Sophos MDR: configurar contactos e Threat Response

O Sophos MDR exige pelo menos um contacto autorizado antes de ser possível configurar outras definições de MDR ou utilizar o serviço. Para a operação, a Avanet recomenda pelo menos dois contactos disponíveis. Em seguida, deve decidir-se conscientemente se a equipa MDR pode responder de forma autónoma ou se precisa de autorização prévia. Um contrato ativado, por si só, não substitui esta preparação.

No Sophos Fusion (anteriormente Sophos Central), o ícone Global Settings conduz a Products & Services > MDR: primeiro guardar Authorized Contacts, depois aprovar e guardar Threat Response e, em seguida, completar Additional Settings. Por fim, voltar a abrir os três separadores e compará-los com o estado pretendido aprovado. Esta verificação não provoca um ataque nem uma ação de resposta.

Esclarecer responsabilidades e acesso antes da configuração

São necessários uma licença MDR ativa na conta de cliente correta e um acesso administrativo que permita editar as definições MDR. Após a ativação da licença, o Sophos Fusion pode solicitar a configuração no primeiro início de sessão. As definições continuam depois acessíveis em Global Settings > Products & Services > MDR. Se faltarem separadores ou opções de edição, verifique a conta, a licença e as permissões efetivas; a função de um contacto selecionável não comprova uma função mínima geral para todas as alterações de definições.

Antes de uma alteração, registe num ticket de alteração com acesso protegido os contactos existentes e a sua ordem, números de telefone, opções de notificação, modo de resposta e estado da caixa Collaborate. Numa primeira configuração, documente antes o estado pretendido acordado. Os contactos devem saber que terão de responder a pedidos MDR e obter uma decisão interna, incluindo fora do horário de expediente.

1. Introduzir e guardar Authorized Contacts

Os contactos MDR são o canal oficial de comunicação entre a equipa MDR e a organização. Perante uma ameaça ativa, a Sophos tenta contactar as pessoas configuradas por ordem até alguém responder. Esta configuração é diferente de Authorized Contacts em Managed Risk; os contactos aí guardados não substituem a configuração MDR.

1. Abra o ícone Global Settings e selecione Products & Services > MDR > Authorized Contacts.
2. Em Primary, selecione o administrador Sophos Fusion previsto. As funções elegíveis são Super Admin, Admin ou Help Desk. Se faltar uma conta adequada, Create new Central administrator permite criá-la. Atribua as funções administrativas de acordo com a tarefa real, sem conceder Super Admin por precaução.
3. Introduza os dados de contacto. Confirme que o telefone inclui o indicativo do país; para números existentes sem indicativo, a página pode pedir que seja acrescentado. O essencial é que a pessoa responsável esteja realmente contactável nesse número.
4. Se necessário, selecione Secondary e Tertiary e complete os respetivos dados. São assim possíveis até três contactos no total. Pelo menos Primary é obrigatório; um segundo contacto cobre ausências. A ordem deve corresponder ao processo interno de prevenção.
5. Verifique conscientemente as caixas de exclusão de MDR reports e broadcast announcements. Referem-se a esses e-mails e não substituem um canal funcional de comunicação de incidentes.
6. Selecione Save. Saia do separador, volte a abri-lo e confira a seleção, a ordem, os números de telefone e o estado das exclusões guardados.

A Avanet prefere contas claramente atribuídas e substituição organizada. A Sophos descreve também contas administrativas com um endereço de lista de distribuição e recomenda Help Desk devido aos menores privilégios. Contudo, uma lista, por si só, não comprova disponibilidade telefónica nem responsabilidade clara; não se concedem privilégios alargados a uma conta apenas para notificações.

2. Escolher Threat Response conscientemente

Em Global Settings > Products & Services > MDR > Threat Response existem três modos para MDR e MDR Plus. A escolha define a autorização; o âmbito concreto das prestações depende também do serviço contratado e dos acessos técnicos disponíveis.

