Przejdz do tresci
Avanet

Planowanie Sophos ITDR: wymagania, licencje, regiony i role

Sophos ITDR

Przed rozpoczęciem konfiguracji Sophos ITDR ustal właściwy region, licencje i role. Zdecyduj również, czy dane będą pochodzić z Microsoft Entra ID, lokalnej usługi Active Directory, czy z obu systemów, oraz powierz komuś bieżącą obsługę ITDR Findings. Poniższa lista kontrolna porządkuje wszystkie sześć decyzji.

Krótka lista kontrolna przed konfiguracją:

  1. Sprawdź region danych istniejącego tenanta w sekcji Account Details > Account Preferences. Aktualna macierz regionów ITDR wskazuje US, EU, CAN, AUS, JPN, IND i BRA jako dostępne; UAE nie jest dopuszczony. Poniższa kontrola regionu wyjaśnia przypisanie i ograniczenia.
  2. ITDR jest dostępny samodzielnie, bez Sophos XDR lub Sophos MDR. Upewnij się, że ITDR aktywowano we właściwym tenancie; powinna wówczas pojawić się pozycja My Products > Identity. Oferty opierają się na liczbie użytkowników, ale nie określa to jednoznacznego publicznego SKU ani dokładnych zasad liczenia; zweryfikuj te kwestie w License Schedule i u Sophos Partnera.
  3. Potwierdź licencję Microsoft Entra ID P1 lub P2 dla każdej integracji Entra. Entra ID Free nie stanowi wystarczającej podstawy do planowania.
  4. Wyznacz administratora Sophos, który przeprowadzi konfigurację, oraz administratora Entra uprawnionego do udzielenia zgody administracyjnej dla całego tenanta. Są to odrębne role.
  5. Ustal, czy zostanie podłączony system Microsoft Entra ID, on-premises Active Directory, czy oba. Integracja ITDR nie zastępuje Central Directory Sync.
  6. Wyznacz osobę odpowiedzialną za stały przegląd i obsługę ITDR Findings. Licencja MDR nie przenosi tego rutynowego zadania na Sophos MDR.

Po aktywacji licencji ITDR pojawi się w sekcji My Products > Identity. Konfiguracja rozpoczyna się w sekcji My Products > Identity > Settings. Jeśli brakuje pozycji Identity, nie należy od razu tworzyć integracji. Najpierw trzeba sprawdzić region danych, tenanta, stan licencji i rolę.

1. Sprawdzenie regionu danych przed zakupem licencji i wyborem tenanta

Macierz regionów ITDR z 14 października 2026 r. wskazuje następujące grupy regionów jako dostępne:

  • US i EU
  • CAN – Kanada
  • AUS – Australia
  • JPN – Japonia
  • IND – Indie
  • BRA – Brazylia

UAE jest w tej macierzy oznaczony jako niedostępny dla ITDR. Dodatkową dostępność w Kanadzie, Australii, Japonii, Indiach i Brazylii udostępniono już 10 sierpnia 2026 r. Istniejący tenant w jednym z tych regionów nie jest więc nieodpowiedni wyłącznie ze względu na region. Macierz używa EU jako grupy regionów; nie wywodzi się z tego dodatkowych podregionów EU ani bardziej szczegółowych gwarancji miejsca przechowywania danych. Jeśli przypisanie regionu wyświetlanego na koncie jest niejasne, przed konfiguracją należy wyjaśnić je z Sophos dla tego tenanta.

Decyduje faktyczny region istniejącego tenanta, nie siedziba firmy ani adres rozliczeniowy. Licencja nie znosi regionalnego ograniczenia produktu. Jeśli brakuje Identity w regionie, który jest już obsługiwany, najpierw sprawdza się właściwy tenant, aktywację licencji ITDR i rolę. Anulowanie licencji lub nowy tenant nie są uniwersalnym rozwiązaniem. Regionalnych ograniczeń innych produktów nie wolno traktować jako wykluczeń ITDR.

