Planear o Sophos ITDR: pré-requisitos, licenças, regiões e funções

Antes de configurar o Sophos ITDR, defina a região, as licenças e as funções aplicáveis. Decida também se os dados terão origem no Microsoft Entra ID, no Active Directory local ou em ambos, e atribua a responsabilidade pelo tratamento diário dos ITDR Findings. Esta breve lista de verificação reúne as seis decisões.

Verificação rápida antes da configuração:

Verifique a região de dados do tenant existente em Account Details > Account Preferences. A matriz ITDR atual indica US, EU, CAN, AUS, JPN, IND e BRA como disponíveis; UAE não está aprovada. A verificação regional abaixo explica a correspondência e os limites.
O ITDR está disponível de forma autónoma, sem Sophos XDR ou Sophos MDR. Confirme que o ITDR está ativado no tenant correto; nesse momento, My Products > Identity deve ficar visível. As propostas baseiam-se no número de utilizadores, mas isso não estabelece um SKU público definitivo nem as regras exatas de contagem; confirme estes dados no License Schedule e junto do Sophos Partner.
Confirme uma licença Microsoft Entra ID P1 ou P2 para cada integração Entra. Entra ID Free não constitui uma base de planeamento suficiente.
Designe um administrador Sophos para efetuar a configuração e um administrador Entra autorizado a conceder consentimento administrativo para todo o tenant. Estas funções são distintas.
Decida se pretende ligar Microsoft Entra ID, on-premises Active Directory ou ambos. A integração ITDR não substitui o Central Directory Sync.
Designe uma pessoa para rever e tratar continuamente os ITDR Findings. Uma licença MDR não transfere esta tarefa de rotina para o Sophos MDR.

Após a ativação da licença, o ITDR aparece em My Products > Identity. A configuração começa em My Products > Identity > Settings. Se Identity não estiver disponível, não crie imediatamente uma integração: verifique primeiro a região de dados, o tenant, o estado da licença e a função.

1. Verificar a região de dados antes de comprar a licença e escolher o tenant

A matriz de regiões ITDR de 14 de outubro de 2026 indica os seguintes grupos de regiões como disponíveis:

US e EU
CAN – Canadá
AUS – Austrália
JPN – Japão
IND – Índia
BRA – Brasil

UAE está assinalada como indisponível para ITDR nesta matriz. A disponibilidade adicional para Canadá, Austrália, Japão, Índia e Brasil foi disponibilizada já em 10 de agosto de 2026. Um tenant existente numa destas regiões não é, portanto, inadequado apenas devido à região. A matriz utiliza EU como grupo de regiões; não se deduzem sub-regiões EU adicionais nem garantias mais detalhadas sobre a residência dos dados. Se a correspondência da região apresentada na conta não for clara, esclareça-a com a Sophos para esse tenant antes da configuração.

A região determinante é a região real do tenant existente, não a localização da empresa nem a morada de faturação. Uma licença não elimina uma restrição regional do produto. Se Identity não aparecer numa região agora suportada, verifique primeiro o tenant correto, a ativação da licença ITDR e a função. O cancelamento da licença ou um novo tenant não são uma solução universal. As restrições regionais de outros produtos não devem ser tratadas como exclusões de ITDR.

A aprovação regional não é uma migração direta dentro do mesmo tenant. Segundo o aviso sobre regiões, a região de dados escolhida para o tenant não pode ser alterada após a submissão; também não é garantida a transferência automática de configurações e dados para outro tenant. Numa região realmente não suportada ou por esclarecer, acorde o procedimento concreto com o Sophos Partner ou o suporte antes da compra ou da criação de um tenant. Antes de um novo tenant, aprove separadamente a proteção e residência dos dados, os produtos existentes, as integrações e o esforço de migração.

2. Verificar separadamente as licenças Sophos e Microsoft

Uma ligação ao Entra tem dois requisitos de licenciamento independentes.

Sophos ITDR no tenant correto

A documentação do produto ITDR exige uma ITDR license ativada. Só então deverão estar disponíveis My Products > Identity ou My Products > Identity > Settings.

