Planera roller och behörigheter för Sophos Fusion Endpoint
Roller i Sophos Fusion (tidigare Sophos Central) påverkar mer än de menyer som en Endpoint-administratör ser. Produktåtkomst, Access Type och ytterligare behörigheter avgör tillsammans om en administratör kan ändra policyer, starta Live Response, aktivera Data Lake-uppladdningar, stänga av Tamper Protection eller ta en dator ur isolering.
Central-runbooken för administratörsroller beskriver val, tilldelning och granskning av fördefinierade och anpassade roller i hela tenanten. Den här artikeln fokuserar på effekterna för Endpoint och XDR och upprepar därför inte användarskapande, rollbyten och offboarding.
Endpoint Custom Role i stället för generell full åtkomst
Endast en Super Admin kan skapa en Custom Role under Global Settings > Access Control > Admins and Roles > Roles > Add role. Den baseras på en standardroll och får en Access Type per produkt, exempelvis Full, Help Desk, Read-only eller None.
Ange ett tydligt Name och en syftesbaserad Description, välj Base role och ställ in nödvändig Access Type för varje produkt. Aktivera endast nödvändiga funktioner bland den anpassade rollens ytterligare åtkomst- och hanteringsalternativ och välj Save. Öppna sedan rollen, välj Edit bredvid Role Members, markera administratörerna och spara igen. Tilläggsalternativen gäller endast valda produkter; Enable global search management kräver Endpoint Protection eller Server Protection med Full.
En praktisk Endpoint Help Desk-roll kan exempelvis byggas så här:
- Base Role
Help Desk - produkt
Endpoint Protection - Access Type som motsvarar det faktiska uppdraget
- alla produkter som inte behövs sätts till
None - Logs och Reports endast vid operativt behov
- besluta separat om Policy Management och Policy Assignment
- tillåt inte automatiskt Live Response, Data Collection och Isolation
Efter varje rolländring kontrolleras med ett testkonto vilka menyer, enheter och åtgärder som faktiskt är tillgängliga. Rollnamnet är inget bevis på behörighet.
Shared Settings kräver flera produkträttigheter
Vissa inställningar används gemensamt av Endpoint och Server. Om en Custom Role saknar åtkomst till båda produkterna förblir dessa Shared Settings delvis Read-only. För vissa funktioner krävs dessutom Encryption-åtkomst.
Gemensamma inställningar omfattar bland annat:
- Tamper Protection
- Allowed Applications
- Website Management
- Proxy Configuration
- Blocked Items
- Bandwidth Usage
- DLP Rules och Content Control Lists
- avvisning av nätverksanslutningar till osäkra enheter
- XDR Threat Analysis Center
Detta är en vanlig orsak till att en förmodad Endpoint Full-roll inte kan ändra ett globalt undantag eller en gemensam inställning. Lösningen är inte automatiskt Super Admin, utan en medvetet utökad Custom Role.
Tilldela Policy-rättigheter separat
Sophos skiljer mellan hantering och tilldelning av Policies:
- Enable policy management tillåter att Policies skapas, redigeras och tas bort.
- Enable policy assignment tillåter att befintliga Policies aktiveras eller inaktiveras och tilldelas användare, grupper, enheter eller enhetsgrupper.
Ett driftteam kan därför tilldela Policies utan att få ändra själva skyddsbaslinjen. Omvänt kan ett Security Team underhålla Policy-innehåll medan produktiva tilldelningar följer en Change-process. Struktur och prioritet beskrivs i Strukturera Sophos Fusion Endpoint Policies korrekt.
Live Response och Data Collection
Rätten att starta en Live Response-session tilldelas uttryckligen. En anpassad roll kräver basrollen Full eller Help Desk, Endpoint Protection med Access Type Full och rättigheten att starta sessioner på datorer. Rätten för servrar är separat och kräver Server Protection. Live Response kräver en Sophos EDR-, XDR- eller MDR-licens.
Hantering av Live Response och Data Lake Uploads är också en egen rättighet. Manage Data Collection and Investigation settings for computers kräver Endpoint Protection med Full; motsvarande serveralternativ kräver Server Protection. Start Live Response sessions on computers, det separata serveralternativet och aktivering i aktuell Policy är alltså skilda uppgifter.
En aktuell begränsning gäller för MSP:er: den som öppnar kundens tenant från Sophos Fusion Partner kan för närvarande inte skapa denna Live Response Custom Role. I den åtkomstkontexten är en saknad knapp därför inte ett lokalt behörighetsfel.
Live Response ger ett kraftfullt Remote Shell. Rolltilldelning, MFA, Audit och sessionsflöde beskrivs i Isolera Sophos Endpoint och undersök med Live Response.
Tamper Protection och Isolation
Att stänga av Tamper Protection och ta bort en dator från Admin Isolation tillåts inte oavsiktligt genom vanlig Help Desk-åtkomst. Sophos kräver för dessa alternativ en Custom Role med Base Role Help Desk, Endpoint Protection och Access Type Full.
Rättigheterna ges endast till personer som genomför en dokumenterad underhålls- eller incidentprocess. Permanent tilldelning till hela första linjens support är sällan lämplig.
Ytterligare XDR-rättigheter
Med en XDR-licens får standardroller ytterligare möjligheter:
- Super Admin och Admin kan begära Intelligence Reports, hantera Clean and Block-poster, visa Blocked Items, begära On-Demand Threat Graphs, isolera och frisläppa enheter samt begära Forensic Snapshots.
- Help Desk kan begära Intelligence Reports och Threat Graphs, visa Blocked Items och begära Forensic Snapshots, men inte utföra alla Response-åtgärder.
- Read-only kan visa Intelligence Reports, Blocked Items och befintliga On-Demand Threat Graphs.
Det faktiska gränssnittet beror dessutom på licens, produkttilldelning och datakälla. XDR-funktioner testas därför med en representativ testenhet. Cases, Suppression Rules och Exposure Data förklaras i Hantera Sophos XDR Cases och Detection Suppression Rules.
Validering och felsökning
Genomför acceptanstestet med en testadministratör och en representativ dator; lägg till en server för serverrättigheter. Kontrollera separat inloggning, synliga produkter, Logs & Reports, redigering och tilldelning av Policies samt varje godkänd responsåtgärd. Negativa tester ska bekräfta att icke godkända produkter, inställningar och åtgärder saknas eller är skrivskyddade. Dokumentera rollmedlemskapet och kontrollera Audit Logs.
Om en funktion saknas eller är inaktiverad kontrollerar du först licensen och datakällan. Verifiera Role Members, logga in igen och jämför Base role, produkt, Access Type och tilläggsalternativ. För Shared Settings kontrollerar du kombinerad åtkomst till Endpoint, Server och vid behov Encryption. För Live Response kontrollerar du även aktuell Data Collection and Investigation Policy: rätten att starta en session aktiverar inte funktionen. Uteslut slutligen åtkomst via Sophos Fusion Partner och att webbläsaren blockerar den nya fliken. Registrera tenant, användare, roll, produktsida, enhet, tidpunkt och resultat från det negativa testet före eskalering.