Actions de réponse prises en charge par Sophos MDR
1. Objectif
Ce document répertorie les actions de réponse prises en charge par Sophos Managed Detection and Response (MDR). Il est conçu comme une référence mise à jour identifiant les actions que l'équipe MDR peut effectuer sur les terminaux, le réseau, l'identité, l'email et les contrôles spécifiques à Sophos pris en charge pour enquêter, contenir et neutraliser les menaces dans votre environnement.
La description du service Sophos MDR applicable définit les modes de réponse, l'autorisation et les conditions générales de service plus larges.
2. Portée
Ce document couvre les actions de réponse MDR prises en charge pour :
- Endpoint
- Réseau
- Identité
Les actions disponibles dépendent de vos technologies déployées, de vos intégrations et de votre configuration.
3. Actions de réponse prises en charge
3.1 Actions de réponse sur les terminaux
Les actions de réponse sur les terminaux varient selon le modèle de déploiement (Sophos Sensor, Sophos Agent ou intégrations Endpoint tierces sans agent).
Remarque
- Sophos Sensor inclut des fonctionnalités de détection et de réponse Sophos, mais n'inclut pas Sophos Endpoint Protection.
- Le Sophos Agent inclut des fonctionnalités Sophos Endpoint Protection, permettant des actions supplémentaires liées à la protection qui ne sont pas disponibles avec Sophos Sensor seul.
- Les intégrations tierces sans agent prennent en charge un sous-ensemble d'actions de réponse sur les terminaux et ne prennent pas en charge les actions manuelles.
| Action | Agent Sophos | Sophos Sensor | Terminal tiers sans agent |
|---|---|---|---|
| Isoler l’hôte | ✔ | ✔ | ✔ |
| Désisoler l’hôte | ✔ | ✔ | ✔ |
| Lancer une analyse antivirus | ✔ | ✔ | — |
| Bloquer le hash de fichier | ✔ | ✔ | — |
| Débloquer le hash de fichier | ✔ | ✔ | — |
| Supprimer le fichier | ✔ | ✔ | — |
| Terminer le processus | ✔ | ✔ | — |
| Déconnecter les sessions utilisateur | ✔ | ✔ | — |
| Désactiver des comptes utilisateur | ✔ | ✔ | — |
| Actions de Live Response via un accès shell / terminal distant | ✔ | ✔ | — |
| Ajouter le hash malveillant aux éléments bloqués | ✔ | — | — |
| Activer la Protection adaptative contre les attaques | ✔ | — | — |
| Désactiver la Protection adaptative contre les attaques | ✔ | — | — |
| Prolonger la Protection adaptative contre les attaques | ✔ | — | — |
✔ Pris en charge — Non pris en charge
3.2 Actions de réponse réseau
Sophos MDR prend en charge les actions de réponse réseau suivantes lorsqu’elles sont disponibles via les points de contrôle réseau concernés :
Remarque
Lors de l’utilisation de Sophos Firewall, ces fonctionnalités sont disponibles nativement et nécessitent uniquement une configuration pour être activées.
- Bloquer l’adresse IP
- Débloquer l’adresse IP
- Bloquer le domaine
- Débloquer le domaine
- Bloquer l’URL
- Débloquer l’URL
3.3 Actions de réponse sur les identités
Sophos MDR prend en charge les actions de réponse d’identité suivantes lorsqu’elles sont disponibles via la plateforme d’identité concernée :
- Désactiver le compte utilisateur
- Activer le compte utilisateur
- Forcer la réinitialisation du mot de passe
- Exiger la réinitialisation à la prochaine connexion
- Révoquer les sessions utilisateur actives
- Marquer l’utilisateur comme compromis
- Ne plus considérer l’utilisateur comme compromis
- Réinitialiser les facteurs d’authentification multifacteur (MFA)
3.4 Actions de réponse email
Sophos MDR prend en charge les actions de réponse par email suivantes, lorsqu'elles sont disponibles via la plateforme ou l'intégration email concernée :
- Bloquer une adresse email
- Débloquer une adresse email
- Désactiver les règles de la boîte de réception
- Activer les règles de la boîte de réception
- Récupérer un email
Remarque
La récupération d'email est disponible pour les clients utilisant Sophos Email et/ou ceux ayant configuré Sophos Email Security Management (EMS). EMS est inclus dans chaque abonnement Sophos MDR et Sophos MDR Plus et ne nécessite qu'une configuration pour être activé ; aucun connecteur séparé n'est nécessaire. Reportez-vous aux instructions de configuration d'EMS pour commencer.
4. Maintenance du document
Sophos peut mettre à jour ce document périodiquement pour refléter les nouvelles fonctionnalités et améliorations. La version actuelle constitue la référence faisant autorité pour les actions de réponse Sophos MDR prises en charge.