Isolar Sophos Endpoint e usar Live Response
Perante uma suspeita ativa, Isolation é frequentemente a forma mais rápida de parar outras comunicações. O Sophos Central mantém o próprio canal de gestão aberto, permitindo que o dispositivo receba Policies e seja investigado com Live Response.
O controlador Network Threat Protection implementa tecnicamente a Isolation. A Isolation por um administrador requer EDR, XDR ou MDR. Este artigo abrange endpoints Windows e macOS. O Sophos Protection for Linux pertence à área separada de servidores e workloads e não utiliza automaticamente as mesmas Isolation Exclusions.
Antes da Isolation consideram-se impacto empresarial, preservação de provas e disponibilidade da pessoa responsável. Em casos de Ransomware, Credential Theft ou Command and Control, a contenção tem normalmente prioridade.
Dois tipos de Isolation
| Tipo | Acionamento | Remoção |
|---|---|---|
| Admin isolate | administrador isola manualmente | administrador pode remover |
| Automatic device isolation | Threat Protection Policy isola com Health local vermelho | termina automaticamente após correção e Health verde |
Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices contém apenas dispositivos isolados administrativamente. Os automáticos não aparecem aí.
Testar isolamento automático num piloto
A opção encontra-se na Threat Protection Policy. O dispositivo isola-se quando o Health State local está vermelho, por exemplo por ameaça, software antigo, desvio de Policy ou proteção incompleta.
A Sophos recomenda um teste com dispositivos representativos. É necessário um canal de suporte para dispositivos vermelhos devido a problemas de rede ou software.
Um isolamento automático não pode ser simplesmente removido manualmente. Primeiro corrige-se a causa; quando o Endpoint volta a comunicar Health verde, termina automaticamente.
Pode surgir um Health vermelho durante o encerramento quando um serviço de terceiros atrasa o shutdown enquanto o Sophos Health vê um serviço de proteção já parado. Se o dispositivo for automaticamente isolado após o arranque, analise o System Event Log e o Service Control Manager em torno do encerramento. Um acionador conhecido é um timeout de HPAudioAnalytics com Event ID 7011. Corrija o serviço de terceiros causador em conjunto com o respetivo fabricante, em vez de desativar permanentemente a Isolation automática.
Admin Isolation
Em My Environment > Computers & Servers, abre-se o dispositivo e seleciona-se a ação de Isolation em Actions. Posteriormente, pode regressar à rede pelo próprio registo ou por Admin Isolated Devices.
Só se liberta depois de:
- verificar processos ativos e persistência;
- limpar ou bloquear ameaças;
- rodar credenciais quando necessário;
- atualizar agente e sistema operativo;
- confirmar Health State plausível;
- definir monitoring para recaídas.
Preparar Live Response
Live Response requer Sophos EDR, XDR ou MDR. Para computadores, ativa-se na Data Collection and Investigation policy em My Products > Endpoint > Policies.
As permissões são separadas:
- gerir a definição da Policy;
- iniciar sessões Live Response.
Super Admins têm os direitos necessários. Para outros utiliza-se uma Custom Role com âmbito mínimo. O início da sessão exige MFA.
Num login federado com um Identity Provider suportado, IdP Enforced MFA pode substituir o pedido adicional de Central MFA ao iniciar a sessão. Só é ativado quando o Identity Provider aplica e regista de forma fiável o MFA Challenge.
Live Response está ativo por predefinição com MDR e normalmente desativado com outras licenças adequadas. Dispositivos sensíveis podem receber uma Policy própria que o desative.
Iniciar uma sessão
- Abrir My Environment > Computers & Servers.
- Selecionar o dispositivo.
- Selecionar Actions > Live Response.
- Descrever precisamente o objetivo.
- Usar o terminal no novo separador do browser.
- Documentar investigação e alterações continuamente.
- Terminar com End Session.
