Hantera Sophos XDR Cases och Detection Rules

Sophos XDR samlar Detections och berörda entiteter i Cases som kan undersökas. Ett Case är inte en automatiskt löst incident utan den gemensamma arbetsytan för evidens, ansvar och Response.

De befintliga förfarandena i denna artikel beskriver hantering av Cases och Detection Rules i Threat Analysis Center, den fortfarande tillgängliga Classic view i Security Operations. Den separata sektionen om Security Operations förklarar de aktuella gränserna för MDR-ansvar och status. Kontrollera före en ändring vilken vy klientorganisationen använder. Security Operations erbjuder också Cases, Detections och Detectors; det bevisar inte att samma statusvärden, roller, raderingsfrister eller suppressionsregler gäller där. Framför allt likställs inte Detectors med de Classic-Detection Rules som beskrivs nedan.

I Classic kräver Cases EDR, XDR eller MDR. Sophos skapar automatiskt ett Case vid en High Risk Detection om den inte redan finns i ett lämpligt Case samma dag. Senare Detections av samma typ kan läggas till.

Ett Sophos-managed Case baserat på MDR Detections undersöks av MDR-teamet. Ett Self-managed Case från XDR Detections förblir kundens ansvar och tilldelas en administratör. Sophos skapar det men undersöker det inte automatiskt.

Den här ansvarsgränsen gäller även NDR-signaler och auktoriserade NDR-testträffar: källan NDR överför inte automatiskt ett Self-managed XDR Case till Sophos MDR. Kundens administratör förblir Owner tills ärendet har avslutats enligt den egna processen. Endast ett Case som anges som Sophos-managed och bygger på MDR Detections hanteras av MDR-teamet. Hur en testträff korreleras entydigt och städas bort beskrivs i runbook-artikeln om NDR-testdetektering.

Detection, Alert och Case i Classic

Flera Detections kan höra till samma attackkedja. Omvänt kan en enskild avvikande Detection redan motivera en undersökning.

För Self-managed Cases utgör New, Investigating, On Hold och Resolved hela statusflödet: nyskapat, under aktiv undersökning, tillfälligt pausat eller avslutat. Sophos-managed Cases använder i stället Investigating, Action required och Resolved. Action required innebär att kunden måste agera; Sophos meddelar de konfigurerade kontakterna.

Arbeta med ett Case i Classic

Börja under Threat Analysis Center > Cases. Öppna ett automatiskt genererat Self-managed Case via dess Case ID. I Overview använder du menyn bredvid namnet för att ange allvarlighetsgrad. Ändra sedan status från New till Investigating och välj ansvarig administratör under Owner. Om administratören saknas lägger du till personen med Add user. Owner kan också tilldelas senare.

Ett Self-managed Case kan skapas manuellt på två officiellt dokumenterade sätt:

• Under Threat Analysis Center > Cases > Create case > Self-managed case anger du namn och beskrivning, väljer Severity, status New och vid behov en Assignee, och sparar med Create. Markera därefter träffarna under Threat Analysis Center > Detections och använd Actions > Add to Case.
• Eller markera först träffarna under Threat Analysis Center > Detections och välj Actions > Create Case. Lägg till senare Detections med Actions > Add to Case.

Manuellt skapade Cases kan bara innehålla Sophos XDR Detections, inte MDR eller Managed Risk Detections. Sophos rekommenderar endast alfanumeriska tecken, blanksteg och enkel interpunktion i Case-namnet, eftersom API:er kan tolka specialtecken som syntax.

För själva undersökningen:

1. Läs Summary, allvarlighetsgrad och Timeline.
2. Kontrollera berörda enheter, användare, processer, IP-adresser och filer.
3. Bedöm MITRE ATT&CK-tekniker och Detection Source.
4. Använd Threat Graph, Live Discover och tillgängliga Enrichments.
5. Dokumentera begränsningsåtgärder som isolering eller Live Response.
6. Dokumentera orsak, omfattning och beslut om avslut.

För ett Self-managed Case sparar du undersökningsanteckningarna på fliken Notebook. Då finns spåret av evidens och beslut kvar direkt i ärendet.

