Isolar Sophos Endpoint e usar Live Response

Durante uma investigação ativa, o isolamento separa um endpoint da rede, mantendo o dispositivo gerível no Sophos Fusion (anteriormente Sophos Central). As exclusões de isolamento configuradas ainda podem permitir comunicações limitadas. O Live Response abre depois uma shell remota privilegiada para investigação e remediação. Ambas as funções afetam imediatamente a operação: o isolamento altera o tráfego de rede e o Live Response permite terminar processos, reiniciar dispositivos, percorrer pastas e eliminar ficheiros.

Fluxo seguro em resumo

1. Compare dispositivo, utilizador, alerta e Threat Graph com o ticket ou incidente.
2. Se houver risco imediato de propagação, isole administrativamente o dispositivo. A contenção tem normalmente prioridade em ransomware, roubo de credenciais ou atividade command-and-control.
3. Inicie o Live Response apenas com licença, policy, Role e MFA adequados.
4. Recolha o estado e as provas antes de alterações específicas.
5. Termine com End Session e conserve os logs de auditoria e sessão.
6. Limpe ou bloqueie a ameaça, verifique scan e Health e só depois remova o isolamento administrativo.

Distinguir isolamento administrativo e automático

O isolamento automático usa o Health State comunicado pelo dispositivo. Vermelho pode indicar uma ameaça, software desatualizado, incumprimento da policy ou proteção incompleta. O estado geral apresentado no Sophos Fusion pode divergir porque considera fatores adicionais. Dispositivos isolados automaticamente não aparecem em Admin Isolated Devices e não podem ser libertados manualmente nessa lista.

A Sophos recomenda um piloto de Device Isolation através de uma Threat Protection policy aplicada a um grupo representativo. Teste também o suporte para dispositivos que ficam vermelhos devido a falhas de proteção ou atualização, e não a um ataque. Ficheiros de rede Windows em cache local podem continuar visíveis durante o isolamento; isso não comprova uma ligação de rede ativa.

A lógica completa encontra-se em Configurar corretamente o Sophos Fusion Threat Protection. Se uma exceção for essencial, permita apenas a direção, o endereço e a porta necessários para um fim específico. Consulte exemplos e limites em Planear em segurança as exclusões Sophos Endpoint.

Requisitos e permissões do Live Response

O Live Response requer Sophos EDR, XDR ou MDR. Para computadores, permita as ligações em My Products > Endpoint > Policies > Data Collection and Investigation > Policy > Settings com Allow Live Response connections to computers. A Base Policy aplica-se por predefinição a todos os computadores. Quando necessário, coloque dispositivos sensíveis num grupo com uma policy que mantenha Live Response desativado. A função está ativa por predefinição com MDR e inativa com outras licenças elegíveis.

Ative separadamente para servidores: A definição para computadores não se aplica a servidores. Antes de alterar uma policy, verifique qual está efetivamente atribuída ao servidor de destino e todos os servidores afetados; a Base Policy dos servidores aplica-se por predefinição a todos os servidores e não deve abrir inadvertidamente o acesso a todo o parque. Se o Live Response for necessário apenas para um grupo limitado de servidores, verifique primeiro a Base Policy e todas as outras policies de servidor em vigor e desative o Live Response fora desse grupo; com MDR, pode estar ativo por predefinição. Depois, atribua uma policy adequada ao grupo de destino e, apenas nela, ative Allow Live Response connections to servers em My Products > Server > Policies > Data Collection and Investigation > [Policy] > Settings e selecione Save. Confirme a definição efetiva tanto no servidor de destino como nos servidores fora do grupo. A policy de servidor suporta servidores Windows e Linux.

Gerir as policies e iniciar sessões são direitos separados:

• Alterar definições de computadores: Super Admin ou Custom Role com Manage Data Collection and Investigation settings for computers.
• Alterar definições de servidores: Super Admin ou Custom Role com Manage Data Collection and Investigation settings for servers.
• Iniciar sessão em computadores: Super Admin ou Custom Role com Start Live Response sessions on computers.
• Iniciar sessão em servidores: Super Admin ou Custom Role com Start Live Response sessions on servers.
• Para iniciar uma sessão, a Custom Role precisa de uma Base Role Full ou Help Desk e da respetiva permissão adicional de início. As instruções da Sophos divergem quanto ao acesso ao produto: o guia geral de Custom Roles permite Full ou Help Desk para Endpoint Protection ou Server Protection, enquanto o guia específico de Live Response indica Full. Por isso, antes de usar o acesso ao produto Help Desk, confirme as permissões efetivas no seu tenant. Para alterar a policy de servidor, a Custom Role precisa de acesso Full a Server Protection e de Manage Data Collection and Investigation settings for servers.
• Atualmente, um MSP não pode criar esta Custom Role na conta do cliente a partir do Sophos Fusion Partner.

