Sophos MDR: konfigurera kontakter och Threat Response

Sophos MDR kräver minst en behörig kontaktperson innan ytterligare MDR-inställningar kan konfigureras eller tjänsten användas. För driften rekommenderar Avanet minst två nåbara kontakter. Därefter fattas ett medvetet beslut om MDR-teamet får agera självständigt eller behöver godkännande först. Enbart ett aktiverat avtal ersätter inte denna förberedelse.

I Sophos Fusion (tidigare Sophos Central) går du via ikonen Global Settings till Products & Services > MDR: spara först Authorized Contacts, godkänn och spara därefter Threat Response och komplettera sedan Additional Settings. Öppna slutligen alla tre flikarna igen och jämför med det godkända önskade tillståndet. Kontrollen utlöser varken en attack eller en responsåtgärd.

Klargör ansvar och åtkomst före konfigurationen

Det behövs en aktiv MDR-licens i rätt kundkonto och administratörsåtkomst som tillåter ändring av MDR-inställningarna. Efter licensaktivering kan Sophos Fusion uppmana till konfiguration direkt vid första inloggningen. Inställningarna är även senare tillgängliga via Global Settings > Products & Services > MDR. Om flikar eller redigeringsalternativ saknas kontrolleras konto, licens och effektiva behörigheter; rollen hos en valbar kontakt bevisar ingen generell minimiroll för alla inställningsändringar.

Dokumentera före en ändring befintliga kontakter med ordningsföljd, telefonnummer, aviseringsalternativ, responsläge och Collaborate-kryssrutans tillstånd i ett åtkomstskyddat ändringsärende. Vid en första konfiguration dokumenteras i stället det överenskomna önskade tillståndet. Kontaktpersonerna måste veta att de ska besvara MDR-frågor och se till att ett internt beslut fattas, även utanför kontorstid.

1. Ange och spara Authorized Contacts

MDR-kontakterna är den officiella kommunikationsvägen mellan MDR-teamet och organisationen. Vid ett aktivt hot försöker Sophos nå de angivna kontakterna i tur och ordning tills någon svarar. Detta är en annan konfiguration än Authorized Contacts under Managed Risk; kontakter som sparats där ersätter inte MDR-konfigurationen.

Öppna ikonen Global Settings och välj Products & Services > MDR > Authorized Contacts.
Välj avsedd Sophos Fusion-administratör under Primary. Möjliga roller är Super Admin, Admin eller Help Desk. Om ett lämpligt konto saknas erbjuder Create new Central administrator möjlighet att skapa det. Tilldela administrationsroller efter den faktiska uppgiften, inte Super Admin för säkerhets skull.
Ange kontaktuppgifterna. Kontrollera att telefonnumret innehåller landsnummer; för befintliga nummer utan landsnummer kan sidan uppmana till komplettering. Avgörande är ett nummer där den ansvariga personen faktiskt kan nås.
Välj vid behov Secondary och Tertiary och komplettera uppgifterna. Totalt kan därmed upp till tre kontakter anges. Minst Primary är obligatoriskt; en andra kontakt täcker frånvaro. Ordningen ska passa den egna beredskapsprocessen.
Kontrollera medvetet kryssrutorna för att avstå från MDR reports och broadcast announcements. De gäller dessa e-postmeddelanden och ersätter inte en fungerande kommunikationsväg för incidenter.
Välj Save. Lämna fliken, öppna den igen och läs tillbaka val, ordning, telefonnummer och avregistreringsinställningar.

Avanet föredrar tydligt tilldelade konton och en ordnad ersättare. Sophos beskriver även administratörskonton med en distributionslistadress och rekommenderar Help Desk på grund av de lägre behörigheterna. En distributionslista bevisar dock varken telefonisk nåbarhet eller tydligt ansvar; ge inte ett konto utökade rättigheter enbart för aviseringar.

2. Välj Threat Response medvetet

Under Global Settings > Products & Services > MDR > Threat Response finns tre lägen för MDR och MDR Plus. Valet reglerar befogenheterna; den konkreta tjänsteomfattningen beror dessutom på den köpta tjänsten och tillgänglig teknisk åtkomst.

