Sophos MDR: konfiguracja kontaktów i Threat Response

Sophos MDR wymaga co najmniej jednej upoważnionej osoby kontaktowej, zanim będzie można konfigurować pozostałe ustawienia MDR lub korzystać z usługi. Do codziennej obsługi Avanet zaleca co najmniej dwa dostępne kontakty. Następnie należy świadomie ustalić, czy zespół MDR może reagować samodzielnie, czy potrzebuje wcześniejszej zgody. Sama aktywacja umowy nie zastępuje tego przygotowania.

W Sophos Fusion (dawniej Sophos Central) ikona Global Settings prowadzi do Products & Services > MDR: najpierw zapisz Authorized Contacts, potem zatwierdź i zapisz Threat Response, a następnie uzupełnij Additional Settings. Na koniec ponownie otwórz wszystkie trzy karty i porównaj je z zatwierdzonym stanem docelowym. Ta kontrola nie wywołuje ataku ani działania reagowania.

Ustal odpowiedzialność i dostęp przed konfiguracją

Potrzebna jest aktywna licencja MDR na właściwym koncie klienta oraz dostęp administracyjny pozwalający edytować ustawienia MDR. Po aktywacji licencji Sophos Fusion może poprosić o konfigurację przy pierwszym logowaniu. Ustawienia pozostają później dostępne w Global Settings > Products & Services > MDR. Jeśli brakuje kart lub opcji edycji, sprawdź konto, licencję i efektywne uprawnienia; rola kontaktu dostępnego do wyboru nie dowodzi istnienia ogólnej minimalnej roli dla wszystkich zmian ustawień.

Przed zmianą zapisz w zgłoszeniu zmiany z kontrolą dostępu dotychczasowe kontakty wraz z kolejnością, numerami telefonów, opcjami powiadomień, trybem reagowania i stanem pola Collaborate. Przy pierwszej konfiguracji udokumentuj zamiast tego uzgodniony stan docelowy. Osoby kontaktowe muszą wiedzieć, że mają odbierać pytania MDR i doprowadzać do podjęcia decyzji wewnętrznej, również poza godzinami pracy.

1. Wprowadź i zapisz Authorized Contacts

Kontakty MDR są oficjalnym kanałem komunikacji między zespołem MDR a organizacją. W przypadku aktywnego zagrożenia Sophos próbuje kolejno skontaktować się ze wskazanymi osobami, aż ktoś odpowie. To odrębna konfiguracja od Authorized Contacts w Managed Risk; zapisane tam kontakty nie zastępują konfiguracji MDR.

1. Otwórz ikonę Global Settings i wybierz Products & Services > MDR > Authorized Contacts.
2. W Primary wybierz planowanego administratora Sophos Fusion. Dopuszczalne role to Super Admin, Admin lub Help Desk. Jeśli brakuje odpowiedniego konta, Create new Central administrator umożliwia jego utworzenie. Przydzielaj role administracyjne według rzeczywistych zadań, bez nadawania Super Admin na zapas.
3. Wprowadź dane kontaktowe. Sprawdź, czy numer telefonu zawiera numer kierunkowy kraju; przy istniejących numerach bez niego strona może poprosić o uzupełnienie. Najważniejszy jest numer, pod którym odpowiedzialna osoba jest faktycznie dostępna.
4. W razie potrzeby wybierz Secondary i Tertiary oraz uzupełnij ich dane. Łącznie możliwe są maksymalnie trzy kontakty. Obowiązkowy jest co najmniej Primary; drugi kontakt zapewnia zastępstwo podczas nieobecności. Kolejność powinna odpowiadać własnemu procesowi dyżurów.
5. Świadomie sprawdź pola rezygnacji z MDR reports i broadcast announcements. Dotyczą tych wiadomości i nie zastępują sprawnego kanału komunikacji dotyczącej incydentów.
6. Wybierz Save. Opuść kartę, otwórz ją ponownie i odczytaj zapisany wybór, kolejność, numery telefonów oraz stan rezygnacji.

Avanet preferuje jednoznacznie przypisane konta i ustalone zastępstwo. Sophos opisuje również konta administratora z adresem listy dystrybucyjnej i zaleca dla nich Help Desk ze względu na mniejsze uprawnienia. Sama lista nie dowodzi jednak ani dostępności telefonicznej, ani jasnej odpowiedzialności; nie nadaje się kontu rozszerzonych praw wyłącznie na potrzeby powiadomień.

2. Świadomie wybierz Threat Response

W Global Settings > Products & Services > MDR > Threat Response dostępne są trzy tryby dla MDR i MDR Plus. Wybór określa uprawnienia; rzeczywisty zakres świadczenia zależy również od zakupionej usługi i dostępnych możliwości technicznych.

