Operar Sophos XDR Cases e Detection Rules

O Sophos XDR reúne Detections e entidades afetadas em casos que podem ser investigados. Um Case não é um incidente resolvido automaticamente, mas a área de trabalho comum para provas, responsabilidade e Response.

Os procedimentos existentes neste artigo descrevem a gestão de Cases e Detection Rules em Threat Analysis Center, a Classic view de Security Operations que continua disponível. A secção separada sobre Security Operations explica os limites atuais de responsabilidade e estados MDR. Antes de uma alteração, confirme qual a vista utilizada pelo tenant. Security Operations também disponibiliza Cases, Detections e Detectors; isso não comprova que ali se apliquem os mesmos estados, funções, prazos de eliminação ou regras de supressão. Em particular, Detectors não é equiparado às Detection Rules de Classic descritas abaixo.

Em Classic, os Cases requerem EDR, XDR ou MDR. A Sophos cria automaticamente um Case para uma High-Risk Detection, desde que esta ainda não esteja incluída num Case adequado no mesmo dia. Detections posteriores do mesmo tipo podem ser adicionadas.

Um Case Sophos-managed baseado em MDR Detections é investigado pela equipa MDR. Um Case Self-managed de XDR Detections continua a ser da responsabilidade do cliente e é atribuído a um administrador. A Sophos cria-o, mas não o investiga automaticamente.

Este limite de responsabilidade também se aplica aos sinais NDR e às deteções de teste NDR autorizadas: a origem NDR não transfere automaticamente um XDR Case Self-managed para o Sophos MDR. O administrador do cliente continua a ser o Owner até o Case ser encerrado de acordo com o processo interno. Apenas um Case explicitamente identificado como Sophos-managed e baseado em MDR Detections fica sob responsabilidade da equipa MDR. O runbook da deteção de teste NDR descreve como correlacionar inequivocamente e remover uma deteção de teste.

Detection, Alert e Case em Classic

Várias Detections podem pertencer à mesma cadeia de ataque. Por outro lado, uma única Detection invulgar pode justificar uma investigação.

Nos Cases Self-managed, New, Investigating, On Hold e Resolved formam o fluxo completo de estados: recém-criado, em investigação ativa, temporariamente suspenso ou encerrado. Os Cases Sophos-managed utilizam, em contrapartida, Investigating, Action required e Resolved. Action required significa que o cliente tem de agir; a Sophos notifica os contactos configurados.

Trabalhar num Case em Classic

Comece em Threat Analysis Center > Cases. Abra um Case Self-managed gerado automaticamente através do respetivo Case ID. Em Overview, use o menu junto ao nome do Case para definir a gravidade. Em seguida, altere o estado de New para Investigating e selecione o administrador responsável em Owner. Se não estiver na lista, adicione-o com Add user. O Owner também pode ser atribuído mais tarde.

Há duas formas oficialmente documentadas de criar manualmente um Case Self-managed:

• Em Threat Analysis Center > Cases > Create case > Self-managed case, introduza nome e descrição, selecione Severity, estado New e, opcionalmente, um Assignee, e guarde com Create. Depois, em Threat Analysis Center > Detections, selecione as correspondências e use Actions > Add to Case.
• Em alternativa, selecione primeiro as correspondências em Threat Analysis Center > Detections e escolha Actions > Create Case. Adicione Detections posteriores com Actions > Add to Case.

Os Cases criados manualmente só podem conter Sophos XDR Detections, não MDR nem Managed Risk Detections. A Sophos recomenda usar no nome do Case apenas caracteres alfanuméricos, espaços e pontuação básica, pois as API podem interpretar caracteres especiais como sintaxe.

Para a investigação propriamente dita:

1. Ler o resumo, a gravidade e a cronologia.
2. Verificar os dispositivos, utilizadores, processos, IPs e ficheiros afetados.
3. Classificar as técnicas MITRE ATT&CK e a fonte da Detection.
4. Utilizar Threat Graph, Live Discover e os Enrichments disponíveis.
5. Documentar medidas de contenção, como isolamento ou Live Response.
6. Registar a causa, o âmbito e a decisão de encerramento.