Desde o anúncio do produto de 15 de outubro de 2026, o ITDR está disponível como solução autónoma; o Sophos XDR ou o Sophos MDR não são pré-requisitos de compra. A integração nativa com ambos mantém-se, mas não equivale à inclusão das funcionalidades ou serviços XDR ou MDR. Para avaliação, a Sophos indica uma avaliação gratuita de 30 dias. Os pré-requisitos técnicos de região, fornecedor e permissões também se aplicam durante a avaliação; não se pressupõe uma conversão automática numa licença paga nem um procedimento específico no final da avaliação.

A Sophos elabora propostas ITDR com base no número de utilizadores. No entanto, o anúncio não define um SKU de encomenda inequívoco nem o critério exato de contagem, por exemplo, para convidados, contas desativadas, contas de serviço ou NHI. Por isso, não se deve deduzir a quantidade a encomendar do total do Directory nem do número de Risk Scores visíveis. Também não é garantida a inclusão genérica num pacote. Antes da ativação, confirme por escrito, pelo menos, os seguintes pontos:

nome e região de dados do tenant Fusion;
designação e duração constantes do License Schedule;
âmbito acordado, número de utilizadores proposto com critério de contagem confirmado e data de início;
Sophos Partner responsável;
ambientes Entra e AD previstos.

A ativação e a verificação gerais no Sophos Fusion (anteriormente Sophos Central) são descritas em «Ativar, verificar e renovar licenças do Sophos Fusion». Para o ITDR, a verificação prática mantém-se: Identity está visível no tenant correto e a conta de administrador prevista consegue abrir Settings.

Microsoft Entra ID P1 ou P2

A Sophos exige Entra ID P1 ou P2 para a integração com o Microsoft Entra ID. O direito pode resultar de um produto autónomo, de um suplemento ou de outro plano Microsoft. A Sophos apresenta como exemplos Microsoft 365 E3 e E5, Microsoft Business Premium e Microsoft 365 Frontline Worker F1, F3 e F5. No entanto, o que conta é o direito P1/P2 efetivo do tenant a ligar, e não apenas o nome apresentado do pacote adquirido.

Entra ID Free não é suficiente. Embora a edição Free disponibilize as APIs da Microsoft, limita os dados e os Posture Checks que podem ser executados. Por esse motivo, uma integração pode apresentar o estado Provisioning Failed. O facto de um endpoint de API estar tecnicamente acessível não comprova a existência de uma licença.

Após uma atualização de Free para P1 ou P2, a Sophos indica que as informações fornecidas pela Microsoft, como o estado de administrador ou de MFA, podem sofrer um atraso de até uma semana. Inclua este atraso no planeamento. Depois da atualização, verifique o Authentication Methods Activity Report no Microsoft Entra admin center e tenha em conta que o ITDR só poderá apresentar o estado atual depois de a Microsoft atualizar os dados.

3. Definir as funções antes de conceder o consentimento

A configuração envolve duas áreas administrativas:

Sophos Fusion: as instruções de integração do ITDR indicam explicitamente uma Sophos Fusion Administrator role como pré-requisito.
Microsoft Entra ID: a conta Entra utilizada deve poder conceder consentimento administrativo para todo o tenant.

A designação Sophos Fusion Administrator role é demasiado imprecisa para identificar uma função predefinida distinta ou a Custom Role mínima necessária. As tabelas de funções Fusion publicadas enumeram Super Admin, Admin, Help Desk, Read-only e User, mas não incluem uma permissão específica do ITDR nem uma função com esse nome exato. Por conseguinte, não é possível estabelecer uma função mínima específica para o ITDR: a documentação não comprova que Super Admin seja sempre necessário nem que uma Custom Role criada pelo utilizador seja suficiente.

Para uma implementação controlada:

Selecione uma conta Super Admin ou Admin existente para a configuração, sem atribuir desnecessariamente direitos permanentes de Super Admin.
Antes da janela de manutenção, utilize esta conta para confirmar que My Products > Identity > Settings > Integrations e a ação de configuração pretendida estão disponíveis.
Peça à equipa de administração Entra independente que designe uma conta capaz de executar Grant Tenant Wide Admin Consent.
Registe no histórico de alterações as contas Sophos e Microsoft, a pessoa responsável, a hora e a finalidade do consentimento.
Após a configuração, teste com a função Fusion prevista que tenha os privilégios mínimos: as páginas autorizadas devem estar visíveis e as alterações fora das permissões devem continuar bloqueadas.

