Izolacja Sophos Endpoint i analiza z Live Response

Podczas aktywnego dochodzenia izolacja odłącza endpoint od sieci, a urządzenie pozostaje zarządzalne z Sophos Fusion (dawniej Sophos Central). Skonfigurowane wyjątki izolacji mogą nadal zezwalać na ograniczoną komunikację. Live Response otwiera następnie uprzywilejowaną zdalną powłokę do analizy i naprawy. Obie funkcje natychmiast wpływają na działanie: izolacja zmienia ruch sieciowy, a Live Response umożliwia kończenie procesów, ponowne uruchamianie urządzeń, przeglądanie katalogów i usuwanie plików.

Bezpieczny proces w skrócie

1. Porównaj urządzenie, użytkownika, alert i Threat Graph z ticketem lub incydentem.
2. Przy bezpośrednim ryzyku rozprzestrzenienia odizoluj urządzenie administracyjnie. Przy ransomware, kradzieży poświadczeń lub command-and-control ograniczenie zwykle ma pierwszeństwo.
3. Uruchom Live Response tylko z właściwą licencją, policy, rolą i MFA.
4. Zbierz stan i dowody przed celowymi zmianami.
5. Zakończ połączenie przez End Session i zachowaj log audytowy oraz log sesji.
6. Usuń lub zablokuj zagrożenie, sprawdź scan i Health, a dopiero potem usuń izolację administracyjną.

Rozróżnienie izolacji administracyjnej i automatycznej

Automatyczna izolacja korzysta z Health State zgłaszanego przez urządzenie. Czerwony może oznaczać wykryte zagrożenie, nieaktualne oprogramowanie, niezgodność z policy albo niepełną ochronę. Ogólny stan w Sophos Fusion może być inny, ponieważ Sophos Fusion uwzględnia dodatkowe czynniki. Automatycznie izolowane urządzenia nie występują w Admin Isolated Devices i nie można ich tam ręcznie zwolnić.

Sophos zaleca pilotaż Device Isolation przez Threat Protection policy na reprezentatywnej grupie. Przetestuj też obsługę urządzeń, które stają się czerwone z powodu problemu ochrony lub aktualizacji, a nie ataku. Lokalnie buforowane pliki sieciowe Windows mogą być nadal widoczne w izolacji; nie dowodzi to aktywnego połączenia sieciowego.

Pełną logikę opisuje Prawidłowa konfiguracja Sophos Fusion Threat Protection. Jeśli wyjątek jest konieczny, zezwól tylko na kierunek, adres i port wymagane do konkretnego celu. Przykłady i granice zawiera Bezpieczne planowanie wyjątków Sophos Endpoint.

Wymagania i uprawnienia Live Response

Live Response wymaga Sophos EDR, XDR lub MDR. Dla komputerów zezwól na połączenia w My Products > Endpoint > Policies > Data Collection and Investigation > Policy > Settings przez Allow Live Response connections to computers. Base Policy domyślnie obejmuje wszystkie komputery. W razie potrzeby umieść urządzenia wrażliwe w osobnej grupie z polityką, w której Live Response pozostaje wyłączone. Funkcja jest domyślnie włączona z MDR, a wyłączona z innymi odpowiednimi licencjami.

Osobno włącz funkcję dla serwerów: Ustawienie dla komputerów nie dotyczy serwerów. Przed zmianą sprawdź politykę faktycznie przypisaną serwerowi docelowemu i wszystkie serwery objęte zmianą; serwerowa Base Policy domyślnie obejmuje wszystkie serwery i nie należy jej przypadkowo otwierać dla całej infrastruktury. Jeśli Live Response jest potrzebne tylko dla ograniczonej grupy serwerów, najpierw sprawdź Base Policy oraz wszystkie pozostałe obowiązujące polityki serwerowe i wyłącz Live Response poza tą grupą; przy MDR funkcja może być domyślnie włączona. Następnie przypisz odpowiednią politykę grupie docelowej i tylko tam w My Products > Server > Policies > Data Collection and Investigation > [Policy] > Settings włącz Allow Live Response connections to servers i wybierz Save. Sprawdź skuteczne ustawienie na serwerze docelowym oraz na serwerach spoza grupy. Polityka serwerowa obsługuje serwery Windows i Linux.

Zarządzanie polityką i rozpoczęcie sesji to osobne prawa:

• Zmiana ustawień: Super Admin lub Custom Role z Manage Data Collection and Investigation settings for computers.
• Zmiana ustawień serwerów: Super Admin lub Custom Role z Manage Data Collection and Investigation settings for servers.
• Rozpoczęcie sesji na komputerach: Super Admin lub Custom Role z Start Live Response sessions on computers.
• Rozpoczęcie sesji na serwerach: Super Admin lub Custom Role z Start Live Response sessions on servers.
• Do rozpoczęcia sesji Custom Role potrzebuje Base Role Full albo Help Desk oraz odpowiedniego dodatkowego uprawnienia do uruchamiania sesji. Dokumentacja Sophos nie jest zgodna co do dostępu do produktów: ogólny przewodnik po rolach niestandardowych dopuszcza Full albo Help Desk dla Endpoint Protection lub Server Protection, natomiast instrukcja Live Response wymienia Full. Dlatego przed użyciem dostępu Help Desk do produktu sprawdź skuteczne uprawnienia we własnym tenancie. Do zmiany polityki serwerowej Custom Role potrzebuje dostępu Full do Server Protection oraz Manage Data Collection and Investigation settings for servers.
• MSP nie może obecnie utworzyć tej Custom Role na koncie klienta z Sophos Fusion Partner.

