Analiza Sophos Endpoint Detections i Threat Graphs

Detection pokazuje nietypową lub podejrzaną aktywność, której Sophos nie zablokował wcześniej jako znanego zagrożenia. Jest więc sygnałem do zbadania, a nie dowodem skutecznej ochrony ani potwierdzonym incydentem. Threat Lineage przedstawia procesy prowadzące do Detection. W przypadku wykrycia malware Threat Graph pokazuje Root Cause, przebieg ataku i dotknięte artefakty.

Bezpieczny skrócony proces to: określ zakres Detection, przeczytaj szczegóły i surowe dane, sprawdź Lineage lub Threat Graph, wyszukaj podobne wystąpienia i dopiero przy wystarczających dowodach ogranicz zagrożenie lub je usuń. Cases i działania reakcji są tu omawiane wyłącznie jako punkty przekazania; własne Detection Rules, obsługa Cases i Live Response należą do powiązanych runbooków.

Wymagania, platformy i role

Tenant potrzebuje Sophos EDR, XDR lub MDR dla Threat Analysis Center > Detections i Threat Lineage. Produkty muszą przesyłać dane do Sophos Data Lake. Bez tej telemetrii w tym procesie nie powstają Detections.

Threat Graphs są dostępne z Sophos Endpoint, EDR, XDR lub MDR, lecz obecnie tylko dla urządzeń Windows i Mac. Wykrycia Deep Learning potencjalnie niechcianych aplikacji (ML PUA) nie tworzą Threat Graph. Sophos wskazuje wówczas zapytanie Live Discover Threat Hunting, w którym wyszukuje się zgłoszoną nazwę pliku lub SHA-256; nie odtwarzamy tutaj konkretnego zapytania.

Wyświetlenie graphu i wykonanie w nim reakcji wymagają odrębnych uprawnień:

• Super Admin i Admin mogą żądać i wyświetlać Intelligence Reports, wyświetlać zablokowane elementy, żądać i wyświetlać Threat Graphs on-demand, izolować urządzenia i usuwać izolację, zarządzać Clean and block oraz żądać Forensic Snapshots.
• Help Desk może żądać i wyświetlać Intelligence Reports, wyświetlać zablokowane elementy, żądać i wyświetlać Threat Graphs on-demand oraz żądać Forensic Snapshots, ale nie może izolować ani zarządzać Clean and block.
• Read-only z XDR może wyświetlać intelligence, zablokowane elementy i Threat Graphs on-demand, ale nie może wykonywać żadnych z tych działań reakcji.
• Rola niestandardowa potrzebuje w każdym przypadku odpowiedniego uprawnienia. Do usunięcia izolacji administracyjnej Sophos wymaga wyraźnie roli Super Admin, Admin lub Custom Role z takim uprawnieniem.

To, które przyciski administrator rzeczywiście widzi, zależy dodatkowo od licencji, źródła Detection i Severity. Dlatego brakujące działanie należy najpierw sprawdzić pod kątem tych trzech warunków, a dopiero potem uznać za błąd interfejsu.

1. Selekcja Detections

Otwórz Threat Analysis Center > Detections. Detections mogą pochodzić z produktów Sophos, a za pośrednictwem integracji MDR/XDR także z produktów innych firm. Wykres słupkowy i lista domyślnie pokazują ostatnie 24 godziny. Suwak na wykresie skraca lub wydłuża widoczny okres; po wskazaniu segmentu słupka pojawia się liczba trafień, a kliknięcie filtruje według danej Severity. W menu czasu wybierz typowy lub bezwzględny zakres i sprawdź Severity, Type, Detection, Time, Entity, Category, Source oraz mapowanie MITRE ATT&CK. Type rozróżnia obecnie Threat i Vulnerability; Category określa typ źródła, taki jak Endpoint, Network, Firewall, Email, Cloud, ID provider lub Platform. Platform Detections korelują pozornie niepowiązane zdarzenia z wielu źródeł. W Show filters można ograniczyć listę między innymi według Severity, Type, użytkownika, urządzenia i MITRE ATT&CK Tactic. Nazwy użytkowników i urządzeń wpisuje się swobodnie; przy długich listach wyboru dostępne jest Select all. Apply stosuje filtry, a Reset to defaults je usuwa. Filtrowanie i sortowanie działa zarówno w widoku zgrupowanym, jak i niezgrupowanym; Severity jest sortowane według Priority.

