Sophos Security Heartbeat och Synchronized Security

Security Heartbeat skickar hälsostatus från en hanterad Sophos Endpoint till en registrerad Sophos Firewall. Det isolerar inget i sig: en matchande Firewall-regel eller Endpoint-funktionen Reject connections from other devices måste verkställa nätverksreaktionen.

Håll isär tre mekanismer:

• Security Heartbeat: utbyte av status och identitet mellan Endpoint och Firewall; Firewall kan styra åtkomst för källa och mål.
• Synchronized Security: samlingsnamn för reaktioner som använder Heartbeat, bland annat Firewall-regler och avvisning av osäkra enheter i samma subnet distribuerad via Sophos Fusion.
• Active Threat Response (ATR): isolerar via Sophos Switches och AP6 enheter som identifierats av externa API-användare eller MDR/XDR-analytiker. Det är varken en Heartbeat-färg eller Endpoint-isolering.

Förutsättningar och aktivering

Sophos kräver ett Sophos Fusion-konto (tidigare Sophos Central), trial- eller full licens för minst en Sophos Fusion-hanterad Endpoint och en Network Protection-prenumeration på Firewall. Båda produkterna måste tillhöra samma organisation i rätt Sophos Fusion-tenant.

Registrera Firewall under System > Sophos Central. SFOS aktiverar Security Heartbeat och Synchronized Application Control automatiskt. A new firewall has been successfully registered to Sophos Central under My Products > Firewall Management > Firewalls bekräftar bara registreringen, inte Heartbeat-statusen för en Endpoint eller regelns effekt. Se Ansluta Sophos Firewall till Sophos Fusion.

Varje Endpoint får ett certifikat från Sophos Fusion som delas med Firewall för att identifiera organisationen. Den krypterade TLS-anslutningen använder 52.5.76.173 och TCP 8347; nåbarhet ensam bevisar inte korrekt tenant- eller certifikatkoppling.

Tolka Heartbeat-status

Endpoint skickar status var 15:e sekund och vid första anslutningen även interface och inloggade användare.

Yellow är vanligtvis tillfälligt och kräver inte i sig någon korrigerande åtgärd för att återställa en frisk status. Granska ändå varningen för att förstå orsaken. Om en PUA eller skadlig kod upptäcks kan du välja en riktad åtgärd utifrån vad som har konstaterats.

En anslutning till en känd skadlig värd kan ge Red. Det konkreta eventet och rapporten visar om ursprungsdetekteringen kom från Endpoint, Firewall eller annan komponent; färgen bevisar det inte.

Välj nätverksreaktion medvetet

Styr åtkomst i Firewall-regeln

Fälten finns under Rules and policies > Firewall rules > [regel] > Configure Synchronized Security Heartbeat:

• Minimum source HB permitted kräver Green eller Yellow för källan; No restriction tillåter även Red eller ingen Heartbeat.
• Block clients with no heartbeat hanterar källor utan Heartbeat.
• Minimum destination HB permitted kontrollerar interna mål, inte WAN-zonen.
• Block request to destination with no heartbeat hanterar interna mål utan Heartbeat.

En enhet som aldrig skickat Heartbeat är tillåten som standard. Enligt Sophos omfattas den först när både Block clients with no heartbeat och Block request to destination with no heartbeat är aktiva. En Web Exception som hoppar över Policy checks kan dessutom tillåta webbtrafik trots den första inställningen.

Använd en snäv pilotregel för verkligt hanterade Sophos Endpoints. Skrivare, gäster, IoT och enheter med annan EDR behöver egna regler, inte växande undantag. Se Planera Sophos Firewall-regler.

Avvisa laterala anslutningar på Endpoint

Öppna ikonen Global Settings i Sophos Fusion och sedan Protection and Remediation > Synchronized Security. Under Reject connections from other devices aktiverar Allow devices to reject connections from other devices with red health reaktionen. Den gäller endast enheter anslutna till Sophos Firewall.

Vid Red eller Missing får andra hanterade enheter i samma subnet informationen. Målet loggar Access request from computer denied because it may be unsafe; åt andra hållet loggar källan Access to computer denied because it may be unsafe. Avvisningen kan inte åsidosättas lokalt; åtkomsten återkommer när enheten är frisk.

Kritiska servrar kan undantas. Update Caches och Message Relays är undantagna som standard för att bevara uppdateringar och kommunikation. Varje extra undantag behöver ägare, motivering och granskningsdatum.

Skräppost och virus är ett Sophos Email-flöde

Scan computers that send spam or viruses kräver licenser för Sophos Endpoint och Sophos Email. Om minst fem meddelanden klassificerade som skräppost eller virus skickas från en mailbox inom tio minuter identifierar Sophos Email ägare och enheter, blockerar mailboxen först en timme och startar en on-demand scan.

Varje ny utlösning efter att föregående blockering löpt ut fördubblar tiden. Efter sex är blockeringen permanent och kräver Sophos Support. Avstängning stoppar bara Endpoint-scan, inte Email-blockeringen. Kontrollera Email-event, användar–enhetskoppling och scan separat.