Atribua estes direitos segundo o privilégio mínimo e valide a atribuição efetiva antes de um incidente. Planear Roles e permissões Sophos Fusion Endpoint explica o acesso aos produtos e os direitos adicionais.

Ao iniciar o Live Response, o Sophos Fusion normalmente solicita um desafio MFA. No login federado, IdP Enforced MFA permite evitá-lo quando um Identity Provider suportado impõe MFA. O caminho documentado é Global Settings > Access Control > Sign-in and Identity > Federated identity providers.

Isolar administrativamente um dispositivo

O caminho oficialmente documentado num Threat Graph é:

1. Abra Threat Analysis Center > Threat Graphs e selecione o graph correspondente.
2. Verifique Summary e Suggested next steps e confirme que graph e dispositivo pertencem ao incidente.
3. Para um graph prioritário, selecione Isolate this device. A ação requer Sophos XDR e não é apresentada para um dispositivo isolado automaticamente.
4. Confirme no Sophos Fusion que o dispositivo correto está isolado e continua gerível.
5. Registe no ticket a hora, o operador, o motivo e o impacto esperado.

Outros resultados podem ser isolados com Isolate device em Item Search Results. Compare cada dispositivo com o incidente; um isolamento abrangente sem âmbito confirmado pode interromper desnecessariamente a operação.

Os dispositivos isolados administrativamente estão em Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. Mais tarde, também está disponível Remove from Isolation. Uma exceção para RDP, SSH ou um servidor de limpeza amplia deliberadamente as comunicações e deve ser temporária e o mais restrita possível.

Executar uma sessão Live Response em segurança

Antes da ligação

Registe pelo menos Ticket ID, nome do dispositivo, sistema operativo esperado, objetivo, verificações planeadas só de leitura, possíveis alterações e rollback. Coordene ações locais com Sophos MDR ou outra equipa de resposta para não perder provas nem interferir com trabalho paralelo.

Abrir a sessão

1. Abra My Environment > Computers & Servers.
2. Selecione o dispositivo verificado e abra os detalhes. Para um servidor, confirme também a identidade do destino, a policy de servidor efetiva e a permissão de início da sessão.
3. Escolha Actions > Live Response.
4. Indique um objetivo preciso.
5. Use o terminal no novo separador. Se não abrir, verifique a permissão de pop-ups para Sophos Fusion.

O caminho da policy de servidor acima serve apenas para ativar a função, não para iniciar uma sessão. A verificação MFA aplica-se a computadores e servidores.

A shell espera comandos DOS, UNIX ou Linux adequados ao dispositivo ligado. Uma ligação bem-sucedida só confirma acesso; não prova que o endpoint está limpo.

Observar antes de alterar

Um processo defensável separa observação e remediação:

1. Recolha contexto temporal, utilizadores com sessão iniciada, processos e ligações de rede.
2. Documente ficheiros, caminhos, hashes, assinaturas e mecanismos de persistência suspeitos.
3. Preserve logs e artefactos relevantes e anote onde estão guardados.
4. Antes de cada alteração, reconfirme alvo, impacto, dependências e rollback.
5. Termine ou remova apenas atividade maliciosa confirmada.
6. Repita o scan central e reveja Threat Graph, alertas e Health State.

Não experimente comandos em produção. Se um caminho, processo ou artefacto não estiver claramente atribuído, mantenha o endpoint isolado e escale para Sophos Support, MDR ou a equipa de resposta a incidentes.

Terminar e auditar a sessão

Use End Session para fechar deliberadamente a ligação. Esta também termina ao fechar ou atualizar o separador, navegar noutra área do Sophos Fusion ou após 30 minutos sem atividade.

Em Reports > Logs > Audit Logs, as entradas de início e fim apresentam administrador, dispositivo e objetivo. O registo completo de comandos está disponível como gzip em Reports > Logs > Live Response session audit > Download session log. Para o descarregar, uma Custom Role precisa de Manage Live Response settings for computers e Manage Live Response settings for servers; em alternativa, um Super Admin pode conservá-lo.