W przypadku NDR Detection skoreluj Category, Source, przedział czasu, źródłowy adres IP i docelowy adres IP z informacjami o appliance lub sensorze zapisanymi przed autoryzowanym testem. Autoryzowane testowe trafienie Sophos NDR potwierdza wyłącznie działanie sprawdzanej ścieżki przechwytywania i Detection. Nie dowodzi ani pełnego pokrycia sieci, ani rzeczywistego incydentu.

Przypisz do testu tylko jednoznacznie skorelowane trafienie. Dodatkowe lub odmienne sygnały NDR należą do zwykłego procesu selekcji XDR lub MDR. Sophos Support może izolować błędy produktu lub ścieżki danych, ale nie bada Detection. Widok Detections nadal wymaga uprawnienia EDR, XDR lub MDR; samo NDR nie wystarcza.

Group by > Detection ID łączy zdarzenia pasujące do tej samej reguły. Przy ocenie zakresu użyj też widoku niezgrupowanego: wiele wierszy może oznaczać różne urządzenia lub chwile tej samej techniki. Menu z trzema kropkami pozwala otworzyć Detection w nowej karcie lub skopiować jej link. Porównując zdarzenia, otwórz kilka Detections w osobnych kartach, zamiast zestawiać z pamięci wartości ze zmieniających się paneli szczegółów.

Pierwsza selekcja odpowiada na cztery pytania:

1. Którego urządzenia i użytkownika dotyczy zdarzenie?
2. Które procesy, wiersze poleceń i czasy należą do Detection?
3. Czy aktywność jest oczekiwana dla tego użytkownika, urządzenia i przedziału czasu?
4. Czy istnieją podobne Detections, dodatkowe Alerts lub inne dotknięte urządzenia?

Kliknij wiersz, aby otworzyć panel szczegółów. Copy device name kopiuje tam nazwę urządzenia, Open device details otwiera urządzenie, a Detections on device prowadzi do innych Detections tego urządzenia. Similar detections filtruje główną listę do podobnych wyników. Raw Data pokazuje dane źródłowe, gdy podsumowanie nie wystarcza. Opcje pivot uruchamiają oferowane zapytanie Live Discover lub Data Lake; Enrichments otwierają dostępne źródła threat intelligence, takie jak VirusTotal lub istniejący raport SophosLabs Intelix. W zależności od kontekstu Actions mogą oferować skanowanie lub Live Response. Używaj tylko pivotów oferowanych w Central i sprawdzaj ich zakres czasu oraz cel, zamiast korzystać z niepotwierdzonego przykładowego zapytania. Ocena SophosLabs pojawia się tylko wtedy, gdy oprogramowanie antymalware przesłało plik lub administrator zażądał aktualnej intelligence.

Typowe punkty wyjścia to nietypowe polecenia związane z Discovery, mechanizmami trwałości, omijaniem zabezpieczeń lub Credential Theft, Alerts malware, takie jak Dynamic Shellcode Prevention, Detections środowiska uruchomieniowego Linux, takie jak Container Escape, a także sygnały dotyczące nieaktualnego oprogramowania lub niebezpiecznych przeglądarek. Takie przykłady pomagają nadać priorytet analizie, ale same nie potwierdzają ataku. Rozwiń taktykę MITRE, sprawdź przypisaną technikę i w razie potrzeby otwórz jej stronę MITRE. Następnie podejmij decyzję na podstawie konkretnych danych procesu i urządzenia.

2. Odczytywanie Threat Lineage

W szczegółach Detection otwórz kartę Lineage i wybierz Open Lineage Graph. Możesz też otworzyć Case w Threat Analysis Center > Cases i przejść tam do Detections. Brak karty oznacza, że Detection nie obsługuje tej funkcji. Jeśli graph nie jest jeszcze dostępny, pojawia się Generate. Gdy Detection generuje Case, Sophos automatycznie tworzy graph.

