Boas práticas de Sophos Endpoint Threat Protection

A Threat Protection Policy é a política Endpoint mais importante no Sophos Fusion (anteriormente Sophos Central). Controla não só scans clássicos de malware, mas também deteção comportamental, Exploit Mitigation, CryptoGuard, proteção Web, Event Journals e outras funções de proteção em runtime.

As definições recomendadas pela Sophos são o melhor ponto de partida. Os desvios devem ser reduzidos, específicos e mensuráveis. Uma Base Policy globalmente enfraquecida pode resolver incompatibilidades a curto prazo, mas aumenta o ponto cego de todos os Endpoints.

Âmbito e limites de plataforma

Esta página abrange apenas a Threat Protection Policy para computadores Endpoint. Os servidores usam definições diferentes. Na Policy, Show filters > Operating System separa as opções de Windows e Mac; não se deve presumir que uma opção visível numa plataforma existe na outra.

Em My Products > Endpoint > Policies, identifica-se primeiro a Policy Threat Protection efetivamente aplicada. Depois respondem-se quatro perguntas:

1. Que plataformas e Agent Modes recebem a Policy?
2. As opções correspondem às recomendações atuais da Sophos?
3. Existem desvios documentados ou exceções antigas?
4. Event Journals e Threat Graphs estão disponíveis para Investigation?

O Account Health Check assinala desvios. Fix automatically aplica os valores recomendados a todas as opções das Endpoint Threat Protection Policies afetadas nos computadores envolvidos; as alterações podem depois ser revistas no Audit Log. Para avaliar cada alteração separadamente, abra a Policy a partir do aviso e corrija as definições realçadas a vermelho.

Áreas de proteção e recomendação

A lista cresce com as versões do agente. Use os filtros Recommended e Not Recommended em vez de um screenshot antigo. “Recomendado” não significa que todas as opções estejam ligadas. A ajuda atual da Policy indica que Prevent malicious network traffic with packet inspection (IPS) e Block QUIC browser connections estão desligadas por predefinição. Porém, a página separada de correção descreve Reset de forma geral como a ativação de todas as definições exceto Device Isolation e desencriptação SSL/TLS. Após um Reset, verifique as opções efetivas e os indicadores de recomendação, em vez de deduzir o estado resultante da palavra “predefinição”.

Repor os valores recomendados

Na Base Policy, Reset repõe as recomendações da Sophos. Nas outras Policies, corrija os desvios a vermelho e selecione Save. Antes de usar Fix automatically ou Reset, registe o âmbito, os valores iniciais e os desvios de compatibilidade documentados, pois podem mudar várias áreas de proteção em simultâneo. Não use a correção automática nem o Reset da Base Policy de produção como piloto. Primeiro, reproduza manualmente os valores recomendados pretendidos numa Policy separada atribuída apenas a dispositivos piloto representativos. Após a validação, aplique a ação em massa ao âmbito pretendido. Se ocorrer um problema, reponha os valores registados e volte a verificar a Policy, o Health State, os Events e o processo de negócio afetado.

Proteção em tempo real e de downloads

O scanning em tempo real verifica ficheiros no acesso. Download Reputation avalia ainda os ficheiros transferidos segundo origem e prevalência. A Policy separa Action to take de Reputation level: Prompt User é a ação predefinida documentada; Recommended bloqueia ficheiros de baixa reputação e Strict também os de reputação média. Strict pode, por isso, afetar mais downloads legítimos.

Strict deve começar num grupo piloto. A decisão baseia-se nos fluxos e events reais, não apenas no desejo de ativar a opção mais rigorosa.

Sophos Live Protection consulta na Sophos a reputação atual de ficheiros desconhecidos. Deep Learning reconhece ficheiros suspeitos através do seu modelo, mesmo sem uma assinatura clássica. Ambas as funções fazem parte da baseline.

Limites de Download Reputation

Download Reputation é uma função Windows para ficheiros descarregados por Browsers suportados. Downloads Firefox não são avaliados por esta via. A Sophos determina Reputation por Hash, prevalência, idade e Source URL; a Query completa aplica-se sobretudo a executáveis ou aplicações reconhecidas.

A Query usa SXL4 sobre HTTPS. Scheduled Scans podem enviar Hashes e alimentar Cache local, mas não forçam uma decisão. O Cache tem limite de 200 MB e depois remove entradas antigas.

⚠️ Se Endpoint não alcançar SXL e a Query tiver Timeout, o Download é permitido sem Reputation Prompt. Download Reputation não substitui File Scanning, Deep Learning nem rede e Proxy funcionais.

No Troubleshooting distinguem-se Log only, desativar Detect low-reputation files e desativar Live Protection e Online Query. O impacto difere. Só se usam numa pequena Test Policy com hora fixa de reversão.

A Policy distingue media local, de rede e removível. Network Drives são verificados apenas no âmbito necessário, pois Scan duplo em Client e File Server reduz Performance. Media removível e novos Downloads continuam entradas importantes.

