Sophos MDR User

Sophos MDR – Technik und menschliche Expertise

Sophos MDR User verbindet den enthaltenen Endpoint- und XDR-Funktionsumfang mit einem betreuten Sicherheitsdienst. Sophos untersucht Bedrohungen rund um die Uhr und unterstützt die Reaktion auf Angriffe. Diese Variante wird pro Benutzer lizenziert. Sophos MDR hiess früher MDR Essentials. Der Schwerpunkt liegt auf Erkennung und Eindämmung; die vollständige Incident Response und Neutralisierung übernimmt Ihr Team oder ein zusätzlich beauftragter Dienst.

Ein Analystenteam für Arbeitsplätze – 24/7

Der Dienst ergänzt Ihre IT um ein Security Operations Center (SOC). Damit erhalten Hinweise auch ausserhalb Ihrer Arbeitszeiten Aufmerksamkeit. Ihre Verantwortlichen bleiben für Einrichtung, Erreichbarkeit und Aufgaben ausserhalb des vereinbarten Leistungsumfangs zuständig.

Funktionsumfang von Sophos MDR

MDR prüft und priorisiert Erkennungen und kann freigegebene Eindämmungsmassnahmen ausführen. Für eine vollständige Incident Response über die Eindämmung hinaus bietet Sophos MDR Plus den weitergehenden Tarif.

Erkennungen rund um die Uhr untersuchen

Das MDR-Team prüft relevante Erkennungen, ordnet zusammengehörige Vorgänge ein und leitet die passende Reaktion ein. So wird eine Warnung nicht nur weitergereicht, sondern fachlich bewertet.

Angriffserkennung

Legitime Werkzeuge können auch von Angreifern verwendet werden. Die Analyse verbindet Telemetrie und Bedrohungsinformationen, um verdächtiges Verhalten im Kontext zu erkennen und Untersuchungen zu priorisieren.

Security Health Check

Sophos prüft sichtbare Sicherheitseinstellungen und weist auf Konfigurationen hin, die Schutz oder Datenerfassung beeinträchtigen. Ihre IT erhält damit konkrete Ansatzpunkte für Verbesserungen.

Aktivitätsberichte und Fallübersicht

Fälle, Untersuchungsergebnisse und Massnahmen bleiben in der Konsole nachvollziehbar. So kann Ihre IT Entscheidungen und ausgeführte Aktionen verfolgen. Die verfügbaren Berichte richten sich nach dem Umstellungsstand Ihrer Umgebung.

Reaktion und Zuständigkeiten beim Onboarding festlegen

Vor dem Start werden erreichbare Kontakte, Datenquellen und Reaktionsbefugnisse eingerichtet. Der gewählte Modus bestimmt, welche Eingriffe Sophos vornehmen darf; der gebuchte Tarif bestimmt ihren Umfang.

Benachrichtigung – Notify Only

Sophos informiert über auffällige Aktivitäten. Eindämmungsmassnahmen werden in diesem Modus nicht ausgeführt. Für eine aktive Reaktion empfiehlt Sophos Zusammenarbeit oder Autorisierung.

Zusammenarbeit – Collaborate

Sophos untersucht den Vorgang und stimmt Reaktionsmassnahmen mit Ihren autorisierten Kontakten ab. Eine zusätzliche Einstellung kann Eingriffe erlauben, wenn Ihre Kontakte nicht erreichbar sind.

Autorisierung – Authorize

Sophos darf die vereinbarten Reaktionsmassnahmen ohne Einzelrückfrage durchführen und informiert über die Aktionen. Umfang und technische Möglichkeiten richten sich weiterhin nach Tarif, Einrichtung und unterstützten Systemen.

Enthaltene Integrationen

Unterstützte Sophos- und Drittanbieter-Integrationen sind enthalten. So lassen sich vorhandene Sicherheitslösungen einbeziehen. Die Quellprodukte benötigen ihre eigenen Lizenzen; verfügbare Reaktionsaktionen hängen von der Anbindung ab.

Sophos XDR

Die enthaltenen XDR-Werkzeuge bilden die technische Basis für Erkennung und Untersuchung. Die Analysten ergänzen sie um ihre Bewertung; zusätzliche Datenquellen müssen eingerichtet werden.

