Korzystanie z Sophos AI Assistant i AI Search w XDR

Sophos AI Search oraz asystenci Security Analyst i Threat Hunter to narzędzia dochodzeniowe XDR w Sophos Fusion (dawniej Sophos Central). Nie są ogólnymi funkcjami agenta Endpoint i nie wykonują autonomicznej naprawy. AI Search przekształca wyszukiwanie w języku naturalnym w zapytania Data Lake, a asystenci dochodzeniowi wspierają analityków na czacie. Trzecim asystentem jest Firewall Assistant, dostępny do obsługi reguł i polityk zapory. Korzysta z danych wybranej, centralnie zarządzanej Sophos Firewall i został omówiony oddzielnie poniżej.

Pełny AI Assistant w ramach dochodzeń XDR wymaga Sophos XDR, Sophos MDR, Sophos MDR Plus albo Sophos Network Detection and Response. Sophos EDR zawiera AI Case Summary, AI Command Analysis i AI Search, ale nie XDR AI Assistant. Te informacje o licencjach XDR nie określają zasad licencjonowania Firewall Assistant. Według Sophos pełny dostęp do funkcji AI wymaga roli Super Admin lub Admin. Obecnie obsługiwane są wyłącznie angielskie dane wejściowe i wyjściowe.

Wybór właściwego narzędzia

• AI Search: przeszukuje dane w Sophos Data Lake. W widoku Classic w Threat Analysis Center wybiera się Detections lub Endpoint Data; wyszukiwanie w Endpoint Data jest tam ograniczone do Windows. Natomiast w Security Operations > Data Lake Search AI Search generuje zapytania Advanced Search w QL. Ograniczenie do Windows z procedury Classic nie jest przenoszone na ten nowy interfejs wyszukiwania.
• Security Analyst: bada konkretny Sophos-managed lub Self-managed Case i przejmuje jego kontekst Case oraz Detection.
• Threat Hunter: szuka aktorów lub Indicators of Compromise w Data Lake i działa tylko z Self-managed Cases.
• Firewall Assistant: wspiera konfigurację reguł zapory i analizę polityk zapory zarządzanej w Sophos Central od SFOS 23.0. Czat rozpoczyna się od wyboru zapory, a nie identyfikatora Case.
• AI Case Summary: podsumowuje Detections, urządzenia, użytkowników, taktyki MITRE ATT&CK i możliwe następne kroki Case.
• AI Command Analysis: objaśnia i deobfuskuje wiersze poleceń z Detections.

Asystenci dochodzeniowi XDR Security Analyst i Threat Hunter mogą obecnie pobierać i analizować zintegrowane dane XDR z Sophos Endpoint i Sophos Server na Windows. Nie mogą usunąć zagrożenia ani wykonać działania reagowania. Izolacja, Live Response, blokowanie, zezwalanie i zamknięcie Case pozostają świadomymi decyzjami człowieka. Te źródła danych z Windows i ograniczenia dotyczące reagowania opisują przebieg dochodzenia, a nie konfigurację zapory za pomocą Firewall Assistant.

Bezpieczne korzystanie z AI Search

Najpierw sprawdź, z jakiego interfejsu korzysta tenant. Threat Analysis Center to nadal dostępny widok Classic view w Security Operations. Poniższa procedura SQL dotyczy tego widoku Classic; nowa Data Lake Search jest opisana dalej osobno. Nowa pozycja menu nie jest powodem, aby bez sprawdzenia przepisywać działające zapytania Classic.

Classic: AI Search w Threat Analysis Center

1. Otworzyć Threat Analysis Center > AI Search.
2. Po lewej wybrać Detections lub Endpoint Data. Endpoint Data wymaga urządzenia Windows.
3. Wybrać sugerowane wyszukiwanie lub wpisać pytanie po angielsku. Precyzyjnie podać urządzenie, użytkownika, wskaźnik i okres.
4. Wybrać Search i sprawdzić tabelę wyników.
5. Rozwinąć Generated Query i sprawdzić wygenerowany SQL. Źródło, pola, filtry i okres muszą odpowiadać pytaniu dochodzeniowemu.

Bez jawnego okresu AI Search używa 24 godzin. Sophos zaleca rozpocząć od kilku godzin lub najwyżej jednego dnia i rozszerzać zakres stopniowo. Zapytania obejmujące dni lub tygodnie mogą działać wolno albo przekroczyć limit czasu.

Tabela pokazuje maksymalnie 1000 wyników. Sophos podaje 90 dni retencji Data Lake albo rok z dodatkową licencją Central Data 1-Year Storage Pack. Tysiąc wierszy nie dowodzi więc, że istnieje dokładnie tysiąc zdarzeń; pusta tabela nie dowodzi braku aktywności w całym okresie incydentu.

