Obsługa alertów Sophos Endpoint i Account Health

Alert Sophos Fusion (dawniej Sophos Central) jest zadaniem dochodzeniowym, a nie automatycznie potwierdzonym incydentem. Po zalogowaniu do Sophos Fusion pracę w My Environment > Alerts zaczyna się od Severity, urządzenia, Detection Name i powiązanych zdarzeń. Zmianę statusu należy wykonać na końcu: nie usuwa malware ani niebezpiecznej konfiguracji.

Szybki proces Alert Triage

1. Określić Alert: zapisać Severity, Status, urządzenie, czas, Detection Name i liczbę zgrupowanych zdarzeń.
2. Sprawdzić kontekst: przeanalizować szczegóły, powiązane zdarzenia, stan, Last active, użytkownika, ścieżkę, proces, hash i ewentualny Threat Graph.
3. Ograniczyć aktywne ryzyko: jeśli ryzyko trwa lub jest lateralne, odizolować Endpoint zgodnie z zatwierdzonym procesem obsługi incydentów. Sophos Endpoint Threat Cleanup i usuwanie malware opisuje pełną naprawę.
4. Obsłużyć typ Alert: wykonać Usunięcie zagrożenia, skanowanie, restart, korektę polityki albo analizę False Positive odpowiednią dla komunikatu.
5. Zweryfikować technicznie: sprawdzić nowe zdarzenia, wyniki Cleanup i Scan, Agent Health oraz aplikację.
6. Dopiero potem zamknąć: zmienić status procesu obsługi tylko po udokumentowaniu przyczyny, działania, wyniku i właściciela.

High wymaga szybkiej oceny. Medium nie oznacza braku ryzyka: wymagane skanowanie, niepełne usunięcie zagrożenia lub Remotely-run ransomware również mogą wymagać dalszej pracy.

Nie mylić Health, Alert i Event

Sygnały te są obliczane inaczej. Endpoint może być zielony po zablokowaniu lub kwarantannie wykrycia, a nadal mieć Alert do zbadania. Problem Health może też istnieć bez otwartego Threat Alert. Zielony stan potwierdza więc jedynie status zgłoszony przez Sophos, nie pełne bezpieczeństwo.

Account Health Check celowo należy do oddzielnego przeglądu Sophos Fusion. Prawidłowe używanie Sophos Fusion Account Health Check opisuje formuły, Auto-Fix, Snooze, Policy Reset, Agent Mode, Tamper Protection i eksport PDF. Dla Endpoint Alerts obowiązuje zasada: zmiana Score lub Status nigdy nie zastępuje technicznej weryfikacji urządzenia.

Priorytetyzacja Threat Protection Alerts

Sophos wskazuje między innymi następujące pilne komunikaty:

• Real-time protection disabled: ochrona czasu rzeczywistego jest wyłączona od ponad 2,5 godziny. Jedynym wiarygodnym wyjątkiem jest krótka diagnostyka zalecona przez Sophos Support.
• Malware not cleaned up: Wykrytego malware nie udało się usunąć po 24 godzinach, mimo że automatyczny Cleanup jest dostępny. Manual cleanup required oznacza, że automatyczny Cleanup jest niedostępny; Running malware not cleaned up informuje, że nie udało się usunąć działającego złośliwego lub podejrzanego programu. Ostatni przypadek ma najwyższy priorytet.
• Malicious traffic detected: podejrzany ruch sieciowy może oznaczać Command-and-Control albo inną aktywność malware.
• Recurring infection: podjęto naprawę, ale infekcja wróciła. Należy szukać ukrytych lub jeszcze niewykrytych komponentów.
• Ransomware detected albo ransomware atakujący udziały: natychmiast ustalić źródło, systemy docelowe i możliwy wpływ lateralny.
• Outbreak detected: Sophos zgłasza Outbreak, gdy urządzenie ma 100 wykryć w ciągu 24 godzin. Liczba nie zastępuje analizy przyczyny.

Także Medium Alerts Potentially Unwanted Application detected, Computer scan required to complete cleanup, Reboot required to complete cleanup i Remotely-run ransomware detected wymagają jednoznacznego wyniku. Urządzenie offline wykona żądane skanowanie po powrocie online. Jeśli skanowanie już trwa, nowe żądanie zostanie zignorowane, a bieżące skanowanie będzie kontynuowane.