Lineage rozróżnia zwykłe procesy, procesy dotknięte zdarzeniem, wyzwalacz Detection i główne aktywności; legenda pokazuje symbol i liczbę dla każdego typu. Graph zawiera ścieżkę procesów prowadzącą do Detection i może również przedstawiać odchodzące od niej procesy i aktywności. Najedź na proces, aby zobaczyć podstawowe informacje i wiersz polecenia, otwórz oferowane pivoty Live Discover za pomocą trzech kropek przy procesie lub obok wartości w Info, a następnie kliknij proces, aby wyświetlić Info i Activities. Automatycznie utworzona Lineage pokazuje już aktywności dotkniętego procesu; w ręcznie wygenerowanej Lineage Enrich początkowo ładuje trzy dni od uruchomienia procesu, a każde następne kliknięcie dodaje kolejne trzy dni. Początek osi czasu Enrich wskazuje datę i godzinę Initial Detection. Aktywności można filtrować według typu i działania oraz rozwijać, aby zobaczyć surowe dane. Ikona oka przy powiązanym procesie dodaje go do graphu. Wyszukiwanie w lewym górnym rogu pokazuje wyniki w Info, Activities i Matching Results. Przycisk eksportu zapisuje Lineage jako CSV; jeśli eksport się nie powiedzie, najpierw wybierz proces i uruchom eksport ponownie.

Graph pozostaje dostępny przez siedem dni. Można go odtworzyć w okresie przechowywania danych XDR Data Lake, który Sophos opisuje jako zazwyczaj 90 dni. Nie jest to gwarancja dla każdego tenantu. Dostępny komentarz AI dotyczący wiersza polecenia może podsunąć tropy, ale nie zastępuje sprawdzenia ścieżki, procesu nadrzędnego, użytkownika, czasu i surowych danych.

3. Analiza Threat Graph

Otwórz Threat Analysis Center > Threat Graphs i kliknij nazwę graphu. Lista obejmuje ostatnie 90 dni i można ją filtrować według Device, Status lub Priority. Wyszukiwanie znajduje graphy według użytkownika, urządzenia lub nazwy zagrożenia; kolumny można sortować. Zależnie od widoku lista pokazuje Status, czas utworzenia, Priority, Name, administratora, który wygenerował graph, użytkownika, urządzenie i typ urządzenia. Z licencją MDR Sophos rozdziela na karty graphy utworzone automatycznie, przez administratorów Central i przez MDR; według Sophos karta graphów utworzonych przez MDR nie jest obecnie używana. Bez MDR taki podział na karty nie występuje.

Przejdź przez stronę szczegółów w następującej kolejności:

1. W Summary przeczytaj Root cause, Possible data involved, urządzenie, użytkownika i czas.
2. W Suggested next steps sprawdź automatycznie ustawioną, ale możliwą do zmiany Priority oraz Status ustawiony domyślnie na New. Po zmianie na In progress nie można przywrócić Status New. Jeśli działanie jest dostępne, Scan the device rozpoczyna skanowanie; sprawdzanie wyniku opisuje runbook Threat Cleanup.
3. Przejdź do Analyze. Show full graph jest widokiem domyślnym i pokazuje Root Cause, wykryty element, dotknięte aplikacje, pliki i Registry Keys oraz ich relacje. Show direct path ogranicza widok do bezpośredniej ścieżki od Root Cause do wykrytego elementu.
4. Kliknij istotne elementy. Process details pokazuje między innymi globalną reputację, ścieżkę, nazwę, wiersz polecenia, Process ID, użytkownika wykonującego proces, SHA-256, czas rozpoczęcia, zakończenia i długość działania.
5. Jeśli widnieje komunikat No current intelligence on this file, plik nie został jeszcze przesłany. Użyj Request latest intelligence tylko wtedy, gdy można przesłać plik do SophosLabs: Central poleca wtedy komputerowi jego wysłanie. Nowa ocena z reputacją i rozpowszechnieniem pojawia się zwykle po kilku minutach. Skala rozciąga się od czerwonego dla pliku znanego jako złośliwy do zielonego dla pliku znanego jako bezpieczny; kolor pomarańczowy może oznaczać po prostu nowy plik. Reputację, rozpowszechnienie i cechy Machine Learning ocenia się razem z pochodzeniem i zachowaniem.
6. Za pomocą wyboru typu na graphie wyświetl tylko te rodzaje artefaktów, które są w danej chwili potrzebne. Następnie sprawdź w Artifacts list co najmniej Name, Type, Reputation, Time logged i Interactions; kliknięcie nazwy otwiera szczegóły. W razie potrzeby wyeksportuj listę za pomocą Export to CSV. Graph record pokazuje historię od utworzenia graphu przez Sophos lub administratora i przechowuje komentarze dotyczące etapów analizy.
7. Jeśli centralna telemetria nie wystarcza, wybierz snapshot w Analyze > Create forensic snapshot, ale tylko po ustaleniu miejsca przechowywania, dostępu i sposobu analizy. Opcje konfiguracji mogą nie być jeszcze dostępne w każdym tenancie. Dostęp lokalny wymaga hasła Tamper Protection i wiersza polecenia z podwyższonymi uprawnieniami. Runbook dotyczący izolacji i Live Response opisuje ścieżki lokalne, przesyłanie do S3 i konwersję.

