Proteger o acesso ao Sophos Central com MFA, passkeys e IdP
O Sophos Central controla Policies, exceções, Live Response e o isolamento de dispositivos. Por isso, uma conta de administrador comprometida pode causar mais danos do que um único endpoint infetado. A MFA é um requisito mínimo, mas não substitui funções adequadas nem um processo de recuperação.
Configurar MFA imediatamente e com redundância
Cada administrador tem de registar pelo menos dois métodos MFA e é solicitado a utilizar MFA em cada início de sessão. A Sophos suporta passkeys e aplicações Authenticator com códigos de utilização única baseados no tempo, ou TOTP.
Para contas privilegiadas, registam-se dois métodos independentes, por exemplo, uma passkey numa chave de hardware e uma aplicação Authenticator num dispositivo separado. Duas passkeys no mesmo portátil não constituem uma verdadeira redundância. A Sophos também indica como combinações possíveis duas passkeys em dispositivos separados ou dois registos Authenticator distintos.
As chaves de hardware de substituição e as informações de recuperação documentadas devem ser guardadas num cofre empresarial protegido. Não devem ficar no gestor de palavras-passe pessoal de um único colaborador nem num ticket aberto.
Podem ser registadas, no máximo, dez aplicações Authenticator TOTP por conta de administrador. Uma extensão Authenticator para browser é tecnicamente possível, mas provém de terceiros e não é desenvolvida nem suportada pela Sophos. Antes da instalação, verificam-se o editor, as permissões, o método de atualização e a política empresarial. Para contas privilegiadas, uma extensão no mesmo perfil de browser da sessão do Central não constitui uma boa separação de fatores.
Os métodos registados são geridos no perfil em Manage login settings ou Manage MFA. A simples eliminação de uma entrada na aplicação Authenticator local não remove o método do Central. Ao mudar de dispositivo, testa-se primeiro um segundo método, remove-se depois o registo antigo do Central e só no fim se repõe o dispositivo antigo.
Configurar uma aplicação Authenticator
Depois de iniciar sessão com o método anterior, abre-se Ícone do perfil > My info > Manage MFA. Em alternativa, Sophos ID > My Profile > Manage MFA conduz à mesma gestão. Após nova autenticação, seleciona-se o sinal de mais em Multi-Factor Authentication, a opção Authentication App em Set up MFA method e, em seguida, Set up now.
O código QR de utilização única é lido com a aplicação Authenticator aprovada. Em seguida, introduz-se no Central o código de segurança gerado, atribui-se opcionalmente um nome de dispositivo inequívoco e seleciona-se Continue. Successful enrollment confirma o registo; outro Continue conclui o processo. No início de sessão de teste seguinte, ao endereço de e-mail e à palavra-passe segue-se o código de verificação atual da aplicação.
São permitidas, no máximo, dez aplicações Authenticator por conta. O código QR e o segredo TOTP subjacente não são guardados como captura de ecrã. Depois do teste, configura-se um segundo método independente antes de remover um dispositivo ou registo antigo.
Configurar uma aplicação Authenticator no browser
Uma extensão de browser pode gerar códigos TOTP, mas só deve ser utilizada para contas privilegiadas após uma avaliação consciente do risco. O procedimento completo é o seguinte:
- No Central, abrir Ícone do perfil > My info > Manage MFA e utilizar um método existente para confirmação.
- Em Multi-factor Authentication, selecionar o sinal de mais, marcar Authentication App e abrir Set up now.
- Manter aberto o código QR apresentado uma única vez. Num separador separado, instalar a extensão aprovada a partir da loja oficial de extensões do browser.
- Regressar à página do código QR, abrir a extensão junto à barra de endereço e selecionar Add Account > Scan QR from screen.
- Introduzir o código único gerado em Verify Your Device > Security Code, atribuir opcionalmente um nome de dispositivo inequívoco e selecionar Continue.
- Em Ícone do perfil > My info > Manage MFA, verificar se o novo método está registado. Num início de sessão de teste, têm de funcionar o nome de utilizador e a palavra-passe, bem como o código da extensão.
