Sophos MDR: o que assume a Sophos e o cliente?

Às três da manhã, um atacante começa a propagar-se pela rede da empresa. O software de proteção comunica atividades suspeitas. Mas quem investiga o alerta, decide isolar um servidor e informa os responsáveis?

O Sophos MDR disponibiliza uma equipa de analistas permanentemente para esse efeito. Managed Detection and Response inclui deteção, investigação e prestações de resposta acordadas. Isto alivia a própria equipa de TI. Mas não substitui a sua responsabilidade operacional nem a preparação para um incidente.

Este artigo, originalmente publicado em 2022, foi revisto para refletir o serviço atual. A transição de MTR para MDR da altura continua relevante como enquadramento histórico; as antigas tabelas de pacotes não constituem uma base atual para encomendas.

O que assume concretamente a Sophos?

Os analistas avaliam os alertas de segurança disponíveis, investigam relações suspeitas e tratam os incidentes daí resultantes. Para isso, utilizam a telemetria dos sistemas ligados. A gestão é efetuada no Sophos Fusion, anteriormente Sophos Central.

Consoante as prestações contratadas e os poderes concedidos, a equipa pode, por exemplo, isolar um computador acessível, terminar um processo malicioso ou bloquear um início de sessão e revogar sessões através de uma integração de resposta do Microsoft 365 configurada. São intervenções concretas. Para tal, têm de existir a função correspondente, o acesso técnico e a permissão necessária.

Um pormenor importante está no âmbito do serviço: a documentação atual da Sophos sobre os modos de resposta distingue entre contenção e neutralização completa. Atribui esta última ao MDR Plus. Uma promessa genérica como «o MDR resolve completamente todos os incidentes» não é, por isso, uma descrição útil das prestações. O que conta é o serviço contratado.

A Sophos pode agir imediatamente?

A empresa define um modo de resposta. Esta decisão deve ser tomada antes do primeiro incidente, porque um alerta urgente não confere, por si só, autorização para agir.

Em Collaborate, é possível permitir adicionalmente a mudança para Authorize após tentativas telefónicas sem sucesso junto de todos os contactos registados. Esta opção tem de ser ativada expressamente. Sem ela, a equipa não pode interpretar a falta de contacto como consentimento.

A configuração dos contactos de MDR e de Threat Response explica as definições. É necessário pelo menos um contacto principal autorizado. É útil acrescentar outros contactos para que férias, doença ou um único telefone desligado não interrompam o processo. Contudo, registar um número não substitui uma disponibilidade organizada internamente.

Terceiros: ver dados não equivale a intervir

O MDR também pode incorporar dados de segurança de outros fabricantes. Os produtos existentes não têm, por isso, de ser substituídos indiscriminadamente por Sophos. É necessário verificar, para o produto concreto, os dados fornecidos por uma integração e as respostas que permite. O guia de integrações MDR/XDR ajuda na configuração e na verificação.

Um conector exclusivamente de dados pode fornecer alertas sem permitir bloquear contas ou isolar dispositivos. Uma integração de resposta necessita das suas próprias permissões. Da mesma forma, uma firewall que envia eventos não fica, só por isso, preparada para todas as ações de resposta. Nos endpoints, o agente, as políticas e o Live Response podem determinar as investigações e intervenções possíveis.

Um exemplo típico é uma conta Microsoft 365 comprometida: revogar sessões iniciadas e bloquear novos inícios de sessão pode interromper a utilização imediata. Mas isto ainda não esclarece todas as possíveis consequências. Regras de reencaminhamento manipuladas, operações de negócio afetadas, outros acessos e o restabelecimento seguro do acesso têm de ser especificamente verificados e atribuídos durante o incidente. Também aqui, os passos que a Sophos pode executar dependem da integração e do âmbito do serviço.

O que continua a cargo do cliente ou parceiro de TI?

A própria equipa de TI continua a operar a infraestrutura. Isto inclui atualizações, configurações seguras, gestão de utilizadores, cópias de segurança funcionais e recuperação de aplicações. O MDR não torna permanentemente seguro um servidor sem atualizações de segurança nem recupera dados de negócio encriptados a partir de uma cópia de segurança.

As decisões de negócio também continuam na empresa: que sistemas podem ficar temporariamente indisponíveis? Quem informa a direção, os clientes ou a seguradora? Quem avalia as obrigações de notificação e contrata o apoio externo necessário? Estas tarefas têm de estar identificadas no plano de emergência. O contrato de MDR, por si só, não as distribui por pessoas internas.

Também há trabalho após a contenção. É necessário eliminar a causa, restabelecer corretamente um acesso afetado e implementar uma alteração de configuração recomendada. Um relatório só representa progresso operacional quando alguém assume as tarefas pendentes e verifica a sua conclusão.

Por isso, cada ambiente crítico deve ter uma lista breve de responsabilidades: o que pode a Sophos fazer autonomamente, o que faz o parceiro de TI e quem decide na empresa? Sobretudo nos servidores críticos para a produção, as consequências de um isolamento têm de ser discutidas previamente.

Quanto custa o MDR e o que deve constar da proposta?

Um preço total fiável exige o número de utilizadores e servidores, a duração do contrato, o âmbito de resposta pretendido e os sistemas abrangidos. Acrescem a configuração e as tarefas do próprio parceiro de TI. Um preço de licença mais baixo pode dizer pouco se faltarem as integrações necessárias e a preparação para emergências.

Na loja Avanet existem ofertas sob as designações Sophos MDR, MDR Complete, MDR para servidores e MDR Complete para servidores. A documentação atual do fabricante também utiliza a designação MDR Plus. Por isso, não se devem equiparar nomes antigos de produtos e designações da loja a um âmbito de serviço atual sem verificar a proposta.

Os pacotes de integração da versão original deste artigo também não constituem uma tabela de preços atual fiável. Para um orçamento, as integrações incluídas, os períodos de retenção e as eventuais prestações adicionais têm de estar expressamente definidos. Uma ligação incluída também não licencia automaticamente o produto de terceiros ligado. Por isso, não indicamos aqui um preço unitário fixo não verificado.

Como reconhecer um ambiente MDR pronto a operar?

Após a compra, não basta que a licença apareça no portal. Os dispositivos monitorizados têm de estar integralmente registados, as fontes de dados previstas têm de fornecer eventos atuais e os acessos de resposta têm de funcionar. O modo escolhido tem de corresponder ao procedimento de emergência acordado.

Para a aceitação, convém rever com o prestador de serviços os meios de contacto e as responsabilidades, verificar o estado das integrações e acordar um teste funcional seguro. O resultado tem de mostrar quem recebe um alerta e que resposta é possível, tanto técnica como organizacionalmente. Um teste deste tipo não exige executar deliberadamente software malicioso.

Eu avaliaria o MDR pela existência de uma cadeia contactável e capaz de agir numa emergência. Uma equipa de analistas, um acesso técnico funcional e uma autorização clara têm de funcionar em conjunto. Se faltar um destes elementos, permanece uma lacuna decisiva, mesmo com uma boa licença.

Perguntas frequentes