Proteger o acesso ao Sophos Fusion com MFA, passkeys e IdP

O Sophos Fusion (anteriormente Sophos Central) controla Policies, exceções, Live Response e o isolamento de dispositivos. Por isso, uma conta de administrador comprometida pode causar mais danos do que um único endpoint infetado. A MFA é um requisito mínimo, mas não substitui funções adequadas nem um processo de recuperação.

Distinguir o acesso Partner, Customer e Enterprise

Para Sophos Fusion Partner, o requisito é explícito: cada administrador Partner tem de registar pelo menos dois métodos MFA e autenticar-se com MFA em cada início de sessão. São suportadas passkeys e aplicações Authenticator TOTP; pode utilizar-se um dos métodos registados para iniciar sessão. No registo inicial configuram-se uma palavra-passe e pelo menos uma aplicação TOTP; as passkeys podem ser adicionadas posteriormente. Quando a Sophos solicitar o registo de dois métodos, esse registo deve ser concluído. As secções seguintes explicam a configuração de TOTP e passkeys e a escolha de dispositivos independentes.

No entanto, uma conta Partner e um tenant Customer gerido não pertencem ao mesmo âmbito de administração. O requisito Partner não significa que as contas Customer ou Enterprise herdem automaticamente as definições de MFA, SSO ou recuperação. Antes de uma alteração, verifica-se em que portal a sessão está iniciada e a que conta pertence a identidade afetada. Numa reposição de MFA, este âmbito determina o administrador autorizado e o procedimento correto: o Super Admin do tenant Customer ou o Partner Super Admin no portal Partner. Os procedimentos Customer e Partner descritos abaixo não substituem um procedimento de recuperação Enterprise verificado separadamente.

Configurar MFA imediatamente e com redundância

Cada administrador tem de registar pelo menos dois métodos MFA e é solicitado a utilizar MFA em cada início de sessão. A Sophos suporta passkeys e aplicações Authenticator com códigos de utilização única baseados no tempo, ou TOTP.

Para contas privilegiadas, registam-se dois métodos independentes, por exemplo, uma passkey numa chave de hardware e uma aplicação Authenticator num dispositivo separado. Duas passkeys no mesmo portátil não constituem uma verdadeira redundância. A Sophos também indica como combinações possíveis duas passkeys em dispositivos separados ou dois registos Authenticator distintos.

As chaves de hardware de substituição e as informações de recuperação documentadas devem ser guardadas num cofre empresarial protegido. Não devem ficar no gestor de palavras-passe pessoal de um único colaborador nem num ticket aberto.

Podem ser registadas, no máximo, dez aplicações Authenticator TOTP por conta de administrador. Uma extensão Authenticator para browser é tecnicamente possível, mas provém de terceiros e não é desenvolvida nem suportada pela Sophos. Antes da instalação, verificam-se o editor, as permissões, o método de atualização e a política empresarial. Para contas privilegiadas, uma extensão no mesmo perfil de browser da sessão do Sophos Fusion não constitui uma boa separação de fatores.

Os métodos registados são geridos no perfil em Manage login settings ou Manage MFA. A simples eliminação de uma entrada na aplicação Authenticator local não remove o método do Sophos Fusion. Ao mudar de dispositivo, testa-se primeiro um segundo método, remove-se depois o registo antigo do Sophos Fusion e só no fim se repõe o dispositivo antigo.

Configurar uma aplicação Authenticator

Depois de iniciar sessão com o método anterior, abre-se Ícone do perfil > My info > Manage MFA. Em alternativa, Sophos ID > My Profile > Manage MFA conduz à mesma gestão. Após nova autenticação, seleciona-se o sinal de mais em Multi-Factor Authentication, a opção Authentication App em Set up MFA method e, em seguida, Set up now.

O código QR de utilização única é lido com a aplicação Authenticator aprovada. Em seguida, introduz-se no Sophos Fusion o código de segurança gerado, atribui-se opcionalmente um nome de dispositivo inequívoco e seleciona-se Continue. Successful enrollment confirma o registo; outro Continue conclui o processo. No início de sessão de teste seguinte, ao endereço de e-mail e à palavra-passe segue-se o código de verificação atual da aplicação.