O código QR é um segredo de registo de utilização única e não pode ser guardado como captura de ecrã nem enviado num ticket. Antes da aprovação, verificam-se o Publisher, os direitos de browser solicitados, a origem das atualizações e a sincronização de dados da extensão. Como, de outro modo, o perfil do browser, a sessão do Central e o segredo TOTP ficariam no mesmo local, continua a ser necessário um método separado noutro dispositivo ou numa chave de hardware.
Gerir métodos MFA registados
A página de gestão é aberta através de Ícone do perfil > My info > Manage MFA ou, em alternativa, de Sophos ID > My Profile > Manage MFA. Após nova autenticação, o Central mostra todos os métodos registados, o respetivo nome predefinido ou nome a apresentar e a última utilização.
O sinal de mais adiciona outra aplicação Authenticator ou uma passkey. São possíveis, no máximo, dez inscrições por tipo de método. No menu de três pontos de um método, pode selecionar-se Rename, introduzir um novo nome e confirmá-lo com a marca de verificação. Delete remove o registo do Central.
Têm de permanecer registados pelo menos dois métodos MFA. Quando já só existe o número mínimo obrigatório, o Central não permite eliminar outro método. Continue fecha a gestão e regressa ao dashboard do Central. Antes de remover um método antigo, testa-se o novo método num início de sessão separado.
Configurar uma passkey e escolher o local de armazenamento
Uma passkey só é adicionada como método adicional depois de já estar configurada uma aplicação Authenticator. Em Ícone do perfil > My info > Manage MFA, após nova autenticação, seleciona-se o sinal de mais e depois Passkey. O sistema operativo ou o Credential Manager orienta a verificação por PIN ou biometria. No Windows, pode tratar-se, por exemplo, de uma impressão digital através do Windows Hello. Após Passkey Saved, confirma-se com OK, verifica-se o novo registo na lista de métodos e conclui-se com Continue.
O local de armazenamento faz parte da decisão de segurança. Pode ser um Credential Manager no computador local, como o browser, o sistema operativo ou o gestor de palavras-passe empresarial, um Authenticator associado a um dispositivo, como uma YubiKey, ou um dispositivo móvel através de um processo com código QR. Para garantir resiliência, registam-se passkeys em mais do que um dispositivo controlado. O Central permite, no máximo, dez passkeys.
Iniciar sessão com passkey ou aplicação Authenticator
Para iniciar sessão com uma passkey, abre-se primeiro o endereço de início de sessão do Central, introduz-se o endereço de e-mail e seleciona-se Continue. Na página da passkey, Login with passkey inicia o método anteriormente registado, por exemplo impressão digital, PIN do dispositivo ou chave de hardware. Depois de uma verificação bem-sucedida, abre-se o dashboard do Central.
Se estiverem registadas uma passkey e uma aplicação Authenticator, o Central dá preferência à passkey. Através de Try another way, pode selecionar-se outro método depois de introduzir a palavra-passe. No início de sessão clássico por Authenticator, ao endereço de e-mail e Continue seguem-se a palavra-passe e Sign in. Em MFA Validation Required, introduz-se o código atual da aplicação Authenticator.
Ambos os métodos são testados após a configuração, uma mudança de dispositivo e uma atualização do browser. Uma passkey guardada, por si só, não é suficiente para Recovery se o Credential Manager, o acesso ao dispositivo e a sessão do Central forem afetados pelo mesmo erro ou Account Lockout.
My info, função e palavra-passe local
Em Ícone do perfil > My info, um administrador vê a função atual, o endereço de início de sessão do Central e as definições de palavra-passe e MFA. Um clique no nome da função abre todas as respetivas permissões. Assim, o endereço de e-mail é também uma característica importante para a correspondência no início de sessão, a verificação da função e um caso de suporte.
