Gestionar dispositivos y grupos Endpoint en Sophos Fusion

Los grupos de equipos proporcionan un destino estable a las políticas Endpoint. No resuelven todas las cuestiones de inventario o identidad: los tags y las acciones generales pertenecen a la plataforma Central compartida, mientras que los grupos de usuarios siguen un modelo de identidad propio.

Proceso rápido: definir el modelo, crear un grupo en My Products > Endpoint > Computers > Computer Groups, asignar equipos y comprobar las políticas realmente aplicadas en el grupo y en equipos piloto. El lifecycle se aclara por separado antes de borrar, limpiar o migrar.

Importante: un equipo solo puede pertenecer a un grupo. Los tags añaden atributos flexibles y Agent Mode describe el alcance del software. No son niveles intercambiables.

Separar grupos Endpoint y funciones de plataforma

La vista común My Environment > Computers & Servers es la base para filtros, columnas, tags, Tamper Protection, software, Health Reset y borrado general. Gestionar el inventario de dispositivos Sophos Fusion describe ese flujo sin duplicarlo aquí.

Sophos está sustituyendo la página anterior My Products > Endpoint > Computers por esta vista unificada. Durante la transición, la página anterior aún puede aparecer en un tenant y sigue siendo la ruta a Computer Groups; por eso los procedimientos de grupo siguientes usan esa ruta.

Usuarios, logins y grupos de usuarios también son objetos distintos. Asignar correctamente usuarios y grupos Sophos Fusion Endpoint explica si una política debe seguir a una persona o a un dispositivo y cómo actúa el orden. Este artículo se centra en grupos de equipos y su lifecycle Endpoint.

Definir el modelo de grupos antes del despliegue

Los grupos sirven para límites estables y deben reflejar requisitos realmente distintos: dispositivos piloto, puestos estándar o críticos, sistemas de quiosco/producción y escritorios virtuales no persistentes. Los departamentos solo son útiles si necesitan políticas diferentes.

1. Abrir My Products > Endpoint > Computers y seleccionar Computer Groups.
2. Hacer clic en Add Computer Group.
3. Introducir un nombre inequívoco y una descripción breve.
4. Asignar únicamente los equipos previstos y guardar.

Un equipo ya agrupado abandona el grupo anterior al reasignarlo. Para editar, abrir el nombre, seleccionar Edit, modificar Assigned Computers y guardar. Delete borra el grupo, no los equipos. Documentar la pertenencia anterior y nueva y empezar con pocos pilotos antes de un cambio masivo.

Utilizar tags para características flexibles

Los tags añaden al grupo atributos combinables como owner=finance, site=zuerich, criticality=high o lifecycle=pilot. Cada dispositivo admite como máximo 15 tags y hasta cinco pueden fijarse en la lista común. Ayudan a filtrar, pero no controlan la pertenencia al grupo. El inventario Central describe creación, validación y eliminación.

Comprobar la asignación de políticas

1. Abrir el grupo en My Products > Endpoint > Computers > Computer Groups.
2. Seleccionar Policies y revisar las políticas habilitadas y aplicadas.
3. Abrir una política si es necesario. Editarla afecta a todos los usuarios y grupos asignados; comprobar alcance y orden antes de guardar.
4. Abrir un equipo piloto en My Environment > Computers & Servers y comparar en Policies la política efectiva de cada tipo.
5. Corregir destino u orden y volver a comprobar tras el siguiente contacto con Central.

El tipo de destino no tiene prioridad automática: si coinciden políticas de usuario y equipo del mismo tipo, decide el orden. Véase Crear correctamente políticas Endpoint en Sophos Fusion.

Interpretar Agent Mode y estado del dispositivo

Endpoint, XDR y XDR Sensor representan alcances de software distintos; XDR Sensor no incluye protección Sophos contra malware. En el objeto del equipo, Summary muestra alcance y grupo, Status las evaluaciones Health y Policies las políticas efectivas. El inventario Central cubre columnas, filtros y acciones de software.