São permitidas, no máximo, dez aplicações Authenticator por conta. O código QR e o segredo TOTP subjacente não são guardados como captura de ecrã. Depois do teste, configura-se um segundo método independente antes de remover um dispositivo ou registo antigo.

Configurar uma aplicação Authenticator no browser

Uma extensão de browser pode gerar códigos TOTP, mas só deve ser utilizada para contas privilegiadas após uma avaliação consciente do risco. O procedimento completo é o seguinte:

1. No Sophos Fusion, abrir Ícone do perfil > My info > Manage MFA e utilizar um método existente para confirmação.
2. Em Multi-factor Authentication, selecionar o sinal de mais, marcar Authentication App e abrir Set up now.
3. Manter aberto o código QR apresentado uma única vez. Num separador separado, instalar a extensão aprovada a partir da loja oficial de extensões do browser.
4. Regressar à página do código QR, abrir a extensão junto à barra de endereço e selecionar Add Account > Scan QR from screen.
5. Introduzir o código único gerado em Verify Your Device > Security Code, atribuir opcionalmente um nome de dispositivo inequívoco e selecionar Continue.
6. Em Ícone do perfil > My info > Manage MFA, verificar se o novo método está registado. Num início de sessão de teste, têm de funcionar o nome de utilizador e a palavra-passe, bem como o código da extensão.

O código QR é um segredo de registo de utilização única e não pode ser guardado como captura de ecrã nem enviado num ticket. Antes da aprovação, verificam-se o editor da extensão, os direitos de browser solicitados, a origem das atualizações e a sincronização de dados da extensão. Como, de outro modo, o perfil do browser, a sessão do Sophos Fusion e o segredo TOTP ficariam no mesmo local, continua a ser necessário um método separado noutro dispositivo ou numa chave de hardware.

Gerir métodos MFA registados

A página de gestão é aberta através de Ícone do perfil > My info > Manage MFA ou, em alternativa, de Sophos ID > My Profile > Manage MFA. Após nova autenticação, o Sophos Fusion mostra todos os métodos registados, o respetivo nome predefinido ou nome a apresentar e a última utilização.

O sinal de mais adiciona outra aplicação Authenticator ou uma passkey. São possíveis, no máximo, dez inscrições por tipo de método. No menu de três pontos de um método, pode selecionar-se Rename, introduzir um novo nome e confirmá-lo com a marca de verificação. Delete remove o registo do Sophos Fusion.

Têm de permanecer registados pelo menos dois métodos MFA. Quando já só existe o número mínimo obrigatório, o Sophos Fusion não permite eliminar outro método. Continue fecha a gestão e regressa ao dashboard do Sophos Fusion. Antes de remover um método antigo, testa-se o novo método num início de sessão separado.

Configurar uma passkey e escolher o local de armazenamento

Uma passkey só é adicionada como método adicional depois de já estar configurada uma aplicação Authenticator. Em Ícone do perfil > My info > Manage MFA, após nova autenticação, seleciona-se o sinal de mais e depois Passkey. O sistema operativo ou o Credential Manager orienta a verificação por PIN ou biometria. No Windows, pode tratar-se, por exemplo, de uma impressão digital através do Windows Hello. Após Passkey Saved, confirma-se com OK, verifica-se o novo registo na lista de métodos e conclui-se com Continue.

O local de armazenamento faz parte da decisão de segurança. Pode ser um Credential Manager no computador local, como o browser, o sistema operativo ou o gestor de palavras-passe empresarial, um Authenticator associado a um dispositivo, como uma YubiKey, ou um dispositivo móvel através de um processo com código QR. Para garantir resiliência, registam-se passkeys em mais do que um dispositivo controlado. O Sophos Fusion permite, no máximo, dez passkeys.

Iniciar sessão com passkey ou aplicação Authenticator

Para iniciar sessão com uma passkey, abre-se primeiro fusion.sophos.com, introduz-se o endereço de e-mail e seleciona-se Continue. Na página da passkey, Login with passkey inicia o método anteriormente registado, por exemplo impressão digital, PIN do dispositivo ou chave de hardware. Depois de uma verificação bem-sucedida, abre-se o dashboard do Sophos Fusion.