Num Case Self-managed, guarde as notas da investigação no separador Notebook. Desta forma, o histórico das provas e decisões permanece diretamente associado ao Case.

Os resumos gerados por AI podem acelerar a triagem, mas devem ser comparados com os dados em bruto e a cronologia.

Detection Rules

As regras seguintes aplicam-se à vista Classic em Threat Analysis Center > Detection rules, não a Security Operations em geral. Atualmente, as Detection Rules servem exclusivamente para suprimir Detections indesejadas e requerem um Super Admin. Uma regra impede que uma Detection correspondente apareça na lista de Detections e crie um Self-managed XDR Case. Não é possível suprimir MDR Cases desta forma.

Crie uma regra a partir de uma Detection existente: aceda a Threat Analysis Center > Detections, abra o menu de três pontos junto ao nome e selecione Add detection rule. Em Rule Details, introduza nome e descrição; a regra está ativada por predefinição. Suppress é atualmente a única opção em Actions. Em Conditions, selecione as características da correspondência existente que devem acionar a regra e clique em Save. Cada tenant pode ter, no máximo, 25 Detection Rules.

Antes de guardar a regra, ativada por predefinição, documente o nome, a finalidade, a fonte de dados, a frequência esperada, o Owner e a data de revisão. As condições devem identificar apenas o acionador legítimo confirmado, não apenas a gravidade ou uma característica de processo demasiado ampla.

Uma nova regra pode demorar até 20 minutos e só se aplica a Detections que ocorram após a sua criação. As condições são case-sensitive: Windows e windows podem ser tratados de forma diferente.

Faça a gestão das regras existentes em Threat Analysis Center > Detection rules. Uma regra pode ser ativada, desativada, duplicada ou eliminada, mas não editada diretamente. Para a alterar, duplique-a e ajuste a cópia no menu de três pontos; depois de uma substituição controlada, desative ou remova o original.

Controlar a supressão

A supressão reduz correspondências conhecidas e esperadas. Não é uma remediação e não pode tornar invisível uma atividade real. Cada supressão requer:

• uma condição exata em vez de padrões amplos,
• um acionador legítimo documentado,
• um responsável e uma data de revisão,
• a verificação das Detections já suprimidas.

Uma consola silenciosa não é um indicador de qualidade se as regras efetuarem uma supressão demasiado ampla.

Para verificar o resultado, abra Threat Analysis Center > Detections > Show filters. Em Detection Visibility, desmarque Hide Suppressed Detections e clique em Apply. Assim, verá o que a regra realmente abrange. Como as regras não se aplicam retroativamente, esta vista é uma base melhor para a próxima revisão do que apenas a redução das correspondências visíveis.

Security Operations: Cases e responsabilidade MDR

Esta secção aplica-se a Security Operations, não aos estados e regras Classic anteriores. Em Security Operations > Cases, clicar no nome do Case abre primeiro o resumo. O ícone New Tab conduz à página completa de detalhes, com Overview, Evidence, Response, History e Enrichment. Os comentários podem ser lidos no resumo, mas adicionados apenas na página completa.

Decidir Managed By antes de confirmar

Nos Cases MDR atuais, Managed By define quem gere o Case: Self significa responsabilidade do cliente; Sophos MDR significa gestão pela equipa MDR. Assignee designa, em contrapartida, o utilizador ou grupo para a próxima ação. Alterar Assignee não transfere a responsabilidade pelo Case.

Na página completa de detalhes, selecione a responsabilidade proposta em Manage Case > Managed By e confirme apenas após a verificação acima. Depois confira o valor apresentado. Self só pode ser selecionado para os tipos de Case MDR Investigation e Other; Threat Hunt, Health Check e Incident são Sophos-managed. O cliente não cria um Incident. Na criação manual, Managed By é definido logo na criação. Nos Cases gerados automaticamente por regras Sophos, tem de ser definido antes da utilização dos controlos Manage Case. Nos Cases de regras do cliente, é automaticamente Self.

Um Case Self-managed é investigado pela equipa interna; as alterações disponíveis, ações de resposta e divisão/fusão dependem também do tipo de Case e das permissões. Nos Cases Sophos-managed é possível ler detalhes, comentar, atribuir à Sophos e encerrar se a ação de encerramento estiver disponível. Isto não autoriza a alterar livremente o estado, editar Key Findings, adicionar outros eventos ou Detections como evidência, nem dividir ou fundir o Case.