Pilot och verifiering

1. Välj en hanterad Endpoint och en snäv regel; dokumentera normal åtkomst, remediationmål och oberoende adminåtkomst.
2. Kontrollera status och events för samma dator i Sophos Fusion och Control Center > User & device insights > Security Heartbeat på Firewall. Om alla är Green listas inga Endpoints i detaljvyn.
3. Aktivera logging, kör tillåten trafik och notera käll-IP, mål, Rule ID och tid.
4. Använd ett godkänt Sophos-test utan att stoppa agenten, manipulera skyddet eller använda riktig skadlig kod. Se Testa Sophos Endpoint-skydd.
5. Jämför Sophos Fusion-varning, Endpoint-event, Heartbeat-vy och Firewall-logg i samma tidsfönster. Endast konfigurerad reaktion får inträffa.
6. Bekräfta Green och normal åtkomst efter rensning innan omfattningen utökas.

Felsökning efter symtom

• Missing: kontrollera zon, nätverksväg, adapterbyte, VPN/NAT, tid och Sophos Fusion-koppling; följ Felsöka Missing Heartbeat.
• Sophos Fusion och Firewall skiljer sig: jämför samma enhet/tid och kontrollera registrering, online-status, certifikat/Sophos Fusion-kommunikation och events. Avregistrera inte och skapa inte globala undantag.
• Oväntad blockering: Endpoint-meddelandena ovan visar lateral avvisning; Firewall-logg med Rule ID och Heartbeat-villkor visar regeln.
• Fördröjning via switch/LAG: Sophos dokumenterar en stödd detection delay i Device Console. Spara aktuellt värde och återgång före ändring.
• Två Endpoints delar docka/USB: SFOS 22.0 MR2 Build 546 korrigerar felaktig Missing under NC-176012. På äldre SFOS 22-builds ska du verifiera den installerade versionen och planera firmwarebytet, och sedan testa det berörda docknings-/USB-scenariot igen i stället för att bara höja en timer.
• Okänd orsak: spara tidsfönster, Endpoint ID, status/events, Rule ID, IP/MAC och interface. Använd den fallspecifika insamlingen nedan; Self Help och SDU beskriver säker hantering.

Förbered ett Endpoint Health-ärende för support

Sophos Minimum Escalation Requirements för Windows Endpoint och Windows Server skiljer på status-, service-, hot-, isolerings- och Synchronized Security-fall. Bifoga alltid den egna analysen till filerna: det första relevanta felet, tid, testad hypotes och resultat.

• Felaktig Red/Amber-status: fånga orsak och synlig status i en skärmbild, bekräfta samma status i Sophos Fusion och avgör om problemet är aktuellt eller en gammal rest. Använd Reset health status endast som ett kontrollerat test och kontrollera sedan om status förblir frisk eller återkommer med samma event; bifoga SDU och analys.
• Stoppad eller saknad service/process: dokumentera sidan Services och meddelandet i Endpoint Self Help, följ den länkade vägledningen och granska tillhörande logg. Fånga ett reproducerbart startfel med Process Monitor som Administrator, med Enable Advanced Output under Filter och All events vid sparning. Samla sedan SDU från samma tidsfönster. Stoppa och skydda inspelningen, eftersom den kan innehålla process-, sökvägs- och användardata.
• Kvarstående hot: sök efter samma hot i den lokala listan och på Sophos Fusion-sidan Events. Om det finns där, försök först lösa det från Sophos Fusion; om inte, testa Reset health status kontrollerat. Reset rensar inte ett hot och ersätter inte återfallskontroll. Bifoga resultat, SDU och analys.
• Enheten går inte in i isolering: kontrollera om enheten finns med i en undantagslista för isolering eller är undantagen som standard. Automatisk isolering kräver aktiverad Policy och faktisk Red-status. Kontrollera Sophos Fusion-kommunikation och för Reject connections from other devices Heartbeat-anslutningen under Endpoint Self Help > Operations.
• Enheten lämnar inte isolering: status måste vara frisk igen och Sophos Fusion-kommunikation fungera; för en undantagen enhet kontrolleras även konfigurerat undantag. Spara observationer, SDU och analys i båda riktningar innan Policy eller undantag ändras.
• Security Heartbeat ansluter inte: bekräfta först att funktionen är aktiverad på Sophos Firewall. Jämför under samma tidsfönster Endpoint Self Help > Operations, fel i Heartbeat.log och Firewall-loggen heartbeatd.log. Aktivera DEBUG endast för processen Heartbeat och den korta reproduktionen, återställ sedan tidigare nivå och samla SDU. Avslut kräver anslutning i Operations, inga nya matchande fel och återställd förväntad åtkomst.

Skilj ATR från Endpoint-isolering

Sophos Fusion ATR under Global Settings > Protection and Remediation > Allow and Block > Network > Active Threat Response gäller Sophos Switches och AP6. Externa API-användare eller MDR/XDR-analytiker isolerar MAC-adresser via dessa enheter. På AP6 åsidosätter ATR SSID:ernas MAC Filtering Allowed list.

Det skiljer sig från Heartbeat-regel, lateral avvisning och manuell Endpoint-isolering. För den senare, se Isolera Endpoint och kontrollera med Live Response. ATR-status bevisar inte Red Heartbeat eller Endpoint-åtgärd.

Vanliga frågor