Utilizar o Sophos AI Assistant e AI Search no XDR
Sophos AI Search e os assistentes Security Analyst e Threat Hunter são ferramentas de investigação XDR no Sophos Fusion (anteriormente Sophos Central). Não são funções gerais do agente Endpoint e não efetuam remediação autónoma. AI Search converte pesquisas em linguagem natural em queries do Data Lake; os assistentes de investigação apoiam os analistas num Chat. Como terceiro assistente, Firewall Assistant está disponível para regras e políticas de firewall. Utiliza os dados de uma Sophos Firewall selecionada e gerida centralmente, sendo abordado separadamente abaixo.
O AI Assistant completo no fluxo de investigação XDR requer Sophos XDR, Sophos MDR, Sophos MDR Plus ou Sophos Network Detection and Response. O Sophos EDR inclui AI Case Summary, AI Command Analysis e AI Search, mas não o XDR AI Assistant. Estas informações sobre licenças XDR não dizem respeito ao licenciamento do Firewall Assistant. Segundo a Sophos, o acesso completo às funções AI requer a função Super Admin ou Admin. Atualmente apenas são suportados inputs e outputs em inglês.
Escolher a ferramenta certa
- AI Search: pesquisa dados no Sophos Data Lake. Na vista Classic do Threat Analysis Center, seleciona-se Detections ou Endpoint Data; aí, as pesquisas de Endpoint Data estão limitadas a Windows. Em Security Operations > Data Lake Search, AI Search gera, em contrapartida, consultas de Advanced Search em QL. A restrição a Windows do procedimento Classic não é aplicada a esta nova interface de pesquisa.
- Security Analyst: investiga um Sophos-managed ou Self-managed Case específico e assume o contexto de Case e Detection.
- Threat Hunter: procura atores ou Indicators of Compromise no Data Lake e funciona apenas com Self-managed Cases.
- Firewall Assistant: apoia a configuração de regras de firewall e a análise de políticas de uma firewall gerida no Sophos Central a partir de SFOS 23.0. O Chat começa com a seleção da firewall, não com um Case ID.
- AI Case Summary: resume Detections, dispositivos, utilizadores, táticas MITRE ATT&CK e possíveis passos seguintes de um Case.
- AI Command Analysis: explica e desofusca linhas de comando das Detections.
Os assistentes de investigação XDR Security Analyst e Threat Hunter podem atualmente obter e analisar dados integrados no XDR do Sophos Endpoint e Sophos Server em Windows. Não podem remediar uma ameaça nem executar uma ação de resposta. Isolamento, Live Response, bloqueio, autorização e encerramento do Case continuam a ser decisões humanas conscientes. Estas fontes de dados Windows e limitações de resposta descrevem o fluxo de investigação, não a configuração da firewall com o Firewall Assistant.
Utilizar AI Search com segurança
Verifique primeiro qual a interface utilizada pelo tenant. Threat Analysis Center é a Classic view de Security Operations, que continua disponível. O procedimento SQL abaixo corresponde a essa vista Classic; a nova Data Lake Search é descrita separadamente a seguir. Uma nova entrada de menu não justifica reescrever consultas Classic funcionais sem as verificar.
Classic: AI Search no Threat Analysis Center
- Abrir Threat Analysis Center > AI Search.
- Selecionar Detections ou Endpoint Data à esquerda. Endpoint Data requer um dispositivo Windows.
- Escolher uma pesquisa sugerida ou introduzir uma pergunta em inglês. Especificar dispositivo, utilizador, indicador e período.
- Selecionar Search e rever a tabela de resultados.
- Expandir Generated Query e verificar o SQL gerado. Fonte, campos, filtros e período devem corresponder à pergunta da investigação.
Sem período explícito, AI Search utiliza 24 horas. A Sophos recomenda começar com algumas horas ou, no máximo, um dia e expandir gradualmente. Queries de dias ou semanas podem ficar lentas ou terminar por timeout.
A tabela apresenta no máximo 1.000 resultados. A Sophos indica retenção no Data Lake de 90 dias, ou um ano com a licença adicional Central Data 1-Year Storage Pack. Assim, 1.000 linhas não provam que só existam 1.000 eventos; uma tabela vazia também não prova ausência de atividade durante todo o incidente.
