Configurar Sophos Endpoint Application Control

Application Control impide el uso de software no deseado o arriesgado sin tratar precipitadamente cada aplicación desconocida como malware. Sophos clasifica los programas conocidos y la política decide cuáles se permiten o bloquean.

El inicio seguro no consiste en «bloquear todo lo innecesario», sino en detectar, evaluar, pilotar y solo entonces bloquear. Así se identifican las herramientas de mantenimiento remoto, administración o colaboración realmente utilizadas antes de interrumpir procesos productivos.

Application Control no es protección antimalware

Threat Protection detecta archivos y comportamientos maliciosos. Application Control aplica una decisión empresarial a aplicaciones conocidas. Una herramienta de administración remota puede ser legítima para soporte e indeseada en un puesto normal. Ningún ajuste estándar sustituye esta evaluación.

Permitir una aplicación en Application Control tampoco impide que Sophos la compruebe frente a malware, exploits, ransomware o comportamiento malicioso. A la inversa, un verdadero False Positive no debe ocultarse con una excepción amplia de Application Control.

Detectar primero

Iniciar sesión en Sophos Fusion (anteriormente Sophos Central). En My Products > Endpoint > Policies, crear o abrir una política Application Control. La política debe estar activada en la pestaña Settings. Para obtener un inventario fiable, Sophos recomienda este procedimiento:

1. En Controlled Applications, hacer clic en Add/Edit List.
2. Abrir una categoría relevante, elegir primero Select all applications y confirmar con Save to List. Repetir para todas las categorías que se quieran inventariar.
3. En Detection Options, activar solo Detect controlled applications during scheduled and on-demand scans. Application Control utiliza los escaneos programados y los tipos de archivo de los ajustes de Threat Protection.
4. Esperar a que todos los equipos hayan ejecutado al menos un escaneo programado.
5. En Reports > Logs > Events, desmarcar todos los tipos de evento salvo Application Control y evaluar las aplicaciones detectadas.

No solo importa el nombre de la aplicación, sino también el dispositivo, el usuario, la hora y la finalidad empresarial. Una aplicación legítima en un equipo de administración de TI puede ser indeseada en todos los demás endpoints.

Categorías y aplicaciones individuales

Sophos agrupa las aplicaciones controlables en categorías. Bloquear una categoría completa es sencillo, pero tiene mayor alcance. Si productos de la misma categoría requieren decisiones distintas, abrirla y ajustar a nivel de aplicación.

Un modelo mantenible suele limitarse a pocas decisiones:

La política no se llena con excepciones preventivas. Cada desviación necesita un responsable y una justificación trazable.

No tratar por separado Protected Browser e Island Browser

Sophos Protected Browser e Island Enterprise Browser comparten los mismos binarios principales, por lo que Sophos Endpoint puede detectarlos con la misma firma. Una decisión Application Control para Island Browser puede afectar también a Sophos Protected Browser; no se garantiza una autorización separada fiable. La superposición afecta además a la detección de navegadores por DLP. Al usar Workspace Protection se prueban conjuntamente Application Control y Endpoint DLP, documentando el límite de producto.

Bloquear en el grupo piloto

Tras evaluar los resultados, volver a Add/Edit List y desmarcar las aplicaciones que deban seguir permitidas. Las demás entradas siguen estando controladas. En Detection Options, activar Detect controlled applications when users access them y Block the detected application, y guardar.

Asignar la primera política de bloqueo a un grupo pequeño con usuarios típicos, aplicaciones críticas y al menos un puesto de TI. Comprobar después en Policies del dispositivo que esta sea la política Application Control efectiva.

Durante el piloto comprobar:

• la aplicación prevista se bloquea y genera un Event,
• las aplicaciones permitidas siguen iniciándose,
• el usuario Windows recibe el mensaje de escritorio configurado,
• el Helpdesk conoce aplicación, regla y proceso de autorización,
• se detectan intentos con programas portátiles o renombrados.

Desktop Messaging está activado de forma predeterminada. Un texto personalizado complementa el mensaje estándar; si el campo queda vacío, solo aparece el estándar. Según Sophos, la función solo puede personalizarse o desactivarse en Windows. En otras plataformas, el proceso no debe depender del mismo diálogo.

Bloquear intérpretes de scripts solo después de inventariarlos

En Programming / Scripting tool, Application Control puede controlar Microsoft WSH WScript. Añade una barrera contra JavaScript malicioso, pero también bloquea scripts legítimos de inicio, administración o aplicaciones. Primero se inventaría el intérprete de scripts en modo de detección y solo se bloquea para grupos adecuados. No sustituye AMSI ni Threat Protection ni es una limpieza general.