Internet Scanning verifica HTTP diretamente. Em HTTPS, Visibility depende de SNI e SSL/TLS Decryption. Um Test HTTP bloqueado não comprova igual inspeção HTTPS.

Limpeza e SafeStore

A Sophos pode limpar automaticamente malware detetado. No Windows, a limpeza de itens detetados ocorre independentemente da opção visível. Os ficheiros limpos ficam no SafeStore e podem ser restaurados através de um processo controlado.

O restauro não é uma função normal do utilizador. Primeiro verificam-se nome da deteção, origem, hash, assinatura, necessidade empresarial e avaliação da SophosLabs. O processo para False Positives está em Sophos Endpoint Threat Cleanup e remoção de malware.

SafeStore possui limites fixos: um ficheiro individual pode ter no máximo 100 GB; no total são mantidos no máximo 200 GB ou 2'000 ficheiros. Estes limites não constituem um conceito de backup. Os dados empresariais são protegidos separadamente.

Event Journals e Threat Graphs

Enable event journals deve permanecer ativo. Os journals fornecem dados de atividade para Threat Graphs, Live Discover e Forensic Snapshots.

Se forem desativados, faltarão dados precisamente do período que mais tarde terá de ser investigado. Isto reduz Visibility e Protection. Reativá-los não reconstrói o histórico em falta.

Enable Threat Graph creation ajuda a compreender a cadeia de ataque e faz parte da baseline de XDR e Incident Response.

Em Windows, Sophos Data Recorder usa a sessão partilhada NT Kernel Logger. Se outra ferramenta Trace indicar 0xb7 ou “file already exists”, a sessão está ocupada. Desativar Enable Threat Graph creation liberta Logger, mas para Threat Graphs. Usa-se apenas como janela de diagnóstico documentada e limitada, reativa-se depois a Policy e verifica-se Telemetry.

Proteção contra ransomware

CryptoGuard protege documentos contra encriptação não autorizada. A proteção contra ransomware executado remotamente também deve permanecer ativa, pois um dispositivo comprometido pode encriptar ficheiros em partilhas de rede.

Outras opções protegem contra ataques EFS e ao Master Boot Record. Uma deteção de ransomware exige investigar dispositivo, utilizador, processo de origem, partilhas de rede e sistemas próximos, não apenas um ficheiro.

Runtime Protection e Exploit Mitigation

Runtime Protection deteta comportamento suspeito, manipulação de processos e tráfego malicioso. Conforme a plataforma e versão, inclui:

• proteção contra Process Hollowing e DLL Injection;
• bloqueio de caminhos DLL não fidedignos;
• proteção contra Credential Theft;
• proteção de cookies MFA do browser;
• deteção de beacons maliciosos;
• proteção contra manipulação de ETW;
• monitorização de drivers e chamadas de sistema abusados.

Estas opções não são desativadas individualmente apenas porque uma aplicação falha. Primeiro associa-se o event à função concreta e limita-se o caso através de uma exceção piloto ou de Policy.

Outras áreas atuais incluem AMSI Protection para Script e Memory Content, Intrusion Prevention para Network Traffic malicioso, Driver Detection e Protection Events em Domain Controllers. Prevent malicious network traffic with packet inspection (IPS) está desligado por predefinição e é, por isso, conscientemente testado num piloto. Analisa o tráfego de rede no dispositivo Windows e não equivale ao IPS de uma Network Firewall.

Block QUIC browser connections afasta browsers suportados de QUIC para permitir a verificação de sites e a desencriptação SSL/TLS. Em Macs, a ajuda atual disponibiliza esta opção e a desencriptação SSL/TLS apenas através de um Early Access Program.

Adaptive Attack Protection

Adaptive Attack Protection reforça automaticamente a proteção perante um ataque ativo. Outras funções podem ficar permanentemente ativas, como proteção em Safe Mode, bloqueio de drivers vulneráveis e logging avançado da Audit Policy.

Drivers especiais antigos ou ferramentas administrativas de segurança exigem um piloto. As incompatibilidades são tratadas com uma exceção restrita, não desligando globalmente toda a área.

Se Self Help indicar Anti-Ransomware e todas as funções Exploit Mitigation desativadas por Policy, verifica-se a Threat Protection Policy efetiva. Valores Registry desativados como KernelFeatures ou NoCryptoGuard descrevem estado local, mas não são o local de reparação. Corrige-se a Policy no Sophos Fusion e verifica-se localmente após sincronização.

Deteções Disrupt e Safe Mode

Uma Detection com prefixo Disrupt_ significa que Adaptive Attack Protection interrompeu comportamento compatível com ataque ou Pentest. Antes de Exclusion avaliam-se dispositivo, utilizador, Detection, TTP Classification e teste planeado. Sendo legítimo, autoriza-se a Rule Instance concreta. Desativar globalmente é último recurso; impede Disrupt_*, mantendo TTP Classifications para XDR.

