Sophos Security Heartbeat i Synchronized Security
Security Heartbeat przekazuje stan zabezpieczeń zarządzanego Sophos Endpoint do zarejestrowanego Sophos Firewall. Sam niczego nie izoluje: reakcję sieciową musi zastosować pasująca reguła Firewall albo funkcja Endpoint Reject connections from other devices.
Należy rozdzielić trzy mechanizmy:
- Security Heartbeat: wymiana stanu i tożsamości między Endpoint i Firewall; Firewall może sterować dostępem źródłowym i docelowym.
- Synchronized Security: ogólna nazwa reakcji używających Heartbeat, w tym reguł Firewall i rozsyłanego przez Sophos Fusion odrzucania niebezpiecznych urządzeń w tej samej podsieci.
- Active Threat Response (ATR): izoluje przez Sophos Switches i AP6 urządzenia wskazane przez zewnętrznych użytkowników API lub analityków MDR/XDR. Nie jest kolorem Heartbeat ani izolacją Endpoint.
Wymagania i aktywacja
Sophos wymaga konta Sophos Fusion (dawniej Sophos Central), licencji próbnej lub pełnej dla co najmniej jednego Endpointu zarządzanego przez Sophos Fusion oraz subskrypcji Network Protection na Firewallu. Oba produkty muszą należeć do tej samej organizacji we właściwym tenancie Sophos Fusion.
Zarejestruj Firewall w System > Sophos Central. SFOS automatycznie włącza Security Heartbeat i Synchronized Application Control. Komunikat A new firewall has been successfully registered to Sophos Central w My Products > Firewall Management > Firewalls potwierdza tylko rejestrację, nie Heartbeat Endpointu ani działanie reguły. Zobacz Łączenie Sophos Firewall z Sophos Fusion.
Każdy Endpoint otrzymuje certyfikat Sophos Fusion udostępniany Firewallowi do identyfikacji organizacji. Szyfrowane TLS używa 52.5.76.173 i TCP 8347; sama dostępność nie potwierdza właściwego tenantu ani certyfikatu.
Interpretacja stanów Heartbeat
Endpoint wysyła stan co 15 sekund, a przy pierwszym połączeniu również interfejsy i zalogowanych użytkowników.
| Stan | Znaczenie i dalsze działanie |
|---|---|
| Green | Ochrona działa, bez aktywnego/nieaktywnego malware i PUA. Sprawdź baseline i zwykły dostęp. |
| Yellow | Na przykład PUA, nieaktywne malware albo brak aktualizacji sygnatur przez 24 godziny. Oceń alert. |
| Red | Na przykład aktywne/nieusunięte malware, szkodliwy ruch lub wadliwa ochrona. Natychmiast zbadaj alert i urządzenie. |
| Missing | Firewall nadal widzi ruch, ale nie otrzymał trzech kolejnych Heartbeat. Najpierw traktuj jako stan komunikacji lub przypisania, nie automatycznie malware. |
Yellow jest zwykle stanem przejściowym i sam w sobie nie wymaga działań naprawczych w celu przywrócenia zdrowego stanu. Mimo to sprawdź alert, aby zrozumieć przyczynę. Jeśli wykryto PUA lub malware, możesz wybrać ukierunkowane działanie odpowiednie do ustaleń.
Połączenie ze znanym szkodliwym hostem może wywołać Red. Konkretny event i raport pokazują, czy pierwotne wykrycie pochodzi z Endpoint, Firewall czy innego komponentu; sam kolor tego nie dowodzi.
Świadomy wybór reakcji sieciowej
Dostęp w regule Firewall
Pola znajdują się w Rules and policies > Firewall rules > [reguła] > Configure Synchronized Security Heartbeat:
- Minimum source HB permitted wymaga Green lub Yellow dla źródła; No restriction dopuszcza Red lub brak Heartbeat.
- Block clients with no heartbeat dotyczy źródeł bez Heartbeat.
- Minimum destination HB permitted sprawdza cele wewnętrzne, nie strefę WAN.
- Block request to destination with no heartbeat dotyczy wewnętrznych celów bez Heartbeat.
