Operar Sophos XDR Cases e Detection Rules
O Sophos XDR reúne Detections e entidades afetadas em casos que podem ser investigados. Um Case não é um incidente resolvido automaticamente, mas a área de trabalho comum para provas, responsabilidade e Response.
Os Cases requerem EDR, XDR ou MDR. A Sophos cria automaticamente um Case para uma High-Risk Detection, desde que esta ainda não esteja incluída num Case adequado no mesmo dia. Detections posteriores do mesmo tipo podem ser adicionadas.
Um Case Sophos-managed baseado em MDR Detections é investigado pela equipa MDR. Um Case Self-managed de XDR Detections continua a ser da responsabilidade do cliente e é atribuído a um administrador. A Sophos cria-o, mas não o investiga automaticamente.
Este limite de responsabilidade também se aplica aos sinais NDR e às deteções de teste NDR autorizadas: a origem NDR não transfere automaticamente um XDR Case Self-managed para o Sophos MDR. O administrador do cliente continua a ser o Owner até o Case ser encerrado de acordo com o processo interno. Apenas um Case explicitamente identificado como Sophos-managed e baseado em MDR Detections fica sob responsabilidade da equipa MDR. O runbook da deteção de teste NDR descreve como correlacionar inequivocamente e remover uma deteção de teste.
Detection, Alert e Case
| Elemento | Finalidade |
|---|---|
| Detection | atividade suspeita ou correspondência de uma regra |
| Alert | mensagem prioritária que requer ação |
| Case | investigação agregada com responsável, estado e provas |
| Detection Rule | regra que oculta Detections correspondentes e impede a criação de Cases |
Várias Detections podem pertencer à mesma cadeia de ataque. Por outro lado, uma única Detection invulgar pode justificar uma investigação.
Nos Cases Self-managed, New, Investigating, On Hold e Resolved formam o fluxo completo de estados: recém-criado, em investigação ativa, temporariamente suspenso ou encerrado. Os Cases Sophos-managed utilizam, em contrapartida, Investigating, Action required e Resolved. Action required significa que o cliente tem de agir; a Sophos notifica os contactos configurados.
Tratar um Case
Comece em Threat Analysis Center > Cases. Abra um Case Self-managed gerado automaticamente através do respetivo Case ID. Em Overview, use o menu junto ao nome do Case para definir a gravidade. Em seguida, altere o estado de New para Investigating e selecione o administrador responsável em Owner. Se não estiver na lista, adicione-o com Add user. O Owner também pode ser atribuído mais tarde.
Há duas formas oficialmente documentadas de criar manualmente um Case Self-managed:
- Em Threat Analysis Center > Cases > Create case > Self-managed case, introduza nome e descrição, selecione Severity, estado
Newe, opcionalmente, um Assignee, e guarde com Create. Depois, em Threat Analysis Center > Detections, selecione as correspondências e use Actions > Add to Case. - Em alternativa, selecione primeiro as correspondências em Threat Analysis Center > Detections e escolha Actions > Create Case. Adicione Detections posteriores com Actions > Add to Case.
Os Cases criados manualmente só podem conter Sophos XDR Detections, não MDR nem Managed Risk Detections. A Sophos recomenda usar no nome do Case apenas caracteres alfanuméricos, espaços e pontuação básica, pois as API podem interpretar caracteres especiais como sintaxe.
Para a investigação propriamente dita:
- Ler o resumo, a gravidade e a Timeline.
- Verificar os dispositivos, utilizadores, processos, IPs e ficheiros afetados.
- Classificar as técnicas MITRE ATT&CK e a fonte da Detection.
- Utilizar Threat Graph, Live Discover e os Enrichments disponíveis.
- Documentar medidas de contenção, como isolamento ou Live Response.
- Registar a causa, o âmbito e a decisão de encerramento.
Num Case Self-managed, guarde as notas da investigação no separador Notebook. Desta forma, o histórico das provas e decisões permanece diretamente associado ao Case.
Os resumos gerados por AI podem acelerar a triagem, mas devem ser comparados com os dados em bruto e a Timeline.
Detection Rules
Atualmente, as Detection Rules servem exclusivamente para suprimir Detections indesejadas e requerem um Super Admin. Uma regra impede que uma Detection correspondente apareça na lista de Detections e crie um Self-managed XDR Case. Não é possível suprimir MDR Cases desta forma.
Crie uma regra a partir de uma Detection existente: aceda a Threat Analysis Center > Detections, abra o menu de três pontos junto ao nome e selecione Add detection rule. Em Rule Details, introduza nome e descrição; a regra está ativada por predefinição. Suppress é atualmente a única opção em Actions. Em Conditions, selecione as características da correspondência existente que devem acionar a regra e clique em Save. Cada tenant pode ter, no máximo, 25 Detection Rules.
Antes de guardar a regra, ativada por predefinição, documente o nome, a finalidade, a fonte de dados, a frequência esperada, o Owner e a data de revisão. As condições devem identificar apenas o acionador legítimo confirmado, não apenas a gravidade ou uma característica de processo demasiado ampla.
Uma nova regra pode demorar até 20 minutos e só se aplica a Detections que ocorram após a sua criação. As condições são case-sensitive: Windows e windows podem ser tratados de forma diferente.
Faça a gestão das regras existentes em Threat Analysis Center > Detection rules. Uma regra pode ser ativada, desativada, duplicada ou eliminada, mas não editada diretamente. Para a alterar, duplique-a e ajuste a cópia no menu de três pontos; depois de uma substituição controlada, desative ou remova o original.
Controlar a Suppression
A Suppression reduz correspondências conhecidas e esperadas. Não é uma remediação e não pode tornar invisível uma atividade real. Cada supressão requer:
- uma condição exata em vez de padrões amplos,
- um acionador legítimo documentado,
- um responsável e uma data de revisão,
- a verificação das Detections já suprimidas.
Uma consola silenciosa não é um indicador de qualidade se as regras efetuarem uma supressão demasiado ampla.
Para verificar o resultado, abra Threat Analysis Center > Detections > Show filters. Em Detection Visibility, desmarque Hide Suppressed Detections e clique em Apply. Assim, verá o que a regra realmente abrange. Como as regras não se aplicam retroativamente, esta vista é uma base melhor para a próxima revisão do que apenas a redução das correspondências visíveis.
Encerramento e Lessons Learned
Um Case é encerrado quando o âmbito, a causa, a contenção, a remediação e a recuperação estão documentados. Em seguida, ajustam-se as Detection Rules, Policies, exceções e Runbooks se a investigação tiver revelado uma lacuna.
Um Case Self-managed é encerrado definindo o estado como Resolved. Permanece na lista durante 30 dias e depois é eliminado pela Sophos. Partner Super Admins e Enterprise Super Admins não podem encerrar nem remover Cases; esta limitação da função deve ser considerada antes de atribuir o Owner.
A telemetria subjacente e o trabalho de consulta são explicados em Sophos XDR Data Collection e Live Discover.