Uma palavra-passe Sophos local é alterada em My info > Password > Change password. Após a verificação, o Central apresenta a palavra-passe atual já preenchida. A nova palavra-passe requer pelo menos oito caracteres, uma letra minúscula, uma letra maiúscula e um número ou carácter especial. Após Reset Password, o Central inicia automaticamente a sessão do administrador com a nova palavra-passe e regressa ao portal; a palavra-passe antiga fica imediatamente inválida. No início de sessão federado, a palavra-passe é alterada no Identity Provider responsável.
Os detalhes da conta incluem ainda definições pessoais de subscrição de e-mail. Estas subscrições pessoais não são o mesmo que os destinatários de Alerts ao nível do tenant em Configure Email Alerts. Os administradores, listas de distribuição e sistemas de tickets que recebem notificações de segurança são geridos no processo separado para E-mails e notificações de Alerts do Sophos Central.
Avaliar corretamente as passkeys
As passkeys são resistentes a phishing quando a chave está associada ao domínio Central legítimo e protegida por um PIN do dispositivo ou biometria. Uma passkey sincronizada é cómoda, mas herda as características de segurança e recuperação da conta Apple, Google ou Microsoft utilizada.
Para Super Admins, uma chave de hardware gerida é um método particularmente robusto. Antes de a impor em todo o tenant, testam-se o acesso de emergência, as chaves de substituição e o Offboarding.
O Microsoft Authenticator não é suportado para uma passkey Sophos fora de um início de sessão federado com Entra ID. A aplicação pode continuar a ser utilizada como TOTP Authenticator. Dependendo da plataforma, as Cross-Device Passkeys requerem Bluetooth, proximidade entre os dispositivos e um workflow com código QR.
Cada conta pode registar, no máximo, dez passkeys. A substituição de fatores antigos e a lógica de bloqueio são tratadas separadamente na secção seguinte, porque afetam tanto contas TOTP como contas com passkeys.
O suporte de passkeys atualmente documentado inclui Windows 10 e 11, macOS 10.15.7 ou posterior, Android 9 ou posterior e iOS e iPadOS 16 ou posterior. A Sophos indica como versões mínimas Chrome 118, Firefox 119, Safari 537.36 e Edge 119. Os locais de armazenamento comuns são Windows Hello, Google Password Manager, iCloud Keychain e 1Password; como chaves associadas a dispositivos, a Sophos indica YubiKey 5 e YubiKey NFC. Podem funcionar outras combinações se os fabricantes do browser e do sistema operativo implementarem os protocolos de passkey necessários.
A Sophos estima que este suporte abranja aproximadamente 98 por cento das combinações de browser e sistema operativo utilizadas, bem como Credential Managers comuns. Esta é uma indicação de cobertura, não uma garantia de plataforma. O sistema operativo, o browser, o Credential Manager, a política de sincronização e o Recovery são testados com as versões efetivamente utilizadas.
As passkeys sincronizadas funcionam para o início de sessão Sophos, mas a própria sincronização continua a ser uma função do Credential Manager. O iCloud Keychain pode, por exemplo, disponibilizar passkeys entre Macs, iPhones e iPads da mesma identidade iCloud. Em caso de falha de sincronização, o fabricante do Credential Manager é, portanto, o responsável. Para passkeys entre dispositivos, o Bluetooth tem de estar ativo no computador e no dispositivo móvel, ambos os dispositivos têm de estar próximos e tem de estar disponível um leitor de códigos QR.
O Microsoft Authenticator só pode utilizar uma passkey Sophos no contexto de um início de sessão federado do Entra ID. Sem este método de início de sessão, surgem normalmente durante o registo Failed to add passkey ou Microsoft Authenticator doesn’t support this passkey. Independentemente disso, o Microsoft Authenticator continua a poder ser utilizado como aplicação TOTP.
No 1Password Business, as Team Policies ou Shared-Vault Policies podem bloquear o registo de passkeys. O 1Password surge então no diálogo de Enrollment, mas está esbatido. O administrador 1Password responsável tem de autorizar a permissão de Enrollment nas Team Policies; eliminar repetidamente o método MFA da Sophos não corrige esta política externa.