Investigar dispositivos inactivos

Un objeto inactivo es primero una señal, no una orden de borrado. Debe aclararse por qué falta el contacto:

• dispositivo retirado o sustituido
• usuario ausente durante mucho tiempo
• agente, proxy o conexión de red con problemas
• equipo clonado desde una imagen antigua
• dispositivo de laboratorio, VDI o Update Cache

La vista unificada también muestra dispositivos inactivos durante más de 30 días. En listas Endpoint antiguas puede ser necesario el filtro Not online recently.

Last Active se actualiza de media solo una vez por hora. Por eso un Event puede tener una marca de tiempo más reciente que el valor Last Active visible. Esto no indica automáticamente un error de datos.

El mismo modelo de actualización retardada se aplica a Online y Last Activity. Tras iniciar sesión un usuario nuevo, Central puede asociar ya el dispositivo con él mientras las marcas de tiempo todavía muestran el estado anterior durante aproximadamente una hora. Si después queda offline, la corrección tarda más.

En Computer Report, Online y Last User no significan lo mismo: Online se basa en el último mensaje de estado procesado. Last User solo cambia cuando otra cuenta de usuario única inicia sesión por primera vez en el dispositivo. Por tanto, un valor Last User muy antiguo no demuestra que el Endpoint lleve offline desde esa fecha.

Limpieza automática

En Global Settings > Products and Services > Endpoint and Server > Removal of Inactive Devices pueden crearse reglas distintas para Endpoints y Servers.

Sophos distingue Targeted rules para grupos seleccionados y una Global rule para el resto. El periodo global debe ser mayor que el de las reglas dirigidas. Update Caches, Message Relays y equipos especiales de uso poco frecuente deben estar en grupos expresamente excluidos.

Pueden crearse dos reglas dirigidas. En la regla global pueden excluirse como máximo cuatro grupos; los subgrupos cuentan por separado y no se excluyen automáticamente. Sophos comprueba las reglas cada día a medianoche en la región de datos del tenant.

Los clientes MSP y Marketplace deben elegir como mínimo 31 días de inactividad para una regla. Para clones VDI creados con --nonpersistent puede activarse Permanently remove VDI desktops; después no es posible restaurar estos dispositivos. Las reglas no eliminan el propio Gold Image Master.

Los dispositivos eliminados permanecen 120 días en el Recovery Report. Durante los primeros 30 días pueden restaurarse. Update Cache y Message Relay no se restauran con el dispositivo.

Borrar no es desinstalar localmente: La limpieza automática elimina el objeto de Central. Antes debe definirse qué ocurre con el software Sophos del dispositivo.

Distinguir retirada automática y borrado general

Una regla automática retira dispositivos inactivos de la gestión, pero no desinstala el software Sophos local. En sistemas Windows actuales compatibles con Core Agent 2023.2 o posterior, Delete y la caducidad de licencia activan el back-off documentado: se eliminan Tamper Protection y los componentes de protección, pero Sophos Endpoint Agent aún debe desinstalarse localmente para completar la retirada.

Recovery Report y la contraseña de Tamper Protection permanecen 120 días; el dispositivo puede restaurarse durante los primeros 30. Update Cache y Message Relay no se restauran. Véanse Desinstalar Sophos Fusion Endpoint en Windows y el inventario Central.

No confundir migración y cambio de grupo

Change group mueve el objeto dentro del mismo tenant. Pasarlo a otro tenant es una Device Migration basada en API con jobs de recepción y envío separados. Los dispositivos quedan en cola hasta 14 días; los que sigan offline deben volver a ponerse en cola. Siga Migrar dispositivos Sophos Endpoint entre tenants Central.

Tratar correctamente los dispositivos duplicados

Cada instalación de Sophos recibe un Device ID único al registrarse. Si un sistema ya registrado se clona sin preparación, varios Endpoints pueden usar el mismo ID. Al principio, Central solo muestra un objeto de dispositivo que todos sobrescriben. Automatic Duplicate Detection reconoce este patrón en Windows, macOS y Linux, registra de nuevo los dispositivos afectados y genera objetos adicionales.

El dispositivo registrado de nuevo hereda grupo, policies y asignación de productos del objeto original. Estos valores se comprueban tras la Deduplication porque la asignación heredada puede no ser adecuada para cada clon.

