Använda Sophos AI Assistant och AI Search i XDR

Sophos AI Search samt assistenterna Security Analyst och Threat Hunter är XDR-undersökningsverktyg i Sophos Fusion (tidigare Sophos Central). De är inte allmänna funktioner i Endpoint-agenten och utför ingen autonom sanering. AI Search omvandlar sökningar på naturligt språk till Data Lake-frågor; undersökningsassistenterna stöder analytiker i chatten. Som tredje assistent finns Firewall Assistant för brandväggsregler och policyer. Den använder data från en vald, centralt hanterad Sophos Firewall och beskrivs separat nedan.

Fullständig AI Assistant i XDR-undersökningsflödet kräver Sophos XDR, Sophos MDR, Sophos MDR Plus eller Sophos Network Detection and Response. Sophos EDR omfattar AI Case Summary, AI Command Analysis och AI Search, men inte XDR AI Assistant. Dessa XDR-licensuppgifter säger inget om licensieringen av Firewall Assistant. Enligt Sophos kräver full åtkomst till AI-funktionerna rollen Super Admin eller Admin. För närvarande stöds endast engelska in- och utdata.

Välj rätt verktyg

• AI Search: söker i data i Sophos Data Lake. I Classic-vyn av Threat Analysis Center väljer du Detections eller Endpoint Data; där är sökningar i Endpoint Data begränsade till Windows. Under Security Operations > Data Lake Search genererar AI Search i stället Advanced Search-frågor i QL. Windows-begränsningen i Classic-arbetsflödet överförs inte till det nya sökgränssnittet.
• Security Analyst: undersöker ett bestämt Sophos-managed eller Self-managed Case och tar över dess Case- och Detection-kontext.
• Threat Hunter: söker efter aktörer eller Indicators of Compromise i Data Lake och fungerar endast med Self-managed Cases.
• Firewall Assistant: stöder konfiguration av brandväggsregler och analys av policyer för en brandvägg som hanteras i Sophos Central från och med SFOS 23.0. Chatten börjar med val av brandvägg, inte med ett Case-ID.
• AI Case Summary: sammanfattar Detections, enheter, användare, MITRE ATT&CK-taktiker och möjliga nästa steg i ett Case.
• AI Command Analysis: förklarar och avobfuskerar kommandorader från Detections.

XDR-undersökningsassistenterna Security Analyst och Threat Hunter kan för närvarande hämta och analysera XDR-integrerade data från Sophos Endpoint och Sophos Server i Windows. De kan inte åtgärda ett hot eller utföra en Response-åtgärd. Isolering, Live Response, blockering, godkännande och stängning av ett Case förblir medvetna mänskliga beslut. Dessa Windows-datakällor och Response-begränsningar beskriver undersökningsflödet, inte brandväggskonfigurationen med Firewall Assistant.

Använd AI Search säkert

Kontrollera först vilket gränssnitt din tenant använder. Threat Analysis Center är den fortfarande tillgängliga Classic view i Security Operations. SQL-arbetsflödet nedan hör till den Classic-vyn; den nya Data Lake Search beskrivs separat därefter. En ny menypost är ingen anledning att skriva om fungerande Classic-frågor utan att först kontrollera dem.

Classic: AI Search i Threat Analysis Center

1. Öppna Threat Analysis Center > AI Search.
2. Välj Detections eller Endpoint Data till vänster. Endpoint Data kräver en Windows-enhet.
3. Välj en föreslagen sökning eller skriv en fråga på engelska. Ange enhet, användare, indikator och tidsperiod precist.
4. Välj Search och granska resultattabellen.
5. Expandera Generated Query och kontrollera genererad SQL. Datakälla, fält, filter och tidsperiod måste motsvara undersökningsfrågan.

Utan uttrycklig tidsperiod använder AI Search 24 timmar. Sophos rekommenderar att börja med några timmar eller högst en dag och sedan utöka gradvis. Frågor över dagar eller veckor kan bli långsamma eller få timeout.

Tabellen visar högst 1 000 resultat. Sophos anger 90 dagars lagring i Data Lake, eller ett år med tilläggslicensen Central Data 1-Year Storage Pack. Tusen rader bevisar därför inte att exakt tusen händelser finns; en tom tabell bevisar inte heller att aktivitet saknades under hela incidenten.

