Sophos Security Heartbeat e Synchronized Security
O Security Heartbeat envia o estado de integridade de um Sophos Endpoint gerido para uma Sophos Firewall registada. Isto não isola nada por si só: uma regra Firewall correspondente ou a função Endpoint Reject connections from other devices tem de aplicar a resposta de rede.
Importa separar três mecanismos:
- Security Heartbeat: troca de estado e identidade entre Endpoint e Firewall; a Firewall pode controlar acessos de origem e destino.
- Synchronized Security: termo geral para respostas que usam Heartbeat, incluindo regras Firewall e a rejeição, distribuída pelo Sophos Fusion, de dispositivos inseguros na mesma subnet.
- Active Threat Response (ATR): isola através de Sophos Switches e AP6 dispositivos identificados por utilizadores API externos ou analistas MDR/XDR. Não é uma cor Heartbeat nem isolamento Endpoint.
Requisitos e ativação
A Sophos exige conta Sophos Fusion (anteriormente Sophos Central), licença trial ou completa para pelo menos um Endpoint gerido pelo Sophos Fusion e subscrição Network Protection na Firewall. Ambos devem pertencer à mesma organização no tenant Sophos Fusion correto.
Registe a Firewall em System > Sophos Central. O SFOS ativa automaticamente Security Heartbeat e Synchronized Application Control. A mensagem A new firewall has been successfully registered to Sophos Central em My Products > Firewall Management > Firewalls só confirma o registo, não o Heartbeat de um Endpoint nem o efeito de uma regra. Consulte Ligar Sophos Firewall ao Sophos Fusion.
Cada Endpoint recebe um certificado do Sophos Fusion, partilhado com a Firewall para identificar a organização. A ligação TLS cifrada usa 52.5.76.173 e TCP 8347; a acessibilidade, por si só, não comprova tenant e certificado corretos.
Interpretar os estados Heartbeat
O Endpoint envia o estado a cada 15 segundos e, na primeira ligação, também interfaces e utilizadores autenticados.
| Estado | Significado e passo seguinte |
|---|---|
| Green | Proteção operacional, sem malware ativo/inativo nem PUA. Validar baseline e acesso normal. |
| Yellow | Por exemplo PUA, malware inativo ou 24 horas sem atualização de assinaturas. Analisar o alerta. |
| Red | Por exemplo malware ativo/não removido, tráfego malicioso ou proteção com falhas. Investigar imediatamente alerta e dispositivo. |
| Missing | A Firewall ainda vê tráfego, mas não recebeu três Heartbeats consecutivos. Primeiro é um estado de comunicação ou associação, não automaticamente malware. |
Yellow é geralmente temporário e, por si só, não exige medidas corretivas para recuperar um estado saudável. Analise ainda assim o alerta para compreender a causa. Se for detetada uma PUA ou malware, pode optar por uma intervenção específica de acordo com o que foi encontrado.
Uma ligação a um host malicioso conhecido pode causar Red. O evento e relatório associados mostram se a deteção inicial veio do Endpoint, Firewall ou outro componente; a cor não o prova.
Escolher conscientemente a resposta de rede
Controlar acesso na regra Firewall
Os campos ficam em Rules and policies > Firewall rules > [regra] > Configure Synchronized Security Heartbeat:
- Minimum source HB permitted exige Green ou Yellow na origem; No restriction permite Red ou ausência de Heartbeat.
- Block clients with no heartbeat trata origens sem Heartbeat.
- Minimum destination HB permitted verifica destinos internos, não a zona WAN.
- Block request to destination with no heartbeat trata destinos internos sem Heartbeat.
Um dispositivo que nunca enviou Heartbeat permanece permitido por predefinição. A Sophos indica que só é abrangido com ambas as opções Block clients with no heartbeat e Block request to destination with no heartbeat ativas. Uma Web Exception que ignore Policy checks pode ainda permitir pedidos Web apesar da primeira opção.
Use uma regra piloto restrita para Sophos Endpoints realmente geridos. Impressoras, convidados, IoT e dispositivos com EDR de terceiros precisam de regras próprias, não de exceções crescentes. Consulte Planear regras Sophos Firewall.
Rejeitar ligações laterais no Endpoint
No Sophos Fusion, abra o ícone Global Settings e Protection and Remediation > Synchronized Security. Em Reject connections from other devices, ative Allow devices to reject connections from other devices with red health. Só se aplica a dispositivos ligados à Sophos Firewall.
Com Red ou Missing, os restantes dispositivos geridos da subnet recebem a informação. O destino regista Access request from computer
Servidores críticos podem ser excluídos. Update Caches e Message Relays estão excluídos por predefinição para manter atualizações e comunicação. Cada exceção adicional requer responsável, justificação e data de revisão.
Spam e vírus pertencem ao processo Sophos Email
Scan computers that send spam or viruses requer licenças Sophos Endpoint e Sophos Email. Se uma mailbox enviar em dez minutos pelo menos cinco mensagens classificadas como spam ou com vírus, o Sophos Email identifica proprietário e dispositivos, bloqueia inicialmente a mailbox por uma hora e inicia um scan on-demand.