Tratar automáticamente nuevas aplicaciones

Sophos puede incluir automáticamente nuevas aplicaciones añadidas a una categoría controlada. Mantiene la política actualizada, pero amplía su efecto: un producto nuevo y necesario puede quedar bloqueado sin aprobación separada.

Sophos marca New applications added to this category by Sophos como opcional y advierte que no debe activarse sin una evaluación cuidadosa. Solo se utiliza cuando se desea controlar automáticamente y de forma consciente las nuevas entradas de esa categoría. La comodidad de una lista actualizada no sustituye el control de cambios; en categorías bloqueadas suele ser más gobernable revisar periódicamente las entradas y probarlas primero en un piloto.

Nueva categoría GenAI

Sophos clasifica ahora las aplicaciones con IA generativa en la categoría GenAI. Según la plataforma, incluye clientes de escritorio, modelos locales, asistentes de programación y herramientas de contenido. Programas existentes como Cursor, Microsoft Copilot, Ollama, Perplexity o Windsurf se han trasladado desde categorías anteriores.

Según Sophos, esta reclasificación no modifica el estado Allow o Block anterior. Sin embargo, cambia dónde se encuentra una aplicación en los informes y durante el mantenimiento de las políticas. Por ello, tras una actualización del catálogo se vuelve a inventariar la categoría GenAI. Un bloqueo general tampoco sustituye las normas para servicios de navegador, clasificación de datos y aplicaciones de IA empresariales permitidas.

Catálogo del 18 de agosto de 2026: Application Control 6.27

La actualización de datos 6.27 se desplegó el 18 de agosto de 2026; el anuncio correspondiente se publicó el 19 de agosto de 2026. Este estado complementa la evaluación de GenAI anterior, pero no constituye una lista completa de aplicaciones ni demuestra la cobertura de versiones posteriores. Para el mantenimiento de las políticas son relevantes, por ejemplo, estas entradas:

• Comprobación en Windows: GitHub Copilot, Zed AI y Warp Terminal figuran como GenAI en la primera lista del catálogo del anuncio. Esta lista no tiene un encabezado de plataforma propio; por tanto, las entradas son candidatas para comprobar en el piloto de Windows, no una confirmación general para todas las versiones de Windows o variantes de los programas.
• macOS: GitHub Copilot, Zed AI y Warp Terminal también figuran expresamente como GenAI en la sección independiente de macOS. La clasificación en macOS se comprueba por separado de la primera lista; una entrada en una plataforma no implica una detección idéntica en la otra.

Además, Notion Desktop App pasó a llamarse Notion AI y se trasladó de BusinessIntelligenceTool a GenAI. Durante el inventario, buscar también el nombre anterior y contrastar la decisión previa de permitir o bloquear con la nueva entrada. La reclasificación por sí sola no justifica sustituir una autorización existente por un bloqueo de categoría sin comprobarla.

La publicación se realiza en dos etapas: las nuevas entradas pueden aparecer en la interfaz de administración entre 24 y 48 horas antes de la publicación de las identidades de detección. Solo esta publicación proporciona los datos de detección de la aplicación. Para las entradas recién publicadas, esperar a que transcurra ese intervalo antes de evaluar su efecto Allow/Block. Una entrada visible o un ajuste guardado no demuestra todavía un control efectivo en el endpoint; el intervalo tampoco garantiza que todos los dispositivos estén actualizados al finalizar.

Para este cambio de catálogo, realizar el piloto existente por separado en un dispositivo Windows y otro macOS, con la versión de la aplicación realmente utilizada:

