Hantera Sophos XDR Cases och Detection Rules
Sophos XDR samlar Detections och berörda entiteter i Cases som kan undersökas. Ett Case är inte en automatiskt löst incident utan den gemensamma arbetsytan för evidens, ansvar och Response.
Cases kräver EDR, XDR eller MDR. Sophos skapar automatiskt ett Case vid en High Risk Detection om den inte redan finns i ett lämpligt Case samma dag. Senare Detections av samma typ kan läggas till.
Ett Sophos-managed Case baserat på MDR Detections undersöks av MDR-teamet. Ett Self-managed Case från XDR Detections förblir kundens ansvar och tilldelas en administratör. Sophos skapar det men undersöker det inte automatiskt.
Den här ansvarsgränsen gäller även NDR-signaler och auktoriserade NDR-testträffar: källan NDR överför inte automatiskt ett Self-managed XDR Case till Sophos MDR. Kundens administratör förblir Owner tills ärendet har avslutats enligt den egna processen. Endast ett Case som anges som Sophos-managed och bygger på MDR Detections hanteras av MDR-teamet. Hur en testträff korreleras entydigt och städas bort beskrivs i runbook-artikeln om NDR-testdetektering.
Detection, Alert och Case
| Element | Syfte |
|---|---|
| Detection | misstänkt aktivitet eller regelträff |
| Alert | prioriterat meddelande som kräver åtgärd |
| Case | samlad Investigation med Owner, status och evidens |
| Detection Rule | regel som döljer matchande Detections och hindrar dem från att skapa Cases |
Flera Detections kan höra till samma attackkedja. Omvänt kan en enskild avvikande Detection redan motivera en Investigation.
För Self-managed Cases utgör New, Investigating, On Hold och Resolved hela statusflödet: nyskapat, under aktiv undersökning, tillfälligt pausat eller avslutat. Sophos-managed Cases använder i stället Investigating, Action required och Resolved. Action required innebär att kunden måste agera; Sophos meddelar de konfigurerade kontakterna.
Bearbeta ett Case
Börja under Threat Analysis Center > Cases. Öppna ett automatiskt genererat Self-managed Case via dess Case ID. I Overview använder du menyn bredvid namnet för att ange allvarlighetsgrad. Ändra sedan status från New till Investigating och välj ansvarig administratör under Owner. Om administratören saknas lägger du till personen med Add user. Owner kan också tilldelas senare.
Ett Self-managed Case kan skapas manuellt på två officiellt dokumenterade sätt:
- Under Threat Analysis Center > Cases > Create case > Self-managed case anger du namn och beskrivning, väljer Severity, status
Newoch vid behov en Assignee, och sparar med Create. Markera därefter träffarna under Threat Analysis Center > Detections och använd Actions > Add to Case. - Eller markera först träffarna under Threat Analysis Center > Detections och välj Actions > Create Case. Lägg till senare Detections med Actions > Add to Case.
Manuellt skapade Cases kan bara innehålla Sophos XDR Detections, inte MDR eller Managed Risk Detections. Sophos rekommenderar endast alfanumeriska tecken, blanksteg och enkel interpunktion i Case-namnet, eftersom API:er kan tolka specialtecken som syntax.
För själva undersökningen:
- Läs Summary, allvarlighetsgrad och Timeline.
- Kontrollera berörda enheter, användare, processer, IP-adresser och filer.
- Bedöm MITRE ATT&CK-tekniker och Detection Source.
- Använd Threat Graph, Live Discover och tillgängliga Enrichments.
- Dokumentera Containment som Isolation eller Live Response.
- Dokumentera orsak, Scope och beslut om avslut.
För ett Self-managed Case sparar du undersökningsanteckningarna på fliken Notebook. Då finns spåret av evidens och beslut kvar direkt i ärendet.
AI-genererade sammanfattningar kan påskynda triage men kontrolleras mot rådata och Timeline.
Detection Rules
Detection Rules kan för närvarande endast undertrycka oönskade Detections och kräver en Super Admin. En regel förhindrar att en matchande Detection visas i Detection List och skapar ett Self-managed XDR Case. MDR Cases kan inte undertryckas på detta sätt.
Skapa en regel från en befintlig Detection: gå till Threat Analysis Center > Detections, öppna menyn med tre punkter bredvid namnet och välj Add detection rule. Ange namn och beskrivning under Rule Details; regeln är aktiverad som standard. Suppress är för närvarande det enda alternativet under Actions. Under Conditions väljer du de egenskaper hos den befintliga träffen som ska utlösa regeln och klickar på Save. Högst 25 Detection Rules är möjliga per tenant.
Dokumentera namn, syfte, datakälla, förväntad frekvens, Owner och granskningsdatum innan den förvalda aktiverade regeln sparas. Villkoren ska bara identifiera den bekräftade legitima utlösaren, inte enbart allvarlighetsgrad eller en alltför bred processegenskap.
En ny regel kan ta upp till 20 minuter och gäller bara Detections som uppstår efter att den skapades. Villkoren är case-sensitive: Windows och windows kan behandlas olika.
Hantera befintliga regler under Threat Analysis Center > Detection rules. En regel kan aktiveras, inaktiveras, dupliceras eller tas bort men inte redigeras direkt. Duplicera och justera kopian via menyn med tre punkter och inaktivera eller ta bort originalet efter ett kontrollerat byte.
Kontrollera Suppression
Suppression minskar kända, förväntade träffar. Det är ingen rensning och får inte göra verklig aktivitet osynlig. Varje undertryckning kräver:
- ett exakt villkor i stället för ett brett mönster,
- en dokumenterad legitim utlösare,
- Owner och Review Date,
- kontroll av redan undertryckta Detections.
En lugn konsol är inget kvalitetsmått om reglerna undertrycker för brett.
Kontrollera resultatet under Threat Analysis Center > Detections > Show filters. Avmarkera Hide Suppressed Detections under Detection Visibility och klicka på Apply. Då syns vad regeln faktiskt fångar. Eftersom regler inte gäller retroaktivt är denna vy också ett bättre underlag för nästa granskning än enbart färre synliga träffar.
Avslut och Lessons Learned
Ett Case stängs när Scope, orsak, Containment, rensning och Recovery är dokumenterade. Därefter anpassas Detection Rules, Policies, undantag och Runbooks om undersökningen har visat en lucka.
Ett Self-managed Case stängs genom att status sätts till Resolved. Det ligger kvar i listan i 30 dagar och tas därefter bort av Sophos. Partner Super Admins och Enterprise Super Admins kan inte stänga eller ta bort Cases; ta hänsyn till denna rollgräns innan en Owner tilldelas.
Den bakomliggande telemetrin och arbetet med Queries förklaras i Sophos XDR Data Collection och Live Discover.