Cada novo acionamento após terminar o anterior duplica a duração. Após seis, o bloqueio é permanente e requer Sophos Support. Desativar a opção interrompe apenas o scan Endpoint, não o bloqueio Email. Verifique separadamente evento Email, associação utilizador-dispositivos e scan.
Piloto e validação
- Escolher um Endpoint gerido e regra restrita; documentar acesso normal, destinos de remediação e acesso admin independente.
- Verificar no Sophos Fusion estado e eventos do mesmo computador. Na Firewall, consultar Control Center > User & device insights > Security Heartbeat; se todos estiverem Green, a vista detalhada não lista Endpoints.
- Ativar logging, executar fluxo permitido e anotar IP origem, destino, Rule ID e hora.
- Usar teste Sophos aprovado sem parar o agente, manipular proteção ou usar malware real. Consulte Testar funções Sophos Endpoint.
- Comparar alerta Sophos Fusion, evento Endpoint, vista Heartbeat e log Firewall na mesma janela. Só a resposta configurada deve atuar.
- Após limpeza, confirmar Green e acesso normal antes de ampliar o âmbito.
Troubleshooting por sintoma
- Missing: verificar zona, caminho, mudança de adaptador, VPN/NAT, tempo e associação ao Sophos Fusion; seguir Diagnosticar Missing Heartbeat.
- Sophos Fusion e Firewall divergem: comparar mesmo dispositivo/período, depois registo, estado online, comunicação certificado/Sophos Fusion e eventos. Não cancelar registo nem criar exceções globais.
- Bloqueio inesperado: as mensagens Endpoint acima identificam rejeição lateral; um log Firewall com Rule ID e condição Heartbeat identifica a regra.
- Atraso em rede switched ou LAG: a Sophos documenta detection delay suportado na Device Console. Guardar valor atual e retorno antes de alterar.
- Dois Endpoints partilham dock/USB: SFOS 22.0 MR2 Build 546 corrige falsos Missing em
NC-176012. Em builds antigos do SFOS 22, verificar a versão instalada e planear a alteração do firmware, e depois repetir o teste com o dock ou USB afetado em vez de apenas aumentar timer. - Causa desconhecida: guardar período, Endpoint ID, estado/eventos, Rule ID, IP/MAC e interfaces. Use a recolha específica abaixo; Self Help e SDU explica o tratamento seguro.
Preparar um caso Endpoint Health para o suporte
Os Minimum Escalation Requirements da Sophos para Windows Endpoint e Windows Server separam casos de estado, serviço, ameaça, isolamento e Synchronized Security. Em todos, junte aos ficheiros a sua análise: primeiro erro relevante, hora, hipótese testada e resultado.
- Estado Red/Amber incorreto: capture a causa e o estado visível, confirme o mesmo estado no Sophos Fusion e determine se o problema continua atual ou é apenas um resíduo antigo. Use Reset health status como teste controlado e confirme depois se o estado permanece saudável ou regressa com o mesmo evento; junte SDU e análise.
- Serviço/processo parado ou ausente: registe a página Services e a mensagem no Endpoint Self Help, siga a orientação ligada e analise o log do serviço. Capture a falha de arranque reproduzível com Process Monitor como administrador, escolhendo Enable Advanced Output em Filter e All events ao guardar. Depois recolha um SDU do mesmo período. Pare e proteja a captura, pois pode conter processos, caminhos e dados de utilizadores.
- Ameaça pendente: procure a mesma ameaça na lista local e na página Events do Sophos Fusion. Se estiver presente, tente primeiro resolvê-la no Sophos Fusion; se não estiver, teste Reset health status de forma controlada. O reset não remove a ameaça nem substitui a verificação de recorrência. Junte resultado, SDU e análise.
- O dispositivo não entra em isolamento: verifique listas de exclusão e exclusões predefinidas. O isolamento automático exige Policy ativa e estado Red efetivo. Verifique comunicação com o Sophos Fusion e, para Reject connections from other devices, o estado Heartbeat em Endpoint Self Help > Operations.
- O dispositivo não sai do isolamento: o estado deve voltar a saudável e a comunicação com o Sophos Fusion deve funcionar; se estiver excluído, verifique também a exclusão configurada. Nos dois sentidos, guarde observações, SDU e análise antes de alterar Policy ou exclusões.
- Security Heartbeat não liga: confirme primeiro que está ativo na Sophos Firewall. Compare no mesmo período Endpoint Self Help > Operations, erros em
Heartbeat.loge oheartbeatd.logda Firewall. Ative DEBUG apenas para o processo Heartbeat e a reprodução curta, restaure depois o nível anterior e recolha um SDU. O encerramento exige ligação em Operations, ausência de novos erros correspondentes e recuperação do acesso esperado.
Distinguir ATR e isolamento Endpoint
Sophos Fusion ATR em Global Settings > Protection and Remediation > Allow and Block > Network > Active Threat Response aplica-se a Sophos Switches e AP6. Utilizadores API externos ou analistas MDR/XDR isolam MAC através destes equipamentos. No AP6, ATR sobrepõe-se à MAC Filtering Allowed list das SSID.
É diferente de regra Heartbeat, rejeição lateral e isolamento Endpoint manual. Para este último, consulte Isolar Endpoint e verificar com Live Response. Um estado ATR não prova Heartbeat Red nem ação Endpoint.