Für Sophos-Central-Administratoren
Sophos Central schickt Alarme
nur per E-Mail.
CentralNoti macht daraus Benachrichtigungen, die dich nachts wirklich erreichen — mit Regeln, die zwischen einem Malware-Fund und einem neu aushandelnden VPN-Tunnel unterscheiden.
Und mit einer Eigenschaft, die sonst kaum ein Alarmwerkzeug hat: es sagt dir, wenn es selbst nichts mehr sieht.
Anlegen ist kostenlos und braucht eine E-Mail-Adresse. Ausschließlich für Unternehmen.
Sophos-Alarm: hoch
Schadsoftware · 3 Vorfälle
Sophos-Alarm: mittel
Verbindung · 9 Vorfälle
Die zweite wird nicht zugestellt: neun VPN-Tunnel, die nachts gleichzeitig neu aushandeln, sind kein Vorfall.
Das Problem
Das Postfach ist der Ort, an dem Alarme sterben.
„When you turn on your first custom rule, all existing recipient settings are turned off.“
Wer in Sophos Central seine erste eigene Benachrichtigungsregel anlegt, schaltet damit alle bestehenden Empfänger ab — ohne Warnung. Das ist keine Kritik am Produkt, sondern ein dokumentiertes Verhalten, das man kennen muss.
1
Attribut pro Regel. Die Häufigkeit lässt sich nur nach Schweregrad oder Produkt oder Kategorie einstellen. Nicht kombiniert.
0
andere Kanäle. Kein Webhook, kein Push, keine Administrations-App — E-Mail ist alles, was Sophos Central nativ anbietet.
Die Regel
Nicht alles, was ein Alarm ist, ist auch einer um drei Uhr nachts.
| Ereignis | Stufe | Weckt dich |
|---|---|---|
| Malware erkannt | hoch | ja· Schweregrad hoch |
| Gerät isoliert | mittel | ja· Kategorie isolation |
| VPN-Tunnel neu ausgehandelt | mittel | nein· Kategorie connectivity |
| Rechner seit 7 Tagen ohne Update | niedrig | nein· Kategorie updating |
So verhält sich die Vorgabe. Im Portal verschiebst du die Schwelle, hakst einzelne Kategorien ab — oder setzt sie auf nie, dann kommt daraus nichts mehr durch.
Zwei getrennte Mengen
Versandwürdig heißt: kommt an. Weckwürdig heißt: klingelt und blendet sich ein. Wer beides gleichsetzt, bekommt eine App, die man stummschaltet — und dann ist auch der echte Alarm still.
Zusammenfassung statt Salve
Sophos gruppiert zusammengehörige Ereignisse selbst, und CentralNoti nutzt das. Aus neun gleichzeitig ausgefallenen Tunneln wird eine Benachrichtigung, nicht neun.
Sammelmeldung ab drei
Kommen in einem Durchlauf mehrere neue Alarme, wird daraus eine Nachricht statt fünf. Die Schwelle ist einstellbar — zwischen 2 und 50.
Danach
Aus einem Alarm wird eine Aufgabe.
Malware erkannt
hochHOST-07 · 3 Vorfälle · vor 4 Minuten
VPN-Tunnel neu ausgehandelt
mittelFIREWALL-01 · 9 Vorfälle · 00:05
Unerwünschtes Programm gefunden
niedrigHOST-12 · vor 2 Tagen
Erledigt„Vom Hersteller mitgeliefert, mit der Geschäftsführung abgestimmt.“
Nichts davon geht zurück nach Sophos
CentralNoti liest, es schreibt nicht. Deine Zustände, Notizen und Wiedervorlagen bleiben hier; in Sophos Central ändert sich durch die Nutzung kein einziger Datensatz. Ein Werkzeug, das im Sicherheitssystem eines Kunden etwas verändert, braucht ein anderes Maß an Vertrauen — das verlangen wir in dieser Version nicht.
Gelesen und erledigt
Gelesen setzt sich beim Öffnen von selbst. Erledigt setzt du — und beides sieht man der Liste an, ohne sie zu öffnen: Ungelesenes steht vorn und kräftig, Gelesenes tritt zurück, Erledigtes trägt ein Abzeichen.
Notizen
Warum ein Alarm in Ordnung war, weiß man drei Wochen später nicht mehr. Die Notiz bleibt am Alarm und gehört der Organisation, nicht der Person — wer neu dazukommt, liest sie mit.
Wiedervorlage
Für alles, was jetzt nicht dran ist, aber auch nicht weg darf. Zur gewählten Zeit meldet sich CentralNoti noch einmal — statt dass der Alarm im Gelesen-Stapel verschwindet.
Was privat ist und was das Team sieht
Gelesen und erledigt gelten nur für dich: dass eine Kollegin einen Alarm weggehakt hat, macht ihn in deiner Liste nicht erledigt — sonst verschwände er dir unter den Händen. Was das Team wissen muss, gehört in die Notiz, und die sehen alle.