Save Query sparar en användbar fråga i den nya Live Discover-kategorin AI Search. Export hämtar SQL och resultat som CSV. Sophos Live Discover och Data Lake-frågor förklarar skillnaden mellan Live Endpoint och Data Lake samt driftgränserna.

Security Operations: AI Search i Data Lake Search

Under Security Operations > Data Lake Search > AI Search skriver du en undersökningsfråga på naturligt språk eller väljer en förberedd prompt och sedan Search. Browse Prompts eller View All öppnar de förberedda promptarna; Sophos Only, kategorifilter och sökningen begränsar urvalet. När en prompt har lästs in kan den anpassas till enheten, indikatorn och tidsperioden i din undersökning.

Under resultaten visas den genererade frågan i Advanced Search query language, här kallat QL, inte som Classic-SQL-frågan från Generated Query. Kontrollera datakälla, fält, filter och tidsperiod mot undersökningsfrågan. Om resultatet inte passar, förtydliga prompten och välj Search igen. Classic-vyns radgräns och Windows-begränsning är inte belagda begränsningar för det här gränssnittet.

Save Query kräver namn och kategori; beskrivning och Bookmark this Query är valfria. Spara med Save Query och kontrollera sedan under Saved Queries att frågan går att hitta igen. Avsnittet om Data Lake Search i frågerunbooken beskriver hela arbetsflödet med Query Builder, Query Editor, sökhistorik och export.

Starta AI Assistant från ett Case

Ingången via ett Case nedan beskriver Classic-vyn. Security Operations har också Cases; det innebär inte att samma knapp, flikar eller överföring till chatten finns där. Artikeln behandlar XDR-undersökningsassistenten, inte en allmän Endpoint-hjälpfunktion eller funktioner i Sophos AI Defense.

Det är säkrare att börja med ett granskat Case än en chatt utan kontext:

1. Öppna Threat Analysis Center > Cases och välj Case-ID.
2. Kontrollera Detection, berörda enheter och relevant period.
3. Välj Ask Sophos AI uppe till höger. Central öppnar Security Analyst med Case-kontexten.
4. Redigera en fördefinierad Prompt eller ställ en egen fråga på engelska. / öppnar förberedda och sparade Prompts.
5. Ställ följdfrågor i samma chatt. Assistant använder aktuell Thread; en ny chatt har inte den kontexten.

Alternativt öppnar man AI > Assistant, väljer New och sedan Security Analyst eller Threat Hunter. Security Analyst frågar därefter efter ett Case-ID. Ask AI kan också överföra markerade rader från en resultattabell som kontext. Kontrollera före sändning vilket urval som faktiskt överförs.

Firewall Assistant: välj brandvägg och fortsätt arbetet

Firewall Assistant i Sophos Fusion stöder SFOS 23.0 eller senare och kräver en centralt hanterad brandvägg. Minimiversionen i sig är inget löfte om allmän tillgänglighet i varje klientorganisation eller bygge; den faktiska tillgängligheten och godkännandet av målbygget måste passa den egna miljön. Denna konfigurationschatt är inte den lokala Sophos Assistant i WebAdmin för dokumentationssökning och guidade arbetsflöden.

Under AI > Assistant > New > Firewall Assistant visas listan över brandväggar som hanteras i Sophos Fusion. Enheter med äldre SFOS är gråmarkerade och kan inte väljas för detta arbetsflöde. Varje chatt hör till exakt en brandvägg. Starta en separat chatt för en annan enhet; flera chattar för olika brandväggar kan finnas parallellt. Dataåtkomsten förblir begränsad till den inloggade administratörens behörigheter för respektive brandvägg.

1. Kontrollera namnet och firmwareversionen för den avsedda brandväggen och välj dess post. Då börjar chatten med rätt enhet i stället för med ett Threat Case.
2. Välj en fördefinierad Prompt eller skriv en egen fråga på engelska. Med / visas fler förberedda Prompts; med Send skickas frågan.
3. Kontrollera svaret mot den valda brandväggens regler och policyer. Följdfrågor i samma chatt behåller samtalskontexten. När sidan stängs eller New väljs finns den tidigare chatten kvar i listan till vänster och kan öppnas där igen.