Dopuszczenie regionu nie jest migracją w miejscu. Zgodnie z ostrzeżeniem dotyczącym regionów wybranego regionu danych tenanta nie można zmienić po zatwierdzeniu; nie gwarantuje to również automatycznego przeniesienia konfiguracji i danych do innego tenanta. W przypadku faktycznie nieobsługiwanego lub niejasnego regionu należy ustalić konkretną ścieżkę z Sophos Partnerem lub pomocą techniczną przed zakupem lub utworzeniem tenanta. Przed nowym tenantem osobno zatwierdza się ochronę i miejsce przechowywania danych, istniejące produkty, integracje i nakład pracy związany z migracją.

2. Oddzielne sprawdzenie licencji Sophos i Microsoft

Połączenie z Entra wiąże się z dwoma niezależnymi wymaganiami licencyjnymi.

Sophos ITDR we właściwym tenancie

Dokumentacja produktu ITDR wymaga aktywnej licencji ITDR license. Dopiero wtedy powinny być dostępne sekcje My Products > Identity lub My Products > Identity > Settings.

Od zapowiedzi produktu z 15 października 2026 r. ITDR jest dostępny jako samodzielne rozwiązanie; Sophos XDR ani Sophos MDR nie są wymagane do zakupu. Natywna integracja z oboma pozostaje dostępna, ale nie oznacza uwzględnienia zakresu funkcji XDR lub usług MDR. Do oceny Sophos oferuje bezpłatny 30-dniowy okres próbny. Również w okresie próbnym obowiązują techniczne wymagania dotyczące regionu, dostawcy i uprawnień; nie zakłada się tu automatycznego przejścia na płatną licencję ani określonej procedury zakończenia okresu próbnego.

Sophos przygotowuje oferty ITDR na podstawie liczby użytkowników. Zapowiedź nie określa jednak ani jednoznacznego SKU do zamówienia, ani dokładnego sposobu liczenia, na przykład gości, kont wyłączonych, kont usługowych lub NHI. Nie wolno więc wyprowadzać zamawianej liczby licencji z łącznej liczby obiektów Directory ani liczby widocznych Risk Scores. Nie gwarantuje się również ogólnego włączenia do pakietu. Przed aktywacją należy potwierdzić na piśmie co najmniej:

  • nazwę i region danych tenanta Fusion;
  • nazwę produktu i okres obowiązywania w License Schedule;
  • uzgodniony zakres, oferowaną liczbę użytkowników z potwierdzonym sposobem liczenia i datę rozpoczęcia;
  • odpowiedzialnego Sophos Partnera;
  • planowane środowiska Entra i AD.

Ogólną aktywację i kontrolę licencji w Sophos Fusion (dawniej Sophos Central) opisano w artykule „Aktywowanie, sprawdzanie i odnawianie licencji Sophos Fusion”. W przypadku ITDR praktyczna kontrola pozostaje niezmienna: pozycja Identity jest widoczna we właściwym tenancie, a przewidziane konto administratora może otworzyć Settings.

Microsoft Entra ID P1 lub P2

Do integracji z Microsoft Entra ID Sophos wymaga licencji Entra ID P1 lub P2. Uprawnienie może wynikać z osobnego produktu, dodatku lub innego planu Microsoft. Jako przykłady Sophos podaje Microsoft 365 E3 i E5, Microsoft Business Premium oraz Microsoft 365 Frontline Worker F1, F3 i F5. Decydujące znaczenie ma jednak faktyczne uprawnienie P1/P2 w podłączanym tenancie, a nie sama nazwa wyświetlana dla zakupionego pakietu.

Entra ID Free nie wystarcza. Wprawdzie edycja Free udostępnia interfejsy API Microsoft, ale ogranicza zakres danych i możliwych do wykonania Posture Checks. Integracja może więc wyświetlać stan Provisioning Failed. Sam techniczny dostęp do endpointu API nie jest dowodem posiadania licencji.

Po przejściu z wersji Free na P1 lub P2 informacje dostarczane przez Microsoft, takie jak stan administratora lub MFA, mogą według Sophos pojawić się z opóźnieniem do tygodnia. Trzeba uwzględnić to opóźnienie w harmonogramie. Po zmianie licencji sprawdź Authentication Methods Activity Report w Microsoft Entra admin center i pamiętaj, że ITDR wyświetli aktualny stan dopiero po zaktualizowaniu danych przez Microsoft.