AI-genererade sammanfattningar kan påskynda triage men kontrolleras mot rådata och Timeline.

Detection Rules

Följande regler gäller Classic-vyn under Threat Analysis Center > Detection rules, inte Security Operations generellt. Detection Rules kan för närvarande endast undertrycka oönskade Detections och kräver en Super Admin. En regel förhindrar att en matchande Detection visas i Detection List och skapar ett Self-managed XDR Case. MDR Cases kan inte undertryckas på detta sätt.

Skapa en regel från en befintlig Detection: gå till Threat Analysis Center > Detections, öppna menyn med tre punkter bredvid namnet och välj Add detection rule. Ange namn och beskrivning under Rule Details; regeln är aktiverad som standard. Suppress är för närvarande det enda alternativet under Actions. Under Conditions väljer du de egenskaper hos den befintliga träffen som ska utlösa regeln och klickar på Save. Högst 25 Detection Rules är möjliga per tenant.

Dokumentera namn, syfte, datakälla, förväntad frekvens, Owner och granskningsdatum innan den förvalda aktiverade regeln sparas. Villkoren ska bara identifiera den bekräftade legitima utlösaren, inte enbart allvarlighetsgrad eller en alltför bred processegenskap.

En ny regel kan ta upp till 20 minuter och gäller bara Detections som uppstår efter att den skapades. Villkoren är case-sensitive: Windows och windows kan behandlas olika.

Hantera befintliga regler under Threat Analysis Center > Detection rules. En regel kan aktiveras, inaktiveras, dupliceras eller tas bort men inte redigeras direkt. Duplicera och justera kopian via menyn med tre punkter och inaktivera eller ta bort originalet efter ett kontrollerat byte.

Kontrollera Suppression

Suppression minskar kända, förväntade träffar. Det är ingen rensning och får inte göra verklig aktivitet osynlig. Varje undertryckning kräver:

• ett exakt villkor i stället för ett brett mönster,
• en dokumenterad legitim utlösare,
• Owner och granskningsdatum,
• kontroll av redan undertryckta Detections.

En lugn konsol är inget kvalitetsmått om reglerna undertrycker för brett.

Kontrollera resultatet under Threat Analysis Center > Detections > Show filters. Avmarkera Hide Suppressed Detections under Detection Visibility och klicka på Apply. Då syns vad regeln faktiskt fångar. Eftersom regler inte gäller retroaktivt är denna vy också ett bättre underlag för nästa granskning än enbart färre synliga träffar.

Security Operations: Cases och MDR-ansvar

Denna sektion gäller Security Operations, inte föregående Classic-statusar och -regler. Under Security Operations > Cases öppnar ett klick på Case-namnet först sammanfattningen. Via ikonen New Tab når du den fullständiga detaljsidan med Overview, Evidence, Response, History och Enrichment. Kommentarer kan läsas i sammanfattningen men bara läggas till på den fullständiga detaljsidan.

Besluta om Managed By före bekräftelsen

För aktuella MDR-Cases avgör Managed By vem som leder ärendet: Self innebär kundansvar; Sophos MDR innebär hantering av MDR-teamet. Assignee anger däremot användaren eller gruppen för nästa åtgärd. Ett byte av Assignee överför inte ansvaret för ärendet.

Välj det erbjudna ansvaret under Manage Case > Managed By på den fullständiga detaljsidan och bekräfta först efter kontrollen ovan. Kontrollera därefter det visade värdet. Self kan bara väljas för MDR-Case-typerna Investigation och Other; Threat Hunt, Health Check och Incident är Sophos-managed. Ett Incident skapas inte av kunden. Vid manuellt skapande fastställs Managed By redan när ärendet skapas. För Cases som skapas automatiskt från Sophos-regler måste värdet anges innan reglagen under Manage Case används. För Cases från kundregler är det automatiskt Self.

Ett Self-managed Case undersöks av det egna teamet; tillgängliga ändringar, responsåtgärder och delning/sammanslagning beror dessutom på Case-typ och behörigheter. För Sophos-managed Cases kan du läsa detaljer, kommentera, tilldela till Sophos och avsluta när en avslutsåtgärd är tillgänglig. Det ger inte behörighet att fritt ändra status, redigera Key Findings, lägga till ytterligare händelser eller Detections som evidens eller dela eller slå samman ärendet.