Die Anbindung
Deine Sophos-Zugangsdaten bleiben, wo du willst.
| Cloud | Agent bei dir | |
|---|---|---|
| Wer hält die Sophos-Zugangsdaten | CentralNoti, verschlüsselt | du — sie verlassen deinen Rechner nicht |
| Wo läuft der Abruf | bei uns, alle 5 Minuten | auf deinem Server, Takt frei wählbar |
| Einrichtung | Client-ID und Secret ins Portal | eine Datei ablegen, Einmalcode eingeben |
| Netzwerk | nichts zu tun | nur ausgehendes HTTPS, kein offener Port |
| Erreichbare Quellen | die öffentliche Sophos-API | auch alles, was nur im LAN erreichbar ist |
Eine Datei, keine Laufzeitumgebung
Der Agent ist ein einzelnes Programm ohne Fremdabhängigkeiten. Hinlegen, geplante Aufgabe registrieren, fertig. Kein .NET, kein Python, kein Container.
Er meldet sich auch, wenn nichts ist
Ein Lebenszeichen bei jedem Durchlauf, auch bei null Alarmen. Bleibt es aus, ist das der Alarm — die meisten Werkzeuge merken nicht, wenn ihre eigene Datenquelle weg ist.
Für Systemhäuser
Stille Installation, Konfiguration über Umgebungsvariablen, Einmalcodes aus dem Portal. Wer vierzig Kunden anbindet, klickt sich nicht vierzig Mal durch einen Assistenten.
Die Tenant-Kennung gibst du in keinem der beiden Fälle ein. Es gibt kein Feld dafür — CentralNoti fragt sie bei Sophos selbst ab. Eine 36-stellige Kennung abzutippen ergäbe bei einem Zahlendreher eine Verbindung, die nie Alarme bekommt und nie sagt, warum.
Im Betrieb
Ein Zugang für die Firma, nicht für eine Person.
Kollegen einladen
Du legst deine Organisation an und lädst dein Team dazu. Jeder bekommt dieselben Alarme auf sein eigenes Gerät, mit eigenem Zugang.
Regeln gelten je Organisation
Was weckt und was nicht, entscheidet ihr gemeinsam einmal — nicht jeder für sich in den Einstellungen seines Telefons, wo es niemand nachvollziehen kann.
Portal und App
Im Browser: Alarme, Verbindungen, Mitglieder, Regeln. Auf dem Telefon: die Benachrichtigung, die dich nachts erreicht. Dieselben Daten, derselbe Zugang.
Der ehrliche Teil
Beide Bildschirme sind leer. Nur einer davon bedeutet Ruhe.
Der Abgleich war erfolgreich. Eine leere Liste heißt hier tatsächlich, dass nichts vorliegt.
Keine Alarme in der Liste
Der Abgleich lief vor zwei Minuten. Die Liste ist leer, weil nichts vorliegt.
Die Liste ist möglicherweise unvollständig. Eine leere Liste heißt gerade nicht, dass nichts vorliegt.
Keine Alarme in der Liste
Der Abgleich hängt seit einer Dreiviertelstunde. Dieselbe leere Liste — aber sie bedeutet jetzt etwas völlig anderes, und die App sagt das.
Dahinter liegen mehrere voneinander unabhängige Wächter, von denen jeder den blinden Fleck der anderen abdeckt: ein Protokoll jedes einzelnen Laufs in der Datenbank, eine Überwachung außerhalb der Plattform, ein Totmannschalter, der Alarm schlägt, wenn sich CentralNoti nicht mehr von selbst meldet — und bei einer Agent-Verbindung zusätzlich die Aufsicht über den Agenten selbst.
Der Totmannschalter ist der wichtigste. Ein Wächter, der im überwachten System läuft, kann dessen Totalausfall nicht melden — er schweigt dann genau in dem Moment, in dem er reden müsste.
Ehrlicher Stand
Benutzbar. Noch nicht käuflich.
Das Backend läuft produktiv, Registrierung, Organisationen, Mitglieder, Regeln und beide Betriebsarten sind gebaut und im Einsatz. Der Weg vom Sophos-Alarm bis auf den Sperrbildschirm ist Ende zu Ende durchgemessen: vom Eintreffen bis zum Versand vergingen 38 Sekunden.
Was noch fehlt
- Abrechnung. Deshalb steht hier kein Preis und kein Kaufknopf.
- iOS. Android zuerst, iPhone wird nachgezogen.
- Der App-Store. Die App kommt als direkter Download aus dem Portal, nicht über Google Play.
Wie es losgeht
- Zugang anlegen — kostenlos, eine Minute.
- Organisation anlegen, Kollegen einladen.
- Für die erste Verbindung schalte ich deine Organisation frei. Ein Zugang ohne Verbindung kostet nichts, eine laufende Verbindung kostet dauerhaft — deshalb dieser eine Schritt von Hand. Schreib mir, dann geht es am selben Tag.