• Authorize: Zespół MDR może samodzielnie wykonywać działania ograniczające zagrożenie i następnie informuje o przeprowadzonych akcjach. Zgodnie z aktualnym zakresem usługi pełna neutralizacja należy do MDR Plus. Zadania, których Sophos nie może wykonać samodzielnie, pozostają po stronie organizacji.
• Collaborate: Zespół MDR prowadzi dochodzenie i uzgadnia reakcję z kontaktami. Przed działaniami reagowania potrzebuje ustnej lub pisemnej zgody albo aktywnego udziału organizacji. Wewnątrz organizacji musi być więc dostępna osoba uprawniona do podejmowania decyzji.
• Notify Only: Zespół MDR powiadamia kontakty i może prowadzić dochodzenie tylko w ograniczonym zakresie. Nie może ani ograniczać, ani neutralizować zagrożeń. Ten tryb nie jest równoważną alternatywą dla gotowego procesu reagowania i nie jest zalecany na dłuższy okres.

Sophos zaleca Authorize lub Collaborate. Przed zapisaniem ustal z osobami odpowiedzialnymi za incydenty, który wariant pasuje do organizacji: czy Sophos ma móc natychmiast ograniczyć potwierdzone zagrożenie, czy organizacja potrafi niezawodnie dostarczyć każdą wymaganą zgodę?

Pole w Collaborate jest dodatkową uprzednią autoryzacją

W Collaborate można osobno zezwolić zespołowi MDR na działanie tak jak w trybie Authorize, jeżeli po próbach telefonicznego kontaktu ze wszystkimi skonfigurowanymi kontaktami nie wpłynie potwierdzenie. Bez tego pola nadal wymagana jest zgoda przed działaniami reagowania. Nie jest to czwarty równorzędny tryb.

Wyraźnie zapisz zgodę na ten wariant awaryjny w zgłoszeniu zmiany. Sam wybór Collaborate nie określa jeszcze, czy wariant awaryjny został zatwierdzony. Nie należy też zakładać stałego czasu oczekiwania przed interwencją.

Po podjęciu decyzji ustaw wybrany tryb i ewentualnie pole wyboru, a następnie wybierz Save. Otwórz kartę ponownie i porównaj obie wartości oddzielnie z zatwierdzonym stanem. Przy rozbieżności nie zakładaj, że zmiana została skutecznie zastosowana: wyjaśnij konto, zapisany wybór i ewentualne równoległe zmiany.

3. Określ granice Live Response i urządzenia wrażliwe

Przy Authorize Sophos prosi o włączenie Live Response. Ten dostęp pozwala zespołowi MDR pracować na urządzeniach. Sam zatwierdzony tryb reagowania nie dowodzi ani skutecznej polityki urządzenia, ani skonfigurowanej integracji reagowania.

Przed udzieleniem zgody umieść w osobnej grupie wrażliwe komputery lub serwery, do których MDR nie może uzyskiwać dostępu przez Live Response. W My Products > Endpoint > Policies albo My Products > Server > Policies zastosuj do tej grupy politykę Data Collection and Investigation z wyłączonym Live Response. Polityki komputerów i serwerów rozpatruj osobno. Przed zapisaniem sprawdź zakres grupy i dotychczasowe przypisanie polityki, aby przypadkowo nie otworzyć lub zablokować dostępu do całego środowiska.

Po zmianie sprawdź efektywne przypisanie i ustawienie Live Response zarówno na planowanym urządzeniu, jak i na urządzeniu wyłączonym z tego dostępu. Nie uruchamiaj w tym celu sesji. Wyłączenie Live Response nie stanowi ogólnego wyjątku od MDR, innych funkcji ochrony ani wszystkich działań reagowania; ogranicza ten konkretny dostęp do urządzenia. Wyjątek może utrudniać dochodzenie lub usuwanie zagrożenia, dlatego wymaga odpowiedzialnego kontaktu lokalnego. Izolacja i Live Response wyjaśnia szczegółowe granice polityk, ról i dostępu.

Działania w produktach innych firm przygotowuje się osobno przez integracje MDR i XDR. Pobieranie danych nie oznacza automatycznie uprawnień zapisu w systemie źródłowym. Również lokalna akcja feedu zapory Log only lub Log and drop pozostaje odrębna od trybu reagowania MDR; dotyczy jej runbook MDR Threat Feeds.

4. Sprawdź kontekst organizacji i agentów

W Global Settings > Products & Services > MDR > Additional Settings wprowadź właściwy Industry Vertical, główną lokalizację organizacji i rzeczywiście używane podsieci. Ten kontekst pomaga zespołowi MDR interpretować aktywności. Wprowadź rzeczywiste, zatwierdzone wewnętrznie dane inwentaryzacyjne, a nie przykładowe sieci lub ogólne zakresy niezwiązane ze środowiskiem. Następnie wybierz Save, ponownie otwórz kartę i porównaj zapisane wartości.