Aktuella MDR-statusar och kundåtgärder

Aktuella MDR-Cases använder beroende på typ New, In Progress, Customer Action Required, Awaiting Sophos Assignment och Closed. Dessa värden likställs varken med Classic-statusar eller med de allmänna XDR-statusarna Open, Active, Awaiting Action, Suspended och Closed. Awaiting Sophos Assignment betyder att intern tilldelning hos MDR-teamet återstår; Customer Action Required kräver däremot en åtgärd av organisationen.

När MDR-teamet sätter ett Sophos-managed Case till Customer Action Required startar inaktivitetsräknaren. Utan kundåtgärd följer en e-postpåminnelse var 24:e timme; efter fem dagars inaktivitet stängs ärendet automatiskt. En kommentar, en responsåtgärd, ett byte av Assignee eller en ny länk eller bilaga återställer räknaren. Detta ersätter inte det begärda sakarbetet: klarlägg frågor med MDR-teamet i stället för att hålla räknaren igång med enbart formella ändringar. Utför aldrig responsåtgärder enbart för att återställa räknaren.

På den fullständiga detaljsidan öppnar kommentarsikonen till höger Comments. Ange nödvändiga uppgifter i Comment och spara med Save. @sophos meddelar MDR-teamet. Kontrollera efter sparandet att kommentaren ligger på rätt Case. Konfigurera MDR-kontakter och responsbefogenheter före en incident, inte först vid den första missade frågan.

Avslutet löser också tillhörande Detections och märker dem enligt valt utfall. För MDR finns True Positive – Benign, True Positive – Malicious, Inconclusive och False Positive; vid Inconclusive är Detection-etiketten Not Actionable. Ett stängt Case är inget tekniskt bevis på sanering. Kontrollera undersökningsresultat och återstående kunduppgifter före avslutet.

Inom 30 dagar efter avslutet kan ett Sophos-managed MDR-Case återöppnas via en kommentar med @sophos; för ett customer-managed Case ändras statusen från Closed. Efter dessa 30 dagar krävs ett nytt Case. Denna återöppningsgräns säger inget om radering eller lagring av aktuella MDR-Cases; Classic-fristerna som anges ovan eller nedan gäller fortfarande bara Classic.

Rules i stället för enbart Classic-suppression

Under Security Operations > Rules finns två separata typer av Customization Rules: Custom detection rules skapar nya Detections från normaliserade händelser med en avancerad sökfråga. Detection suppression rules löser matchande Detections som undertryckta när de skapas, så att de som standard inte visas i Detection-listan. Detectors är inte samma hanteringsområde som dessa regler.

Cases som skapas automatiskt från kundregler är customer-managed och utlöser ingen automatisk MDR-undersökning. Classic-gränserna på 25 regler, krav på Super Admin, 20 minuters väntetid och duplicering i stället för redigering överförs inte till det nya gränssnittet. Denna sektion förklarar skillnaderna, inte ett fullständigt förfarande för att skapa egna regler. Före suppression måste den legitima orsaken fortfarande bekräftas och förlusten av synlighet bedömas.

Avslut och lärdomar i Classic

Ett Case stängs när omfattning, orsak, begränsningsåtgärder, rensning och återställning är dokumenterade. Därefter anpassas Detection Rules, Policies, undantag och Runbooks om undersökningen har visat en lucka.

Ett Self-managed Case stängs genom att status sätts till Resolved. Det ligger kvar i listan i 30 dagar och tas därefter bort av Sophos. Partner Super Admins och Enterprise Super Admins kan inte stänga eller ta bort Cases; ta hänsyn till denna rollgräns innan en Owner tilldelas.

Den bakomliggande telemetrin och arbetet med sökfrågor förklaras i Sophos XDR Data Collection och Live Discover.

Vanliga frågor

Det fullständiga aktuella flödet under Security Operations > Rules förklaras i Driva Custom Detection och Suppression Rules. Streamingvillkor, circuit breaker, förhandsgranskningsgränser och återgång behandlas separat från Classic-reglerna som behålls här.