3. Ustalenie ról przed udzieleniem zgody

Konfiguracja obejmuje dwa obszary administracyjne:

  • Sophos Fusion: instrukcja integracji ITDR wymienia dosłownie Sophos Fusion Administrator role jako wymaganie wstępne.
  • Microsoft Entra ID: używane konto Entra musi mieć możliwość udzielenia zgody administracyjnej dla całego tenanta.

Określenie Sophos Fusion Administrator role jest zbyt nieprecyzyjne, aby wskazać na jego podstawie odrębną rolę predefiniowaną albo minimalną rolę Custom Role. Opublikowane tabele ról Fusion wymieniają Super Admin, Admin, Help Desk, Read-only i User, lecz nie zawierają uprawnienia właściwego dla ITDR ani roli o dokładnie takiej nazwie. Nie da się więc ustalić konkretnej minimalnej roli ITDR: dokumentacja nie potwierdza ani tego, że zawsze wymagana jest rola Super Admin, ani tego, że samodzielnie zdefiniowana Custom Role na pewno wystarczy.

Aby przeprowadzić kontrolowane wdrożenie:

  1. Wybierz istniejące konto Super Admin lub Admin jako konto konfiguracyjne, nie przyznając niepotrzebnie stałych uprawnień Super Admin.
  2. Przed oknem serwisowym sprawdź na tym koncie, czy dostępne są My Products > Identity > Settings > Integrations i planowana czynność konfiguracyjna.
  3. Poproś odrębny zespół administracji Entra o wskazanie konta, które może wykonać operację Grant Tenant Wide Admin Consent.
  4. Zapisz w dzienniku zmian konta Sophos i Microsoft, osobę odpowiedzialną, czas oraz cel udzielenia zgody.
  5. Po konfiguracji przeprowadź test z przewidzianą rolą Fusion o najmniejszych uprawnieniach: dozwolone strony muszą być widoczne, a zmiany wykraczające poza uprawnienia — zablokowane.

Widoczność strony nie dowodzi, że można wprowadzać na niej zmiany. Z kolei bez odpowiedniej licencji uprawnienia zależne od licencji mogą w ogóle nie być dostępne. Szczegóły dotyczące ról predefiniowanych i niestandardowych zawiera artykuł „Prawidłowe przypisywanie ról administracyjnych Sophos Fusion”. Ani tamten, ani niniejszy artykuł nie potwierdza istnienia konkretnej „ITDR Custom Role”, dopóki Sophos nie opublikuje możliwej do zweryfikowania macierzy uprawnień ITDR.

4. Wybór dostawców tożsamości i zakresu monitorowanych tożsamości

ITDR obsługuje następujących dostawców tożsamości:

  • Microsoft Entra ID dla danych tożsamości w chmurze;
  • on-premises Active Directory za pośrednictwem osobnego sensora ITDR.

W sekcji Identity Settings można dodać wiele tenantów Microsoft Entra ID. Nie oznacza to, że jednorazowa kontrola licencji, zgody lub odpowiedzialności automatycznie obejmuje wszystkie tenanty. Dla każdego połączenia należy udokumentować identyfikator lub unikatową nazwę tenanta, uprawnienie P1/P2, konto użyte do wyrażenia zgody, osobę odpowiedzialną za eksploatację oraz oczekiwany zakres.

Monitorowany zbiór obejmuje aktywne tożsamości ludzkie i niebędące ludźmi:

  • Human identities: na przykład pracownicy, goście i użytkownicy zewnętrzni.
  • Non-Human Identities (NHI): na przykład aplikacje, Service Principals, Service Accounts, maszyny i inne tożsamości, które uwierzytelniają lub autoryzują dostęp albo wykonują transakcje między systemami.

Widoczność obejmuje również agentów AI Microsoft wraz z ich prawami dostępu i powiązaniami odpowiedzialności. Tożsamość wykonawczą, Blueprint Principal i opcjonalne sparowane konto użytkownika analizuje się oddzielnie w szczegółach Directory i NHI.