Nas sessões de servidores, compare o servidor de destino e o objetivo nas entradas de auditoria com o ticket e verifique os comandos realmente executados no registo de sessão descarregado. Uma ligação bem-sucedida, por si só, não confirma que o servidor de destino foi limpo.

Em ambientes sensíveis, registe também Ticket ID, comandos, artefactos, hashes, resultado e decisão de libertação.

Criar opcionalmente um Forensic Snapshot

Um Forensic Snapshot capta atividade recente. Para algumas deteções, a Sophos cria automaticamente dados para um Threat Graph; também pode solicitar um snapshot:

1. Abra My Environment > Computers & Servers > dispositivo > Summary.
2. Selecione More actions > Create forensic snapshot > Create now.
3. No Windows, um snapshot manual é guardado por predefinição em:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\

Os dados guardados automaticamente após deteções encontram-se em:

%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\

Com Tamper Protection ativo, o acesso local requer uma consola elevada. Converta o snapshot para SQLite ou JSON com SDR Exporter; não é um relatório diretamente legível. Registe o ficheiro de entrada, o formato de saída e um hash calculado pela sua equipa para o original, sem o apresentar como uma certificação produzida pela Sophos.

Por predefinição, um snapshot abrange as duas semanas anteriores. Altere o período ou escolha All log data em Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots.

Upload para AWS S3

O upload S3 a partir do Sophos Fusion só está disponível em Windows com XDR ou MDR. A IAM Policy documentada pela Sophos requer s3:ListBucket e s3:PutObject para o bucket previsto. O Sophos Fusion mostra AWS Account ID e External ID para a Trust Policy; a propagação de uma nova IAM Role pode demorar até cinco minutos.

Guarde nome do bucket, diretório opcional e Role ARN em Forensic Snapshots. A Sophos recomenda também uma Bucket Policy restritiva, encriptação AES-256 e uma Lifecycle Rule para Multipart Uploads incompletos. Buckets encriptados com KMS e carateres especiais no nome não são suportados. As regras de firewall devem permitir a ligação ao S3.

Um piloto bem-sucedido não termina com uma mensagem no Sophos Fusion. Confirme que o objeto esperado existe no bucket e prefixo corretos e está protegido pela sua política de retenção.

Limpar, libertar e monitorizar

Remova o isolamento administrativo apenas depois de:

• investigar processos e persistência suspeitos;
• limpar ou bloquear aplicações maliciosas;
• alterar as credenciais comprometidas quando necessário;
• validar o estado de atualização do agente e do sistema;
• confirmar que scan, alertas, Threat Graph e Health não mostram ameaça ativa por explicar;
• definir responsável e período de monitorização.

Depois escolha Suggested next steps > Remove from isolation no Threat Graph ou selecione o dispositivo em Admin Isolated Devices e Remove from Isolation. No dispositivo correto, confirme que as ligações empresariais necessárias funcionam, o Sophos Fusion continua a receber dados atuais e não ocorre nova deteção ou isolamento.

Não liberte manualmente isolamento automático. Corrija a causa do Health local vermelho. Se o dispositivo continuar vermelho ou não for libertado automaticamente, preserve horas, eventos e detalhes de Health e escale em vez de contornar isolamento ou proteção com exceções amplas.

Erros comuns e passos seguintes seguros

• O separador Live Response não abre: permita pop-ups para Sophos Fusion e inicie novamente a ligação de forma consciente.
• A sessão termina inesperadamente: verifique se o separador foi fechado, atualizado, abandonado ou ficou 30 minutos inativo. Antes de voltar a ligar, compare a última entrada de auditoria e as alterações já efetuadas.
• O dispositivo não aparece em Admin Isolated Devices: verifique Health local e Threat Protection policy. Dispositivos isolados automaticamente não aparecem nesta lista.
• Live Response não liga: verifique atribuição da policy, licença, Role, MFA e acessibilidade do caminho de gestão Sophos. Mantenha o dispositivo isolado e não crie uma exceção de rede abrangente.
• Um comando ou artefacto não é claro: não altere nada. Termine e documente a sessão e continue com Sophos Support, MDR ou a equipa de resposta.
• Falta o objeto S3: verifique requisitos Windows/licença, bucket, Role ARN, Trust/IAM Policies e firewall e teste novamente com um dispositivo piloto.