Ocena zaawansowanej intelligence o pliku

Z XDR sekcja Process details uzupełnia podstawowy zestaw danych o Report summary, Machine learning analysis, Code similarity, File properties i File breakdown. Prevalence, First seen i Last seen opisują rozpowszechnienie w SophosLabs, a nie to, czy plik jest niegroźny w Twoim tenancie. Widok Machine Learning ocenia między innymi imports, nietypowe ciągi znaków, kompilator, zabezpieczenia przed exploitami, zasoby, oznaki użycia packerów, cechy PEiD, adresy Bitcoin i podejrzane stałe kryptograficzne. Code similarity porównuje plik ze znanymi dobrymi i złośliwymi plikami.

W File properties znajdują się na przykład produkt, typ, copyright, producent, wersja, rozmiar i znaczniki czasu. File breakdown pokazuje sekcje PE wraz z ich rozmiarem na dysku i w pamięci, entropią oraz właściwościami Read/Write/Execute; imports i exports PE pokazują używane biblioteki DLL, API i udostępniane funkcje. Żadna pojedyncza cecha nie dowodzi złośliwości. Oceń łącznie podpis, pochodzenie, łańcuch wykonania, zachowanie, rozpowszechnienie i wyniki porównania oraz użyj Search for item do oceny zakresu, zanim rozważysz Clean and block. Uprawniony administrator sprawdza zablokowane pliki w Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items.

Sophos automatycznie tworzy Threat Graph po wykryciu malware wymagającego dalszego zbadania. Nie dotyczy to każdego komunikatu bezpieczeństwa. W szczególności ML PUA Detections nie tworzą graphu. Jeśli Detection nie ma graphu, kontynuuj przy użyciu szczegółów Detection, Raw Data i obsługiwanej Lineage, zamiast traktować brak jako potwierdzenie bezpieczeństwa.

Threat Graph on-demand można utworzyć tylko z wyników Live Discover, przy których Central oferuje tę akcję: otwórz Threat Analysis Center > Live Discover, wybierz obsługiwane zapytanie, w przypadku Endpoint Query określ urządzenia docelowe, a w przypadku Data Lake Query zakres czasu, po czym uruchom zapytanie. Data Lake Queries zawsze obejmują wszystkie endpointy. W wyniku otwórz menu z trzema kropkami obok Path i wybierz Actions > Generate a threat graph. Graph pojawi się następnie na karcie Admin generated. Dostępność zależy od zapytania, licencji i roli. Sophos Endpoint Data Collection i Live Discover wyjaśnia podstawy zapytań.

4. Prawidłowe przekazanie Case i reakcji

Cases również wymagają EDR, XDR lub MDR. Gdy kilka Detections jest powiązanych lub wymaga właściciela, zaznacz je w Threat Analysis Center > Detections. Actions > Add to Case przypisuje je do istniejącego Case; potem nazwa Case pojawia się w kolumnie Cases i na dole panelu szczegółów Detection. Actions > Create Case wymaga nazwy, opisu, Severity, Status (New lub Investigating) i Assignee. Sophos używa Critical dla potwierdzonego naruszenia lub nieautoryzowanego dostępu, High dla oznak ukierunkowanego ataku, Medium dla aktywności, która sama w sobie może nie być złośliwa, Low dla wyników bez wskazania złego Health State lub naruszenia oraz Info zwykle dla pierwszych kontroli stanu.