Widoczność nie oznacza objęcia punktacją: aktualne FAQ produktu nadal ogranicza Risk Scores do aktywnych tożsamości użytkowników; Service Principals, aplikacje oraz użytkownicy usunięci lub wyłączeni nie otrzymują wyniku. Szerszej zapowiedzi oceny każdej tożsamości ludzkiej i niebędącej człowiekiem nie można więc traktować jako wiarygodnego potwierdzenia ogólnej dostępności. Przy planowaniu i odbiorze obowiązuje udokumentowany zakres użytkowników; jeśli potrzebny jest wynik NHI, trzeba wcześniej potwierdzić go dla konkretnego tenanta. Granice Identity Risk Score wyjaśniają to rozróżnienie.

5. Podział odpowiedzialności między klienta i MDR

ITDR to oprogramowanie, które monitoruje klient, a nie usługa zarządzana. Proces operacyjny po stronie klienta musi zatem wskazywać osobę odpowiedzialną i jej zastępcę, określać terminy triage’u oraz opisywać zakres odpowiedzialności i procedurę usuwania problemów.

Jeśli Sophos MDR jest licencjonowany oddzielnie, MDR Operations Team bada również zagrożenia dotyczące tożsamości. Obowiązują przy tym wyraźne granice:

  • MDR koncentruje się przede wszystkim na aktywnych zagrożeniach dotyczących tożsamości.
  • MDR analizuje tylko część krytycznych Findings lub Findings o wysokiej wadze, które mogą wskazywać na aktywne zagrożenie.
  • Klient nadal odpowiada za ciągłe monitorowanie i obsługę ITDR Findings.
  • Dodatkowy kontekst Entra ID może pomóc MDR szybciej oceniać powiązanych użytkowników i ryzyka w dochodzeniach dotyczących i niedotyczących tożsamości.

Licencja MDR nie zapewnia więc pełnego triage’u wszystkich ITDR Findings ani automatycznego usunięcia wszystkich ryzyk związanych z tożsamością. Przed uruchomieniem produkcyjnym trzeba ustalić, kto obsługuje zwykłe Findings, kiedy aktywny incydent jest eskalowany do MDR oraz kto zatwierdza zmiany w Entra ID lub AD.

6. Zachowanie granic między produktami

ITDR uzupełnia inne funkcje Sophos, ale ich nie zastępuje. Zachowanie tego rozróżnienia zapobiega błędnemu uznaniu udanego uruchomienia ITDR za odbiór innych produktów.

Central Directory Sync

Integracje sensorów Entra i AD dostarczają do ITDR dane o tożsamościach i katalogach na potrzeby Posture, Directory i Findings. Monitorowanie dark webu konfiguruje się osobno dla domen automatycznie zaimportowanych z Entra albo dodanych i zweryfikowanych ręcznie. Ani te integracje ITDR, ani monitorowanie dark webu nie zastępują Central Directory Sync. Skonfigurowane środowisko ITDR nie potwierdza więc synchronizacji użytkowników lub grup Central na potrzeby innych produktów i nie zastępuje reguł mapowania, filtrowania ani usuwania. Wymagania dotyczące odrębnej synchronizacji katalogów opisano w artykule „Sophos Central Directory Sync: wymagania i architektura”.

XDR i MDR

ITDR Findings nie są tym samym co XDR Detections. Sophos opisuje obecnie automatyczne grupowanie Findings wysokiego ryzyka w kontekstowe Cases i bezpośrednie możliwości reakcji z ITDR. Nie zmienia to automatycznie pojedynczego Finding w XDR Detection ani nie utożsamia statusów Finding i Case; omówienie Cases i reakcji rozróżnia te poziomy. Uprawnień licencyjnych i ról XDR nadal nie wolno interpretować jako licencji lub uprawnień ITDR. MDR jest oddzielnie licencjonowaną usługą o ograniczonym zakresie dochodzeń opisanym powyżej; nie przejmuje codziennej obsługi Findings.

Firewall, NDR i Active Threat Response

Funkcje tożsamości Sophos Firewall, NDR lub NDR Essentials oraz Active Threat Response pozostają odrębnymi produktami lub procesami. Identity widoczna w ITDR nie konfiguruje reguły zapory, nie weryfikuje sensora NDR ani nie uruchamia automatycznie działania zapory lub ATR. Integracje te wymagają własnych kontroli licencji, ról, danych i odbioru.