Save Query guarda uma query útil na nova categoria Live Discover AI Search; Export descarrega SQL e resultados como CSV. Sophos Live Discover e queries do Data Lake explica a diferença entre Live Endpoint e Data Lake e os limites operacionais.
Security Operations: AI Search em Data Lake Search
Em Security Operations > Data Lake Search > AI Search, introduza uma pergunta de investigação em linguagem natural ou selecione um prompt preparado e escolha Search. Browse Prompts ou View All abre os prompts preparados; Sophos Only, os filtros de categoria e a pesquisa limitam a seleção. Depois de carregado, o prompt pode ser adaptado ao dispositivo, ao indicador e ao período da investigação.
Por baixo dos resultados aparece a consulta gerada em Advanced Search query language, aqui designada QL, e não a consulta SQL de Classic de Generated Query. Verifique a origem dos dados, os campos, os filtros e o período face à pergunta de investigação. Se o resultado não for adequado, refine o prompt e selecione novamente Search. O limite de linhas e a restrição a Windows de Classic não são limites comprovados desta interface.
Save Query exige um nome e uma categoria; a descrição e Bookmark this Query são opcionais. Guarde com Save Query e verifique em Saved Queries se consegue voltar a encontrar a consulta. A secção Data Lake Search do runbook de consultas descreve o procedimento completo com Query Builder, Query Editor, histórico de pesquisas e exportação.
Iniciar AI Assistant a partir de um Case
O acesso ao Case descrito a seguir corresponde à vista Classic. Security Operations também dispõe de Cases; isso não comprova que aí estejam disponíveis o mesmo botão, os mesmos separadores ou o mesmo método de transferência para o chat. Este artigo aborda o assistente de investigação XDR, não um assistente Endpoint geral nem funções de Sophos AI Defense.
É mais seguro começar por um Case revisto do que por um Chat sem contexto:
- Abrir Threat Analysis Center > Cases e selecionar o Case ID.
- Rever Detection, dispositivos afetados e período relevante.
- Selecionar Ask Sophos AI no canto superior direito. O Central abre Security Analyst com o contexto do Case.
- Editar um Prompt predefinido ou escrever uma pergunta em inglês.
/abre Prompts preparados e guardados. - Fazer perguntas subsequentes no mesmo Chat. Assistant considera o Thread atual; um novo Chat não conserva esse contexto.
Como alternativa, abrir AI > Assistant, selecionar New e depois Security Analyst ou Threat Hunter. Security Analyst solicita então um Case ID. Ask AI também pode transferir linhas selecionadas de uma tabela como contexto. Antes do envio, verificar qual seleção será realmente transferida.
Firewall Assistant: selecionar a firewall e continuar o trabalho
O Firewall Assistant no Sophos Fusion suporta SFOS 23.0 ou posterior e requer uma firewall gerida centralmente. A versão mínima, por si só, não garante a disponibilidade geral da função em todos os tenants ou builds; a disponibilidade efetiva e a aprovação do build de destino têm de ser adequadas ao ambiente próprio. Este chat de configuração não é o Sophos Assistant local no WebAdmin para pesquisa de documentação e procedimentos guiados.
Em AI > Assistant > New > Firewall Assistant, é apresentada a lista de firewalls geridas no Sophos Fusion. Os dispositivos com versões anteriores de SFOS aparecem a cinzento e não podem ser selecionados para este fluxo. Cada chat pertence a uma única firewall. Para outro dispositivo, inicia-se um chat separado; podem coexistir vários chats para firewalls diferentes. O acesso aos dados continua limitado às permissões do administrador autenticado para a firewall em questão.
- Verificar o nome e a versão de firmware da firewall pretendida e selecionar a respetiva entrada. Assim, o Chat começa com o dispositivo correto, em vez de um Threat Case.
- Escolher um Prompt predefinido ou introduzir uma pergunta em inglês.
