Acciones de respuesta a cargo de Sophos MDR
1. Propósito
Este documento enumera las acciones de respuesta que ofrece Sophos Managed Detection and Response (MDR). Está pensado como una referencia mantenida que identifica las acciones que el equipo de MDR puede realizar en Estaciones de trabajo, red, identidad, correo electrónico y controles específicos de Sophos compatibles para investigar, contener y detener amenazas en su entorno.
La descripción del servicio MDR de Sophos aplicable define los modos de respuesta, la autorización y los términos más amplios del servicio.
2. Alcance
Este documento describe las acciones de respuesta cubiertas por MDR en:
- Estaciones de trabajo
- Redes
- Identidad
- Correo electrónico
Las acciones disponibles dependen del despliegue que haya realizado, de las integraciones y de la configuración.
3. Acciones de respuesta admitidas
3.1 Acciones de respuesta en estaciones de trabajo
Las acciones de respuesta en las estaciones de trabajo varían según el modelo de despliegue (Sophos Sensor, agente de Sophos o integraciones de terceros sin agente).
Nota
- Sophos Sensor incluye las capacidades de detección y respuesta de Sophos, pero no incluye Sophos Endpoint Protection.
- El agente de Sophos incluye las capacidades de Sophos Endpoint Protection, lo que permite realizar acciones adicionales relacionadas con la protección que no están disponibles con Sophos Sensor por sí solo.
- Las integraciones de terceros sin agente admiten un subconjunto de acciones de respuesta en las estaciones de trabajo y no admiten acciones manuales.
| Acción | Agente de Sophos | Sophos Sensor | Protección de terceros sin agente para estaciones |
|---|---|---|---|
| Aislar host | ✔ | ✔ | ✔ |
| Dejar de aislar host | ✔ | ✔ | ✔ |
| Iniciar escaneado antivirus | ✔ | ✔ | — |
| Bloquear hash de archivo | ✔ | ✔ | — |
| Desbloquear hash de archivo | ✔ | ✔ | — |
| Eliminar archivo | ✔ | ✔ | — |
| Finalizar proceso | ✔ | ✔ | — |
| Cerrar sesiones de usuarios | ✔ | ✔ | — |
| Desactivar cuentas de usuarios | ✔ | ✔ | — |
| Acciones de Live Response mediante acceso remoto a shell/terminal | ✔ | ✔ | — |
| Añadir hash malicioso a elementos bloqueados | ✔ | — | — |
| Activar la Protección adaptativa contra ataques | ✔ | — | — |
| Desactivar la Protección adaptativa contra ataques | ✔ | — | — |
| Ampliar la Protección adaptativa contra ataques | ✔ | — | — |
✔ Compatible — No compatible
3.2 Acciones de respuesta en redes
Sophos MDR admite las siguientes acciones de respuesta de red cuando están disponibles a través de los puntos de control de red pertinentes:
Nota
Al utilizar Sophos Firewall, estas capacidades están disponibles de forma nativa y solo requieren configuración para habilitarse.
- Bloquear dirección IP
- Desbloquear dirección IP
- Bloquear dominio
- Desbloquear dominio
- Bloquear URL
- Desbloquear URL
3.3 Acciones de respuesta en materia de identidad
Sophos MDR admite las siguientes acciones de respuesta de identidad cuando están disponibles a través de la plataforma de identidad pertinente:
- Desactivar cuenta de usuario
- Activar cuenta de usuario
- Forzar restablecimiento de contraseña
- Requerir restablecimiento en el próximo inicio de sesión
- Revocar sesiones de usuario activas
- Marcar al usuario como vulnerado
- Descartar al usuario como vulnerado
- Restablecer factores de la autenticación multifactor (MFA)
3.4 Acciones de respuesta en el correo electrónico
Sophos MDR admite las siguientes acciones de respuesta de correo electrónico cuando están disponibles a través de la plataforma o integración de correo electrónico pertinente:
- Bloquear dirección de correo electrónico
- Desbloquear dirección de correo electrónico
- Desactivar reglas de bandeja de entrada
- Activar reglas de bandeja de entrada
- Recuperar un correo
Nota
La recuperación de correo electrónico está disponible para los clientes que utilizan Sophos Email y/o aquellos que han configurado Sophos Email Security Management (EMS). EMS se incluye con cada suscripción a Sophos MDR y Sophos MDR Plus y solo requiere configuración para habilitarse; no se necesita ningún conector independiente. Consulte las instrucciones de configuración de EMS para empezar.
4. Mantenimiento del documento
Sophos puede actualizar este documento periódicamente para reflejar nuevas capacidades y mejoras. La versión actual constituye la referencia oficial para las acciones de respuesta de Sophos MDR admitidas.