ZTNA

Sophos ZTNA kontroluje dostęp do aplikacji przy użyciu własnej konfiguracji gatewaya, connectora, polityki i Identity. ITDR ocenia ryzyka i błędne konfiguracje dotyczące tożsamości; nie udostępnia automatycznie ścieżki dostępu ZTNA ani nie zastępuje polityki ZTNA. Wspólne źródło Identity nie sprawia, że procesy obu produktów stają się identyczne.

7. Odbiór przed rozpoczęciem technicznego onboardingu

Autoryzację Entra lub wdrożenie sensora należy rozpocząć dopiero po udokumentowaniu następujących punktów:

  • Zidentyfikowano konkretny tenant Fusion i jego region.
  • Region tenanta przypisano do dopuszczonej grupy ITDR US, EU, CAN, AUS, JPN, IND lub BRA; UAE nie jest dopuszczony, a niejasne przypisanie wyjaśniono przed konfiguracją.
  • Licencja ITDR jest aktywna we właściwym tenancie, a pozycja My Products > Identity jest widoczna.
  • Zapisano License Schedule, okres obowiązywania i dane kontaktowe partnera; potwierdzono liczbę użytkowników przyjętą do oferty i sposób jej liczenia. Nie przyjęto niepotwierdzonego SKU ani przelicznika ilościowego.
  • Dla każdego tenanta Entra potwierdzono uprawnienie P1 lub P2.
  • Dla każdego dostawcy udokumentowano tenanta lub domenę, osobę odpowiedzialną i wymagany zakres.
  • Konto konfiguracyjne Fusion może otworzyć Identity > Settings > Integrations i wykonać wymaganą czynność.
  • Osobne konto Entra może udzielić zgody administracyjnej dla całego tenanta.
  • Tożsamości ludzkie i NHI uwzględniono w oczekiwanym zakresie.
  • Określono odpowiedzialność klienta za Findings i ewentualną eskalację do MDR.
  • Directory Sync, XDR, MDR, Firewall/NDR/ATR i ZTNA potraktowano jako odrębne procesy.

Kryterium powodzenia: przygotowanie można uznać za zakończone dopiero po potwierdzeniu widoczności pozycji menu oraz udokumentowaniu regionu, obu poziomów licencji, obu obszarów administracyjnych, zakresu każdego dostawcy i osoby odpowiedzialnej za eksploatację. Następnie należy osobno zweryfikować samą integrację i jakość jej danych.

Ograniczenia dokumentacji

Artykuł opiera się na materiałach dotyczących produktów, ról i najczęściej zadawanych pytań przeanalizowanych na dzień 20 września 2026 r.; dostępność regionów zaktualizowano 16 października 2026 r. na podstawie macierzy z 14 października 2026 r. i informacji o wydaniu z 10 sierpnia 2026 r. Dostępność samodzielnego rozwiązania, okres próbny, podstawę oferty i omówienie Cases uzupełniono 20 października 2026 r. na podstawie nowych zapowiedzi; zakres punktacji sprawdzono względem aktualnego FAQ produktu. Artykuł nie opisuje własnych testów produktu ani testów laboratoryjnych. Dostępne materiały nie obejmują w szczególności:

  • jednoznacznego publicznego SKU produktu ITDR ani ogólnego modelu naliczania licencji;
  • dokładnej minimalnej roli ITDR Custom Role ani nazw poszczególnych uprawnień ITDR;
  • migracji w miejscu między regionami danych Fusion;
  • zobowiązania właściwego dla ITDR dotyczącego okresu przechowywania lub końca cyklu życia;
  • automatycznego wpływu ITDR na Central Directory Sync, XDR, Firewall, NDR, Active Threat Response lub ZTNA.

Jeśli którykolwiek z tych punktów jest potrzebny do podjęcia decyzji dotyczącej zakupu, ochrony danych lub uprawnień, przed konfiguracją należy uzyskać jego potwierdzenie dla konkretnego tenanta od Sophos Partnera lub Sophos Support, zamiast wywodzić go z dokumentacji powiązanych produktów.