Authorize: MDR-teamet får självständigt genomföra åtgärder för att begränsa hot och informerar därefter om utförda åtgärder. Fullständig neutralisering ingår enligt nuvarande tjänsteomfattning i MDR Plus. Uppgifter som Sophos inte kan utföra ligger kvar hos organisationen.
Collaborate: MDR-teamet undersöker och samordnar responsen med kontakterna. Före responsåtgärder krävs muntlig eller skriftlig auktorisering eller organisationens aktiva medverkan. Därför måste någon internt vara nåbar och ha rätt att fatta beslut.
Notify Only: MDR-teamet meddelar kontakterna och kan bara undersöka i begränsad omfattning. Det får varken begränsa eller neutralisera hot. Läget är inget likvärdigt alternativ till en fungerande responsprocess och rekommenderas inte för längre användning.

Sophos rekommenderar Authorize eller Collaborate. Avgör före sparandet tillsammans med incidentansvariga vilket alternativ som passar: ska Sophos få begränsa ett bekräftat hot omedelbart, eller kan organisationen tillförlitligt ge varje nödvändigt godkännande?

Kryssrutan under Collaborate är en ytterligare förhandsauktorisering

Under Collaborate kan du separat tillåta att MDR-teamet agerar som i Authorize om ingen bekräftelse kommer efter telefonförsök till samtliga angivna kontakter. Utan denna kryssruta krävs fortfarande godkännande före responsåtgärder. Det finns inget fjärde likvärdigt läge.

Dokumentera uttryckligen godkännandet av denna reservlösning i ändringsärendet. Att bara välja Collaborate visar inte om reservlösningen har godkänts. Inte heller ska någon fast väntetid före ett ingrepp förutsättas.

Välj efter beslutet önskat läge och vid behov kryssrutan och välj Save. Öppna fliken igen och jämför båda värdena separat med det godkända tillståndet. Utgå inte från att ändringen har genomförts om något avviker, utan klarlägg konto, sparat val och eventuella samtidiga ändringar.

3. Avgränsa Live Response och känsliga enheter

Vid Authorize uppmanar Sophos till aktivering av Live Response. Åtkomsten gör att MDR-teamet kan arbeta på enheterna. Ett godkänt responsläge bevisar inte i sig en gällande enhetspolicy eller en konfigurerad responsintegration.

Samla före godkännandet känsliga datorer eller servrar som MDR inte får nå via Live Response i en egen grupp. Under My Products > Endpoint > Policies respektive My Products > Server > Policies tillämpas en Data Collection and Investigation-policy med Live Response avstängt på gruppen. Dator- och serverpolicyer hanteras separat. Kontrollera före sparandet gruppens omfattning och tidigare policytilldelning så att inte hela miljön av misstag öppnas eller blockeras.

Kontrollera efter ändringen den effektiva tilldelningen och Live Response-inställningen på både en avsedd enhet och en undantagen enhet. Starta ingen session för kontrollen. Avstängning av Live Response är inget generellt undantag från MDR, andra skyddsfunktioner eller samtliga responsåtgärder; den begränsar denna enhetsåtkomst. Undantaget kan försvåra undersökning eller sanering och behöver därför en ansvarig lokal kontaktperson. Isolering och Live Response förklarar detaljerade policy-, roll- och åtkomstgränser.

Förbered tredjepartsåtgärder separat via MDR- och XDR-integrationer. Datainhämtning innebär inte automatiskt skrivbehörighet i källsystemet. Även den lokala brandväggsfeedåtgärden Log only eller Log and drop förblir åtskild från MDR-responsläget; följ runbook-artikeln för MDR Threat Feeds för den uppgiften.