Estados MDR atuais e ações do cliente

Os Cases MDR atuais utilizam, consoante o tipo, New, In Progress, Customer Action Required, Awaiting Sophos Assignment e Closed. Estes valores não são equiparados aos estados Classic nem aos estados XDR gerais Open, Active, Awaiting Action, Suspended e Closed. Awaiting Sophos Assignment significa que a atribuição interna na equipa MDR está pendente; Customer Action Required exige, pelo contrário, uma ação da organização.

Quando a equipa MDR coloca um Case Sophos-managed em Customer Action Required, começa o contador de inatividade. Sem ação do cliente, é enviado um lembrete por e-mail a cada 24 horas; após cinco dias de inatividade, o Case encerra automaticamente. Um comentário, uma ação de resposta, uma alteração de Assignee ou um novo link ou anexo reinicia o contador. Isto não substitui o trabalho substantivo solicitado: esclareça as questões com a equipa MDR em vez de prolongar o prazo apenas com alterações formais. Nunca execute ações de resposta apenas para reiniciar o contador.

Na página completa, o ícone de comentário à direita abre Comments. Introduza os dados necessários em Comment e guarde com Save. @sophos notifica a equipa MDR. Depois de guardar, verifique se o comentário está no Case correto. Configure os contactos MDR e poderes de resposta antes de um incidente, não apenas após a primeira pergunta sem resposta.

O encerramento também resolve as Detections associadas e atribui-lhes uma etiqueta conforme o veredicto escolhido. Para MDR estão disponíveis True Positive – Benign, True Positive – Malicious, Inconclusive e False Positive; para Inconclusive, a etiqueta de Detection é Not Actionable. Um Case encerrado não é prova técnica de limpeza. Antes de encerrar, verifique o resultado da investigação e as tarefas do cliente pendentes.

Nos 30 dias após o encerramento, um Case MDR Sophos-managed pode ser reaberto através de um comentário com @sophos; num Case customer-managed, altera-se o estado Closed. Após esses 30 dias é necessário um novo Case. Este limite de reabertura não define a eliminação ou conservação dos Cases MDR atuais; os prazos Classic indicados acima ou abaixo continuam limitados a Classic.

Rules em vez de apenas supressão Classic

Em Security Operations > Rules existem dois tipos distintos de Customization Rules: as Custom detection rules geram novas Detections a partir de eventos normalizados através de uma consulta de pesquisa avançada. As Detection suppression rules resolvem as Detections correspondentes como suprimidas no momento da criação, para não aparecerem por predefinição na lista. Detectors não é a mesma área de gestão que estas regras.

Os Cases gerados automaticamente por regras do cliente são customer-managed e não desencadeiam uma investigação MDR automática. Os limites Classic de 25 regras, exigência Super Admin, espera de 20 minutos e duplicação em vez de edição não são transferidos para esta nova interface. Esta secção explica as distinções, não um procedimento completo de criação de regras personalizadas. Antes da supressão, continua a ser necessário confirmar a causa legítima e avaliar a perda de visibilidade.

Encerramento e lições aprendidas em Classic

Um Case é encerrado quando o âmbito, a causa, a contenção, a remediação e a recuperação estão documentados. Em seguida, ajustam-se as Detection Rules, políticas, exceções e Runbooks se a investigação tiver revelado uma lacuna.

Um Case Self-managed é encerrado definindo o estado como Resolved. Permanece na lista durante 30 dias e depois é eliminado pela Sophos. Partner Super Admins e Enterprise Super Admins não podem encerrar nem remover Cases; esta limitação da função deve ser considerada antes de atribuir o Owner.

A telemetria subjacente e o trabalho de consulta são explicados em Sophos XDR Data Collection e Live Discover.

Perguntas frequentes

O fluxo atual completo em Security Operations > Rules é explicado em Operar Custom Detection e Suppression Rules. Condições de streaming, circuit breaker, limites de pré-visualização e reversão são tratados separadamente das regras Classic conservadas aqui.