Save Query zapisuje przydatne zapytanie w nowej kategorii Live Discover AI Search, a Export pobiera SQL i wyniki jako CSV. Sophos Live Discover i zapytania Data Lake wyjaśnia różnicę między Live Endpoint i Data Lake oraz limity operacyjne.

Security Operations: AI Search w Data Lake Search

W Security Operations > Data Lake Search > AI Search wpisz pytanie dotyczące dochodzenia w języku naturalnym lub wybierz przygotowany prompt, a następnie Search. Browse Prompts lub View All otwiera przygotowane prompty; Sophos Only, filtry kategorii i wyszukiwarka zawężają wybór. Po załadowaniu prompt można dostosować do urządzenia, wskaźnika i okresu własnego dochodzenia.

Pod wynikami pojawia się wygenerowane zapytanie w Advanced Search query language, nazywanym tutaj QL, a nie zapytanie SQL z widoku Classic dostępne w Generated Query. Sprawdź źródło danych, pola, filtry i okres względem pytania dotyczącego dochodzenia. Jeśli wynik nie pasuje, doprecyzuj prompt i ponownie wybierz Search. Limit wierszy i ograniczenie do Windows z Classic nie są potwierdzonymi ograniczeniami tego interfejsu.

Save Query wymaga nazwy i kategorii; opis i Bookmark this Query są opcjonalne. Zapisz przez Save Query, a następnie w Saved Queries sprawdź, czy zapytanie można ponownie znaleźć. Sekcja Data Lake Search w runbooku zapytań opisuje pełną procedurę z Query Builder, Query Editor, historią wyszukiwania i eksportem.

Uruchamianie AI Assistant z poziomu Case

Poniższy sposób otwierania Case dotyczy widoku Classic. Security Operations również udostępnia Cases; nie potwierdza to jednak dostępności tego samego przycisku, kart ani sposobu przekazania kontekstu do czatu. Ten artykuł dotyczy asystenta dochodzeń XDR, a nie ogólnego asystenta Endpoint ani funkcji Sophos AI Defense.

Bezpieczniej zacząć od sprawdzonego Case niż czatu bez kontekstu:

1. Otworzyć Threat Analysis Center > Cases i wybrać Case ID.
2. Sprawdzić Detection, urządzenia i odpowiedni okres.
3. Wybrać Ask Sophos AI w prawym górnym rogu. Central otworzy Security Analyst z kontekstem Case.
4. Zmienić gotowy prompt lub wpisać własne pytanie po angielsku. / otwiera przygotowane i zapisane prompty.
5. Zadawać kolejne pytania w tym samym czacie. Assistant uwzględnia bieżący wątek; nowy czat nie ma tego kontekstu.

Można też otworzyć AI > Assistant, wybrać New, następnie Security Analyst albo Threat Hunter. Security Analyst poprosi o Case ID. Ask AI może również przekazać wybrane wiersze tabeli jako kontekst. Przed wysłaniem trzeba sprawdzić, który wybór zostanie faktycznie przekazany.

Firewall Assistant: wybór zapory i dalsza praca

Firewall Assistant w Sophos Fusion obsługuje SFOS 23.0 lub nowszy i wymaga centralnie zarządzanej zapory. Sama minimalna wersja nie gwarantuje ogólnej dostępności funkcji w każdym tenancie lub buildzie; faktyczna dostępność i zatwierdzenie docelowego buildu muszą odpowiadać własnemu środowisku. Ten czat konfiguracyjny nie jest lokalnym Sophos Assistant w WebAdmin do wyszukiwania dokumentacji i wykonywania procedur z przewodnikiem.

W AI > Assistant > New > Firewall Assistant pojawia się lista zapór zarządzanych w Sophos Fusion. Urządzenia ze starszym SFOS są wyszarzone i nie można ich wybrać w tym trybie pracy. Każdy czat jest przypisany dokładnie do jednej zapory. Dla innego urządzenia należy rozpocząć osobny czat; kilka czatów dla różnych zapór może istnieć równolegle. Dostęp do danych pozostaje ograniczony uprawnieniami zalogowanego administratora do danej zapory.

1. Sprawdzić nazwę i wersję oprogramowania układowego zamierzonej zapory i wybrać jej wpis. Dzięki temu czat rozpoczyna się z właściwym urządzeniem zamiast z Case dotyczącym zagrożenia.
2. Wybrać gotowy prompt lub wpisać własne pytanie po angielsku. / pozwala wyświetlić kolejne przygotowane prompty; Send wysyła pytanie.
3. Sprawdzić odpowiedź w odniesieniu do reguł i polityk wybranej zapory. Kolejne pytania w tym samym czacie zachowują kontekst rozmowy. Po zamknięciu strony lub wybraniu New dotychczasowy czat pozostaje dostępny na liście po lewej stronie i można go stamtąd ponownie otworzyć.