4. Kontrollera organisationskontext och agenter

Under Global Settings > Products & Services > MDR > Additional Settings anger du rätt Industry Vertical, organisationens huvudsakliga plats och de nätverksundernät som faktiskt används. Kontexten hjälper MDR-teamet att bedöma aktiviteter. Ange verkliga, internt godkända inventarieuppgifter, inte exempelnät eller generella intervall utan koppling till miljön. Välj sedan Save, öppna fliken igen och jämför de sparade värdena.

För MDR-användning behöver varje berörd dator eller server en Sophos-agent som stöder MDR. Kontaktinställningen installerar ingen agent och ger inte i sig telemetri. Om enheter saknas eller agentstatus är oklar fortsätter inventeringen via Endpoint-onboarding. Godkänn inte konfigurationen som fullständig så länge avsedda enheter och datakällor är oklara.

Verifiering utan attack eller responstest

Verifieringen omfattar sparad konfiguration och organisatorisk nåbarhet, inte en artificiellt genererad Detection:

Öppna Authorized Contacts, Threat Response och Additional Settings igen. Kontrollera sparade värden mot det godkända ärendet; ta uttryckligen med kryssrutan för Collaborate.
Stäm internt av telefonnummer, landsnummer, nåbarhet och vägen till incidentgodkännande med Primary och ersättaren. Ett överenskommet internt kontrollsamtal kan kontrollera det sparade numret men bevisar inte samtalsvägen från Sophos.
Kontrollera med e-postadministrationen om befintliga äkta MDR-meddelanden når avsedda mottagare och inte hamnar i skräppost eller karantän. Om sådana bevis saknas är den externa MDR-postleveransen fortfarande overifierad. Varken ett internt e-posttest eller en sparad kontakt bevisar den. Utan verifierade aktuella avsändaruppgifter tillåts inga hela domäner och e-postkontrollen stängs inte av.
Kontrollera avsett agentbestånd, effektiva Live Response-policyer och dokumenterade undantag. Starta inget fjärrskal, ingen isolering eller annan produktionsåtgärd för verifieringen.
Dokumentera ansvariga, kontrolldatum och kvarstående leverans- eller inventariefrågor. Saknade bevis förblir öppna och klarläggs med MDR eller e-postadministrationen; de ersätts inte av en testincident.

I den fortsatta driften gäller det enskilda ärendets status- och ansvarsgränser för nödvändiga kundåtgärder. Assignee och Managed By är inte utbytbara begrepp. De separata förfarandena för Classic och aktuella MDR Cases finns i Cases och Detection Rules.

Om konfigurationen inte motsvarar önskat tillstånd

Ytterligare MDR-inställningar kan ännu inte användas: Kontrollera först att minst Primary är fullständigt angiven i rätt kundkonto och sparad med Save. Använd inte sidan med samma namn i Managed Risk som ersättning.
Den önskade personen saknas i Primary: Kontrollera administratörskontot och dess roll. Super Admin, Admin eller Help Desk är de dokumenterade kontaktrollerna; kontaktroll och redigeringsrätt för andra funktioner hålls åtskilda.
MDR når ingen: Kontrollera ordning, landsnummer, ersättare och faktisk beredskap. Härled ingen automatisk respons från Collaborate så länge den extra kryssrutan inte medvetet har godkänts och sparats.
Ett meddelande saknas: Kontrollera mottagartilldelning, karantän och befintliga leveransloggar. En konkret tillåtelselista för e-post fastställs först med aktuella, verifierade MDR-avsändaruppgifter, inte utifrån en antagen adress.
Live Response är fortfarande tillåtet för en känslig enhet: Kontrollera den faktiskt tilldelade Endpoint- eller Server-policyn och gruppmedlemskapet. Ett planerat undantag gäller först när rätt policy tillämpas på rätt enhet.

Vid en felaktig kontakt eller ett oavsiktligt ändrat läge återställs de dokumenterade tidigare värdena först efter samråd med incidentansvarig, sparas och läses tillbaka. Detta ångrar inte MDR-åtgärder som redan har utförts. Under en pågående incident samordnas ändringar av åtgärdsbefogenheter med MDR-teamet; återställning av inställningar är ingen teknisk återställning av en incident.