Obsługa alertów Sophos Endpoint i Account Health

Alert Sophos Fusion (dawniej Sophos Central) jest zadaniem dochodzeniowym, a nie automatycznie potwierdzonym incydentem. Po zalogowaniu do Sophos Fusion pracę w My Environment > Alerts zaczyna się od Severity, urządzenia, Detection Name i powiązanych Events. Akcja statusu należy na koniec: nie usuwa malware ani niebezpiecznej konfiguracji.

Szybki proces Alert Triage

1. Określić Alert: zapisać Severity, Status, urządzenie, czas, Detection Name i liczbę zgrupowanych Events.
2. Sprawdzić kontekst: przeanalizować szczegóły, Associated events, stan, Last active, użytkownika, ścieżkę, proces, hash i ewentualny Threat Graph.
3. Ograniczyć aktywne ryzyko: jeśli ryzyko trwa lub jest lateralne, odizolować Endpoint zgodnie z zatwierdzonym procesem Incident. Sophos Endpoint Threat Cleanup i usuwanie malware opisuje pełną naprawę.
4. Obsłużyć typ Alert: wykonać Cleanup, Scan, restart, korektę Policy albo analizę False Positive odpowiednią dla komunikatu.
5. Zweryfikować technicznie: sprawdzić nowe Events, wyniki Cleanup i Scan, Agent Health oraz aplikację.
6. Dopiero potem zamknąć: zmienić Workflow Status tylko po udokumentowaniu przyczyny, działania, wyniku i właściciela.

High wymaga szybkiej oceny. Medium nie oznacza braku ryzyka: wymagany Scan, niepełny Cleanup lub Remotely-run ransomware również mogą wymagać dalszej pracy.

Nie mylić Health, Alert i Event

Sygnały te są obliczane inaczej. Endpoint może być zielony po zablokowaniu lub kwarantannie wykrycia, a nadal mieć Alert do zbadania. Problem Health może też istnieć bez otwartego Threat Alert. Zielony stan potwierdza więc jedynie status zgłoszony przez Sophos, nie pełne bezpieczeństwo.

Account Health Check celowo należy do oddzielnego przeglądu Sophos Fusion. Prawidłowe używanie Sophos Fusion Account Health Check opisuje formuły, Auto-Fix, Snooze, Policy Reset, Agent Mode, Tamper Protection i eksport PDF. Dla Endpoint Alerts obowiązuje zasada: zmiana Score lub Status nigdy nie zastępuje technicznej weryfikacji urządzenia.

Priorytetyzacja Threat Protection Alerts

Sophos wskazuje między innymi następujące pilne komunikaty:

• Real-time protection disabled: ochrona czasu rzeczywistego jest wyłączona od ponad 2,5 godziny. Jedynym wiarygodnym wyjątkiem jest krótka diagnostyka zalecona przez Sophos Support.
• Malware not cleaned up: Wykrytego malware nie udało się usunąć po 24 godzinach, mimo że automatyczny Cleanup jest dostępny. Manual cleanup required oznacza, że automatyczny Cleanup jest niedostępny; Running malware not cleaned up informuje, że nie udało się usunąć działającego złośliwego lub podejrzanego programu. Ostatni przypadek ma najwyższy priorytet.
• Malicious traffic detected: podejrzany ruch sieciowy może oznaczać Command-and-Control albo inną aktywność malware.
• Recurring infection: podjęto naprawę, ale infekcja wróciła. Należy szukać ukrytych lub jeszcze niewykrytych komponentów.
• Ransomware detected albo ransomware atakujący udziały: natychmiast ustalić źródło, systemy docelowe i możliwy wpływ lateralny.
• Outbreak detected: Sophos zgłasza Outbreak, gdy urządzenie ma 100 Detections w ciągu 24 godzin. Liczba nie zastępuje analizy przyczyny.

Także Medium Alerts Potentially Unwanted Application detected, Computer scan required to complete cleanup, Reboot required to complete cleanup i Remotely-run ransomware detected wymagają jednoznacznego wyniku. Urządzenie offline wykona żądany Scan po powrocie online. Jeśli Scan już trwa, nowe żądanie zostanie zignorowane, a bieżący Scan będzie kontynuowany.

