Sophos MDR: vad gör Sophos och vad ansvarar kunden för?

Klockan tre på morgonen börjar en angripare sprida sig i företagsnätverket. Skyddsprogramvaran rapporterar misstänkta aktiviteter. Men vem undersöker larmet, beslutar om att isolera en server och informerar ansvariga personer?

Sophos MDR tillhandahåller ett analysteam för detta dygnet runt. Managed Detection and Response omfattar upptäckt, undersökning och överenskomna responsåtgärder. Det avlastar den egna IT-avdelningen. Det ersätter däremot varken dess driftansvar eller förberedelserna inför en incident.

Detta inlägg publicerades ursprungligen 2022 och har uppdaterats för dagens tjänst. Den dåvarande övergången från MTR till MDR är fortfarande relevant som historisk bakgrund; de tidigare paketöversikterna utgör inget aktuellt beställningsunderlag.

Vad gör Sophos konkret?

Analytikerna bedömer tillgängliga säkerhetslarm, undersöker misstänkta samband och hanterar de incidenter som uppstår utifrån dem. De använder telemetri från de anslutna systemen. Hanteringen sker i Sophos Fusion, tidigare Sophos Central.

Beroende på beställd tjänst och beviljad befogenhet kan teamet exempelvis isolera en nåbar dator, avsluta en skadlig process eller blockera en inloggning och återkalla sessioner via en konfigurerad Microsoft-365-response-integration. Det är konkreta ingrepp. För detta måste respektive funktion, teknisk åtkomst och behörighet finnas.

En viktig detalj finns i tjänstens omfattning: den aktuella Sophos-dokumentationen om responslägen skiljer mellan begränsning och fullständig neutralisering. Den senare hänförs till MDR Plus. Ett generellt löfte som ”MDR hanterar varje incident fullständigt” är därför ingen användbar tjänstebeskrivning. Det är den beställda tjänsten som är avgörande.

Får Sophos agera direkt?

Företaget fastställer ett responsläge. Det beslutet bör fattas före den första incidenten, eftersom ett brådskande larm inte i sig ger befogenhet att agera.

Med Collaborate går det dessutom att tillåta övergång till Authorize efter misslyckade telefonkontaktförsök med samtliga registrerade kontaktpersoner. Det alternativet måste uttryckligen aktiveras. Utan det får teamet inte tolka bristande nåbarhet som samtycke.

Konfigureringen av MDR-kontakter och Threat Response förklarar inställningarna. Minst en behörig huvudkontakt krävs. Ytterligare kontakter är lämpliga så att semester, sjukdom eller en enstaka avstängd telefon inte avbryter förloppet. Ett registrerat nummer ersätter dock inte internt organiserad tillgänglighet.

Tredjepartsprodukter: insyn i data är inte samma sak som att ingripa

MDR kan även inkludera säkerhetsdata från andra tillverkare. Befintliga produkter behöver därför inte generellt ersättas med Sophos. Vilka data en integration levererar och vilka åtgärder den möjliggör måste kontrolleras för den aktuella produkten. Guiden till MDR-/XDR-integrationer hjälper vid konfigurering och kontroll.

En ren dataconnector kan leverera varningar utan att kunna spärra konton eller isolera enheter. En response-integration behöver egna behörigheter. En brandvägg som skickar händelser är inte heller automatiskt förberedd för varje responsåtgärd. På endpoints kan agent, policyer och Live Response avgöra vilka undersökningar och ingrepp som är möjliga.

Ett typiskt exempel är ett komprometterat Microsoft-365-konto: att återkalla inloggade sessioner och blockera ytterligare inloggningar kan avbryta den omedelbara användningen. Det klargör dock inte alla tänkbara följder. Manipulerade vidarebefordringsregler, berörda affärsprocesser, ytterligare åtkomster och säker återaktivering måste undersökas riktat under incidenten och tilldelas ansvariga. Vilka steg Sophos kan genomföra beror även här på integration och tjänstens omfattning.

Vad ansvarar kunden eller IT-partnern för?

Den egna IT-avdelningen driver fortfarande infrastrukturen. Det omfattar uppdateringar, säkra konfigurationer, användarhantering, fungerande säkerhetskopior och återställning av applikationer. MDR gör inte en opatchad server permanent säker och återställer inte krypterade verksamhetsdata från en säkerhetskopia.

Även affärsbeslut ligger kvar hos företaget: vilka system får tillfälligt vara nere? Vem informerar företagsledning, kunder eller försäkringsbolag? Vem bedömer rapporteringsskyldigheter och anlitar nödvändig extern hjälp? Sådana uppgifter måste vara tilldelade i incidentplanen. MDR-avtalet fördelar dem inte i sig till interna personer.

Även efter begränsningen finns arbete kvar. Orsaken måste undanröjas, en drabbad åtkomst återställas ordentligt och en rekommenderad konfigurationsändring genomföras. En rapport blir en förbättring i driften först när någon tar ansvar för öppna uppgifter och kontrollerar att de slutförs.

Därför bör det finnas en kort ansvarsfördelning för varje kritisk miljö: vad får Sophos göra själv, vad gör IT-partnern och vem fattar beslut i företaget? Särskilt för produktionskritiska servrar måste konsekvenserna av en isolering diskuteras i förväg.

Vad kostar MDR och vad ska ingå i offerten?

Ett tillförlitligt totalpris kräver antal användare och servrar, löptid, önskad responsomfattning och de system som ska omfattas. Till det kommer konfigurering och den egna IT-partnerns uppgifter. Ett lägre licenspris kan säga lite om nödvändiga integrationer och incidentberedskap saknas.

I Avanets butik finns erbjudanden under Sophos MDR, MDR Complete, MDR för servrar och MDR Complete för servrar. Den aktuella tillverkardokumentationen använder även benämningen MDR Plus. Gamla produktnamn och butiksbenämningar bör därför inte likställas med dagens tjänsteomfattning utan att offerten kontrolleras.

Integrationspaketen från den ursprungliga versionen av artikeln är inte heller någon tillförlitlig aktuell prislista. En offert måste uttryckligen fastställa vilka integrationer, lagringstider och eventuella tilläggstjänster som ingår. En inkluderad anslutning licensierar dessutom inte automatiskt den anslutna tredjepartsprodukten. Vi anger därför inget okontrollerat generellt styckepris här.

Hur känner man igen en driftklar MDR-miljö?

Efter köpet räcker det inte att licensen visas i portalen. De övervakade enheterna måste vara fullständigt registrerade, avsedda datakällor leverera aktuella händelser och åtkomsten för respons fungera. Det valda läget måste stämma överens med den avtalade incidentrutinen.

Vid godkännandet bör man tillsammans med tjänsteleverantören gå igenom kontaktvägar och ansvarsområden, kontrollera integrationernas tillstånd och komma överens om ett samordnat, ofarligt funktionstest. Resultatet måste visa vem som får ett larm och vilken åtgärd som är möjlig både tekniskt och organisatoriskt. Ett sådant test kräver inte att skadlig kod startas avsiktligt.

Jag skulle bedöma MDR utifrån om det vid en allvarlig incident finns en nåbar kedja med förmåga att agera. Ett analysteam, fungerande teknisk åtkomst och ett tydligt godkännande måste finnas tillsammans. Om något av detta saknas återstår en avgörande lucka även med en bra licens.

Vanliga frågor