Sophos MDR Plus User

Sophos MDR Plus – tecnologia ed esperienza umana

Un attacco non aspetta che il team IT torni in ufficio. Sophos MDR Plus User combina protezione endpoint e XDR con un team di analisti che esamina minacce e risponde agli attacchi continuativamente. La licenza utente si chiamava in precedenza MDR Complete. Estende MDR con risposta agli incidenti per sistemi monitorati con Sophos XDR completo.

Un team di analisti per le postazioni – 24/7

Il servizio affianca il team IT con un Security Operations Center (SOC). Gli avvisi ricevono attenzione anche al di fuori dell’orario di lavoro. Il team resta responsabile di configurazione, reperibilità e attività esterne all’ambito concordato.

Funzionalità di Sophos MDR Plus

MDR Plus aggiunge assistenza alla risposta per incidenti confermati. Si applica ai sistemi monitorati con Sophos XDR; ai sistemi con soli prodotti di terze parti o sensori si applicano limiti di risposta diversi. Il ripristino dei sistemi e gli interventi in sede non sono componenti garantiti del servizio.

Esaminare i rilevamenti in modo continuo

Il team MDR esamina i rilevamenti pertinenti, collega le attività correlate e avvia la risposta appropriata. Gli avvisi vengono valutati da specialisti, anziché essere semplicemente inoltrati.

Ricerca proattiva delle minacce

Sophos cerca indicatori di attacco e correlazioni insolite nei dati disponibili. La ricerca proattiva delle minacce è inclusa in MDR e MDR Plus e integra l’analisi degli avvisi ricevuti.

Rilevamento degli attacchi

Anche gli aggressori possono utilizzare strumenti legittimi. L’analisi combina telemetria e intelligence sulle minacce per identificare comportamenti sospetti nel contesto e dare priorità alle indagini.

Security Health Check

Sophos esamina le impostazioni di sicurezza visibili e segnala configurazioni che riducono protezione o raccolta dei dati. Il team IT riceve indicazioni concrete per migliorare.

Report di attività e panoramica dei casi

Casi, risultati delle indagini e azioni restano consultabili nella console. Il team IT può seguire decisioni e azioni eseguite. I report disponibili dipendono dallo stato di migrazione dell’ambiente.

Referente per la risposta agli incidenti

In caso di incidente confermato, MDR Plus fornisce un referente per la risposta agli incidenti. Coordina gli scambi con Sophos, mentre l’azienda resta responsabile della gestione operativa della crisi.

Supporto telefonico diretto

Se si sospetta un attacco, è possibile contattare Sophos telefonicamente a qualsiasi ora. Entrambi i livelli MDR includono questo accesso; MDR Plus aggiunge una risposta agli incidenti più estesa.

Riunire i dati di sicurezza

Le fonti di dati supportate offrono agli analisti ulteriore contesto sull’attacco. Le integrazioni sono incluse in entrambi i livelli MDR e devono essere configurate per l’ambiente.

Migliorare la configurazione di sicurezza

Le raccomandazioni aiutano a correggere debolezze nelle impostazioni visibili. Dopo la risposta a un incidente, MDR Plus aiuta anche nell’analisi delle cause e nelle misure per prevenire nuovi attacchi.

Comprendere l’ambiente esistente

Informazioni sui dispositivi e telemetria aiutano a comprendere l’ambiente interessato. Sophos Managed Risk è disponibile separatamente per la gestione delle vulnerabilità come servizio.

Definire autorizzazioni e responsabilità durante l’onboarding

Prima dell’avvio, configurare contatti reperibili, fonti di dati e autorizzazioni di risposta. La modalità scelta determina quali azioni Sophos può eseguire; il livello sottoscritto ne determina l’ambito.

Notifica – Notify Only

Sophos segnala attività sospette. In questa modalità non vengono eseguite azioni di contenimento. Per una risposta attiva, Sophos raccomanda Collaborate o Authorize.

Collaborazione – Collaborate

Sophos esamina il caso e concorda le azioni di risposta con i contatti autorizzati. Un’impostazione aggiuntiva può autorizzare interventi quando i contatti non sono reperibili.