Block safe mode abuse bloqueia ativação programática suspeita de Safe Mode como Prevent_1a (T1562.009). Não limpa Malware. Para manutenção, desativa-se temporariamente no dispositivo por Override Sophos Central Policy, usa-se Device Policy restrita ou inicia-se Safe Mode por Live Response autorizado. Override expira em quatro horas, mas termina-se conscientemente.

Não se autoriza permanentemente uma Detection Prevent_1a, pois um atacante pode reutilizar a técnica. Depois verificam-se Policy, Tamper Protection e Health State.

Registo adicional de Windows Audit Events

Com o Core Agent 2026.1, a Sophos ativa por predefinição Enable additional audit policy logging. Esta definição acrescenta ao Windows Security Event Log eventos relevantes para Detection e Threat Hunting, incluindo Kerberos Logins, alterações a contas e grupos, Logons, Scheduled Tasks, acessos ao Credential Manager, instalações de serviços e alterações à Audit Policy.

A lista de Events subjacente não pode ser configurada individualmente. Em Domain Controllers, Terminal Servers ou outros sistemas muito utilizados, o Security Log pode crescer muito mais depressa. SIEM Ingestion, retenção, tamanho do Event Log e Windows Audit GPOs existentes são verificados antes de um Rollout alargado.

A opção pode ser desativada, mas isso reduz os dados disponíveis para Advanced Detection e Threat Hunting. Por isso, só é desativada após medir o impacto e documentar a decisão, não apenas devido a um número superior de Events.

Desencriptação HTTPS

Decrypt websites using SSL/TLS permite inspecionar conteúdos Web encriptados. Não está ativa por predefinição e pode tornar a navegação mais lenta ou interferir com aplicações que usam Certificate Pinning.

O percurso curto é My Products > Endpoint > Policies > Threat Protection. Abra a Policy piloto, ative Decrypt websites using SSL/TLS em SSL/TLS decryption of HTTPS websites e selecione Save.

A avaliação de privacidade e compliance é uma decisão concreta sobre o tratamento de dados: o tráfego desencriptado pode conter informações pessoais que podem ser registadas e ficar visíveis para administradores autorizados nos logs. Antes da ativação, defina a finalidade e a base jurídica, os grupos de utilizadores abrangidos, as categorias sensíveis, o acesso aos logs e a retenção. Por predefinição, o Sophos Fusion exclui da desencriptação categorias como banca e webmail; antes do rollout, compare essas exclusões com os requisitos da organização.

A Avanet recomenda ativar a desencriptação se essa avaliação permitir a inspeção, nenhum outro serviço de segurança já desencriptar o mesmo tráfego e o piloto permanecer estável com browsers e aplicações empresariais importantes. Caso contrário, mantenha-a desativada e documente a decisão. Restrinja as exceções de Certificate Pinning ou de categorias e faça a gestão do respetivo ciclo de vida conforme Configurar com segurança exceções Sophos Endpoint. Este artigo descreve exclusivamente a Sophos Fusion Endpoint Policy.

Scheduled Scan

Um Scheduled Scan semanal pode abranger dados raramente usados. A hora configurada refere-se à hora local do Endpoint. Se estiver desligado nesse momento, aguarda até ao próximo agendamento.

Não substitui a proteção em tempo real. A opção atual em background limita-se a Windows. Um scan agendado perdido não é repetido indefinidamente; o comportamento exato da opção selecionada é testado num piloto offline. Para dispositivos móveis escolhe-se uma janela em que normalmente estejam online sem afetar o período principal de trabalho.

Exceções

As exceções de Policy só afetam o respetivo grupo-alvo e devem ser preferidas às globais. Cada exceção reduz a proteção e deve ser tão específica quanto possível.

Exceções amplas de unidades, perfis, pastas Temp ou processos são especialmente perigosas. Tipos, wildcards e controlo de expiração estão em Configurar com segurança exceções Sophos Endpoint.

Ferramentas como WinDbg Time Travel Debugging não ligam a Processes protegidos com Exploit Mitigation ativo. Apenas o Process investigado recebe Exclusion temporária Exploit Mitigation and Activity Monitoring numa Device Policy separada. Depois remove-se a Policy e verifica-se proteção.

Piloto e validação

Após uma alteração, verificam-se nos dispositivos piloto a Policy efetiva, Health State, novos events, processos empresariais importantes, performance, comportamento do browser e disponibilidade de Threat Graphs e Event Journals.

Só depois se amplia gradualmente o grupo-alvo. Perante problemas, isola-se a última alteração, sem repor toda a Policy num estado inseguro.

Use apenas métodos de teste aprovados pela organização. No mínimo, o Sophos Fusion deve mostrar a Policy prevista no dispositivo piloto, o Endpoint deve permanecer saudável e acessível e os Events e processos de negócio relevantes devem comportar-se como documentado. Esta verificação não substitui o procedimento de Scan separado nem um Runbook de Incident Response.

Perguntas frequentes