Przydzielaj te prawa zgodnie z zasadą najmniejszych uprawnień i sprawdź ich skuteczność przed incydentem. Planowanie ról i uprawnień Sophos Fusion Endpoint wyjaśnia dostęp do produktów i dodatkowe prawa.

Uruchomienie Live Response zwykle wywołuje monit MFA w Sophos Fusion. Przy logowaniu federacyjnym IdP Enforced MFA pozwala go uniknąć, gdy obsługiwany Identity Provider wymusza MFA. Udokumentowana ścieżka to Global Settings > Access Control > Sign-in and Identity > Federated identity providers.

Administracyjna izolacja urządzenia

Oficjalnie udokumentowana ścieżka z Threat Graph:

1. Otwórz Threat Analysis Center > Threat Graphs i wybierz właściwy graph.
2. Sprawdź Summary i Suggested next steps oraz potwierdź, że graph i urządzenie dotyczą incydentu.
3. Dla wysokiego priorytetu wybierz Isolate this device. Ta akcja wymaga Sophos XDR i nie jest dostępna dla urządzenia izolowanego automatycznie.
4. W Sophos Fusion potwierdź, że właściwe urządzenie jest izolowane i nadal zarządzalne.
5. Zapisz w tickecie czas, administratora, powód i oczekiwany wpływ.

Dodatkowe wyniki można izolować przez Isolate device w Item Search Results. Porównaj każde urządzenie z incydentem; szeroka izolacja bez potwierdzonego zakresu może niepotrzebnie przerwać pracę.

Administracyjnie izolowane urządzenia są w Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Później dostępne jest tam Remove from Isolation. Wyjątek dla RDP, SSH lub serwera czyszczącego świadomie rozszerza komunikację, dlatego musi być tymczasowy i możliwie wąski.

Bezpieczne przeprowadzenie sesji Live Response

Przed połączeniem

Zapisz co najmniej ID ticketu, nazwę urządzenia, oczekiwany system, cel, planowane kontrole tylko do odczytu, możliwe zmiany i rollback. Koordynuj lokalne działania z Sophos MDR lub zespołem reagowania, aby nie utracić dowodów i nie zakłócić pracy równoległej.

Otwarcie sesji

1. Otwórz My Environment > Computers & Servers.
2. Wybierz zweryfikowane urządzenie i otwórz szczegóły. Dla serwera sprawdź również jego tożsamość, skuteczną politykę serwerową i uprawnienie do uruchomienia sesji.
3. Wybierz Actions > Live Response.
4. Podaj precyzyjny cel.
5. Użyj terminala w nowej karcie. Jeśli się nie otworzy, sprawdź blokadę pop-up dla Sophos Fusion.

Powyższa ścieżka polityki serwerowej służy tylko do włączenia funkcji, a nie do rozpoczęcia sesji. Weryfikacja MFA dotyczy zarówno komputerów, jak i serwerów.

Powłoka oczekuje poleceń DOS, UNIX lub Linux odpowiednich dla urządzenia. Udane połączenie potwierdza tylko dostęp, nie czystość endpointu.

Najpierw obserwacja, potem zmiana

Wiarygodny proces oddziela obserwację od naprawy:

1. Zbierz kontekst czasu, zalogowanych użytkowników, procesy i połączenia sieciowe.
2. Udokumentuj podejrzane pliki, ścieżki, hashe, podpisy i mechanizmy persistence.
3. Zabezpiecz odpowiednie logi i artefakty oraz zapisz ich lokalizację.
4. Przed każdą zmianą ponownie potwierdź cel, wpływ, zależności i rollback.
5. Kończ lub usuwaj tylko potwierdzoną szkodliwą aktywność.
6. Następnie ponów centralny scan i sprawdź Threat Graph, alerty oraz Health State.

Nie eksperymentuj z poleceniami w produkcji. Jeśli ścieżka, proces lub artefakt nie jest jednoznaczny, pozostaw endpoint w izolacji i eskaluj do Sophos Support, MDR lub zespołu incident response.

Zakończenie i audyt sesji

Użyj End Session, aby świadomie zamknąć połączenie. Zamyka się ono też po zamknięciu lub odświeżeniu karty, przejściu w inne miejsce Sophos Fusion albo po 30 minutach bezczynności.

W Reports > Logs > Audit Logs wpisy początku i końca pokazują administratora, urządzenie i podany cel. Pełny zapis poleceń jest dostępny jako gzip w Reports > Logs > Live Response session audit > Download session log. Custom Role wymaga do pobrania zarówno Manage Live Response settings for computers, jak i Manage Live Response settings for servers; alternatywnie log może zabezpieczyć Super Admin.