Sophos Fusion informa del patrón en tres lugares: en el Dashboard aparece el Alert Duplicate device detection; en Events del dispositivo constan Device has been detected as a duplicate device y, tras el nuevo registro, Device has been de-duplicated from: <DEVICENAME>. Los administradores también reciben un correo con el asunto [Medium] Alert for Sophos Central: We’ve detected a cloned device.

Un Alert como Device has been detected as a duplicate device no ordena borrar de inmediato el registro marcado. Otros clones con el mismo ID pueden seguir dependiendo del objeto original. Si se elimina demasiado pronto, dejan de comunicarse con Central y deben reinstalarse. Sophos recomienda conservar el objeto original marcado durante al menos dos semanas, salvo que se hayan identificado con certeza todos los sistemas afectados.

Por ello, Central muestra una casilla de confirmación adicional al borrar ese registro original. Márquela y continúe solo después de comprobar que ningún otro dispositivo intenta comunicarse con el ID marcado para Deduplication.

Procedimiento seguro:

1. Revisar el Alert y los Events del dispositivo afectado.
2. Buscar el nombre y comparar registros activos y antiguos mediante Last Active.
3. Comprobar grupo, policies y asignación de productos del objeto registrado de nuevo.
4. Corregir la causa en Deployment, Gold Image o Snapshot.
5. Borrar solo cuando se conozcan todos los sistemas con el ID antiguo y ninguno se comunique ya con él.

En entornos VDI no persistentes, cada clon nuevo o retorno a un Snapshot puede provocar otro registro. Los objetos adicionales no implican necesariamente un nuevo error de Deduplication. El Gold Image debe prepararse mediante el proceso compatible descrito en Implementar Sophos Fusion Endpoint para VDI y Gold Images.

Incluso con una imagen preparada correctamente, cada VM recién creada genera, como es de esperar, un nuevo objeto de dispositivo en Central; en cambio, restablecer una VM existente a un Snapshot no debería provocar Deduplication después de la preparación compatible. Realice esa preparación antes de cada Gold Image nuevo o actualizado. De lo contrario, la imagen puede registrarse de nuevo, recibir un ID y transmitir ese ID compartido a todos los clones posteriores.

Las instancias AWS y las VM Azure también pasan por esta detección. Su registro de instancia o VM puede quedar temporalmente sin vincular al registro de servidor; durante ese intervalo, Central trata el dispositivo como un servidor normal. El registro posterior lo vincula a un nuevo registro de servidor. Los Windows Server con Server Lockdown activo están excluidos de la Deduplication. Los dispositivos que comparten un ID pero usan sistemas operativos distintos se detectan como duplicados, aunque no se registran de nuevo automáticamente. Los Alerts recurrentes se resuelven en la causa de imagen y registro, no ocultándolos mediante borrados continuos.

Importante: Central no puede reparar el borrado accidental del objeto original compartido para clones que ya no se comunican. En ese caso solo queda reinstalar Sophos Agent.

Interpretar correctamente los reinicios

Una primera instalación o la eliminación de un producto de la competencia puede requerir un reinicio. Las actualizaciones de producto a menudo no lo necesitan inmediatamente. Sin embargo, si un dispositivo no se ha reiniciado durante meses, dos estados de actualización sucesivos pueden requerir un reinicio cada uno. En este caso, Sophos recomienda esperar unos 20 minutos entre ambos ciclos para que la primera actualización termine por completo.

Los Alerts antiguos de Windows y macOS se eliminan de la vista detallada después de 90 días. Aun así, un Health State rojo puede permanecer hasta que se resuelva la causa y se restablezca el estado. La ausencia del Alert antiguo no demuestra por sí sola que el problema se haya reparado.

Control operativo mensual

Un control mensual breve evita que se acumulen puntos ciegos:

1. Filtrar dispositivos sin actividad reciente e identificar al propietario.
2. Tratar problemas de Health por su causa, no solo por el color.
3. Comprobar Product unassigned, Upgrade available y dispositivos no compatibles.
4. Justificar y corregir Tamper Protection con estado Off.
5. Limpiar equipos sin grupo o con tags incorrectos.
6. Excluir Update Caches, Message Relays y Golden Images VDI de las reglas de borrado.
7. Desinstalar de forma controlada los dispositivos innecesarios y borrarlos después.

Preguntas frecuentes