1. Antes del cambio, documentar la política Application Control efectiva, la entrada anterior y su estado de control, así como New applications added to this category by Sophos. Si esta opción está activa para la categoría y Block the detected application está habilitada, las nuevas aplicaciones se bloquean automáticamente. Si no se desea ese comportamiento, desactivar la opción de categoría antes del despliegue; esto no autoriza automáticamente las entradas ya controladas.
2. Tras el intervalo de publicación y una actualización correcta del endpoint, comprobar la política piloto efectiva en Policies. Primero, analizar la aplicación en el modo de detección existente y buscar la entrada esperada en Reports > Logs > Events con el filtro Application Control. Para Notion, contrastar el nombre Notion AI con la decisión anterior. Registrar como evidencia el nombre del dispositivo, sistema operativo, versión de la aplicación y hora.
3. Activar el bloqueo previsto solo en el grupo piloto, comprobar la recepción de la política y volver a abrir la aplicación. El resultado es correcto si la aplicación seleccionada se bloquea, existe un evento correspondiente y una aplicación de comparación autorizada deliberadamente sigue funcionando. No dar por supuesto que macOS muestra el mismo mensaje de escritorio que Windows.
4. Si no se detecta o bloquea la aplicación, comprobar primero la asignación de la política, la actualización del endpoint, la versión de la aplicación y el proceso real. No bloquear indiscriminadamente la categoría GenAI para todos los dispositivos como alternativa. Para revertir el cambio, restaurar el estado de control documentado de la aplicación afectada en la política piloto, guardar, esperar la recepción de la política y probar de nuevo el inicio. Restaurar el valor anterior de la opción de categoría solo si también se desea volver a tratar automáticamente las nuevas entradas.

Catálogo a 6 de octubre de 2026: Application Control 6.28

La actualización de datos 6.28 se desplegó el 6 de octubre de 2026; el anuncio final del 7 de octubre de 2026 lo confirma. El anuncio previo del 25 de septiembre solo describía el estado previsto. Para revisar el inventario cuenta la lista final, no el anuncio previo:

• La primera lista, sin encabezado propio de plataforma, incluye, por ejemplo, ToDesk, Gorelo y TiFlux Agent como RemMan, así como Google Antigravity IDE y Google Antigravity CLI como GenAI. Respecto al anuncio previo, se añadieron Claude Science y Taskade Agent, ambos GenAI. Esta lista no es una matriz identificada expresamente como de compatibilidad con Windows; compruebe solo los programas y variantes realmente utilizados.
• La sección macOS, expresamente separada, incluye, entre otros, Claude Science, Taskade Agent y Google Antigravity IDE como GenAI. Estas entradas ya figuraban allí en el anuncio previo. Por tanto, las incorporaciones a la primera lista no son también nuevas incorporaciones a macOS; compruebe la detección y el efecto de la política por plataforma.

Además, Google Antigravity pasa de ProgrammingScriptTool a GenAI. Otter AI Assistant ahora se llama Otter y pasa de SystemTool a GenAI. Dynalist Obsidian se convierte en Obsidian y permanece en DocumentViewer. Por ello, busque tanto los nombres antiguos como los nuevos en los informes y al mantener las políticas. La afirmación anterior sobre la conservación del estado de control al introducir GenAI no es una garantía expresa para estos cambios de octubre: contraste el estado Allow/Block real de cada entrada afectada con el registro previo.

Para las aplicaciones afectadas ya presentes, el procedimiento anterior con detección, piloto por plataforma y reversión limitada también se aplica a 6.28. Antes de cambiar una política, compruebe especialmente el automatismo de la categoría y Block the detected application: si ambos están activos, las nuevas entradas pueden bloquearse automáticamente. Las 24 a 48 horas entre la entrada en la consola y la publicación de identidades siguen siendo un intervalo de publicación, no una garantía de actualización de cada dispositivo. La inclusión en el catálogo no es un veredicto de malware ni una recomendación de bloquear todas las aplicaciones citadas.

Cuando falta una aplicación

No todo el software aparece inmediatamente en el catálogo Sophos. Al final de Settings, Application Control Request abre la solicitud oficial. Hasta que Sophos clasifique la aplicación, no se debe inventar una categoría o firma para imitar el catálogo.

⚠️ Una Threat Protection Exclusion inespecífica no sustituye una entrada Application Control ausente. Resuelven tareas distintas.

Troubleshooting

Si una aplicación no se bloquea, comprobar política efectiva, grupo objetivo y orden de políticas, después versión, proceso real y momento de la última actualización del agente. Una entrada del catálogo no garantiza que cada variante o launcher se detecte igual.

Si se bloquea una aplicación necesaria, corregir la decisión a nivel de aplicación y guardar de nuevo. No hace falta desactivar Application Control globalmente. Verificar después que el dispositivo recibió la política actualizada.

Artículos relacionados

El orden y la asignación se explican en Estructurar correctamente políticas Endpoint en Sophos Fusion. El proceso completo está en Implantar en la práctica las Sophos Endpoint Control Policies.

Preguntas frecuentes

Catálogo actual de aplicaciones

Antes de modificar una política, consulte en el catálogo actual de aplicaciones controladas de Sophos si la aplicación puede controlarse en ese momento y a qué categoría la asigna Sophos. El fabricante añade continuamente aplicaciones y nuevas clasificaciones al catálogo.