Om en enhet är gråmarkerad ska dess SFOS-version kontrolleras först. Om den saknas i listan ska den centrala hanteringen och rätt Tenant kontrolleras. En firmwareuppgradering görs inte enbart för att låsa upp assistenten; målversionen och godkännandet av uppgraderingen måste passa den egna miljön.

För övergången till regelhantering i den löpande driften förklarar översikten över Sophos Firewall v23 AI-assistenten och betydelsen av regelns position. Ett chattsvar är inte ett godkännande att aktivera en regel i produktion. Målbrandvägg, objekt, regelposition och säkerhetskontroller granskas medvetet före varje ändring; varken valet av assistent eller en lyckad Prompt innebär någon autonom aktivering.

Granska regelutkastet, tillämpa det kontrollerat och granska auditloggen

Inom den dokumenterade omfattningen för fas 1 fokuserar åtgärderna på brandväggsregler och är läsåtgärder, med ett undantag: en prompt kan skapa en ny brandväggsregel. Assistant visar först ett utkast med en JSON-sammanfattning och vyer över de objekt som används. Först efter bekräftelse skapas regeln på brandväggen, som standard inaktiverad längst ned i regeltabellen. Det är redan en konfigurationsändring, men tillåter ännu inte någon trafik i praktiken.

⚠️ Använd en prompt för att skapa en regel endast för en planerad och auktoriserad ändring. Dokumentera målenheten, befintliga regler och objekt samt det aktuella konfigurationstillståndet före bekräftelsen. Senare aktivering kan tillåta eller blockera trafik; önskat paketflöde, säkerhetsinspektion, underhållsfönster och återställningsväg måste därför vara klarlagda i förväg.

1. Ange nödvändig IP-version, befintliga objektnamn och önskat paketflöde exakt i chatten för rätt brandvägg. Besvara förtydligande frågor i stället för att generellt tillåta hela nätverk eller godtyckliga tjänster.
2. Jämför JSON-sammanfattningen och objektvyerna i förhandsgranskningen med den avsedda regeln: källa, destination, tjänster, åtgärd och säkerhetsalternativ måste stämma. Be om en korrigering av utkastet eller bekräfta det inte om något avviker.
3. Bekräfta skapandet först efter att utkastet har granskats. Öppna därefter, oberoende av chatten, Rules and policies i WebAdmin på samma brandvägg och kontrollera rätt IPv4- eller IPv6-regellista. Den nya regeln ska vara inaktiverad längst ned i tabellen. Om den saknas eller har ett annat tillstånd ska den inte skapas igen på måfå eller aktiveras; stäm av enhet, lista och bekräftelse av skapandet.
4. Kontrollera de inställningar som faktiskt har sparats och de objekt som behövs. Bestäm först efter godkännande den tekniskt korrekta regelpositionen och aktivera regeln manuellt. En lämplig regel längst ned i tabellen kan bli verkningslös på grund av en tidigare regel; en regel för högt upp kan däremot kringgå den avsedda begränsningen. Testa både tillåtet och fortsatt blockerat paketflöde enligt regeltestet med Log Viewer, Policy Test och Packet Capture.
5. Öppna Log Viewer via Logs and policy test och filtrera på komponenten AI Assistant för att få belägg för Assistant-åtgärden. Stäm av audithändelserna mot målbrandväggen, ändringstidpunkten och den faktiskt sparade regeln. Auditposten bevisar Assistant-åtgärden, inte korrekt effekt på paketflödet. Om den förväntade posten saknas ska tidsperiod och filter kontrolleras och avvikelsen undersökas i stället för att anta att ingen ändring har skett.

Vid oväntad effekt ska den nyss aktiverade regeln inaktiveras igen och det tidigare dokumenterade tillståndet kontrolleras. Att inaktivera regeln tar varken bort utkastet eller eventuella nyskapade objekt och är ingen fullständig återställning av konfigurationen. Ett utkast som inte har godkänts förblir inaktiverat; kontrollera dess objektberoenden före senare rensning.