Analiza według rodzaju zagrożenia

Ransomware i Remote Ransomware

Dla Ransomware detected sprawdzić, czy Sophos zatrzymał proces, przywrócił pliki, wykonał skanowanie pamięci i utworzył Threat Graph. Jeśli usuwanie zagrożenia jest niepełne, sprawa pozostaje otwarta.

Po zatwierdzeniu zgodnie z klasyfikacją danych należy wybrać lub przeciągnąć podejrzany plik bezpośrednio do portalu SophosLabs Intelix; jeśli plik jest chroniony, podać jego hasło. Analyze rozpoczyna analizę bez otwierania pliku na zaatakowanym Endpoint. Nieuwierzytelniony Intelix Guest Portal przyjmuje jeden plik na zgłoszenie; po zalogowaniu przy użyciu ważnego Sophos ID zestaw może zawierać maksymalnie dziesięć plików. Przed przesłaniem danych trzeba zaakceptować warunki użytkowania i informację o prywatności.

Najpierw sprawdzić klasyfikację i wyniki raportu Static Analysis. Jeśli potrzebna jest analiza zachowania, Submit for dynamic analysis tworzy raport Sandbox. Disagree jest funkcją Beta i może nie być dostępna dla każdego raportu lub konta. Tam, gdzie jest oferowana, użytkownik ze zweryfikowanym profilem Support Portal może podać dane klienta, produktu i próbki, a także źródło oraz kontekst dochodzenia, po czym wykonać dostępne kroki eskalacji. W zależności od uprawnień proces może oferować eskalację do Sophos Support; użycie Disagree nie gwarantuje utworzenia sprawy, dlatego jej numer należy potwierdzić osobno. Jeśli portal jest niedostępny, przesyłanie się nie powiedzie lub wynik usuwania zagrożenia pozostaje niejasny, urządzenie nadal musi być odizolowane; Sophos Endpoint Threat Cleanup i usuwanie malware opisuje pełny proces naprawy i przekazania do Support.

Rozróżnić dwa scenariusze zdalne:

• Remotely-run ransomware detected: inny system atakuje udział. Na podstawie zgłoszonego IP zidentyfikować źródło i ustalić, czy zarządza nim Sophos Fusion oraz czy CryptoGuard jest aktywny.
• Ransomware attacking a remote machine detected: zgłoszony Endpoint próbuje szyfrować pliki na innych systemach. Sophos blokuje jego zapis do udziałów, lecz urządzenie źródłowe nadal wymaga pełnej analizy.

Zablokowany dostęp to ograniczenie, nie dowód zamknięcia. Zakres incydentu obejmuje sąsiednie urządzenia, użyte konta i osiągalne udziały.

Wykrycia Browser, Exploit i IPS

Przy web browser attack Threat Graph wskazuje połączenie IP i URL. Należy ocenić miejsce docelowe i w razie potrzeby zablokować je na firmowej zaporze. Jeśli użytkownik podał hasło, zmienić je zgodnie z procesem zarządzania tożsamością. Przy bankowości lub płatnościach sprawdzić nietypową aktywność.

Przy exploit Sophos zatrzymuje aktywność, informuje użytkownika, skanuje procesy w pamięci i tworzy Threat Graph. Zbadać źródło, rozprzestrzenianie, procesy i pliki. Powtarzająca się przyczyna wymaga kontroli aplikacji, stanu poprawek i Exploit Protection, nie tylko szkolenia.

IPS Alert dotyczy ruchu przychodzącego lub wychodzącego. Wyjątek IPS wyłącza zgodny ruch z inspekcji, dlatego musi mieć wąski zakres. Zezwolenia zapory konfiguruje się osobno. Bezpieczne konfigurowanie wyjątków Sophos Endpoint opisuje wykluczenia wykryć, procesów, ścieżek i ruchu sieciowego.

Deep Learning i PUA

Wykrycia malware przez Deep Learning mają prefiks taki jak ML/. Pliki PE są poddawane kwarantannie, więc Device Health może już być zielony. Plik można przywrócić i dopuścić tylko wtedy, gdy źródło, podpis lub hash oraz cel biznesowy wiarygodnie potwierdzają legalność.

Potentially Unwanted Application (PUA) nie musi być złośliwa, ale może powodować ryzyka prywatności, bezpieczeństwa lub działania. Sophos zwykle automatycznie blokuje i usuwa PUA. Usunięcie zagrożenia może nie nastąpić, gdy lokalizacja jest tylko do odczytu, potrzebne jest skanowanie lub restart, plik znajduje się w archiwum albo brak instrukcji. Wtedy analizuje się Alert i Threat Graph, usuwa procesy zależne, a następnie sprawdza skanowanie i zdarzenia.

