sophos dotycząca trybów reakcji rozróżnia powstrzymanie zagrożenia i pełną neutralizację. Tę drugą przypisuje MDR Plus. Ogólna obietnica „MDR w pełni załatwia każdy incydent” nie jest więc użytecznym opisem świadczeń. Decyduje zamówiona usługa.

Czy Sophos może działać natychmiast?

Firma ustala tryb reakcji. Powinna podjąć tę decyzję przed pierwszym incydentem, ponieważ pilne ostrzeżenie samo w sobie nie nadaje uprawnień do działania.

W Collaborate można dodatkowo zezwolić na przejście do Authorize po nieudanych próbach telefonicznego kontaktu ze wszystkimi wskazanymi osobami kontaktowymi. Opcja ta musi być wyraźnie włączona. Bez niej zespół nie może uznać braku kontaktu za zgodę.

Konfiguracja kontaktów MDR i Threat Response wyjaśnia ustawienia. Wymagana jest co najmniej jedna upoważniona główna osoba kontaktowa. Warto dodać kolejne kontakty, aby urlop, choroba lub jeden wyłączony numer telefonu nie przerwały procesu. Wpisany numer nie zastępuje jednak wewnętrznej organizacji dostępności.

Inni dostawcy: widoczność danych to nie uprawnienie do ingerencji

MDR może również uwzględniać dane bezpieczeństwa innych producentów. Nie trzeba więc z zasady zastępować dotychczasowych produktów rozwiązaniami Sophos. Dla konkretnego produktu należy sprawdzić, jakie dane dostarcza integracja i jakie reakcje umożliwia. Instrukcja integracji MDR/XDR pomaga w konfiguracji i kontroli.

Connector służący wyłącznie do pozyskiwania danych może dostarczać alerty bez możliwości blokowania kont lub izolowania urządzeń. Integracja reakcji potrzebuje własnych uprawnień. Również firewall wysyłający zdarzenia nie jest przez to automatycznie przygotowany do każdej akcji reakcji. Na endpointach agent, polityki i Live Response mogą decydować o tym, jakie badania i ingerencje są możliwe.

Typowym przykładem jest przejęte konto Microsoft 365: unieważnienie zalogowanych sesji i zablokowanie kolejnych logowań może przerwać jego bezpośrednie wykorzystywanie. Nie wyjaśnia to jednak jeszcze wszystkich możliwych skutków. Zmodyfikowane reguły przekazywania poczty, dotknięte procesy biznesowe, inne dostępy i bezpieczne ponowne udostępnienie konta wymagają ukierunkowanej weryfikacji i przypisania odpowiedzialności w ramach incydentu. Także tutaj to, które kroki wykona Sophos, zależy od integracji i zakresu usługi.

Co pozostaje po stronie klienta lub partnera IT?

Własne IT nadal utrzymuje infrastrukturę. Obejmuje to aktualizacje, bezpieczne konfiguracje, zarządzanie użytkownikami, sprawne kopie zapasowe i odtwarzanie aplikacji. MDR nie zabezpiecza trwale niezałatanego serwera i nie odtwarza z kopii zapasowej zaszyfrowanych danych biznesowych.

Decyzje biznesowe również pozostają po stronie firmy: które systemy mogą tymczasowo przestać działać? Kto informuje zarząd, klientów lub ubezpieczyciela? Kto ocenia obowiązki zgłoszeniowe i zleca konieczne wsparcie zewnętrzne? Takie zadania muszą być przypisane w planie awaryjnym. Sama umowa MDR nie rozdziela ich pomiędzy osoby wewnątrz organizacji.

Praca pozostaje także po powstrzymaniu zagrożenia. Trzeba usunąć przyczynę, prawidłowo przywrócić dotknięty dostęp i wdrożyć zaleconą zmianę konfiguracji. Raport staje się postępem operacyjnym dopiero wtedy, gdy ktoś przejmuje otwarte zadania i kontroluje ich zakończenie.

Dlatego dla każdego krytycznego środowiska powinna istnieć krótka lista odpowiedzialności: co Sophos może zrobić sam, co wykona partner IT i kto podejmuje decyzje w firmie? Zwłaszcza przy serwerach krytycznych dla produkcji skutki izolacji trzeba omówić z wyprzedzeniem.

Ile kosztuje MDR i co powinna zawierać oferta?

Wiarygodna cena całkowita wymaga określenia liczby użytkowników i serwerów, okresu umowy, żądanego zakresu reakcji i uwzględnianych systemów. Dochodzą do tego konfiguracja oraz zadania własnego partnera IT. Niższa cena licencji może niewiele mówić, jeśli brakuje wymaganych integracji i gotowości do działania w sytuacji awaryjnej.

W sklepie Avanet dostępne są oferty pod nazwami Sophos MDR, MDR Complete, MDR dla serwerów i MDR Complete dla serwerów. Aktualna dokumentacja producenta używa również nazwy MDR Plus. Dlatego dawnych nazw produktów i nazw sklepowych nie należy utożsamiać z obecnym zakresem świadczeń bez sprawdzenia oferty.

Pakiety integracji z pierwotnej wersji tego artykułu również nie są wiarygodnym dzisiejszym cennikiem. Oferta musi wyraźnie określać zawarte integracje, okresy przechowywania i ewentualne świadczenia dodatkowe. Zawarte połączenie nie licencjonuje też automatycznie podłączonego produktu innego producenta. Dlatego nie podajemy tu niezweryfikowanej, jednej ceny jednostkowej.

Jak rozpoznać gotowe operacyjnie środowisko MDR?

Po zakupie nie wystarczy pojawienie się licencji w portalu. Monitorowane urządzenia muszą być ujęte w całości, przewidziane źródła danych muszą dostarczać aktualne zdarzenia, a dostęp umożliwiający reakcję musi działać. Wybrany tryb musi odpowiadać uzgodnionemu postępowaniu awaryjnemu.

Przy odbiorze warto wspólnie z usługodawcą omówić kanały kontaktu i odpowiedzialności, sprawdzić stan integracji oraz uzgodnić bezpieczny test funkcjonalny. Wynik musi pokazać, kto otrzymuje zgłoszenie i jaka reakcja jest możliwa technicznie oraz organizacyjnie. Taki test nie wymaga celowego uruchamiania złośliwego oprogramowania.

Oceniałbym MDR według tego, czy w sytuacji awaryjnej powstaje dostępny i zdolny do działania łańcuch reakcji. Zespół analityków, działający dostęp techniczny i jasna zgoda muszą występować razem. Jeśli zabraknie jednego z tych elementów, decydująca luka pozostanie nawet przy dobrej licencji.

Najczęstsze pytania