/permite apresentar outros Prompts preparados; Send envia a pergunta. - Comparar a resposta com as regras e políticas da firewall selecionada. As perguntas subsequentes no mesmo Chat mantêm o contexto da conversa. Depois de fechar a página ou selecionar New, o Chat anterior continua disponível na lista à esquerda e pode ser reaberto a partir daí.
Se um dispositivo aparecer a cinzento, verificar primeiro a respetiva versão de SFOS. Se não constar da lista, verificar a gestão central e se o tenant é o correto. Não se deve atualizar o firmware apenas para desbloquear o assistente; a build de destino e a aprovação da atualização devem ser adequadas ao próprio ambiente.
Para a transição operacional para a gestão de regras, a visão geral do Sophos Firewall v23 explica o assistente de inteligência artificial e a importância da posição das regras. Uma resposta no Chat não constitui autorização para ativar uma regra em produção. A firewall de destino, os objetos, a posição da regra e as verificações de segurança são verificados conscientemente antes de cada alteração; a seleção do Assistant ou um Prompt bem-sucedido não implicam uma ativação autónoma.
Rever o rascunho da regra, aplicá-lo de forma controlada e auditar a ação
No âmbito documentado da fase 1, as ações centram-se em regras de firewall e são apenas de leitura, com uma exceção: um prompt pode criar uma nova regra de firewall. O Assistant apresenta primeiro um rascunho com um resumo JSON e vistas dos objetos utilizados. Só após a confirmação é que a regra é criada na firewall, por predefinição desativada no fim da tabela de regras. Isto já é uma alteração de configuração, mas ainda não uma autorização efetiva de tráfego.
⚠️ Utilizar um prompt de criação apenas para uma alteração planeada e autorizada. Antes de confirmar, registar o dispositivo de destino, as regras e os objetos existentes e o estado atual da configuração. A ativação posterior pode permitir ou bloquear tráfego; por isso, o fluxo de pacotes pretendido, a inspeção de segurança, a janela de manutenção e o procedimento de recuperação têm de ser definidos antecipadamente.
- No chat da firewall correta, indicar com precisão a versão IP necessária, os nomes dos objetos existentes e o fluxo de pacotes pretendido. Responder às perguntas de esclarecimento em vez de autorizar indiscriminadamente redes inteiras ou quaisquer serviços.
- Na pré-visualização, comparar o resumo JSON e as vistas dos objetos com a regra pretendida: origem, destino, serviços, ação e opções de segurança têm de corresponder. Se houver divergências, pedir a correção do rascunho ou não o confirmar.
- Confirmar a criação só depois de rever o rascunho. Depois, independentemente do chat, abrir Rules and policies no WebAdmin da mesma firewall e verificar a lista de regras IPv4 ou IPv6 adequada. A nova regra deve estar desativada no fim da tabela. Se não aparecer ou o estado for diferente, não voltar a criá-la às cegas nem a ativar; confrontar dispositivo, lista e confirmação de criação.
- Verificar as definições efetivamente guardadas e os objetos necessários. Só após aprovação, definir a posição tecnicamente correta da regra e ativá-la manualmente. Uma regra adequada no fim da tabela pode não ter efeito devido a uma regra anterior; uma regra colocada demasiado acima pode, pelo contrário, contornar a restrição pretendida. Verificar o fluxo de pacotes permitido e o que deve continuar bloqueado através do teste de regras com Log Viewer, Policy Test e Packet Capture.
- Para obter prova da ação do Assistant, abrir Log Viewer através de Logs and policy test e filtrar pelo componente AI Assistant. Confrontar os eventos de auditoria com a firewall de destino, a hora da alteração e a regra efetivamente guardada. A entrada de auditoria comprova a ação do Assistant, não o efeito correto no fluxo de pacotes. Se faltar a entrada esperada, verificar o período e os filtros e investigar a divergência em vez de presumir que não houve alterações.
Se o efeito for inesperado, voltar a desativar a regra acabada de ativar e verificar o estado anteriormente documentado. Desativar a regra não remove o rascunho nem os objetos eventualmente criados e não constitui uma reversão completa da configuração. Um rascunho não aprovado permanece desativado; antes de uma limpeza posterior, devem verificar-se as suas dependências de objetos.