• Authorize: A equipa MDR pode executar medidas de contenção autonomamente e informa depois sobre as ações realizadas. Segundo o âmbito atual do serviço, a neutralização completa faz parte do MDR Plus. As tarefas que a Sophos não consegue executar permanecem com a organização.
• Collaborate: A equipa MDR investiga e coordena a resposta com os contactos. Antes das ações de resposta, precisa de autorização verbal ou escrita ou da participação ativa da organização. Tem, por isso, de estar disponível alguém internamente com poder de decisão.
• Notify Only: A equipa MDR notifica os contactos e só pode investigar de forma limitada. Não pode conter nem neutralizar ameaças. Este modo não é uma alternativa equivalente a um processo de resposta operacional e não é recomendado para utilização prolongada.

A Sophos recomenda Authorize ou Collaborate. Antes de guardar, decida com os responsáveis por incidentes qual a opção adequada: a Sophos deve poder conter imediatamente uma ameaça confirmada ou a organização consegue fornecer, de forma fiável, todas as autorizações necessárias?

A caixa em Collaborate é uma pré-autorização adicional

Em Collaborate, pode permitir separadamente que a equipa MDR atue como no modo Authorize se não receber confirmação após tentativas de contacto telefónico com todos os contactos configurados. Sem esta caixa, continua a ser necessária autorização antes das ações de resposta. Não se trata de um quarto modo equivalente aos restantes.

Registe expressamente a aprovação deste recurso no ticket de alteração. Selecionar apenas Collaborate não indica se o recurso foi aprovado. Também não se deve pressupor um tempo de espera fixo até uma intervenção.

Após a decisão, selecione o modo pretendido e, se aplicável, a caixa, e escolha Save. Volte a abrir o separador e compare os dois valores separadamente com o estado aprovado. Se houver uma divergência, não pressuponha que a alteração foi aplicada com êxito; esclareça a conta, a seleção guardada e eventuais alterações em paralelo.

3. Delimitar Live Response e dispositivos sensíveis

Com Authorize, a Sophos solicita a ativação de Live Response. Este acesso permite à equipa MDR trabalhar nos dispositivos. Um modo de resposta aprovado não comprova, por si só, uma política de dispositivo efetiva nem uma integração de resposta configurada.

Antes da autorização, reúna num grupo próprio os computadores ou servidores sensíveis aos quais MDR não pode aceder através de Live Response. Em My Products > Endpoint > Policies ou My Products > Server > Policies, aplique a esse grupo uma política Data Collection and Investigation com Live Response desativado. Trate separadamente as políticas de computadores e de servidores. Antes de guardar, verifique o âmbito do grupo e a atribuição anterior da política para não abrir ou bloquear acidentalmente o acesso a todo o parque.

Após a alteração, verifique a atribuição efetiva e a definição Live Response tanto num dispositivo previsto como num dispositivo excluído. Não inicie uma sessão para esta verificação. Desativar Live Response não é uma exceção geral a MDR, a outras funções de proteção ou a todas as ações de resposta; limita este acesso aos dispositivos. A exceção pode dificultar a investigação ou a limpeza e exige, por isso, um interlocutor local responsável. Isolamento e Live Response explica os limites detalhados de políticas, funções e acesso.

Prepare separadamente as ações em produtos de terceiros através das integrações MDR e XDR. A ingestão de dados não concede automaticamente permissão de escrita no sistema de origem. A ação local do feed da firewall Log only ou Log and drop também continua separada do modo de resposta MDR; para essa tarefa aplica-se o runbook MDR Threat Feeds.

4. Verificar o contexto da organização e os agentes

Em Global Settings > Products & Services > MDR > Additional Settings, introduza o Industry Vertical adequado, a localização principal da organização e as sub-redes realmente utilizadas. Este contexto ajuda a equipa MDR a interpretar atividades. Introduza dados reais do inventário aprovados internamente, não redes de exemplo ou intervalos genéricos sem relação com o ambiente. Depois selecione Save, volte a abrir o separador e compare os valores guardados.