Uma página visível não comprova que uma alteração seja permitida. Inversamente, as permissões dependentes de licença podem estar totalmente ausentes sem a licença adequada. Os detalhes sobre funções predefinidas e personalizadas encontram-se em «Atribuir corretamente funções de administração do Sophos Fusion». Nem esse artigo nem este afirmam a existência de uma “ITDR Custom Role” específica enquanto a Sophos não publicar uma matriz de permissões ITDR verificável.

4. Escolher os fornecedores de identidade e o âmbito das identidades monitorizadas

O ITDR suporta os seguintes fornecedores de identidade:

Microsoft Entra ID para dados de identidade baseados na cloud;
on-premises Active Directory através do sensor ITDR separado.

É possível adicionar vários tenants do Microsoft Entra ID através de Identity Settings. Isto não significa que uma verificação única da licença, do consentimento ou da responsabilidade se aplique automaticamente a todos os tenants. Para cada ligação, documente o ID ou nome exclusivo do tenant, o direito P1/P2, a conta utilizada para o consentimento, a pessoa responsável pela operação e o âmbito previsto.

O conjunto monitorizado inclui identidades humanas e não humanas ativas:

Human identities: por exemplo, colaboradores, convidados e utilizadores externos.
Non-Human Identities (NHI): por exemplo, aplicações, Service Principals, Service Accounts, máquinas e outras identidades que autenticam ou autorizam acessos, ou executam transações entre sistemas.

A visibilidade também abrange agentes de IA da Microsoft, com os respetivos direitos de acesso e relações de responsabilidade. A identidade de execução, o Blueprint Principal e a conta de utilizador emparelhada opcional são analisados separadamente nos detalhes de Directory e NHI.

Visibilidade não significa cobertura de pontuações: a FAQ atual do produto continua a limitar os Risk Scores a identidades de utilizadores ativos; Service Principals, aplicações e utilizadores eliminados ou desativados não recebem uma pontuação. Assim, o anúncio mais abrangente de avaliação de todas as identidades humanas e não humanas não constitui uma garantia fiável de disponibilidade geral. Para o planeamento e a aceitação, aplica-se o âmbito de utilizadores documentado; se precisar de uma pontuação NHI, confirme previamente a sua disponibilidade para o tenant concreto. Os limites do Identity Risk Score explicam esta distinção.

5. Definir as responsabilidades entre o cliente e o MDR

O ITDR é software que o cliente deve monitorizar, não um serviço gerido. Por isso, o processo operacional deve identificar o responsável e o respetivo substituto, definir os prazos de triagem e estabelecer tanto as responsabilidades como o procedimento de correção.

Se o Sophos MDR tiver uma licença separada, a MDR Operations Team também investiga ameaças à identidade. Aplicam-se limites claros:

O MDR concentra-se principalmente em ameaças ativas à identidade.
O MDR analisa apenas um subconjunto de Findings críticos ou de gravidade elevada que possam indicar uma ameaça ativa.
O cliente continua responsável pela monitorização e gestão contínuas dos ITDR Findings.
O contexto adicional do Entra ID pode ajudar o MDR a avaliar mais rapidamente utilizadores e riscos correlacionados em investigações relacionadas ou não com identidades.

Assim, uma licença MDR não assegura a triagem completa de todos os ITDR Findings nem a correção automática de todos os riscos de identidade. Antes da entrada em produção, defina quem trata os Findings de rotina, quando um incidente ativo é encaminhado para o MDR e quem aprova alterações no Entra ID ou no AD.

6. Manter separados os limites dos produtos

O ITDR complementa outras funcionalidades Sophos, mas não as substitui. Esta distinção evita que uma implementação bem-sucedida do ITDR seja erradamente considerada como aceitação de outros produtos.

Central Directory Sync

As integrações dos sensores Entra e AD fornecem ao ITDR dados de identidade e diretório para Posture, Directory e Findings. A monitorização da dark web é configurada separadamente para domínios importados automaticamente do Entra ou adicionados e verificados manualmente. Nem estas integrações ITDR nem a monitorização da dark web substituem o Central Directory Sync. Por isso, uma configuração ITDR não confirma que os utilizadores ou grupos do Central estejam sincronizados para outros produtos, nem substitui regras de mapeamento, filtragem ou eliminação. Os pré-requisitos da sincronização de diretórios separada são explicados em «Sophos Central Directory Sync: pré-requisitos e arquitetura».