Se estiverem registadas uma passkey e uma aplicação Authenticator, o Sophos Fusion dá preferência à passkey. Através de Try another way, pode selecionar-se outro método depois de introduzir a palavra-passe. No início de sessão clássico por Authenticator, ao endereço de e-mail e Continue seguem-se a palavra-passe e Sign in. Em MFA Validation Required, introduz-se o código atual da aplicação Authenticator.

Ambos os métodos são testados após a configuração, uma mudança de dispositivo e uma atualização do browser. Uma passkey guardada, por si só, não é suficiente para a recuperação se o Credential Manager, o acesso ao dispositivo e a sessão do Sophos Fusion forem afetados pelo mesmo erro ou bloqueio da conta.

My info, função e palavra-passe local

Em Ícone do perfil > My info, um administrador vê a função atual, o endereço de início de sessão do Sophos Fusion e as definições de palavra-passe e MFA. Um clique no nome da função abre todas as respetivas permissões. Assim, o endereço de e-mail é também uma característica importante para a correspondência no início de sessão, a verificação da função e um caso de suporte.

Uma palavra-passe Sophos local é alterada em My info > Password > Change password. Após a verificação, o Sophos Fusion apresenta a palavra-passe atual já preenchida. A nova palavra-passe requer pelo menos oito caracteres, uma letra minúscula, uma letra maiúscula e um número ou carácter especial. Após Reset Password, o Sophos Fusion inicia automaticamente a sessão do administrador com a nova palavra-passe e regressa ao portal; a palavra-passe antiga fica imediatamente inválida. No início de sessão federado, a palavra-passe é alterada no Identity Provider responsável.

Os detalhes da conta incluem ainda definições pessoais de subscrição de e-mail. Estas subscrições pessoais não são o mesmo que os destinatários de Alerts ao nível do tenant em Configure Email Alerts. Os administradores, listas de distribuição e sistemas de tickets que recebem notificações de segurança são geridos no processo separado para E-mails e notificações de Alerts do Sophos Fusion.

Proteger ações sensíveis com MFA transacional

Transaction Authentication using MFA exige uma autenticação adicional antes de determinadas ações sensíveis no tenant Customer (CDB). Não é uma proteção geral de ações nos dashboards Partner ou Enterprise. A confirmação utiliza a passkey ou aplicação Authenticator já registada para a MFA da Sophos. Segundo o anúncio de 15 de setembro de 2026, a função está desativada por predefinição.

Antes da ativação, verificam-se o tenant Customer correto, um Super Admin para efetuar a alteração e um método MFA registado que funcione. As permissões e licenças necessárias para Live Response ou para a Response Action em causa continuam a ser independentes. Se um administrador só puder utilizar o início de sessão federado e a MFA for fornecida exclusivamente pelo IdP federado, esta definição não está disponível para ele. Não se altera a configuração do IdP apenas para este teste.

1. Como Super Admin no tenant Customer, abrir Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication e documentar o estado anterior. Se a opção não aparecer, verificar primeiro o tenant, a função e o método de início de sessão; o anúncio, por si só, não comprova a disponibilização no próprio tenant.
2. Antes de ativar, informar os administradores afetados e permitir pop-ups para o início de sessão Sophos. Se o browser os bloquear, avaliar uma exceção específica para sophos.com, em vez de desativar globalmente a proteção contra pop-ups.
3. Em Transaction Authentication using MFA, ativar Require re-authentication before executing high risk operations. Não ativar por engano a opção separada Expand MFA Coverage: alarga a MFA a outros inícios de sessão em portais e, após a ativação, não pode voltar a ser desativada.
4. Reabrir a página e confirmar que a definição está ativada. Em seguida, os administradores afetados têm de terminar sessão e iniciá-la novamente para que a alteração produza efeito na nova sessão Fusion. Uma sessão já aberta não constitui um teste válido do efeito.

Na nova sessão, espera-se uma nova autenticação em cada início de uma sessão Live Response. Para uma Response Action, é necessária se a última nova autenticação não tiver ocorrido nos 15 minutos anteriores. Não é uma janela geral de 15 minutos para Live Response nem uma garantia de cobertura de qualquer tipo de ação.

