Blokowanie przejętych adresów IP za pomocą Sophos Endpoint
Sophos Fusion (dawniej Sophos Central) może uniemożliwić zarządzanym urządzeniom Windows i Linux komunikację ze wskazanymi wewnętrznymi lub zewnętrznymi adresami IPv4/IPv6 i zakresami CIDR. W funkcji Block compromised IP addresses administrator sam wskazuje adresy do zablokowania. Dlatego przed zapisaniem należy zweryfikować wskaźniki; sama nazwa funkcji nie potwierdza przejęcia adresu. Ta funkcja nie obsługuje systemu macOS.
Najpierw wybierz właściwy punkt egzekwowania
Lista jest odpowiednia, gdy zarządzane endpointy Windows i Linux mają przestać komunikować się z potwierdzonym wskaźnikiem IP. W poniższych przypadkach użyj innego mechanizmu:
- Jeden podejrzany endpoint: odizoluj urządzenie i zbadaj incydent. Lista IP nie zastępuje ograniczenia zagrożenia ani naprawy. Zobacz Izolowanie Sophos Endpoint i analiza przez Live Response.
- Wszystkie systemy za bramą, także niezarządzane: zablokuj IP na Sophos Firewall lub właściwej bramie sieciowej. Lista Central chroni tylko obsługiwane zarządzane endpointy.
- Host podłączony do przełącznika Sophos lub punktu dostępowego AP6: użyj Active Threat Response. Funkcja działa na izolowanych hostach lub adresach MAC i nie jest tą listą celów IP.
- Działanie MDR/XDR lub Threat Feed: to osobny proces reakcji. Sophos wymaga roli administratora Central do ręcznego zarządzania tą listą, ale instrukcja nie wymaga kroku XDR.
Oceń skutki przed zapisaniem
Blokuj adres dopiero po sprawdzeniu źródła, okresu obserwacji i powiązanych połączeń. W przypadku hostingu współdzielonego, CDN, NAT lub usług chmurowych jeden adres IP może obsługiwać wiele legalnych usług. Szeroki blok CIDR zwiększa możliwe skutki.
Szczególnie krytyczne są serwery, usługi DNS i tożsamości, systemy zarządzania, Update Caches i Message Relays. Formularz Central nie dokumentuje dla wpisu wyboru portu, protokołu lub aplikacji ani wyjątku allow. Preferuj dokładny adres IP zamiast sieci, przypisz właściciela i ustaw termin wygaśnięcia tymczasowych wskaźników.
Zablokuj adres IP w Sophos Fusion
Wymagana jest rola administratora Sophos Fusion. Według Sophos użytkownicy Help Desk nie mogą korzystać z tej funkcji.
- Otwórz ikonę Global Settings.
- Przejdź do Protection and Remediation > Allow and Block > Network > Block compromised IP addresses.
- Włącz Block communications with specified IP addresses.
- Kliknij Add i w polu Address wpisz adres IPv4, IPv6 lub zakres CIDR.
- W polu Expiry wybierz czas obowiązywania. Domyślnie jest to 7 days; dostępne są też 30 days i No expiry.
- W polu Comment zapisz co najmniej źródło IOC, numer zgłoszenia, właściciela i cel. Pole jest opcjonalne, ale znacznie ułatwia bezpieczny późniejszy przegląd.
- Kliknij Confirm. W razie potrzeby dodaj kolejne wpisy pojedynczo.
- Kliknij Save w prawym górnym rogu. Dopiero ten krok zapisuje globalną listę.
Interfejs obsługuje maksymalnie 500 adresów lub zakresów, dodawanych pojedynczo. Przy większych operacjach Sophos odsyła do Endpoint API. Operacja POST /settings/blocked-addresses/bulk wymaga nagłówka X-Tenant-ID i przyjmuje do 100 adresów lub zakresów jednocześnie; każdy element może zawierać komentarz i wartość expireInDays od 1 do 365. Uwierzytelniaj się w regionalnym Endpoint API tenanta zgodnie z dokumentacją Sophos, zamiast przenosić wymaganie roli z interfejsu na klienta API.