Autorizzazione – Authorize

Sophos può eseguire le azioni concordate senza richiedere ogni volta l’approvazione e informa delle azioni svolte. Ambito e capacità tecniche dipendono comunque da livello, configurazione e sistemi supportati.

Integrazioni incluse

Le integrazioni Sophos e di terze parti supportate sono incluse. Consente di integrare le soluzioni di sicurezza esistenti. I prodotti sorgente richiedono le proprie licenze; le azioni di risposta disponibili dipendono dall’integrazione.

Sophos XDR

Gli strumenti XDR inclusi forniscono la base tecnica per rilevamento e analisi. Gli analisti aggiungono la propria valutazione; le fonti di dati aggiuntive devono essere configurate.

Sophos Firewall

Un Sophos Firewall esistente, con licenza separata, può contribuire con segnali di rete. Le funzioni di risposta supportate richiedono firmware, configurazione e autorizzazione appropriati.

Sophos Endpoint

Sophos Endpoint è incluso nel pacchetto MDR. Una soluzione di terze parti esistente può continuare a essere utilizzata tramite configurazioni di sensori o integrazioni supportate. Il solo sensore Sophos non include funzioni di prevenzione.

Sophos Email

Sophos Email aggiunge segnali e azioni di risposta supportate quando la protezione email è concessa in licenza separatamente. L’Email Monitoring System incluso analizza copie dei messaggi senza bloccare le email originali.

Dati di sicurezza cloud

Le integrazioni cloud supportate forniscono eventi per l’analisi delle minacce. Sostituiscono l’accesso ai dati precedentemente fornito da Cloud Optix, dismesso il 30 settembre 2026, e devono essere configurate. Il precedente Cloud Security Posture Management non è incluso.

Conservazione dei dati

Nel Sophos Data Lake classico, i dati XDR e MDR restano disponibili fino a 90 giorni, entro i limiti di archiviazione. La conservazione prolungata e la nuova piattaforma prevedono opzioni di archiviazione separate.

Integrazioni di sicurezza Microsoft

Le integrazioni di sicurezza Microsoft supportate aggiungono contesto, ad esempio eventi relativi a endpoint o identità. I dati disponibili dipendono dal prodotto di origine, dalla licenza e dalle autorizzazioni configurate.

Microsoft 365 Activity

Gli eventi di attività Microsoft 365 supportati aiutano a indagare su attività sospette in più servizi. Le autorizzazioni e la raccolta dei dati vengono definite durante la configurazione.

Protezione endpoint di altri produttori

MDR può essere abbinato a soluzioni endpoint supportate di altri produttori. La singola integrazione determina i dati e le azioni di risposta disponibili.

Altri ambiti di integrazione

Le integrazioni di terze parti supportate non richiedono Integration Pack aggiuntivi. NDR, ITDR, Managed Risk e la conservazione prolungata dei dati restano offerte separate.

Integrazioni firewall

I dati firewall supportati arricchiscono le indagini con eventi di rete. L’integrazione dipende dal produttore, dalla versione software e dall’inoltro dei log.

Integrazioni cloud pubblico

Gli eventi cloud ampliano la visibilità sugli ambienti connessi. Occorre configurare account cloud supportati e le autorizzazioni necessarie; il provider cloud può addebitare costi infrastrutturali.

Integrazioni delle identità

I servizi di identità supportati forniscono informazioni su accessi e rischi degli account. Sophos ITDR offre funzioni aggiuntive di protezione delle identità come add-on separato.

Integrazioni di sicurezza di rete

I dati di sicurezza di rete aggiungono contesto alle connessioni sospette. Per analizzare il traffico di rete con Sophos NDR occorre una licenza NDR separata.

Integrazioni email

I dati dei prodotti di sicurezza email supportati aiutano a ricostruire un attacco dalla casella di posta al dispositivo. Le possibilità di risposta dipendono dall’integrazione e dalle autorizzazioni.

Conservazione prolungata dei dati

Sono disponibili opzioni di archiviazione separate per periodi di indagine più lunghi. L’add-on classico di un anno e le opzioni Next-Gen SIEM riguardano funzionalità di piattaforma diverse. La aiutiamo a scegliere l’opzione adatta.