Escrever um Prompt verificável
Um bom Prompt indica objetivo, âmbito e output pretendido. Exemplo:
Compare the detections for endpoint WS-023 during 10 September 2026, 08:00-12:00 UTC. List process names, command lines and hashes, and mark every conclusion that still needs validation.
WS-023 é um exemplo neutro que deve ser substituído pelo dispositivo investigado. Data, hora e fuso devem corresponder ao Case. Processos, IPs, utilizadores ou hashes só são adicionados quando necessários à hipótese. Um Prompt guardado precisa de um Alias claro; Alias e Prompt completo devem ser únicos. Um responsável, finalidade e data de revisão evitam que um Prompt desatualizado se torne um Runbook não verificado.
Validar e documentar resultados
As respostas AI podem ser falsas ou enganadoras. Afirmações como «nenhum outro dispositivo afetado» devem ser comparadas com Timeline do Case, detalhes da Detection, dados do dispositivo e resultados das queries. Verificar sobretudo:
- O período e fuso horário correspondem ao Case?
- O dispositivo enviava telemetria nesse período?
- Os filtros, o suporte da plataforma ou, no procedimento Classic de AI Search, o limite de 1.000 linhas restringem a conclusão?
- Os eventos em bruto sustentam a conclusão e Response propostas?
Respostas, linhas individuais, tabelas completas e queries podem ser fixadas. Estes Pinned Items permanecem no Workbench durante o Chat e podem incluir uma nota justificativa. São uma ajuda pessoal, não documentação do Case. Os botões de Feedback avaliam a resposta concreta; os detalhes confidenciais não devem constar do comentário opcional.
Um ou vários resultados verificados de Security Analyst ou Threat Hunter podem ser adicionados ao separador Notebook do Case. Este fluxo de transferência para o Notebook do Case não está documentado como via de transferência para o Firewall Assistant. Para uma resposta, utilizar o símbolo mais por baixo da resposta e confirmar depois a adição. Para várias respostas, utilizar menu de três pontos > Select responses > Add to case. No Threat Hunter, é necessário selecionar o Case de destino; no Security Analyst, este é definido pelo Case investigado.
Um Chat privado só é visível para quem o iniciou. Outros administradores com acesso ao Case veem apenas respostas adicionadas ao Notebook. Para eliminar todo o Thread, abrir o menu de três pontos junto ao título e selecionar Delete. Antes, validar a evidência com os dados em bruto e documentá-la no Case ou sistema de incidentes; o Chat não é um arquivo de auditoria.
Privacidade e limites de utilização
Palavras-passe, chaves privadas, Recovery Codes e dados pessoais desnecessários não devem constar de Prompts ou Feedback. Limitar o contexto à investigação e aplicar regras internas de classificação, retenção e exportação.
As funções AI do XDR utilizam Azure OpenAI e Amazon Bedrock. Inputs e outputs não são utilizados para treinar os modelos nem para melhorar os serviços de terceiros, e todos os dados transferidos para serviços LLM de terceiros são encriptados durante a transmissão. As permissões Central existentes, baseadas em funções, continuam a limitar os dados a que um utilizador pode aceder. Antes da ativação, os responsáveis devem consultar as informações atuais sobre tratamento de dados e subcontratantes no XDR Privacy Data Sheet.
Os limites publicados para as funções AI do XDR aqui descritas aplicam-se numa janela móvel de 24 horas; não se deduzem daí limites separados para o Firewall Assistant:
- AI Command Analysis: 50 por utilizador, 250 por tenant
- AI Search: 20 por utilizador, 100 por tenant
- AI Case Summary: 10 por utilizador, 50 por tenant
- Threads de AI Assistant: 20 por utilizador, 100 por tenant
- mensagens individuais do Assistant: 200 por utilizador, 1.000 por tenant
Ao atingir um limite, a função é suspensa com HTTP 429. A Sophos pode alterar os valores; para planeamento, vale a página atual. Investigações críticas exigem sempre uma via manual por Cases, Detections, Live Discover e telemetria subjacente.