Sophos XDR sowie EDR 4.0 sind jetzt verfügbar und bieten die Leistungsfähigkeit von Extended Detection and Response (XDR) sowie erhebliche Verbesserungen bei Endpoint Detection and Response (EDR).
Einführung in Sophos XDR
Sophos XDR geht über Endpoints und Server hinaus, indem es auch umfangreiche Daten der Sophos Firewall (XG, XGS) und Sophos E-Mail extrahiert und 30 Tage lang speichert. Das bedeutet, dass Sie einen noch detaillierteren Überblick über ihre IT-Umgebung erhalten. Benutzer erhalten sowohl einen Gesamtüberblick über ihre Cybersicherheitsumgebung als auch die Möglichkeit, detaillierte Informationen zu spezifischen Unternehmensbereichen zu filtern.
Hier finden Sie einige Beispiele für den Einsatz von Sophos XDR:
- Identifikation von nicht verwalteten Gastgeräten oder IoT-Geräten
- Identifikation von Anwendungen, welche die Netzwerkverbindung verlangsamen
- Aufspüren von ungewöhnlichen Aktivitäten auf Geräten in den letzten 30 Tagen
- Untersuchung verdächtiger Hosts mit Firewall-ATP- und IPS-Erkennung
- Erkennen von verdächtigem Datenverkehr über E-Mail-Header-Informationen und andere Indikatoren (Indicator of compromise, IoCs)
Verfügbarkeit von Sophos XDR
Sophos XDR und der Sophos Data Lake sind jetzt für Windows und Linux verfügbar. Die Unterstützung für macOS ist ebenso geplant.
Sophos Data Lake
Der Sophos Data Lake speichert wichtige Informationen von EDR/XDR-fähigen Endpoints und Servern, so dass Kunden auf diese Daten auch dann zugreifen können, wenn die Geräte gerade offline sind.
Dabei kann der Sophos Data Lake nicht nur wichtige Daten von Geräten abrufen, auch wenn diese nicht online sind (z.B. wenn sie während eines Angriffs offline genommen wurden oder wenn ein Laptop verlegt wurde), sondern ermöglicht auch die Korrelation von Ereignissen in einem viel größeren Umfang. So können Anwender beispielsweise zeitnah erkennen, dass sich ein verdächtiges Konto auf mehreren Geräten angemeldet hat. Mit Live Discover kann ein Gerät direkt angefragt werden, um umfangreiche Live-Daten zu erhalten, um dann über Live Response aus der Ferne auf das Gerät zuzugreifen, etwa für notwendige Sicherheitsmaßnahmen.
Sophos veröffentlichte deshalb mehrere Updates für Kunden, die Sophos EDR (Endpoint Detection and Response) mit Intercept X Advanced mit EDR und Intercept X Advanced für Server mit EDR einsetzen. Kunden können die Daten im Data Lake jetzt standardmäßig 7 Tage aufbewahren (30 Tage mit Sophos XDR), zusätzlich zu den 90 Tagen, welche die Daten direkt auf den Geräten gespeichert sind. Dafür muss nur der Sophos Data Lake aktiviert werden.
Date Lake aktivieren
- Wählen Sie in Ihrer Sophos Central-Konsole "Globale Einstellungen" und dann unter "Endpoint- oder Server-Schutz" (oder beides) die Einstellung "Data Lake-Uploads".
- Aktivieren Sie die Option "Upload zum Data Lake".
- Sobald diese Funktion aktiviert ist, führt Sophos Abfragen auf Ihren Geräten durch, um bedrohungsrelevante Daten zu erfassen und an den Sophos Data Lake zu senden.
- Auf der Einstellungsseite können Sie auch bestimmte Geräte vom Senden der Daten an den Sophos Data Lake ausschließen, wenn Sie dies wünschen.
Geplante Abfragen mit Sophos Data Lake
Als eine zusätzliche Funktion führt die neue Version geplante Abfragen ein. Abfragen können so geplant werden, dass sie über Nacht laufen, so dass die wichtigsten Daten am nächsten Tag zur Auswertung bereitstehen.
Um eine geplante Abfrage einzurichten, müssen Sie zunächst eine Abfrage auswählen, indem Sie zum "Bedrohungsanalysezentrum" und dann zu "Live-Erkennung" gehen. Nachdem Sie die gewünschte Abfrage ausgewählt haben, wird eine neue Option angezeigt, mit der Sie die Abfrage planen können, anstatt sie sofort auszuführen. Sobald die Abfrage erfolgreich geplant wurde, wird sie in Ihrer Liste "Geplante Abfragen" angezeigt.
Verbesserungen der Benutzerfreundlichkeit durch Pivot-Funktion
Eine weitere Neuerung ist die Pivot-Funktion, welche die Untersuchung von aktuellen Bedrohungen vereinfacht. Sie können direkt von einer Abfrage zu anderen vorgeschlagenen Abfragen wechseln. Diese Aktionen können Sie wie das Starten einer Live-Response-Sitzung oder das Generieren eines Bedrohungsfalls direkt aus den Abfrageergebnissen heraus initiieren und die Ergebnisse zur Auswertung auch problemlos an bestimmte Websites von Drittanbietern weitergeben.