A ligação termina também ao fechar ou recarregar o separador e após 30 minutos de inatividade.
Live Response é uma Remote Shell privilegiada. Não se experimentam comandos em sistemas de produção. Antes de alterar ficheiros ou processos, verificam-se caminho, hash, dependências e valor probatório.
Investigation num dispositivo isolado
Um processo adequado separa recolha e alteração:
- Registar hora, utilizador, ligações de rede e processos.
- Calcular hashes e verificar assinaturas de ficheiros suspeitos.
- Investigar autostarts, Scheduled Tasks e persistência.
- Guardar logs e artefactos relevantes.
- Só depois parar processos, remover ficheiros ou alterar configurações.
- Voltar a verificar scan central e Threat Graph.
Se uma equipa MDR estiver envolvida, as alterações locais paralelas são coordenadas para não destruir artefactos nem interferir com outro processo de Response.
Forensic Snapshots
Um Forensic Snapshot recolhe a atividade recente. Para determinadas deteções, a Sophos cria automaticamente dados para Threat Graphs. Também pode ser solicitado em My Environment > Computers & Servers > dispositivo > Summary > More actions > Create forensic snapshot.
Caminho padrão para snapshots manuais no Windows:
%PROGRAMDATA%\\Sophos\\Endpoint Defense\\Data\\Forensic Snapshots\\
Dados automáticos de deteção:
%PROGRAMDATA%\\Sophos\\Endpoint Defense\\Data\\Saved Data\\
Com Tamper Protection ativo, o acesso local requer uma consola elevada. Conversão e análise própria são um passo separado. O upload para S3 só está disponível no Windows com XDR ou MDR.
Por predefinição, um Snapshot abrange as duas semanas anteriores. Em Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots, o período pode ser ajustado ou podem ser selecionados todos os Log Data disponíveis.
Para análise, o Snapshot é convertido com SDR Exporter para SQLite ou JSON. Um Snapshot não é, portanto, um relatório diretamente legível. Input, Output Format e Hash do original são documentados na investigação.
No upload central para AWS S3, a Sophos Role recebe apenas s3:ListBucket e s3:PutObject para o Bucket previsto. Uma Lifecycle Rule remove Multipart Uploads interrompidos para evitar custos de armazenamento não detetados. KMS Encryption não é atualmente suportado para este upload; AES-256 é suportado e recomendado.
Guarde o nome do Bucket e o diretório de destino opcional juntamente com o Role ARN em Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots. Inclua o AWS Account ID e o External ID apresentados pelo Central na trust policy da Role. Depois de criar a Role, aguarde até cinco minutos pela replicação da AWS antes de guardar a configuração e testá-la com um dispositivo piloto.
Não são suportados carateres especiais no nome do Bucket. Um upload de Snapshot expira se demorar mais de uma hora; teste por isso períodos extensos e ligações lentas antes da utilização em produção. As regras de Firewall têm de permitir o upload S3. No log MCS, um presigned URL recebido, o PUT subsequente e a mensagem Upload ... succeeded comprovam a transferência bem-sucedida. Compare também a mensagem de sucesso do Central e o evento do dispositivo com o objeto realmente existente no Bucket.
Event Journals têm de estar ativos para existir histórico. Um snapshot posterior não reconstrói atividade anteriormente não registada.
Audit e acompanhamento
O início e fim de sessões gerais aparecem no Sophos Central Audit Log. Em Reports > Logs > Live Response session audit também pode ser descarregado um Session Log comprimido com os comandos introduzidos. A Role necessita, para isso, tanto da permissão Computer como Server para gerir Live Response.
Em ambientes sensíveis documentam-se adicionalmente Ticket ID, objetivo, pessoa, comandos, artefactos e resultado.
Após a limpeza não se assume imediatamente que tudo está resolvido. O dispositivo é atualizado, analisado, verificado quanto a Policies e observado durante um período definido. Só depois se remove Admin Isolation.