Verifica-se o pedido MFA na próxima ação expressamente autorizada; não se inicia um isolamento de dispositivo, outra Response Action ou uma sessão Live Response de produção apenas para testar. Se o pedido esperado não aparecer, verificam-se primeiro o novo início de sessão, a definição guardada, o contexto Customer, a exceção IdP e o bloqueio de pop-ups. Se o comportamento continuar diferente, não se aprova a ação sensível como suficientemente protegida; encaminha-se o caso para o Sophos Support com tenant, hora e observações, sem credenciais. A ajuda consultada descreve a ativação, mas não um procedimento fiável de desativação ou reversão; não se garante, por isso, uma reversão não verificada.

Compreender as sessões associadas ao dispositivo com DBSC

Device Bound Session Credentials (DBSC) associam uma sessão a uma chave criptográfica no dispositivo. O browser comprova regularmente que possui essa chave; assim, um cookie de sessão roubado é menos útil noutro dispositivo. É uma camada adicional contra o roubo de sessões, não um substituto da MFA, de endpoints seguros ou do encerramento deliberado da sessão.

A Sophos anunciou DBSC para os dashboards Customer, Enterprise e Partner (CDB, EDB e PDB). Com um browser e uma plataforma suportados, a função opera de forma transparente; não é necessário um interruptor do lado do cliente nem uma implementação própria de DBSC. O anúncio da Sophos de 15 de setembro de 2026 indica Google Chrome e Microsoft Edge a partir da versão 146 em Windows com TPM e a partir da versão 147 em macOS. Estes dados descrevem o suporte Sophos no momento do anúncio, não uma validação independente das plataformas nem uma garantia de ativação em todas as sessões.

A Google, por sua vez, descreve a capacidade DBSC de base já para Chrome 145 em Windows. Isto não equivale ao limiar superior da Sophos nem confirma o suporte de Edge ou macOS para o Sophos Fusion. Sem suporte adequado do browser e da plataforma, não se deve contar com DBSC como proteção disponível. Para a introdução, registam-se as versões dos browsers e dos sistemas operativos efetivamente utilizadas; um início de sessão bem-sucedido, por si só, não comprova a associação DBSC.

Limitar as sessões de administrador inativas

A MFA protege o início de sessão, mas não uma sessão já aberta num computador sem supervisão. Em Connected Sessions, Session Idle Timeout define após quantas horas de inatividade um administrador tem de iniciar sessão novamente. A Sophos documenta esta definição separadamente para os portais Customer, Enterprise e Partner. Antes de uma alteração, verificam-se o portal utilizado, a respetiva conta ou tenant e o método de início de sessão. Ao aceder a contas Customer através de uma sessão Partner ou Enterprise, prevalece o timeout dessa sessão, segundo o anúncio sobre sessões. O valor Customer, por si só, não descreve, portanto, essa sessão. Esta prioridade não é uma cópia automática das definições Customer nem uma herança geral de MFA, SSO ou outras regras da conta.

1. No portal em questão, abrir o ícone Global Settings e selecionar Access Control > Sign-in and Identity > Connected Sessions.
2. Documentar o valor anterior em Session Idle Timeout para permitir uma eventual reversão. São permitidos valores de 1 a 23 horas; o valor predefinido documentado é de 3 horas.
3. Introduzir a duração máxima de inatividade e selecionar Save. Para contas de administrador privilegiadas, 1 hora é um exemplo de piloto Avanet deliberadamente rigoroso, não um valor predefinido da Sophos. Um valor mais curto limita o tempo durante o qual uma sessão inativa sem supervisão pode continuar a ser utilizada, mas exige novos inícios de sessão com maior frequência durante a utilização. A escolha é acordada com os administradores responsáveis; o timeout não substitui o bloqueio do ecrã nem o encerramento deliberado da sessão.

Depois de guardar, abre-se novamente a página e verifica-se o valor guardado. Para testar o efeito, um administrador de teste inicia sessão no mesmo portal numa sessão de browser separada. Esta permanece aberta, sem qualquer interação, durante mais tempo do que a duração configurada; em seguida, acede-se a uma página protegida. Espera-se um novo pedido de início de sessão. Depois, conclui-se com êxito o percurso de início de sessão local ou federado efetivamente utilizado, incluindo a MFA exigida nesse percurso. O teste é realizado separadamente para cada portal afetado.