Do korzystania z MDR każdy odpowiedni komputer lub serwer potrzebuje agenta Sophos obsługującego MDR. Ustawienie kontaktów nie instaluje agenta i samo nie dostarcza telemetrii. Jeśli brakuje urządzeń lub stan agentów jest niejasny, kontynuuj inwentaryzację według ścieżki onboardingu Endpoint. Nie uznawaj konfiguracji za kompletną, dopóki planowane urządzenia i źródła danych pozostają niewyjaśnione.

Odbiór bez ataku i testu reagowania

Odbiór obejmuje zapisaną konfigurację i dostępność organizacyjną, a nie sztucznie wywołaną Detection:

1. Ponownie otwórz Authorized Contacts, Threat Response i Additional Settings. Porównaj zapisane wartości z zatwierdzonym zgłoszeniem; przy Collaborate uwzględnij wyraźnie pole wyboru.
2. Uzgodnij wewnętrznie z Primary i zastępcą numery telefonów, numery kierunkowe krajów, dostępność i ścieżkę zatwierdzania działań przy incydencie. Uzgodniony wewnętrzny telefon kontrolny może sprawdzić zapisany numer, ale nie dowodzi działania ścieżki połączeń od Sophos.
3. Wraz z administratorami poczty sprawdź, czy istniejące autentyczne wiadomości MDR docierają do właściwych odbiorców i nie trafiają do spamu lub kwarantanny. Bez takiego dowodu zewnętrzne dostarczanie poczty MDR pozostaje niepotwierdzone. Nie dowodzi go ani wewnętrzny test poczty, ani zapisany kontakt. Bez zweryfikowanych aktualnych danych nadawców nie zezwalaj zbiorczo na całe domeny ani nie wyłączaj kontroli poczty.
4. Sprawdź planowaną inwentaryzację agentów, efektywne polityki Live Response i udokumentowane wyjątki. Nie uruchamiaj zdalnej powłoki, izolacji ani innych działań produkcyjnych na potrzeby odbioru.
5. Udokumentuj osoby odpowiedzialne, datę sprawdzenia i otwarte kwestie dostarczania lub inwentaryzacji. Brakujące dowody pozostają otwarte i należy je wyjaśnić z MDR lub administratorami poczty; nie zastępuje się ich incydentem testowym.

W dalszej eksploatacji wymagane działania klienta podlegają granicom statusu i odpowiedzialności danego Case. Assignee i Managed By nie są pojęciami zamiennymi. Oddzielne procesy dla Classic i aktualnych Cases MDR opisano w Cases i Detection Rules.

Gdy konfiguracja nie odpowiada stanowi docelowemu

• Pozostałe ustawienia MDR nie są jeszcze dostępne: Najpierw sprawdź, czy na właściwym koncie klienta co najmniej Primary został kompletnie wprowadzony i zapisany przez Save. Nie używaj zamiast tego strony Managed Risk o tej samej nazwie.
• Wybranej osoby brakuje w Primary: Sprawdź konto administratora i jego rolę. Super Admin, Admin lub Help Desk to udokumentowane role kontaktów; rola kontaktu i uprawnienia edycji innych funkcji pozostają oddzielne.
• MDR nie może się z nikim skontaktować: Sprawdź kolejność, numer kierunkowy kraju, zastępstwo i rzeczywistą gotowość dyżurową. Nie zakładaj automatycznej reakcji w Collaborate, dopóki dodatkowe pole nie zostało świadomie zatwierdzone i zapisane.
• Brakuje wiadomości: Sprawdź przypisanie odbiorców, kwarantannę i istniejące logi dostarczania. Konkretną listę dozwolonych nadawców ustala się dopiero na podstawie aktualnych, zweryfikowanych danych MDR, a nie domniemanego adresu.
• Live Response nadal jest dozwolone na wrażliwym urządzeniu: Sprawdź faktycznie przypisaną politykę Endpoint lub Server i przynależność do grupy. Planowany wyjątek działa dopiero wtedy, gdy właściwa polityka obejmuje właściwe urządzenie.

Przy błędnym kontakcie lub przypadkowej zmianie trybu wprowadź udokumentowane poprzednie wartości dopiero po uzgodnieniu z osobą odpowiedzialną za incydenty, zapisz je i ponownie odczytaj. Nie cofa to działań MDR już wykonanych. W trakcie trwającego incydentu uzgadniaj zmianę uprawnień do reagowania z zespołem MDR; przywrócenie ustawień nie jest technicznym wycofaniem skutków incydentu.