Métodos MFA obsoletos e Account Lockout
SMS e e-mail mais PIN são métodos MFA obsoletos. Os novos utilizadores do Central têm de utilizar uma aplicação Authenticator TOTP ou uma passkey. Se a MFA de um utilizador existente com SMS ou e-mail mais PIN for reposta, o Central trata-o também como um novo utilizador no novo Enrollment e exige TOTP ou passkey.
Após cinco tentativas de início de sessão incorretas consecutivas, o Central bloqueia inicialmente a conta durante um minuto. Outras tentativas falhadas com a mesma conta prolongam gradualmente o bloqueio até um máximo de cinco horas. Por isso, depois de um Lockout não se continua a tentar automaticamente. Se não existir um segundo método nem outro Super Admin, o Sophos Support pode desbloquear a conta depois de verificar a identidade.
Início de sessão federado através de um Identity Provider
Com um Identity Provider suportado, o Sophos Central pode delegar o início de sessão na identidade empresarial central. Isto simplifica o Conditional Access, o Lifecycle e o bloqueio central. O Central utiliza um processo iniciado pelo Service Provider, ou SP-initiated SSO: o início de sessão começa no Sophos Central e é depois encaminhado para o IdP.
A configuração segue uma ordem fixa. Primeiro, o domínio próprio é verificado através de um registo DNS TXT. A propagação DNS pode demorar até 24 horas. Uma verificação bem-sucedida é válida durante um ano e tem depois de ser renovada. Em seguida, associa-se o Identity Provider ao domínio verificado e só no fim se ativa a opção de início de sessão pretendida. Estas tarefas requerem direitos de Super Admin.
O Central pode permitir apenas credenciais federadas ou também o endereço de e-mail e a palavra-passe do Sophos Central. Com Microsoft Entra ID, o Central continua a apresentar ambas as opções apesar da definição Federated credentials only. Com outros Identity Providers, esta definição encaminha diretamente para o IdP sem um passo de seleção. Este comportamento diferente deve fazer parte do teste de lockout.
A seleção é efetuada em Global Settings > Access Control > Sign-in and Identity > Sophos sign-in. Em princípio, aplica-se a todos os produtos Central. Podem definir-se Custom Sign-in Rules para administradores individuais, por exemplo para manter um início de sessão Sophos controlado como método alternativo durante o piloto. Cada utilizador só pode estar associado a um domínio verificado e a um Identity Provider.
Com Federated credentials only, os utilizadores não podem repor autonomamente a respetiva palavra-passe Sophos. Se mais tarde se regressar a um início de sessão exclusivamente Sophos, estas contas poderão ainda não possuir uma palavra-passe utilizável e terão de executar Reset Password. Os utilizadores do Self Service Portal com início de sessão exclusivamente federado não recebem um convite separado para criar uma palavra-passe, iniciando sessão diretamente através do IdP.
A opção Expand MFA Coverage alarga o pedido de MFA a utilizadores geridos noutros portais Sophos, como Self Service Portal, Partner Portal ou Support Portal. Depois de ativada, não pode voltar a ser desativada. Por isso, só é guardada ao nível de todo o tenant após um piloto com os utilizadores de portal efetivamente afetados.
Antes da ativação, esclarecem-se os seguintes pontos:
- associação inequívoca entre o endereço de e-mail e o Central Login,
- MFA e regras de acesso no IdP,
- comportamento para contas Guest e Partner,
- pelo menos um acesso de emergência testado,
- prevenção de um lockout em caso de configuração incorreta do domínio ou IdP.
O início de sessão federado não sincroniza automaticamente utilizadores Endpoint nem grupos de dispositivos. São funções separadas.
Quando UPN e endereço de e-mail são diferentes
O Central identifica inicialmente a conta através do endereço de e-mail registado. Se o Microsoft Entra ID utilizar internamente outro User Principal Name, a Entra App precisa de uma configuração OpenID Connect adaptada com o Claim opcional email e as Microsoft Graph Permissions adequadas. No Central, o utilizador continua a introduzir o endereço de e-mail atribuído e autentica-se depois na página Microsoft com o UPN.