Se a sessão continuar utilizável após o período de inatividade previsto, verificam-se primeiro o portal, o tenant, o valor guardado e qualquer possível atividade durante o teste. Depois, repete-se o teste com uma sessão iniciada de novo; se o resultado continuar a não corresponder ao esperado, documentam-se o portal, a data e hora e a observação, sem credenciais de acesso, para o Sophos Support. Se for necessário reverter a alteração, guarda-se novamente o valor anterior documentado e repete-se a verificação.

Session Idle Timeout não constitui uma garantia de revogação imediata de todas as sessões já abertas nem substitui as medidas necessárias em caso de comprometimento de uma conta. Também não se deve deduzir desta definição uma aplicação automática entre os portais Customer, Enterprise e Partner. Em caso de incidente de segurança, verificam-se adicionalmente o acesso à conta, as funções, o IdP e os Audit Logs.

Avaliar corretamente as passkeys

As passkeys são resistentes a phishing quando a chave está associada ao domínio Sophos Fusion legítimo e protegida por um PIN do dispositivo ou biometria. Uma passkey sincronizada é cómoda, mas herda as características de segurança e recuperação da conta Apple, Google ou Microsoft utilizada.

Para Super Admins, uma chave de hardware gerida é um método particularmente robusto. Antes de a impor em todo o tenant, testam-se o acesso de emergência, as chaves de substituição e o Offboarding.

O Microsoft Authenticator não é suportado para uma passkey Sophos fora de um início de sessão federado com Entra ID. A aplicação pode continuar a ser utilizada como TOTP Authenticator. Dependendo da plataforma, as Cross-Device Passkeys requerem Bluetooth, proximidade entre os dispositivos e um workflow com código QR.

Cada conta pode registar, no máximo, dez passkeys. A substituição de fatores antigos e a lógica de bloqueio são tratadas separadamente na secção seguinte, porque afetam tanto contas TOTP como contas com passkeys.

O suporte de passkeys atualmente documentado inclui Windows 10 e 11, macOS 10.15.7 ou posterior, Android 9 ou posterior e iOS e iPadOS 16 ou posterior. A Sophos indica como versões mínimas Chrome 118, Firefox 119, Safari 16 ou posterior e Edge 119. Os locais de armazenamento comuns são Windows Hello, Google Password Manager, iCloud Keychain e 1Password; como chaves associadas a dispositivos, a Sophos indica YubiKey 5 e YubiKey NFC. Podem funcionar outras combinações se os fabricantes do browser e do sistema operativo implementarem os protocolos de passkey necessários.

A Sophos estima que este suporte abranja aproximadamente 98 por cento das combinações de browser e sistema operativo utilizadas, bem como Credential Managers comuns. Esta é uma indicação de cobertura, não uma garantia de plataforma. O sistema operativo, o browser, o Credential Manager, a política de sincronização e a recuperação são testados com as versões efetivamente utilizadas.

As passkeys sincronizadas funcionam para o início de sessão Sophos, mas a própria sincronização continua a ser uma função do Credential Manager. O iCloud Keychain pode, por exemplo, disponibilizar passkeys entre Macs, iPhones e iPads da mesma identidade iCloud. Em caso de falha de sincronização, o fabricante do Credential Manager é, portanto, o responsável. Para passkeys entre dispositivos, o Bluetooth tem de estar ativo no computador e no dispositivo móvel, ambos os dispositivos têm de estar próximos e tem de estar disponível um leitor de códigos QR.

O Microsoft Authenticator só pode utilizar uma passkey Sophos no contexto de um início de sessão federado do Entra ID. Sem este método de início de sessão, surgem normalmente durante o registo Failed to add passkey ou Microsoft Authenticator doesn’t support this passkey. Independentemente disso, o Microsoft Authenticator continua a poder ser utilizado como aplicação TOTP.

No 1Password Business, as Team Policies ou Shared-Vault Policies podem bloquear o registo de passkeys. O 1Password surge então no diálogo de registo, mas está esbatido. O administrador 1Password responsável tem de autorizar a permissão de registo nas Team Policies; eliminar repetidamente o método MFA da Sophos não corrige esta política externa.