Skriv en verifierbar Prompt

En bra Prompt anger mål, Scope och önskat resultat. Exempel:

Compare the detections for endpoint WS-023 during 10 September 2026, 08:00-12:00 UTC. List process names, command lines and hashes, and mark every conclusion that still needs validation.

WS-023 är ett neutralt exempel som ska ersättas med den undersökta enheten. Datum, tid och tidszon måste stämma med Case. Lägg endast till processer, IP-adresser, användare eller hashvärden när hypotesen kräver det. En sparad Prompt behöver ett tydligt Alias; både Alias och fullständig Prompt måste vara unika. En ägare, ett syfte och ett granskningsdatum hindrar en inaktuell Prompt från att bli en ogranskad Runbook.

Validera och dokumentera resultat

AI-svar kan vara felaktiga eller missvisande. Kontrollera påståenden som ”inga andra enheter berörs” mot Case Timeline, Detection-information, enhetsdata och frågeresultat. Bekräfta särskilt:

• Stämmer period och tidszon med Case?
• Skickade enheten telemetri under perioden?
• Begränsar filter, plattformsstöd eller, i Classic-arbetsflödet för AI Search, gränsen på 1 000 rader påståendet?
• Stöder råhändelserna den föreslagna slutsatsen och Response?

Svar, enskilda tabellrader, hela tabeller och frågor kan fästas. Dessa Pinned Items finns kvar i Workbench under chatten och kan innehålla en motiveringsanteckning. De är ett personligt arbetsstöd, inte Case-dokumentation. Feedbackknapparna bedömer det specifika svaret; konfidentiella uppgifter hör inte hemma i det valfria kommentarsfältet.

Ett eller flera verifierade resultat från Security Analyst eller Threat Hunter kan läggas till på fliken Notebook i Case. Detta Case-Notebook-flöde är inte dokumenterat som ett sätt att överföra resultat från Firewall Assistant. För ett svar används plussymbolen under svaret; därefter bekräftas tillägget. För flera svar används menyn med tre punkter > Select responses > Add to case. För Threat Hunter måste mål-Case väljas; för Security Analyst är det redan bestämt av det undersökta Case.

En privat chatt syns bara för personen som startade den. Andra administratörer med Case-åtkomst ser endast svar som lagts till i Notebook. Öppna trepunktsmenyn bredvid chattens titel och välj Delete för att ta bort hela Thread. Validera därför nödvändiga bevis mot rådata och dokumentera dem i Case eller incidentsystemet; chatten är inget revisionsarkiv.

Dataskydd och användningsgränser

Lösenord, privata nycklar, Recovery Codes och onödiga personuppgifter hör inte hemma i Prompts eller Feedback. Begränsa kontexten till undersökningsfrågan och tillämpa organisationens regler för klassificering, lagring och export.

XDR-AI-funktionerna använder Azure OpenAI och Amazon Bedrock. In- och utdata används inte för att träna modeller eller förbättra tredjepartstjänster, och alla data som överförs till externa LLM-tjänster krypteras under överföringen. Befintliga rollbaserade Central-behörigheter begränsar fortsatt vilka data en användare kan komma åt. Före aktivering bör ansvariga granska aktuella uppgifter om databehandling och underbiträden i XDR Privacy Data Sheet.

De publicerade gränserna för de XDR-AI-funktioner som beskrivs här gäller rullande under 24 timmar; inga separata gränser för Firewall Assistant härleds från dessa:

• AI Command Analysis: 50 per användare, 250 per Tenant
• AI Search: 20 per användare, 100 per Tenant
• AI Case Summary: 10 per användare, 50 per Tenant
• AI Assistant-trådar: 20 per användare, 100 per Tenant
• enskilda Assistant-meddelanden: 200 per användare, 1 000 per Tenant

När en gräns nås pausas funktionen med HTTP 429. Sophos kan ändra värdena; använd den aktuella limitsidan för planering. Kritiska undersökningar måste alltid ha en manuell väg via Cases, Detections, Live Discover och underliggande telemetri.

Vanliga frågor