Utvärdera Sophos-händelser för datorer och servrar

Logga in på Sophos Fusion (tidigare Sophos Central) för att visa händelser och rapporter. Den här artikeln behandlar Events Report, händelser för enskilda datorer och servrar samt Computer Report och 30-dagarsöversikten över skyddet. Hantering av varningar och XDR-undersökning är separata arbetsflöden.

Välj lämplig vy

Vad hände när? Öppna Events Report.
Vad hände på en viss dator? Använd fliken Events i datorinformationen.
Vad upptäcktes på en viss server? Använd fliken Events i serverinformationen.
Vilka datorer hanteras och när rapporterade de senast? Använd Computer Report.
Hur ser skyddsöversikten för de senaste 30 dagarna ut? Öppna rapporten Overview of your Sophos protection.

En händelse är en loggad aktivitet eller upptäckt. Händelser som kräver åtgärd kan också visas på sidan Alerts. När en administratör åtgärdar eller ignorerar en varning finns den underliggande händelsen fortfarande kvar i listan. Händelsevyn ger därmed en historik, men utgör inte i sig en fullständig incidentutredning.

Utvärdera händelser i hela miljön

Händelserapporten kan nås på Reports > General Logs > Events. För en reproducerbar utvärdering, fortsätt enligt följande:

Sök efter användar-, enhets- eller hotnamn i Search. Sophos stöder inte sökning efter ett filnamn som nämns i händelsen.
Välj en period under Choose period. För Custom är From och To inställda; utsikten går tillbaka maximalt 90 dagar.
Markera eller avmarkera kategorier eller enskilda händelsetyper under Event type and count. Som standard visas alla händelser.
Ladda nyinkomna händelser med Update. Grafen visar antalet händelser per dag.
Kontrollera resultatet och, om nödvändigt, spara det med Save as Custom Report eller mata ut det som CSV eller PDF med Export.

Händelselistan inkluderar Sev, Date, Event, User, User Groups, Device och Device Group. En sparad anpassad rapport är personlig: endast administratören som skapade den ser den; Partner- och företagsadministratörer ser eller skapar inte denna rapport. Exporten erbjuder den aktuella vyn eller en rapport under de senaste 90 dagarna. Det är därför sökterm, tidsperiod och utvalda händelsetyper hör hemma i verksamhetsdokumentationen om utvärderingar ska bli jämförbara senare.

Kontrollera händelser på en dator

För en enskild enhet går rutten via My Environment > Computers & Servers eller My Products > Endpoint > Computers. Öppna sedan datornamnet och fliken Events. Listan visar svårighetsgraden, rapporterande Sophos-agent och, om tillgänglig för händelsen, Details. View Events Report organiserar händelserna efter typ och visar deras dagliga utveckling.

En händelse kan ha en senare tidsstämpel än Last active i datorlistan. Det är inte nödvändigtvis en motsägelse: Sophos uppdaterar bara Last active en gång i timmen i genomsnitt.

Vissa händelsedetaljer tillhandahåller åtgärder för misstänkt felklassificering. Sådana tillåtelser eller undantag kan få bred räckvidd och bör inte skapas enbart för att ett filnamn verkar bekant. Det säkra genomsöknings- och rensningsflödet är tillgängligt i Sophos Endpoint Threat Cleanup and Malware Cleanup.

Kontrollera händelser på en server

För en server öppnar du My Environment > Computers & Servers eller My Products > Server > Servers, klickar på servernamnet och väljer fliken Events i serverinformationen. Listan visar Sev, Type (rapporterande Sophos-agent), Date och Event; Details finns inte för alla händelser. View Events Report visar händelser efter typ och deras utveckling per dag.

För Unauthorized File Protection (UFP) på Windows-servrar registrerar Monitor execution of unauthorized files without blocking obehöriga körningar utan att blockera dem; Block execution of unauthorized file blockerar dem. Undersök serverhändelsen och i förekommande fall Details. För att belägga en blockering jämför du en rapporterad blockeringshändelse i Summary eller Events med den policyinställning som tillämpas på servern. En händelse i övervakningsläge bevisar inte att något har blockerats. Använd Reports > General Logs > Events för en bestämd tidsperiod.

Läs händelsetyper korrekt

Vilka händelser som visas beror på licensen. Använd denna operativa mappning; namn och värden är exakt de som visas i Sophos Fusion:

Malware and PUA: Running malware not cleaned up (High), Malicious activity detected (High), Remotely-run ransomware detected (Medium), Ransomware attacking a remote machine detected (High), Safe Browsing detected compromised browser (High), Behavioral (Low), AMSI protection could not clean up a threat (High), Malware not cleaned up (High), Recurring infection (High), Potentially Unwanted Application (PUA) blocked (Medium) och Potentially Unwanted Application (PUA) not cleaned up (Medium) har Action required? = Yes. Isolera först enheten när det anges, öppna varningen och detaljerna och slutför begärd manuell rensning, genomsökning eller omstart. Bekräfta därefter en rensad/löst händelse eller ett rent tekniskt tillstånd; enbart upptäckt eller blockering bevisar inte sanering.
Management: Reboot required (Medium), Policy non-compliance (Medium), Real-time protection disabled (High), Failed to protect computer or server (High), Device de-duplicated (Low) och Active Directory synchronization error (High) har Action required? = Yes. Starta om eller rätta policy, skydd, grupp-/policytilldelning eller synkronisering och verifiera ett överensstämmande, återaktiverat, skyddat eller lyckat tillstånd. Update failed är Low med Action required? = No, men kontrollera först anslutningen och att Update succeeded visas senare. En varning om policyavvikelse visas efter mer än 2 timmar, en varning om inaktiverat realtidsskydd efter 2,5 timmar, en händelse om misslyckat skydd efter 1 timme och en varning om ett olöst Active Directory-synkroniseringsfel efter mer än 1 timme.
Network access: Peripheral detected (Medium) och Missing heartbeat reported (High) har Action required? = Yes. Kontrollera att enheten är tillåten; vid saknad heartbeat ska fortsatt nätverkstrafik behandlas som möjlig kompromettering, brandväggsbegränsning kontrolleras och Restored heartbeat reported bekräftas. Peripheral allowed, Peripheral restricted to read-only, Peripheral blocked och Restored heartbeat reported är Low och kräver inte åtgärd i sig.
User behavior: Web policy events, Web threat events och alla händelser för nedladdningsrykte är Low med Action required? = No. Använd rätt webbrapport; för User trusted low reputation download och Low reputation download automatically trusted, bekräfta att beslutet och inställningen Log only var avsiktliga. DLP-poster visar om en kontrollerad överföring godkändes, tilläts eller blockerades men publicerar inte allvarlighetsgrad eller Action required?; kontrollera därför överföringen mot policyn.
Device encryption: Key creation failed, Device Encryption failed, Device not encrypted, Device Encryption is suspended och Recovery key missing är Medium; Device Encryption information, Device Encryption status changed, Received recovery keys och Revoked keys är Low. Deras Action required? är See Note: för de flesta krypteringsvarningar startar du om datorn, låter den synkronisera med servern och kontrollerar kryptering eller återställningsnyckel. En visad återställningsnyckel återkallas och ersätts.

Enbart händelsenamnet är därför inte en prioritering. Du kontrollerar åtminstone svårighetsgraden, om Sophos kräver en åtgärd, påverkad enhet, tid och detaljer. Den faktiska varningstriagen finns kvar i den separata artikeln Redigera Sophos Endpoint Alerts and Account Health.

Använd datorrapport för inventeringsfrågor

Under Reports > Endpoint & Server Protection > Computers listar datorrapporten alla datorer som hanteras av Sophos Fusion. Kolumnerna besvarar specifika inventeringsfrågor:

Online: tidpunkt för senaste statusmeddelande; displayen uppdateras i genomsnitt varje timme.
Last user: senast inloggad användare och förfluten tid; Denna information uppdateras också i genomsnitt inom en timme efter ett användarbyte.
Last update: Tidpunkten för den senaste Sophos-programuppdateringen.
Group: tilldelad datorgrupp.
Agent installed: om Sophos programvara är installerad.

Rapporten är därför lämplig för enhetshygien och spårning. Online är dock inte ett tillgänglighetstest sekund för sekund. En förmodad inaktiv enhet jämförs först med händelsetider och det förväntade rapporteringsintervallet.

Klassificera 30-dagars skyddsöversikt

Nedanför Reports > Endpoint and Server Protection > Hero Reports är Overview of your Sophos protection. Rapporten är tillgänglig för administratörer, superadministratörer och partners och sammanfattar de senaste 30 dagarna. Den visar bland annat blockerade hothändelser, skyddade tillgångar, blockerade eller varnade webbplatser, skyddade användare, datorer och servrar samt licensanvändning.

Gränserna är viktiga: Perioden kan inte ändras, rapporten omfattar bara en enstaka inventering och kan inte planeras. För Enterprise Master-licenser visar den ingen licensanvändning. Via Export as PDF laddas den aktuella vyn ner som hero-report.pdf. Rapporten lämpar sig för en ledningsöversikt, inte som en komplett incidentjournal eller som ersättning för händelselistan.

Blanda inte ihop händelsejournaler med händelser i Sophos Fusion

Händelsejournaler finns lokalt på hanterade Windows-, macOS- och Linux-enheter och frågas med Live Discover. Lagringen har ingen fast tid: plattform, aktivitet och gränser avgör när äldsta data raderas. Konfiguration kräver XDR, MDR eller MDR Plus. Under Global Settings > Products and Services > Endpoint and Server > Event Journals väljer du Endpoint eller Server. Maximum journal size (MB) accepterar 300–30 000 MB och är som standard 5250 MB. Maximum disk space (optional) erbjuder Not specified, 10%, 20%, 30% eller 40% och är som standard Not specified; om båda gränserna anges gäller den lägre.

Inställningarna gäller globalt för alla endpoints och servrar, inte per enhet. En sänkning kan kasta en del journaldata och förkorta Live Discover-historiken på alla enheter. Efter en kontrollerad utrullning frågar du representativa endpoints och verifierar att lokal historik täcker det avsedda undersökningsfönstret.

Detta innebär att händelsejournaler varken är en händelserapport som lagras under en längre tid eller en garanterad tidsperiod. De som undersöker rå aktivitet med Live Discover följer det separata XDR-flödet i Undersök Sophos Endpoint Detections and Threat Graphs.

Vanliga frågor

Varför visas en hanterad varning fortfarande i Events?

Händelselistan är den tekniska historiken. Att åtgärda eller ignorera en varning tar inte bort den underliggande händelsen från listan.

Har händelsejournaler samma 90-dagarsgräns som händelserapporten?

Nej. Det finns ingen fast lagringstid för händelsejournaler. Din tillgängliga historik beror på plattformen, aktiviteten och konfigurerade storleksgränser.