Authorize PUA na stronie Alerts zezwala na PUA na wszystkich komputerach. Dla ograniczonej potrzeby bezpieczniejszy jest możliwie wąski wyjątek w polityce. W Windows i Linux legalną aplikację można zależnie od platformy dopuścić przez certyfikat, SHA-256 lub ścieżkę; Sophos zaleca certyfikat w Windows. Hash obejmuje jedną wersję, a ścieżka wszystko w danej lokalizacji. Funkcja nie jest dostępna w macOS.

Bezpieczna obsługa False Positive

„Znana aplikacja” nie jest wystarczającym dowodem. Przed wykluczeniem sprawdzić producenta, podpis, hash, źródło, wersję, Detection Name i zachowanie. Przy wątpliwościach pozostawić wykrywanie aktywne i przekazać próbkę oraz dane sprawy do Sophos Support.

• Aplikacja: na obsługiwanych platformach Allow this application znajduje się w szczegółach urządzenia pod Events > Details. Certyfikat wiąże się z wydawcą, SHA-256 z jedną wersją, a ścieżka z lokalizacją. Zezwolenie działa globalnie dla wszystkich użytkowników i komputerów oraz wyłącza aplikację z kolejnych wykryć zagrożeń, ale kontrole Exploit, Ransomware i Malicious Behavior pozostają aktywne.
• Exploit: Exclude this Detection ID from checking działa dla wszystkich użytkowników i komputerów oraz trafia do Global Exclusions. Jeśli problem dotyczy tylko wybranych użytkowników lub urządzeń, należy użyć ukierunkowanej Threat Protection Policy. Sophos uznaje wyłączenie całej aplikacji ze wszystkich kontroli Exploit za najbardziej ryzykowne i ostateczne rozwiązanie.
• Ransomware: Exclude this Detection ID from checking w szczegółach zdarzenia działa globalnie dla użytkowników i komputerów oraz trafia do Global Exclusions. Zakres musi być zatwierdzony przed potwierdzeniem.

Każde wykluczenie wymaga właściciela, uzasadnienia, grupy docelowej, daty wygaśnięcia i testu. Po poprawce producenta należy je usunąć.

Prawidłowe przekazywanie alertów niezwiązanych z bezpieczeństwem

Problemy instalacji, polityk, urządzeń peryferyjnych, VDI i restartu nie dowodzą automatycznie malware, ale wymagają technicznego właściciela:

• Przy nieudanej ochronie lub instalacji agenta użyć Systematycznego rozwiązywania problemów instalacji Sophos Endpoint.
• Powtarzające się odchylenia analizować przez Prawidłowe budowanie polityk Sophos Endpoint.
• Klonowane systemy wymagają procesu Przygotowania Sophos Endpoint w obrazach VDI Gold.
• Oczekujący restart tworzy najpierw zdarzenia, a po dwóch tygodniach Alert. Nie należy czekać do tego terminu z oknem serwisowym.

Konfigurowanie e-maili i powiadomień o alertach Sophos Fusion obejmuje dostarczanie, odbiorców, częstotliwości i eskalację. E-mail jest tylko kanałem; wiążące są alert, zdarzenia i stan urządzenia w Sophos Fusion.

Kryteria zamknięcia i przekazanie do Support

Alert jest technicznie zakończony dopiero, gdy:

• znane są przyczyna i zakres objęty problemem,
• Usunięcie zagrożenia, skanowanie, restart lub korekta są potwierdzone,
• nie występują nowe powiązane zdarzenia,
• Device Health i wymagane funkcje ochrony są wiarygodne,
• każde wykluczenie jest przetestowane, czasowe i przypisane,
• dokumentacja zawiera Alert ID, czas, urządzenie, Detection Name i wynik.

Sophos Support jest właściwy, gdy usuwanie zagrożenia wielokrotnie zawodzi, infekcja wraca, agent wydaje się uszkodzony lub uzasadnionego False Positive nie da się bezpiecznie dopuścić. Dołączyć Alert ID, urządzenie, okres, Detection Name, hash, podpis, logi, ustalenia Threat Graph, wykonane działania i oczekiwany wynik.

Często zadawane pytania