Métodos MFA obsoletos e Account Lockout

SMS e e-mail mais PIN são métodos MFA obsoletos. Os novos utilizadores do Sophos Fusion têm de utilizar uma aplicação Authenticator TOTP ou uma passkey. Se a MFA de um utilizador existente com SMS ou e-mail mais PIN for reposta, o Sophos Fusion trata-o também como um novo utilizador no novo registo e exige TOTP ou passkey.

Após cinco tentativas de início de sessão incorretas consecutivas, o Sophos Fusion bloqueia inicialmente a conta durante um minuto. Outras tentativas falhadas com a mesma conta prolongam gradualmente o bloqueio até um máximo de cinco horas. Por isso, depois de um Lockout não se continua a tentar automaticamente. Se não estiver disponível um segundo método ou outro Super Admin, o Sophos Support pode desbloquear a conta depois de verificar a identidade.

Início de sessão federado através de um Identity Provider

Com um Identity Provider suportado, o Sophos Fusion pode delegar o início de sessão na identidade empresarial central. Isto simplifica o Conditional Access, a gestão do ciclo de vida e o bloqueio central. O Sophos Fusion utiliza um processo iniciado pelo Service Provider, ou SP-initiated SSO: o início de sessão começa no Sophos Fusion e é depois encaminhado para o IdP.

A configuração segue uma ordem fixa. Primeiro, o domínio próprio é verificado através de um registo DNS TXT. A propagação DNS pode demorar até 24 horas. Uma verificação bem-sucedida é válida durante um ano e tem depois de ser renovada. Em seguida, associa-se o Identity Provider ao domínio verificado e só no fim se ativa a opção de início de sessão pretendida. Estas tarefas requerem direitos de Super Admin.

O Sophos Fusion pode permitir apenas credenciais federadas ou também o endereço de e-mail e a palavra-passe do Sophos Fusion. Com Microsoft Entra ID, o Sophos Fusion continua a apresentar ambas as opções apesar da definição Federated credentials only. Com outros Identity Providers, esta definição encaminha diretamente para o IdP sem um passo de seleção. Este comportamento diferente deve fazer parte do teste de lockout.

A seleção é efetuada em Global Settings > Access Control > Sign-in and Identity > Sophos sign-in. Em princípio, aplica-se a todos os produtos Sophos Fusion. Podem definir-se Custom Sign-in Rules para administradores individuais, por exemplo para manter um início de sessão Sophos controlado como método alternativo durante o piloto. Cada utilizador só pode estar associado a um domínio verificado e a um Identity Provider.

Com Federated credentials only, os utilizadores não podem repor autonomamente a respetiva palavra-passe Sophos. Se mais tarde se regressar a um início de sessão exclusivamente Sophos, estas contas poderão ainda não possuir uma palavra-passe utilizável e terão de executar Reset Password. Os utilizadores do Self Service Portal com início de sessão exclusivamente federado não recebem um convite separado para criar uma palavra-passe, iniciando sessão diretamente através do IdP.

A opção Expand MFA Coverage alarga o pedido de MFA a utilizadores geridos noutros portais Sophos, como Self Service Portal, Partner Portal ou Support Portal. Depois de ativada, não pode voltar a ser desativada. Por isso, só é guardada ao nível de todo o tenant após um piloto com os utilizadores de portal efetivamente afetados.

Antes da ativação, esclarecem-se os seguintes pontos:

• associação inequívoca entre o endereço de e-mail e o Sophos Fusion Login,
• MFA e regras de acesso no IdP,
• comportamento para contas Guest e Partner,
• pelo menos um acesso de emergência testado,
• prevenção de um lockout em caso de configuração incorreta do domínio ou IdP.

O início de sessão federado não sincroniza automaticamente utilizadores Endpoint nem grupos de dispositivos. São funções separadas.

Quando UPN e endereço de e-mail são diferentes

O Sophos Fusion identifica inicialmente a conta através do endereço de e-mail registado. Se o Microsoft Entra ID utilizar internamente outro User Principal Name, a Entra App precisa de uma configuração OpenID Connect adaptada com o Claim opcional email e as Microsoft Graph Permissions adequadas. No Sophos Fusion, o utilizador continua a introduzir o endereço de e-mail atribuído e autentica-se depois na página Microsoft com o UPN.