Urządzenie, które nigdy nie wysłało Heartbeat, jest domyślnie dozwolone. Według Sophos obejmą je dopiero obie włączone opcje Block clients with no heartbeat i Block request to destination with no heartbeat. Web Exception pomijający Policy checks może też dopuścić ruch web mimo pierwszej opcji.
Stosuj wąską regułę pilotażową dla faktycznie zarządzanych Sophos Endpointów. Drukarki, goście, IoT i urządzenia z innym EDR wymagają osobnych reguł. Zobacz Planowanie reguł Sophos Firewall.
Odrzucanie połączeń bocznych na Endpointach
W Sophos Fusion otwórz ikonę Global Settings, potem Protection and Remediation > Synchronized Security. W Reject connections from other devices opcja Allow devices to reject connections from other devices with red health włącza reakcję tylko dla urządzeń połączonych z Sophos Firewall.
Przy Red lub Missing pozostałe zarządzane urządzenia w podsieci otrzymują informację. Cel zapisuje Access request from computer
Serwery krytyczne można wykluczyć. Update Caches i Message Relays są wykluczone domyślnie, aby zachować aktualizacje i komunikację. Każdy dodatkowy wyjątek wymaga właściciela, uzasadnienia i terminu przeglądu.
Spam i wirusy to proces Sophos Email
Scan computers that send spam or viruses wymaga licencji Sophos Endpoint i Sophos Email. Gdy z mailbox w dziesięć minut wyjdzie co najmniej pięć wiadomości sklasyfikowanych jako spam lub wirus, Sophos Email identyfikuje właściciela i urządzenia, blokuje mailbox początkowo na godzinę i uruchamia skanowanie on-demand.
Kolejne wyzwolenie po zakończeniu blokady podwaja czas. Po sześciu blokada jest trwała i wymaga Sophos Support. Wyłączenie opcji zatrzymuje tylko skan Endpoint, nie blokadę Email. Oddzielnie sprawdź event Email, przypisanie użytkownik–urządzenia i skan.
Pilotaż i odbiór
- Wybierz jeden zarządzany Endpoint i wąską regułę; udokumentuj zwykły dostęp, cele naprawcze i niezależny dostęp admina.
- Sprawdź stan i eventy tego samego komputera w Sophos Fusion oraz Control Center > User & device insights > Security Heartbeat na Firewallu. Przy samym Green widok szczegółowy nie wyświetla Endpointów.
- Włącz logging, wykonaj dozwolony przepływ i zanotuj IP źródła, cel, Rule ID i czas.
- Użyj zatwierdzonego testu Sophos bez zatrzymywania agenta, manipulacji ochroną ani prawdziwego malware. Zobacz Testowanie Sophos Endpoint.
- Porównaj alert Sophos Fusion, event Endpoint, widok Heartbeat i log Firewall w tym samym czasie. Może zadziałać tylko skonfigurowana reakcja.
- Po oczyszczeniu potwierdź Green i zwykły dostęp, zanim rozszerzysz zakres.
Diagnostyka według objawu
- Missing: sprawdź strefę, ścieżkę, zmianę adaptera, VPN/NAT, czas i przypisanie Sophos Fusion; użyj procedury Missing Heartbeat.
- Sophos Fusion i Firewall różnią się: porównaj to samo urządzenie/czas, rejestrację, stan online, komunikację certyfikat/Sophos Fusion i eventy. Nie wyrejestrowuj ani nie twórz wyjątku globalnego.
- Nieoczekiwana blokada: komunikaty Endpoint wskazują odrzucanie boczne; log Firewall z Rule ID i warunkiem Heartbeat wskazuje regułę.
- Opóźnienie przez switch/LAG: Sophos dokumentuje obsługiwany detection delay w Device Console. Zapisz bieżącą wartość i powrót przed zmianą.