Jeśli urządzenie jest wyszarzone, najpierw sprawdzić jego wersję SFOS. Jeśli nie ma go na liście, sprawdzić centralne zarządzanie i właściwy tenant. Aktualizacji oprogramowania układowego nie przeprowadza się wyłącznie po to, aby odblokować asystenta; docelowa kompilacja i zgoda na aktualizację muszą być odpowiednie dla własnego środowiska.

W kontekście przejścia do operacyjnego zarządzania regułami przegląd Sophos Firewall v23 wyjaśnia działanie asystenta AI i znaczenie pozycji reguły. Odpowiedź na czacie nie jest zgodą na aktywowanie reguły w środowisku produkcyjnym. Przed każdą zmianą świadomie weryfikuje się docelową zaporę, obiekty, pozycję reguły i kontrole bezpieczeństwa; wybór asystenta ani pomyślne wykonanie promptu nie oznaczają autonomicznej aktywacji.

Sprawdzić projekt reguły, wdrożyć go w kontrolowany sposób i zweryfikować audyt

W udokumentowanym zakresie fazy 1 działania skupiają się na regułach zapory i są tylko do odczytu, z jednym wyjątkiem: prompt może utworzyć nową regułę zapory. Asystent najpierw pokazuje projekt z podsumowaniem JSON i widokami użytych obiektów. Dopiero po potwierdzeniu reguła zostaje utworzona na zaporze, domyślnie wyłączona na końcu tabeli reguł. Jest to już zmiana konfiguracji, ale jeszcze nie skuteczne zezwolenie na ruch.

⚠️ Promptu tworzącego regułę należy używać tylko dla zaplanowanej i autoryzowanej zmiany. Przed potwierdzeniem udokumentować urządzenie docelowe, istniejące reguły i obiekty oraz bieżący stan konfiguracji. Późniejsze włączenie może zezwolić na ruch lub go zablokować; wcześniej trzeba więc określić oczekiwany przepływ pakietów, inspekcję bezpieczeństwa, okno serwisowe i sposób powrotu do poprzedniego stanu.

1. W czacie właściwej zapory dokładnie określić wymaganą wersję IP, nazwy istniejących obiektów i oczekiwany przepływ pakietów. Odpowiadać na pytania doprecyzowujące zamiast zezwalać zbiorczo na całe sieci lub dowolne usługi.
2. W podglądzie porównać podsumowanie JSON i widoki obiektów z zamierzoną regułą: źródło, cel, usługi, działanie i opcje bezpieczeństwa muszą się zgadzać. W razie rozbieżności zlecić poprawienie projektu lub go nie potwierdzać.
3. Potwierdzić utworzenie dopiero po sprawdzeniu projektu. Następnie, niezależnie od czatu, otworzyć Rules and policies w WebAdmin na tej samej zaporze i sprawdzić odpowiednią listę reguł IPv4 lub IPv6. Nowa reguła powinna być wyłączona na końcu tabeli. Jeśli jej brakuje lub jej stan jest inny, nie tworzyć jej ponownie w ciemno i nie włączać; porównać urządzenie, listę i potwierdzenie utworzenia.
4. Sprawdzić faktycznie zapisane ustawienia i potrzebne obiekty. Dopiero po zatwierdzeniu ustalić technicznie właściwą pozycję reguły i włączyć ją ręcznie. Pasująca reguła na końcu tabeli może nie zadziałać z powodu wcześniejszej reguły; umieszczona zbyt wysoko może natomiast ominąć zamierzone ograniczenie. Sprawdzić ruch dozwolony i ten, który ma pozostać zablokowany, zgodnie z testem reguł za pomocą Log Viewer, Policy Test i Packet Capture.
5. Aby uzyskać dowód działania asystenta, otworzyć Log Viewer przez Logs and policy test i ustawić filtr komponentu AI Assistant. Porównać zdarzenia audytu z zaporą docelową, czasem zmiany i faktycznie zapisaną regułą. Wpis audytu potwierdza działanie asystenta, a nie poprawny wpływ na przepływ pakietów. Jeśli oczekiwanego wpisu brakuje, sprawdzić okres i filtry oraz zbadać rozbieżność zamiast zakładać brak zmian.

W razie nieoczekiwanego efektu ponownie wyłączyć nowo włączoną regułę i sprawdzić wcześniej udokumentowany stan. Wyłączenie reguły nie usuwa ani projektu, ani ewentualnie utworzonych obiektów i nie stanowi pełnego wycofania konfiguracji. Niezatwierdzony projekt pozostaje wyłączony; przed późniejszym porządkowaniem należy sprawdzić jego zależności od obiektów.