Aktualna dokumentacja Sophos zawiera ważną rozbieżność platformową: strona funkcji Central wymienia Windows i Linux, natomiast opis operacji zbiorczej Endpoint API mówi, że jest ona dostępna tylko na urządzeniach Windows. Przed wykorzystaniem automatyzacji API dla systemu Linux potwierdź wymagane działanie z Sophos. Przechowuj payloady w przetestowanym procesie; nie omijaj limitu interfejsu za pomocą niezweryfikowanych skryptów.
Zalecenie operacyjne: dla tymczasowego IOC wybierz najpierw 7 days. Opcję No expiry rezerwuj dla trwale zabronionej infrastruktury i regularnie ją kontroluj. Wygaśnięcie nie zastępuje dokumentacji incydentu.
Sprawdź działanie globalne i bezpiecznie wycofaj zmianę
Ponieważ nie ma zakresu grupowego, rzeczywistego IOC nie można bezpiecznie włączyć tylko na urządzeniu pilotażowym. Zamiast tego wcześniej sprawdź mechanizm na dokładnym adresie IP dedykowanego, niekrytycznego celu testowego:
- Z zarządzanego testowego urządzenia Windows lub Linux potwierdź, że przed zmianą cel jest osiągalny.
- Dodaj tylko testowy adres IP z 7 days i jednoznacznym komentarzem testowym, a następnie kliknij Save.
- Po kolejnej udanej komunikacji endpointu z Central powtórz próbę. Zarządzane urządzenie nie powinno już komunikować się z celem.
- Wykonaj próbę z niezarządzanego urządzenia kontrolnego. Połączenie powinno nadal działać, co odróżnia egzekwowanie na endpoincie od awarii celu lub reguły firewalla.
- Zaznacz wpis testowy, kliknij Delete, a następnie Save. Potwierdź, że zarządzane urządzenie znów może się połączyć.
Przed zapisaniem rzeczywistego IOC ustal aplikacje i połączenia biznesowe, których może dotyczyć. Podczas wdrożenia poinformuj service desk i właściciela incydentu oraz przygotuj natychmiastowe usunięcie wpisu.
Rozwiązywanie problemów według objawu
Połączenie nadal działa
- Potwierdź, że Block communications with specified IP addresses jest włączone i po Confirm kliknięto również Save.
- Sprawdź, czy urządzenie działa w systemie Windows lub Linux. macOS nie jest obsługiwany.
- Zweryfikuj, czy endpoint łączy się z Sophos Fusion i może odbierać aktualne zmiany.
- Rozwiąż lub sprawdź cel rzeczywiście używany przez aplikację. Nazwa hosta może zwracać kilka adresów IPv4 i IPv6; lista blokuje adresy IP, nie nazwy domen.
- Sprawdź adres, rodzinę IP i prefiks CIDR. Nie rozszerzaj od razu zakresu sieci.
Na stronie funkcji Sophos nie podaje stałego czasu dystrybucji, dedykowanego zdarzenia ani minimalnej wersji agenta. Jeśli dostęp nadal działa mimo poprawnej listy i prawidłowej komunikacji z Central, zapisz czas, endpoint, docelowy adres IP i metodę testu, a następnie przekaż sprawę do Sophos Support.
Legalna usługa przestaje działać
Zaznacz konkretny wpis, kliknij Delete i Save. Sprawdź przywrócenie działania z danego zarządzanego endpointu. Nie pozostawiaj całej funkcji wyłączonej: porównaj IOC i docelowy IP z rozwiązywaniem DNS, hostingiem współdzielonym, CDN oraz zależnościami usługi, a następnie zastosuj węższą blokadę lub właściwszy punkt kontroli.
Blokada IP nie zamyka aktywnego incydentu. Nadal izoluj dotknięte urządzenia i badaj procesy, mechanizmy trwałości, poświadczenia oraz inne cele.