XDR e MDR

Os ITDR Findings não são XDR Detections. A Sophos descreve agora o agrupamento automático de Findings de risco elevado em Cases contextualizados e opções de resposta direta a partir do ITDR. Isto não transforma automaticamente um Finding individual numa XDR Detection nem torna equivalentes os estados de Findings e Cases; a explicação de Cases e resposta distingue estes níveis. Os direitos de licença e as funções XDR continuam a não dever ser interpretados como licença ou permissão ITDR. O MDR é um serviço com licença separada e com o âmbito de investigação limitado descrito acima; não assume os Findings do dia a dia.

Firewall, NDR e Active Threat Response

As funcionalidades de identidade do Sophos Firewall, NDR ou NDR Essentials e Active Threat Response continuam a ser produtos ou fluxos de trabalho separados. Uma Identity visível no ITDR não configura uma regra de firewall, não valida um sensor NDR nem aciona automaticamente uma ação de firewall ou ATR. Estas integrações exigem verificações próprias de licença, função, dados e aceitação.

ZTNA

O Sophos ZTNA controla o acesso às aplicações através da sua própria configuração de gateway, conector, política e Identity. O ITDR avalia riscos e configurações incorretas de identidade; não fornece automaticamente um caminho de acesso ZTNA nem substitui uma política ZTNA. Uma origem de Identity comum não torna idênticos os fluxos de trabalho dos dois produtos.

7. Aceitação antes do onboarding técnico

Não inicie a autorização Entra nem a implementação do sensor até que os seguintes pontos estejam documentados:

O tenant Fusion específico e a respetiva região foram identificados.
A região do tenant corresponde a um grupo ITDR aprovado US, EU, CAN, AUS, JPN, IND ou BRA; UAE não está aprovada e qualquer dúvida de correspondência foi esclarecida antes da configuração.
A licença ITDR está ativada no tenant correto e My Products > Identity está visível.
O License Schedule, a duração e o contacto do parceiro foram registados; o número de utilizadores utilizado na proposta e o respetivo critério de contagem foram confirmados. Não foi presumido qualquer SKU ou critério de quantidade sem comprovação.
O direito P1 ou P2 foi confirmado para cada tenant Entra.
O tenant ou domínio, a pessoa responsável e o âmbito pretendido foram documentados para cada fornecedor.
A conta de configuração Fusion consegue abrir Identity > Settings > Integrations e executar a ação necessária.
Uma conta Entra separada pode conceder consentimento administrativo para todo o tenant.
As identidades humanas e as NHI foram incluídas no âmbito esperado.
A responsabilidade do cliente pelos Findings e uma eventual escalada para o MDR foram definidas.
Directory Sync, XDR, MDR, Firewall/NDR/ATR e ZTNA foram tratados como fluxos de trabalho separados.

Critério de sucesso: a preparação só está concluída quando a opção de menu está visível e existem comprovativos da região, dos dois níveis de licenciamento, das duas áreas administrativas, do âmbito de cada fornecedor e da pessoa responsável pela operação. Valide depois, em separado, a integração propriamente dita e a qualidade dos respetivos dados.

Limites da documentação

Este artigo baseia-se em conteúdos sobre produtos, funções e perguntas frequentes analisados em 20 de setembro de 2026; a disponibilidade regional foi atualizada em 16 de outubro de 2026 com base na matriz de 14 de outubro de 2026 e nas notas de versão de 10 de agosto de 2026. A disponibilidade autónoma, a avaliação, a base das propostas e o enquadramento dos Cases foram acrescentados em 20 de outubro de 2026, com base nos novos anúncios; o âmbito das pontuações foi verificado face à FAQ atual do produto. O artigo não descreve testes próprios do produto nem testes laboratoriais. Em particular, as informações disponíveis não abrangem:

um SKU público e definitivo do ITDR ou um modelo geral de contagem de licenças;
uma Custom Role mínima e exata para o ITDR ou nomes de permissões ITDR individuais;
uma migração direta do mesmo tenant entre regiões de dados Fusion;
um compromisso específico do ITDR relativo à retenção ou ao fim de vida;
qualquer efeito automático do ITDR no Central Directory Sync, XDR, Firewall, NDR, Active Threat Response ou ZTNA.

Se algum destes pontos for necessário para uma decisão de aquisição, proteção de dados ou autorização, confirme-o para o tenant específico junto do Sophos Partner ou do Sophos Support antes da configuração, em vez de o inferir da documentação de produtos relacionados.