Tratar Sophos Endpoint Alerts e Account Health

Um alerta no Sophos Fusion (anteriormente Sophos Central) é uma tarefa de investigação, não automaticamente um incidente confirmado. Após iniciar sessão no Sophos Fusion, o tratamento em My Environment > Alerts começa por Severity, dispositivo, Detection Name e Events associados. Uma ação de estado fica para o fim: não remove malware nem uma configuração insegura.

Processo rápido de Alert Triage

1. Delimitar o Alert: registar Severity, Status, dispositivo, hora, Detection Name e número de Events agrupados.
2. Analisar o contexto: verificar detalhes, Associated events, estado, Last active, utilizador, caminho, processo, hash e eventual Threat Graph.
3. Conter o risco ativo: se o risco continuar ou for lateral, isolar o Endpoint pelo processo Incident aprovado. Sophos Endpoint Threat Cleanup e remoção de malware descreve a correção completa.
4. Tratar o tipo de Alert: executar Cleanup, Scan, reinício, correção de Policy ou análise de False Positive adequada.
5. Validar tecnicamente: verificar novos Events, resultados de Cleanup e Scan, Agent Health e aplicação afetada.
6. Só depois concluir: alterar o Workflow Status apenas após documentar causa, ação, resultado e responsável.

High exige análise rápida. Medium não significa inofensivo: um Scan necessário, Cleanup incompleto ou Remotely-run ransomware também requerem trabalho adicional.

Não confundir Health, Alert e Event

Estes sinais não são calculados da mesma forma. Um Endpoint pode estar verde após bloqueio ou quarentena e continuar com um Alert a investigar. Inversamente, um problema Health pode existir sem Threat Alert aberto. O verde confirma apenas o estado reportado pela Sophos, não a segurança completa.

O Account Health Check pertence deliberadamente a uma revisão separada do Sophos Fusion. Utilizar corretamente o Sophos Fusion Account Health Check explica fórmulas, Auto-Fix, Snooze, Policy Reset, Agent Mode, Tamper Protection e exportação PDF. Para Endpoint Alerts mantém-se a regra: alterar Score ou Status nunca substitui a validação técnica no dispositivo.

Priorizar Threat Protection Alerts

A Sophos inclui entre as notificações especialmente urgentes:

• Real-time protection disabled: proteção em tempo real desativada há mais de 2,5 horas. Apenas um diagnóstico breve orientado pela Sophos Support é uma exceção plausível.
• Malware not cleaned up: O malware detetado não pôde ser removido após 24 horas, embora o Cleanup automático esteja disponível. Manual cleanup required significa que o Cleanup automático não está disponível; Running malware not cleaned up indica que não foi possível limpar um programa malicioso ou suspeito em execução. Este último caso tem a prioridade mais elevada.
• Malicious traffic detected: tráfego de rede suspeito pode indicar Command-and-Control ou outra atividade malware.
• Recurring infection: a correção foi tentada, mas a infeção voltou. Procurar componentes ocultos ou ainda não detetados.
• Ransomware detected ou ransomware contra partilhas: determinar imediatamente origem, sistemas-alvo e possível impacto lateral.
• Outbreak detected: a Sophos comunica um Outbreak quando um dispositivo sofre 100 Detections em 24 horas. O volume não substitui a análise da causa.

Os Medium Alerts Potentially Unwanted Application detected, Computer scan required to complete cleanup, Reboot required to complete cleanup e Remotely-run ransomware detected também precisam de resultado claro. Um dispositivo offline executa o Scan pedido quando regressa online. Se já existir um Scan, o novo pedido é ignorado e o Scan atual continua.

Investigar por tipo de ameaça

Ransomware e Remote Ransomware

Em Ransomware detected, confirmar se a Sophos parou o processo, restaurou os ficheiros, executou um Memory Scan e gerou um Threat Graph. Se o Cleanup estiver incompleto, manter o caso aberto.

Após aprovação segundo a classificação de dados, selecionar ou arrastar o ficheiro suspeito diretamente para o portal SophosLabs Intelix; se o ficheiro estiver protegido, fornecer a respetiva palavra-passe. Analyze inicia a análise sem abrir o ficheiro no Endpoint afetado. Sem autenticação, o Intelix Guest Portal aceita um ficheiro por envio; após iniciar sessão com um Sophos ID válido, cada lote pode conter até dez ficheiros. Antes da transferência, é necessário aceitar os termos de utilização e o aviso de privacidade.

Verificar primeiro a classificação e os resultados do relatório Static Analysis. Se for necessária uma análise comportamental, Submit for dynamic analysis cria um relatório Sandbox. Disagree é uma funcionalidade Beta e pode não estar disponível para todos os relatórios ou contas. Quando é apresentada, um utilizador com perfil Support Portal validado pode indicar os dados do cliente, produto e Sample, bem como a origem e o contexto da investigação, e seguir os passos de escalonamento disponíveis. Dependendo das permissões, o processo pode permitir o escalonamento para a Sophos Support; utilizar Disagree não garante a criação de um caso, pelo que qualquer referência de Support deve ser confirmada separadamente. Se o portal estiver indisponível, o envio falhar ou o Cleanup continuar incerto, manter o dispositivo isolado; Sophos Endpoint Threat Cleanup e remoção de malware descreve todo o processo de correção e passagem ao Support.

Distinguir os dois cenários remotos:

• Remotely-run ransomware detected: outro sistema ataca a partilha. Identificar o dispositivo de origem pelo IP comunicado e determinar se é gerido pelo Sophos Fusion e se CryptoGuard está ativo.
• Ransomware attacking a remote machine detected: o próprio Endpoint reportado tenta cifrar ficheiros noutros sistemas. A Sophos bloqueia a escrita nas partilhas, mas a origem continua a exigir investigação completa.