Tworzenie weryfikowalnego promptu

Dobry prompt określa cel, zakres i oczekiwany wynik. Przykład:

Compare the detections for endpoint WS-023 during 10 September 2026, 08:00-12:00 UTC. List process names, command lines and hashes, and mark every conclusion that still needs validation.

WS-023 jest neutralnym przykładem do zastąpienia badanym urządzeniem. Data, czas i strefa muszą pasować do Case. Procesy, IP, użytkowników lub skróty dodaje się tylko wtedy, gdy wymaga tego hipoteza. Zapisany prompt potrzebuje jasnego Aliasu; Alias i pełny prompt muszą być unikatowe. Właściciel, cel i data przeglądu zapobiegają przekształceniu nieaktualnego promptu w niesprawdzony Runbook.

Weryfikacja i dokumentowanie wyników

Odpowiedzi AI mogą być fałszywe lub mylące. Stwierdzenia takie jak „brak innych urządzeń” należy porównać z osią czasu Case, szczegółami Detection, danymi urządzeń i wynikami zapytań. Szczególnie sprawdzić:

• Czy okres i strefa czasowa odpowiadają Case?
• Czy urządzenie przesyłało wtedy telemetrię?
• Czy filtry, obsługa platformy lub, w procedurze Classic AI Search, limit 1000 wierszy ograniczają wniosek?
• Czy surowe zdarzenia potwierdzają proponowany wniosek i działania reagowania?

Odpowiedzi, pojedyncze wiersze, całe tabele i zapytania można przypinać. Te Pinned Items pozostają w Workbench przez czas czatu i mogą zawierać notatkę z uzasadnieniem. To osobista pomoc robocza, nie dokumentacja Case. Przyciski Feedback oceniają konkretną odpowiedź; poufne szczegóły nie powinny trafić do opcjonalnego komentarza.

Jeden lub wiele zweryfikowanych wyników z Security Analyst lub Threat Hunter można dodać do karty Notebook Case. Ten sposób przekazywania wyników do Notebook w Case nie został opisany jako ścieżka dla Firewall Assistant. Aby dodać jedną odpowiedź, należy użyć znaku plus pod odpowiedzią, a następnie potwierdzić dodanie. Dla wielu odpowiedzi służy menu z trzema kropkami > Select responses > Add to case. W przypadku Threat Hunter trzeba wybrać docelowy Case; w przypadku Security Analyst jest on określony przez badany Case.

Prywatny czat widzi tylko osoba, która go rozpoczęła. Inni administratorzy z dostępem do Case widzą tylko odpowiedzi dodane do Notebook. Aby usunąć cały wątek, należy otworzyć menu z trzema kropkami obok tytułu i wybrać Delete. Potrzebne dowody należy wcześniej sprawdzić z surowymi danymi i zapisać w Case lub systemie incydentowym; czat nie jest archiwum audytowym.

Prywatność i limity użycia

Hasła, klucze prywatne, kody odzyskiwania i zbędne dane osobowe nie powinny trafiać do promptów ani informacji zwrotnych. Kontekst należy ograniczyć do pytania i stosować zasady klasyfikacji, retencji oraz eksportu organizacji.

Funkcje AI w XDR używają Azure OpenAI i Amazon Bedrock. Dane wejściowe i wyjściowe nie służą do trenowania modeli ani ulepszania usług zewnętrznych, a wszystkie dane przesyłane do zewnętrznych usług LLM są szyfrowane podczas przesyłania. Uprawnienia Central oparte na rolach nadal ograniczają dane, do których użytkownik ma dostęp. Przed aktywacją osoby odpowiedzialne powinny sprawdzić aktualne informacje o przetwarzaniu danych i podmiotach podprzetwarzających w XDR Privacy Data Sheet.

Opublikowane limity dla opisanych tutaj funkcji AI w XDR obowiązują w ruchomym oknie 24 godzin; nie wynikają z nich żadne odrębne limity dla Firewall Assistant:

• AI Command Analysis: 50 na użytkownika, 250 na tenant
• AI Search: 20 na użytkownika, 100 na tenant
• AI Case Summary: 10 na użytkownika, 50 na tenant
• wątki AI Assistant: 20 na użytkownika, 100 na tenant
• pojedyncze wiadomości Assistant: 200 na użytkownika, 1000 na tenant

Po osiągnięciu limitu funkcja zatrzymuje się z HTTP 429. Sophos może zmieniać wartości, więc przy planowaniu obowiązuje aktualna strona limitów. Krytyczne dochodzenia zawsze wymagają ręcznej ścieżki przez Cases, Detections, Live Discover i telemetrię.

Często zadawane pytania