Analiza według rodzaju zagrożenia

Ransomware i Remote Ransomware

Dla Ransomware detected sprawdzić, czy Sophos zatrzymał proces, przywrócił pliki, wykonał Memory Scan i utworzył Threat Graph. Jeśli Cleanup jest niepełny, sprawa pozostaje otwarta.

Po zatwierdzeniu zgodnie z klasyfikacją danych należy wybrać lub przeciągnąć podejrzany plik bezpośrednio do portalu SophosLabs Intelix; jeśli plik jest chroniony, podać jego hasło. Analyze rozpoczyna analizę bez otwierania pliku na zaatakowanym Endpoint. Nieuwierzytelniony Intelix Guest Portal przyjmuje jeden plik na zgłoszenie; po zalogowaniu przy użyciu ważnego Sophos ID zestaw może zawierać maksymalnie dziesięć plików. Przed przesłaniem danych trzeba zaakceptować warunki użytkowania i informację o prywatności.

Najpierw sprawdzić klasyfikację i wyniki raportu Static Analysis. Jeśli potrzebna jest analiza zachowania, Submit for dynamic analysis tworzy raport Sandbox. Disagree jest funkcją Beta i może nie być dostępna dla każdego raportu lub konta. Tam, gdzie jest oferowana, użytkownik ze zweryfikowanym profilem Support Portal może podać dane klienta, produktu i Sample, a także źródło oraz kontekst dochodzenia, po czym wykonać dostępne kroki eskalacji. W zależności od uprawnień proces może oferować eskalację do Sophos Support; użycie Disagree nie gwarantuje utworzenia sprawy, dlatego jej numer należy potwierdzić osobno. Jeśli portal jest niedostępny, przesyłanie się nie powiedzie lub Cleanup pozostaje niejasny, urządzenie nadal musi być odizolowane; Sophos Endpoint Threat Cleanup i usuwanie malware opisuje pełny proces naprawy i przekazania do Support.

Rozróżnić dwa scenariusze zdalne:

• Remotely-run ransomware detected: inny system atakuje udział. Na podstawie zgłoszonego IP zidentyfikować źródło i ustalić, czy zarządza nim Sophos Fusion oraz czy CryptoGuard jest aktywny.
• Ransomware attacking a remote machine detected: zgłoszony Endpoint próbuje szyfrować pliki na innych systemach. Sophos blokuje jego zapis do udziałów, lecz urządzenie źródłowe nadal wymaga pełnej analizy.

Zablokowany dostęp to ograniczenie, nie dowód zamknięcia. Scope Incident obejmuje sąsiednie urządzenia, użyte konta i osiągalne udziały.

Wykrycia Browser, Exploit i IPS

Przy web browser attack Threat Graph wskazuje połączenie IP i URL. Należy ocenić miejsce docelowe i w razie potrzeby zablokować je na firmowym Firewall. Jeśli użytkownik podał hasło, zmienić je zgodnie z procesem Identity. Przy bankowości lub płatnościach sprawdzić nietypową aktywność.

Przy exploit Sophos zatrzymuje aktywność, informuje użytkownika, skanuje procesy w pamięci i tworzy Threat Graph. Zbadać źródło, rozprzestrzenianie, procesy i pliki. Powtarzająca się przyczyna wymaga kontroli aplikacji, Patch Level i Exploit Protection, nie tylko szkolenia.

IPS Alert dotyczy ruchu przychodzącego lub wychodzącego. IPS Exclusion wyłącza zgodny ruch z inspekcji, dlatego musi mieć wąski zakres. Zezwolenia Firewall konfiguruje się osobno. Bezpieczne konfigurowanie wyjątków Sophos Endpoint opisuje wykluczenia Detection, Process, Path i Network.

Deep Learning i PUA

Wykrycia malware przez Deep Learning mają prefiks taki jak ML/. Pliki PE są poddawane kwarantannie, więc Device Health może już być zielony. Plik można przywrócić i dopuścić tylko wtedy, gdy źródło, podpis lub hash oraz cel biznesowy wiarygodnie potwierdzają legalność.

Potentially Unwanted Application (PUA) nie musi być złośliwa, ale może powodować ryzyka prywatności, bezpieczeństwa lub działania. Sophos zwykle automatycznie blokuje i usuwa PUA. Cleanup może nie nastąpić, gdy lokalizacja jest tylko do odczytu, potrzebny jest Scan lub restart, plik znajduje się w archiwum albo brak instrukcji. Wtedy analizuje się Alert i Threat Graph, usuwa procesy zależne, a następnie sprawdza Scan i Events.