W przypadku sesji na serwerze porównaj serwer docelowy i cel we wpisach audytowych z ticketem oraz sprawdź faktycznie wykonane polecenia w pobranym logu sesji. Samo pomyślne połączenie nie potwierdza oczyszczenia serwera docelowego.

W środowiskach wrażliwych zapisz też ID ticketu, polecenia, artefakty, hashe, wynik i decyzję o zwolnieniu.

Opcjonalne utworzenie Forensic Snapshot

Forensic Snapshot rejestruje niedawną aktywność. Sophos automatycznie tworzy dane dla Threat Graph przy niektórych detekcjach; snapshot można również zażądać:

1. Otwórz My Environment > Computers & Servers > urządzenie > Summary.
2. Wybierz More actions > Create forensic snapshot > Create now.
3. W Windows snapshot ręczny znajduje się domyślnie w:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\

Dane zapisywane automatycznie po detekcjach są w:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\

Przy aktywnym Tamper Protection dostęp lokalny wymaga podwyższonego wiersza polecenia. Skonwertuj snapshot do SQLite lub JSON za pomocą SDR Exporter; nie jest to bezpośrednio czytelny raport. Zapisz plik wejściowy, format wyjściowy i samodzielnie obliczony hash oryginału, nie przedstawiając go jako atestacji Sophos.

Domyślnie snapshot obejmuje dwa poprzednie tygodnie. Zmień okres lub wybierz All log data w Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots.

Upload do AWS S3

Upload S3 z Sophos Fusion jest dostępny tylko z Windows z XDR lub MDR. Policy IAM opisana przez Sophos wymaga s3:ListBucket i s3:PutObject dla docelowego bucketu. Sophos Fusion wyświetla AWS Account ID i External ID dla Trust Policy; propagacja nowej roli IAM może trwać pięć minut.

Zapisz nazwę bucketu, opcjonalny katalog i Role ARN w Forensic Snapshots. Sophos zaleca też restrykcyjną Bucket Policy, szyfrowanie AES-256 i Lifecycle Rule dla niepełnych Multipart Uploads. Buckety szyfrowane KMS i znaki specjalne w nazwie nie są obsługiwane. Reguły firewall muszą zezwalać na połączenie z S3.

Udany pilotaż nie kończy się na komunikacie Sophos Fusion. Sprawdź, czy oczekiwany obiekt znajduje się we właściwym buckecie i prefiksie oraz jest chroniony przez własne zasady retencji.

Czyszczenie, zwolnienie i monitoring

Usuń izolację administracyjną dopiero po:

• zbadaniu podejrzanych procesów i persistence;
• usunięciu lub zablokowaniu złośliwych aplikacji;
• rotacji naruszonych poświadczeń w razie potrzeby;
• potwierdzeniu oczekiwanego stanu aktualizacji agenta i systemu;
• sprawdzeniu, że scan, alerty, Threat Graph i Health nie pokazują niewyjaśnionego aktywnego zagrożenia;
• określeniu osoby odpowiedzialnej i okresu obserwacji.

Następnie wybierz Suggested next steps > Remove from isolation w Threat Graph albo urządzenie w Admin Isolated Devices i Remove from Isolation. Na właściwym urządzeniu sprawdź działanie wymaganych połączeń biznesowych, dalszy odbiór aktualnych danych przez Sophos Fusion oraz brak nowej detekcji lub izolacji.

Nie zwalniaj ręcznie izolacji automatycznej. Usuń przyczynę lokalnego czerwonego Health. Jeśli urządzenie pozostaje czerwone albo nie zostaje zwolnione automatycznie, zachowaj czasy, zdarzenia i szczegóły Health i eskaluj zamiast omijać izolację lub ochronę szerokimi wyjątkami.

Typowe błędy i bezpieczne następne kroki

• Karta Live Response nie otwiera się: zezwól na pop-up Sophos Fusion i świadomie ponów połączenie.
• Sesja niespodziewanie się kończy: sprawdź zamknięcie, odświeżenie, opuszczenie karty lub 30 minut bezczynności. Przed ponownym połączeniem porównaj ostatni wpis audytowy i wykonane zmiany.
• Brak urządzenia w Admin Isolated Devices: sprawdź lokalny Health i Threat Protection policy. Automatycznie izolowanych urządzeń nie ma na tej liście.
• Live Response nie łączy się: sprawdź przypisanie policy, licencję, rolę, MFA i dostępność ścieżki zarządzania Sophos. Pozostaw izolację i nie twórz szerokiego wyjątku sieciowego.
• Polecenie lub artefakt jest niejasny: niczego nie zmieniaj. Zakończ i udokumentuj sesję, a następnie współpracuj z Sophos Support, MDR lub incident response.
• Brak obiektu S3: sprawdź wymagania Windows/licencji, bucket, Role ARN, Trust/IAM Policies oraz firewall, po czym ponów test na urządzeniu pilotażowym.