Para utilizar MDR, cada computador ou servidor abrangido precisa de um agente Sophos que suporte MDR. Configurar contactos não instala um agente nem fornece, por si só, telemetria. Se faltarem dispositivos ou o estado dos agentes não for claro, prossiga o inventário através do percurso de onboarding Endpoint. Não dê a configuração como completamente validada enquanto os dispositivos e as fontes de dados previstos não estiverem esclarecidos.

Validar sem ataque nem teste de resposta

A validação consiste na configuração guardada e na disponibilidade organizacional, não numa Detection gerada artificialmente:

1. Volte a abrir Authorized Contacts, Threat Response e Additional Settings. Compare os valores guardados com o ticket aprovado; em Collaborate inclua expressamente a caixa de seleção.
2. Confirme internamente com Primary e o substituto os números, os indicativos dos países, a disponibilidade e o caminho para a autorização de incidentes. Uma chamada interna de controlo acordada pode verificar o número guardado, mas não comprova o caminho da chamada a partir da Sophos.
3. Com a administração de correio, verifique se mensagens MDR genuínas existentes chegam aos destinatários previstos e não ficam em spam ou quarentena. Sem essa prova, a entrega externa de e-mails MDR permanece por verificar. Nem um teste interno de correio nem um contacto guardado a comprovam. Sem dados atuais e verificados dos remetentes, não autorize domínios inteiros nem desative a inspeção de correio.
4. Verifique o parque de agentes previsto, as políticas Live Response efetivas e as exceções documentadas. Não inicie uma shell remota, isolamento ou outra ação de produção para a validação.
5. Documente os responsáveis, a data da verificação e as questões de entrega ou inventário ainda em aberto. As provas em falta permanecem em aberto e são esclarecidas com MDR ou a administração de correio; não são substituídas por um incidente de teste.

Na operação posterior, as ações exigidas ao cliente seguem os limites de estado e responsabilidade de cada Case. Assignee e Managed By não são termos intercambiáveis. Os procedimentos distintos de Classic e dos Cases MDR atuais encontram-se em Cases e Detection Rules.

Quando a configuração não corresponde ao estado pretendido

• As restantes definições MDR ainda não estão utilizáveis: Verifique primeiro se, na conta de cliente correta, pelo menos Primary está completo e foi guardado com Save. Não utilize a página Managed Risk com o mesmo nome como substituto.
• A pessoa pretendida não aparece em Primary: Verifique a conta administrativa e a função. Super Admin, Admin ou Help Desk são as funções de contacto documentadas; a função do contacto e a permissão de edição de outras funções continuam separadas.
• MDR não consegue contactar ninguém: Verifique a ordem, o indicativo do país, a substituição e a disponibilidade real de prevenção. Não deduza uma resposta automática de Collaborate enquanto a caixa adicional não tiver sido conscientemente aprovada e guardada.
• Falta uma mensagem: Verifique a atribuição dos destinatários, a quarentena e os registos de entrega existentes. Uma lista de permissões concreta só é acordada com dados atuais e verificados dos remetentes MDR, não a partir de um endereço presumido.
• Live Response ainda é permitido num dispositivo sensível: Verifique a política Endpoint ou Server efetivamente atribuída e a pertença ao grupo. Uma exceção planeada só produz efeito quando a política correta se aplica ao dispositivo correto.

Se um contacto estiver errado ou um modo tiver sido alterado acidentalmente, reintroduza os valores anteriores documentados apenas após acordo com o responsável por incidentes, guarde-os e volte a conferi-los. Isto não desfaz ações MDR já executadas. Durante um incidente em curso, coordene a alteração das autorizações de resposta com a equipa MDR; repor definições não é uma reversão técnica de um incidente.