Sophos Firewall

Eine vorhandene, separat lizenzierte Sophos Firewall kann Netzwerkhinweise beitragen. Unterstützte Reaktionsfunktionen erfordern die passende Firmware, Einrichtung und Autorisierung.

Sophos Endpoint

Sophos Endpoint gehört zum MDR-Paket. Eine vorhandene Drittanbieter-Lösung lässt sich über unterstützte Sensor- oder Integrationskonfigurationen weiterverwenden. Der reine Sophos-Sensor enthält keine Präventionsfunktionen.

Sophos Email

Sophos Email liefert zusätzliche Hinweise und unterstützte Reaktionsmöglichkeiten, wenn der E-Mail-Schutz separat lizenziert ist. Das enthaltene Email Monitoring System analysiert Nachrichtenkopien, ohne die ursprünglichen E-Mails zu blockieren.

Cloud-Sicherheitsdaten

Unterstützte Cloud-Integrationen liefern Ereignisse für die Bedrohungsanalyse. Sie ersetzen den Datenzugang über das seit 30. September 2026 eingestellte Cloud Optix und müssen eingerichtet werden. Das frühere Cloud Security Posture Management wird nicht übernommen.

Datenaufbewahrung

Im klassischen Sophos Data Lake bleiben XDR- und MDR-Daten innerhalb der Speicherlimits bis zu 90 Tage verfügbar. Für längere Aufbewahrung und die neue Plattform gelten eigene Speicheroptionen.

Microsoft-Sicherheitsintegrationen

Unterstützte Microsoft-Sicherheitsintegrationen erweitern den Kontext, beispielsweise mit Endpoint- oder Identitätsereignissen. Die verfügbaren Daten hängen vom Quellprodukt, seiner Lizenz und den eingerichteten Berechtigungen ab.

Microsoft 365 Activity

Unterstützte Microsoft-365-Aktivitätsereignisse helfen, verdächtige Vorgänge über mehrere Dienste hinweg zu untersuchen. Berechtigungen und Datenerfassung werden beim Einrichten festgelegt.

Endpoint-Schutz anderer Hersteller

MDR lässt sich mit unterstützten Endpoint-Lösungen anderer Hersteller kombinieren. Die jeweilige Integration bestimmt, welche Daten und Reaktionsaktionen zur Verfügung stehen.

Weitere Integrationsbereiche

Für unterstützte Drittanbieter-Integrationen sind keine zusätzlichen Integration Packs erforderlich. NDR, ITDR, Managed Risk und erweiterte Datenaufbewahrung bleiben separate Angebote.

Firewall-Integrationen

Unterstützte Firewall-Daten ergänzen Untersuchungen um Netzwerkereignisse. Die Anbindung richtet sich nach Hersteller, Softwareversion und Protokollweiterleitung.

Public-Cloud-Integrationen

Cloud-Ereignisse erweitern die Sicht auf angebundene Umgebungen. Dazu werden unterstützte Cloud-Konten und die nötigen Berechtigungen eingerichtet; beim Cloud-Anbieter können Infrastrukturkosten entstehen.

Identitätsintegrationen

Unterstützte Identitätsdienste liefern Hinweise auf Anmeldungen und Kontorisiken. Sophos ITDR bietet als separates Add-on zusätzliche Funktionen für Identitätsschutz.

Netzwerksicherheitsintegrationen

Netzwerksicherheitsdaten geben zusätzlichen Kontext zu verdächtigen Verbindungen. Wer Netzwerkverkehr mit Sophos NDR analysieren möchte, benötigt dafür die separate NDR-Lizenz.

E-Mail-Integrationen

Daten unterstützter E-Mail-Sicherheitsprodukte helfen, einen Angriff vom Postfach bis zum Gerät nachzuvollziehen. Reaktionsmöglichkeiten richten sich nach Anbindung und Freigaben.

Erweiterte Datenaufbewahrung

Für längere Untersuchungszeiträume stehen separate Speicheroptionen zur Verfügung. Das klassische Ein-Jahres-Add-on und die Optionen von Next-Gen SIEM betreffen unterschiedliche Plattformfunktionen. Wir helfen Ihnen, die passende Variante auszuwählen.