O acesso bloqueado à partilha é contenção, não prova de fecho. Incluir dispositivos próximos, contas utilizadas e partilhas acessíveis no Scope Incident.

Deteções Browser, Exploit e IPS

Num web browser attack, o Threat Graph identifica a ligação IP e URL. Avaliar o destino e bloqueá-lo na Firewall empresarial quando adequado. Se o utilizador introduziu uma palavra-passe, alterá-la pelo processo Identity estabelecido. Em banca ou pagamentos, verificar também atividade invulgar.

Num exploit, a Sophos para a atividade, avisa o utilizador, analisa processos em memória e cria um Threat Graph. Examinar origem, propagação, processos e ficheiros. Uma causa recorrente exige mais do que formação: verificar aplicação, Patch Level e Exploit Protection.

Um IPS Alert refere-se a tráfego de entrada ou saída. Uma IPS Exclusion retira tráfego correspondente da inspeção e deve ser muito restrita. As permissões Firewall são configuradas separadamente. Configurar em segurança exclusões do Sophos Endpoint explica exclusões Detection, Process, Path e Network.

Deep Learning e PUA

As deteções malware por Deep Learning usam um prefixo como ML/. Os ficheiros PE são colocados em quarentena, pelo que Device Health pode já estar verde. Restaurar e autorizar apenas quando origem, assinatura ou hash e finalidade profissional confirmarem de forma fiável a legitimidade.

Uma Potentially Unwanted Application (PUA) não é necessariamente maliciosa, mas pode criar riscos de privacidade, segurança ou operação. A Sophos bloqueia e limpa normalmente as PUA de forma automática. O Cleanup pode falhar quando a localização é só de leitura, é necessário Scan ou reinício, o ficheiro está num arquivo ou não há instrução. Nesse caso, investigar Alert e Threat Graph, remover processos dependentes e confirmar Scan e Events.

Authorize PUA na página Alerts autoriza a PUA em todos os computadores. Para uma necessidade limitada, uma Policy Exclusion tão restrita quanto possível é mais segura. Em Windows e Linux, uma aplicação legítima pode ser autorizada por Certificate, SHA-256 ou Path, conforme a plataforma; a Sophos recomenda Certificate em Windows. O hash cobre apenas uma versão, enquanto Path abrange tudo nessa localização. A função não está disponível em macOS.

Tratar False Positives em segurança

«Aplicação conhecida» não é prova suficiente. Antes de excluir, verificar fabricante, assinatura, hash, origem, versão, Detection Name e comportamento. Se restarem dúvidas, manter a deteção ativa e fornecer Sample e dados do caso à Sophos Support.

• Aplicação: em plataformas suportadas, Allow this application encontra-se nos detalhes do dispositivo em Events > Details. Certificate liga-se ao editor, SHA-256 a uma versão exata e Path a uma localização. A autorização aplica-se globalmente a todos os utilizadores e computadores e exclui a aplicação de futuras Threat Detections, mas as verificações de Exploit, Ransomware e Malicious Behavior continuam ativas.
• Exploit: Exclude this Detection ID from checking aplica-se a todos os utilizadores e computadores e é guardado em Global Exclusions. Se apenas determinados utilizadores ou dispositivos forem afetados, usar uma Threat Protection Policy direcionada. A Sophos considera excluir toda a aplicação de todas as verificações Exploit a opção mais arriscada e último recurso.
• Ransomware: Exclude this Detection ID from checking em Event details aplica-se globalmente a utilizadores e computadores e entra em Global Exclusions. Aprovar esse Scope antes de confirmar.

Cada exclusão necessita de responsável, justificação, grupo-alvo, data de expiração e teste funcional. Removê-la após a correção do fabricante.

Encaminhar corretamente Alerts não relacionados com segurança

Problemas de instalação, Policy, periféricos, VDI e reinício não provam automaticamente malware, mas precisam de responsável técnico:

• Para proteção ou instalação Agent falhada, usar Resolver sistematicamente problemas de instalação do Sophos Endpoint.
• Analisar desvios recorrentes com Estruturar corretamente as políticas do Sophos Endpoint.
• Sistemas clonados seguem Preparar Sophos Endpoint em VDI Golden Images.
• Um reinício pendente cria primeiro Events e, após duas semanas, um Alert. Não esperar esse prazo para organizar manutenção.

Configurar e-mails e notificações de alertas do Sophos Fusion trata entrega, destinatários, frequências e escalonamento. O e-mail é apenas o canal; Alert, Events e estado do dispositivo no Sophos Fusion são determinantes.

Critérios de fecho e passagem ao Support

Um Alert está tecnicamente concluído apenas quando:

• causa e Scope afetado são conhecidos,
• Cleanup, Scan, reinício ou correção estão comprovadamente terminados,
• não surgem novos Events relacionados,
• Device Health e proteções necessárias são plausíveis,
• cada exclusão está testada, limitada no tempo e atribuída,
• o registo contém Alert ID, hora, dispositivo, Detection Name e resultado.

A Sophos Support é adequada quando Cleanup falha repetidamente, a infeção regressa, o Agent parece danificado ou um False Positive fundamentado não pode ser autorizado em segurança. Incluir Alert ID, dispositivo, período, Detection Name, hash, assinatura, Logs, conclusões Threat Graph, ações realizadas e resultado esperado.

Perguntas frequentes