A configuração padrão é suficiente quando endereço de e-mail e UPN são idênticos. Uma configuração diferente deve ser testada primeiro com uma Test Account, porque um Claim ausente ou incorreto impede a associação apesar de a autenticação no Entra ter sido bem-sucedida.
Gerir e ativar Identity Providers
Apenas um Super Admin pode gerir um Identity Provider federado. Antes disso, tem de estar verificado pelo menos um domínio adequado. Em Global Settings > Access Control > Sign-in and Identity > Federated identity providers, cria-se o Microsoft Entra ID, OpenID Connect ou Microsoft AD FS através de Add identity provider. Os Providers parcialmente preenchidos podem ser guardados, mas só podem ser ativados depois de a configuração estar completa e válida.
Para ativar, seleciona-se o Provider concluído e escolhe-se Turn on. A partir desse momento, pode ser utilizado para o início de sessão federado. Os Providers podem ser editados ou eliminados no mesmo local. Antes de Federated credentials only, todos os administradores e utilizadores afetados têm de estar associados a um domínio verificado e a um Provider ativado; caso contrário, ocorre um Lockout. Por isso, o Provider é testado primeiro com contas individuais e mantendo um acesso alternativo.
As instruções executáveis para os Providers encontram-se em Configurar o Microsoft Entra ID como Identity Provider, Configurar OpenID Connect e Okta para o Sophos Central e Associar o Microsoft AD FS ao Sophos Central.
As funções continuam a ser decisivas
A MFA protege a identidade, mas não limita os respetivos direitos. Super Admin deve ser utilizado apenas para alterações ao tenant, funções, API e definições particularmente abrangentes. Help Desk, Read-only e Custom Roles reduzem os possíveis danos causados por um erro ou uma conta comprometida.
A atribuição específica do produto é explicada em Planear funções e permissões do Sophos Central Endpoint.
Dispositivo MFA perdido e lockout
O processo de recuperação deve ser testado antes de ser necessário:
- Utilizar o segundo método registado.
- Pedir a um Super Admin do tenant que execute Reset MFA no objeto do utilizador.
- Introduzir, no início de sessão seguinte, o código de segurança enviado por e-mail pela Sophos.
- Registar dois novos métodos MFA.
- Se não estiver disponível outro Super Admin, contactar o Sophos Support com dados de conta verificáveis.
Após uma recuperação, removem-se os métodos antigos, registam-se novos métodos e verificam-se os Audit Logs quanto a inícios de sessão ou alterações invulgares.
Eliminar a entrada Sophos diretamente na aplicação Authenticator não remove o método do Central. Este permanece registado, mas deixa de fornecer códigos válidos. Por isso, o método também tem de ser removido no Central ou reposto por um Super Admin. Se todos os métodos locais forem eliminados, restam apenas um segundo método registado, o reset por outro Super Admin ou o processo verificado através do Sophos Support.
Repor a MFA como Super Admin
Apenas um Super Admin pode repor os registos MFA de outro utilizador. O caminho é My Environment > Users & Groups > Users. Abre-se o nome do utilizador, seleciona-se Reset MFA e depois novamente Reset. Uma mensagem de estado na margem inferior da página confirma que a reposição foi concluída com êxito.
Em seguida, o Central envia automaticamente ao utilizador um e-mail de verificação com um código de segurança. No início de sessão seguinte, este código tem de ser introduzido e a MFA configurada de novo por completo. Verificam-se a entrega, a identidade da pessoa que solicitou a reposição e o novo registo bem-sucedido; uma reposição, por si só, ainda não restabelece um acesso seguro. Se a própria conta estiver bloqueada e não existir outro Super Admin, resta apenas a recuperação verificada através do Sophos Support.
Controlo periódico
Pelo menos trimestralmente, verificam-se os administradores, as funções, as API Credentials, os métodos MFA e as identidades externas. Quando uma pessoa sai da empresa ou muda de função, o acesso ao Central não deve ser apenas desativado, mas também removido das Admin Roles e dos grupos IdP relevantes.