Authorize PUA na stronie Alerts zezwala na PUA na wszystkich komputerach. Dla ograniczonej potrzeby bezpieczniejsza jest możliwie wąska Policy Exclusion. W Windows i Linux legalną aplikację można zależnie od platformy dopuścić przez Certificate, SHA-256 lub Path; Sophos zaleca Certificate w Windows. Hash obejmuje jedną wersję, a Path wszystko w danej lokalizacji. Funkcja nie jest dostępna w macOS.

Bezpieczna obsługa False Positive

„Znana aplikacja” nie jest wystarczającym dowodem. Przed wykluczeniem sprawdzić producenta, podpis, hash, źródło, wersję, Detection Name i zachowanie. Przy wątpliwościach pozostawić wykrywanie aktywne i przekazać Sample oraz dane sprawy do Sophos Support.

• Aplikacja: na obsługiwanych platformach Allow this application znajduje się w szczegółach urządzenia pod Events > Details. Certificate wiąże się z wydawcą, SHA-256 z jedną wersją, a Path z lokalizacją. Zezwolenie działa globalnie dla wszystkich użytkowników i komputerów oraz wyłącza aplikację z kolejnych Threat Detection, ale kontrole Exploit, Ransomware i Malicious Behavior pozostają aktywne.
• Exploit: Exclude this Detection ID from checking działa dla wszystkich użytkowników i komputerów oraz trafia do Global Exclusions. Jeśli problem dotyczy tylko wybranych użytkowników lub urządzeń, należy użyć ukierunkowanej Threat Protection Policy. Sophos uznaje wyłączenie całej aplikacji ze wszystkich kontroli Exploit za najbardziej ryzykowne i ostateczne rozwiązanie.
• Ransomware: Exclude this Detection ID from checking w Event details działa globalnie dla użytkowników i komputerów oraz trafia do Global Exclusions. Scope musi być zatwierdzony przed potwierdzeniem.

Każde wykluczenie wymaga właściciela, uzasadnienia, grupy docelowej, daty wygaśnięcia i testu. Po poprawce producenta należy je usunąć.

Prawidłowe przekazywanie alertów niezwiązanych z bezpieczeństwem

Problemy instalacji, Policy, urządzeń peryferyjnych, VDI i restartu nie dowodzą automatycznie malware, ale wymagają technicznego właściciela:

• Przy nieudanej ochronie lub instalacji Agent użyć Systematycznego rozwiązywania problemów instalacji Sophos Endpoint.
• Powtarzające się odchylenia analizować przez Prawidłowe budowanie polityk Sophos Endpoint.
• Klonowane systemy wymagają procesu Przygotowania Sophos Endpoint w obrazach VDI Gold.
• Oczekujący restart tworzy najpierw Events, a po dwóch tygodniach Alert. Nie należy czekać do tego terminu z oknem serwisowym.

Konfigurowanie e-maili i powiadomień o alertach Sophos Fusion obejmuje dostarczanie, odbiorców, częstotliwości i eskalację. E-mail jest tylko kanałem; wiążące są Alert, Events i stan urządzenia w Sophos Fusion.

Kryteria zamknięcia i przekazanie do Support

Alert jest technicznie zakończony dopiero, gdy:

• znane są przyczyna i dotknięty Scope,
• Cleanup, Scan, restart lub korekta są potwierdzone,
• nie występują nowe powiązane Events,
• Device Health i wymagane funkcje ochrony są wiarygodne,
• każde wykluczenie jest przetestowane, czasowe i przypisane,
• dokumentacja zawiera Alert ID, czas, urządzenie, Detection Name i wynik.

Sophos Support jest właściwy, gdy Cleanup wielokrotnie zawodzi, infekcja wraca, Agent wydaje się uszkodzony lub uzasadnionego False Positive nie da się bezpiecznie dopuścić. Dołączyć Alert ID, urządzenie, okres, Detection Name, hash, podpis, Logs, ustalenia Threat Graph, wykonane działania i oczekiwany wynik.

Często zadawane pytania