- Dwa Endpointy dzielą dock/USB: SFOS 22.0 MR2 Build 546 naprawia fałszywe Missing w
NC-176012. W starszych buildach SFOS 22 sprawdź zainstalowaną wersję i zaplanuj zmianę firmware, a następnie ponownie przetestuj problematyczny dock lub USB zamiast tylko zwiększać timer. - Przyczyna nieznana: zachowaj czas, Endpoint ID, stan/eventy, Rule ID, IP/MAC i interfejsy. Użyj poniższego zestawu właściwego dla przypadku; Self Help i SDU opisuje bezpieczną obsługę.
Przygotowanie przypadku Endpoint Health dla supportu
Sophos Minimum Escalation Requirements dla Windows Endpoint i Windows Server rozdzielają przypadki stanu, usługi, zagrożenia, izolacji i Synchronized Security. Zawsze dołącz własną analizę: pierwszy istotny błąd, czas, sprawdzoną hipotezę i wynik.
- Nieprawidłowy stan Red/Amber: zapisz przyczynę i widoczny stan na zrzucie, potwierdź ten sam stan w Sophos Fusion i ustal, czy problem trwa, czy jest starym pozostałym wpisem. Użyj Reset health status tylko jako kontrolowanego testu, a następnie sprawdź, czy stan pozostaje zdrowy, czy wraca z tym samym eventem; dołącz SDU i analizę.
- Zatrzymana lub brakująca usługa albo zatrzymany lub brakujący proces: zapisz stronę Services i komunikat w Endpoint Self Help, wykonaj zalecenia z odsyłacza i sprawdź właściwy log. Zarejestruj powtarzalny błąd startu przez Process Monitor uruchomiony jako Administrator, wybierając Enable Advanced Output w Filter oraz All events przy zapisie. Potem zbierz SDU z tego samego czasu. Zatrzymaj i chroń zapis, bo może zawierać procesy, ścieżki i dane użytkowników.
- Nierozwiązane zagrożenie: znajdź to samo zagrożenie lokalnie i na stronie Sophos Fusion Events. Jeśli jest obecne, najpierw spróbuj rozwiązania w Sophos Fusion; jeśli go nie ma, przetestuj Reset health status w sposób kontrolowany. Reset nie usuwa zagrożenia i nie zastępuje kontroli nawrotu. Dołącz wynik, SDU i analizę.
- Urządzenie nie wchodzi w izolację: sprawdź, czy urządzenie znajduje się na liście wyjątków od izolacji lub czy jest domyślnie wykluczone. Automatyczna izolacja wymaga aktywnej Policy i faktycznego stanu Red. Sprawdź komunikację Sophos Fusion, a dla Reject connections from other devices stan Heartbeat w Endpoint Self Help > Operations.
- Urządzenie nie wychodzi z izolacji: stan musi być zdrowy, a komunikacja Sophos Fusion sprawna; dla urządzenia wykluczonego sprawdź też skonfigurowany wyjątek. W obu kierunkach zachowaj obserwacje, SDU i analizę przed zmianą Policy lub wyjątków.
- Security Heartbeat nie łączy się: najpierw potwierdź jego włączenie na Sophos Firewall. Porównaj w tym samym czasie Endpoint Self Help > Operations, błędy w
Heartbeat.logi w plikuheartbeatd.logz Sophos Firewall. Włącz DEBUG tylko dla procesu Heartbeat i krótkiej reprodukcji, potem przywróć poprzedni poziom i zbierz SDU. Zamknięcie wymaga połączenia w Operations, braku nowych zgodnych błędów i powrotu oczekiwanego dostępu.
Rozróżnienie ATR i izolacji Endpoint
Sophos Fusion ATR w Global Settings > Protection and Remediation > Allow and Block > Network > Active Threat Response dotyczy Sophos Switches i AP6. Zewnętrzni użytkownicy API lub analitycy MDR/XDR izolują MAC przez te urządzenia. Na AP6 ATR ma pierwszeństwo przed MAC Filtering Allowed list SSID.
To inna ścieżka niż reguła Heartbeat, odrzucanie boczne i ręczna izolacja Endpoint. Dla tej ostatniej zobacz Izolowanie Endpointu i Live Response. Stan ATR nie dowodzi Red Heartbeat ani akcji Endpoint.