A configuração padrão é suficiente quando endereço de e-mail e UPN são idênticos. Uma configuração diferente deve ser testada primeiro com uma conta de teste, porque um Claim ausente ou incorreto impede a associação apesar de a autenticação no Entra ter sido bem-sucedida.

Gerir e ativar Identity Providers

Apenas um Super Admin pode gerir um Identity Provider federado. Antes disso, tem de estar verificado pelo menos um domínio adequado. Em Global Settings > Access Control > Sign-in and Identity > Federated identity providers, cria-se o Microsoft Entra ID, OpenID Connect ou Microsoft AD FS através de Add identity provider. Os Providers parcialmente preenchidos podem ser guardados, mas só podem ser ativados depois de a configuração estar completa e válida.

Para ativar, seleciona-se o Provider concluído e escolhe-se Turn on. A partir desse momento, pode ser utilizado para o início de sessão federado. Os Providers podem ser editados ou eliminados no mesmo local. Antes de Federated credentials only, todos os administradores e utilizadores afetados têm de estar associados a um domínio verificado e a um Provider ativado; caso contrário, ocorre um Lockout. Por isso, o Provider é testado primeiro com contas individuais e mantendo um acesso alternativo.

As instruções executáveis para os Providers encontram-se em Configurar o Microsoft Entra ID como Identity Provider, Configurar OpenID Connect e Okta para o Sophos Fusion e Associar o Microsoft AD FS ao Sophos Fusion.

As funções continuam a ser decisivas

A MFA protege a identidade, mas não limita os respetivos direitos. Super Admin deve ser utilizado apenas para alterações ao tenant, funções, API e definições particularmente abrangentes. Help Desk, Read-only e Custom Roles reduzem os possíveis danos causados por um erro ou uma conta comprometida.

A atribuição específica do produto é explicada em Planear funções e permissões do Sophos Central Endpoint.

Dispositivo MFA perdido e lockout

O processo de recuperação deve ser testado antes de ser necessário. Primeiro utiliza-se um segundo método registado. Se já não houver nenhum método disponível, verifica-se a identidade através de um canal de contacto conhecido e confirmado de forma independente antes da reposição; um e-mail a pedir a reposição não é suficiente por si só. O utilizador afetado é informado através do canal acordado. Não se pedem palavras-passe, passkeys, códigos QR ou códigos de segurança à pessoa que telefona, nem se guardam esses dados no ticket.

Para uma conta de utilizador no tenant Customer, o procedimento de recuperação é o seguinte:

1. Utilizar o segundo método registado.
2. Pedir a um Super Admin do tenant que execute Reset MFA no objeto do utilizador.
3. Introduzir, no início de sessão seguinte, o código de segurança enviado por e-mail pela Sophos.
4. Registar dois novos métodos MFA e testar a sua disponibilidade independente.
5. Se não estiver disponível outro Super Admin, contactar o Sophos Support com dados de conta verificáveis.

Para uma identidade Partner, recorre-se, por sua vez, ao Partner Super Admin e ao procedimento Partner descrito mais abaixo. O e-mail de verificação Customer não garante o funcionamento do diálogo de recuperação Partner. Após a reposição Partner, o utilizador segue as instruções de início de sessão e registo efetivamente apresentadas e restabelece pelo menos dois métodos independentes. Se não houver outro Super Admin para a conta Partner, contacta-se o Sophos Support; novas tentativas de início de sessão falhadas não substituem esta recuperação.

Após uma recuperação, removem-se os métodos antigos, registam-se novos métodos e verificam-se os Audit Logs quanto a inícios de sessão ou alterações invulgares.

Eliminar a entrada Sophos diretamente na aplicação Authenticator não remove o método do Sophos Fusion. Este permanece registado, mas deixa de fornecer códigos válidos. Por isso, o método também tem de ser removido no Sophos Fusion ou reposto por um Super Admin. Se todos os métodos locais forem eliminados, restam apenas um segundo método registado, o reset por outro Super Admin ou o processo verificado através do Sophos Support.