Self-managed Cases mogą podczas obsługi mieć Status Investigating, On Hold lub Resolved; Status można zmienić jeszcze przed przypisaniem Owner. Sophos-managed Cases używają Investigating, Action required lub Resolved; Action required wymaga działania klienta i powiadamia kontakty. Nagłówek strony szczegółów pokazuje Severity, Status, Owner oraz czas utworzenia, przypisania i modyfikacji. W Overview znajdują się podsumowanie, techniki MITRE, urządzenia, użytkownicy i ostatnie aktywności; Detections, Notebook i History rozdzielają wyniki, notatki z analizy oraz zmiany. W Self-managed Case funkcja Ask Sophos AI może wspomagać analizę; podsumowanie i analizę wiersza polecenia nadal trzeba sprawdzić na podstawie surowych danych i osi czasu. W przypadku MDR podsumowanie pisze zespół MDR, a w przypadku XDR tworzy je sam klient lub robi to z Sophos AI. Klient nie może samodzielnie zmienić Sophos-managed MDR Case, ale za pośrednictwem Messages może wymieniać wiadomości i załączniki. Wiadomości trafiają do zespołu MDR i są także kopiowane do upoważnionych kontaktów.

Jeśli lista Cases pozostaje pusta, najpierw poczekaj na automatyczne utworzenie i następnie sprawdź, czy w ogóle istnieją Detections. Dla produktów Sophos sprawdź przesyłanie do Data Lake, a dla źródeł innych firm integrację Data Ingest. Właściwa obsługa Cases nie należy do tego procesu i jest opisana w Obsługa Sophos XDR Cases i Detection Rules. Sophos Support nie bada pojedynczych Detections; MDR jest usługą przeznaczoną do monitorowania i reakcji 24/7. Jeśli podejrzewasz aktywne włamanie, Sophos Rapid Response jest odrębną, płatną ścieżką natychmiastowej pomocy.

Reakcja następuje dopiero po wiarygodnym ustaleniu:

• Dla graphu o wysokim priorytecie i licencji XDR Suggested next steps > Isolate this device oferuje izolację, chyba że urządzenie odizolowało się już automatycznie. Zarządzanie z Central i przesyłanie plików pozostają możliwe.
• Search for item używa XDR do znalezienia kolejnych wystąpień. Jeśli pojawią się wyniki, strona wyników umożliwia izolację dotkniętych urządzeń.
• Clean and block to działanie XDR dla pliku potwierdzonego jako złośliwy. Usuwa plik, powiązane pliki i Registry Keys z urządzeń Windows, na których je znaleziono, i blokuje plik na wszystkich urządzeniach Windows. Nie służy do testowania niepewnej oceny.
• Uprawniony administrator zarządza wieloma administracyjnie izolowanymi urządzeniami przez ikonę Global Settings i Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Lista nie zawiera urządzeń, które odizolowały się automatycznie z powodu czerwonego Health Status.

Przed usunięciem izolacji sprawdź inne wystąpienia, mechanizmy trwałości, usunięcie zagrożenia i stan urządzenia. Praktyczną izolację i kontrolowany dostęp do terminala opisuje osobny runbook Izolowanie Sophos Endpoint i analiza z Live Response. Informacje o usuwaniu malware, komunikatach exploit i fałszywych alarmach zawiera Sophos Endpoint Threat Cleanup i usuwanie malware.

Kryteria zamknięcia

Nie zamykaj Threat Graph wyłącznie dlatego, że reputacja wygląda bezpiecznie. Zapisz co najmniej Root Cause, dotknięte urządzenia i użytkowników, istotne wartości SHA-256, wyszukiwanie zakresu, wykonane działania i ich wyniki. Następnie upewnij się, że nie widać dalszych wystąpień, oczekiwane urządzenia ponownie zgłaszają wiarygodny Health State, a wymagane Cases mają Owner i możliwy do prześledzenia Status. Dopiero wtedy zaznacz graph na liście i zamknij go przyciskiem Close.

Częste pytania