Repor a MFA como Super Admin

Este procedimento aplica-se a uma conta de utilizador no tenant Customer, e não à página Partner Administer MFA.

Apenas um Super Admin pode repor os registos MFA de outro utilizador. O caminho é My Environment > Users & Groups > Users. Abre-se o nome do utilizador, seleciona-se Reset MFA e depois novamente Reset. Uma mensagem de estado na margem inferior da página confirma que a reposição foi concluída com êxito.

Em seguida, o Sophos Fusion envia automaticamente ao utilizador um e-mail de verificação com um código de segurança. No início de sessão seguinte, este código tem de ser introduzido e a MFA configurada de novo por completo. Verificam-se a entrega, a identidade da pessoa que solicitou a reposição e o novo registo bem-sucedido; uma reposição, por si só, ainda não restabelece um acesso seguro. Se a própria conta estiver bloqueada e não existir outro Super Admin, resta apenas a recuperação verificada através do Sophos Support.

Repor a MFA na conta Partner

A página Administer MFA só é visível para um Partner Super Admin. É o procedimento Partner para identidades geridas; não se utiliza para este fim o caminho Customer My Environment > Users & Groups > Users. Os administradores da conta Partner podem ser verificados em Global Settings > Access Control > Admin & Roles > Admins.

1. No portal Partner, abrir o ícone Global Settings e, em Access Control, selecionar a página Administer MFA.
2. Introduzir o endereço de e-mail completo da identidade afetada. Só podem ser pesquisados endereços associados a uma conta Partner. Um endereço parcial não é suficiente. Se não houver resultados, não aparece qualquer aviso nem mensagem de erro; isto não confirma uma reposição. Nesse caso, verificam-se a escrita do endereço e a associação à conta, em vez de repor a MFA de outro utilizador.
3. No resultado que corresponda inequivocamente à identidade, ir à coluna Action e clicar em Reset MFA. Uma indicação na margem inferior da página confirma a reposição bem-sucedida.
4. Pedir ao utilizador que configure novamente a MFA. Depois verificam-se um início de sessão bem-sucedido e pelo menos dois métodos registados disponíveis de forma independente. Uma reposição bem-sucedida, por si só, ainda não confirma o restabelecimento de um acesso seguro.

Uma passkey perdida não é reconstruída a partir de um ticket nem substituída através da partilha da chave de outra pessoa. A recuperação utiliza um método próprio ainda disponível ou uma reposição autorizada; os registos antigos ou perdidos são depois verificados. Se a entrada Sophos só tiver sido eliminada localmente da aplicação Authenticator, o registo permanece no portal Partner, embora já não forneça códigos utilizáveis. Continua, por isso, a aplicar-se a distinção explicada acima entre eliminação local e remoção do registo no portal.

Repor a MFA de um utilizador Customer a partir do portal Partner

Para um utilizador do tenant Customer gerido, a Sophos documenta um ponto de entrada separado:

1. Abrir My Business > My Customers e selecionar Customers.
2. Em Sophos Central Customers, selecionar o cliente correto e escolher Launch customer. A conta Customer abre-se com o respetivo dashboard; antes da reposição verifica-se a associação ao cliente.
3. Abrir My Environment > Users & Groups, selecionar o utilizador afetado e escolher Reset MFA no respetivo perfil.
4. Verificar a mensagem de sucesso no canto inferior direito e concluir a recuperação com o utilizador, incluindo a notificação e o novo registo.

Este ponto de entrada Customer não é a pesquisa por e-mail em Administer MFA. Quem passa do dashboard Partner para um tenant Customer através de SSO Partner não pode alterar as definições MFA dos Super Admins desse tenant. Se o afetado for um Super Admin Customer, recorre-se a outro Super Admin autorizado desse tenant; se esse acesso não estiver disponível, contacta-se o Sophos Support. A passagem para o tenant Customer não elimina esta restrição.

Controlo periódico

Pelo menos trimestralmente, verificam-se os administradores, as funções, as credenciais de API, os métodos MFA e as identidades externas. Quando uma pessoa sai da empresa ou muda de função, o acesso ao Sophos Fusion não deve ser apenas desativado, mas também removido das funções de administrador e dos grupos IdP relevantes.

Perguntas frequentes