Implantar políticas de control de Sophos Endpoint con seguridad
Application Control, Peripheral Control, Web Control y Data Loss Prevention (DLP) añaden reglas operativas a la protección contra malware. Sin embargo, controlan operaciones distintas y no son interruptores intercambiables.
El método seguro es elegir un control, registrar el uso actual, asignar una política piloto independiente, probar casos permitidos y prohibidos y solo entonces ampliar el alcance. Así se conserva una causa clara si surge una incidencia.
¿Qué política corresponde a cada tarea?
| Política | Controla | Decisión habitual |
|---|---|---|
| Application Control | aplicaciones conocidas, no necesariamente dañinas | permitir una herramienta remota en equipos IT y bloquearla en otros |
| Peripheral Control | tipos de dispositivo y medios extraíbles | dejar USB en solo lectura y exceptuar un dispositivo aprobado |
| Web Control | categorías, Site Lists y acceso Web | avisar para streaming y bloquear una categoría de riesgo |
| Data Loss Prevention | contenido, nombre o tipo de archivo durante la transferencia | registrar, pedir confirmación o bloquear datos sensibles |
Ninguna sustituye Threat Protection. Una aplicación permitida por Application Control sigue siendo examinada por las demás protecciones. DLP evalúa transferencias, no si un archivo contiene malware.
Antes del piloto: definir alcance y reversión
Los cuatro tipos se administran en My Products > Endpoint > Policies. Para cada función, Sophos Fusion aplica la primera política activa cuyo alcance de usuario o equipo coincida. Las políticas del mismo tipo no se combinan. Sitúe la política piloto sobre una más general y asígnela solo a un grupo pequeño y claramente nombrado.
Antes de aplicar, documente:
- Objetivo empresarial: qué debe impedirse y qué proceso legítimo debe continuar.
- Destinos: sistema operativo, versión del agente, grupo de usuarios o equipos y política realmente efectiva.
- Pruebas: al menos un caso permitido y uno prohibido por regla o categoría.
- Éxito: acción, evento de Sophos Fusion, mensaje al usuario y acceso intacto a servicios necesarios.
- Reversión: desactivar la política o retirar su asignación; para dispositivos de red, conservar acceso local o alternativo.
Compruebe la política efectiva en la pestaña Policies del equipo. Ver la configuración en la lista no demuestra que haya llegado al dispositivo.
Pilotar correctamente los cuatro controles
Application Control: detectar antes de bloquear
Application Control usa el catálogo Sophos de aplicaciones controlables. Para inventariar, seleccione categorías y aplicaciones y active primero solo Detect controlled applications during scheduled and on-demand scans. Tras al menos un análisis programado en cada equipo piloto, revise los eventos en Reports > Logs > Events.
Retire las aplicaciones necesarias de la selección controlada. Solo después active Detect controlled applications when users access them y Block the detected application para el piloto. New applications added to this category by Sophos amplía el alcance automáticamente: en una categoría bloqueada, un programa nuevo puede bloquearse sin editar la política.
Peripheral Control: proteger el acceso de red
Empiece con Monitor but do not block (all peripherals will be allowed). Solo los dispositivos detectados así están disponibles para excepciones dirigidas. Después cambie a Control access by peripheral type and add exemptions y elija Allow, Read Only, Block o, para Wireless, Block Bridged, cuando la categoría lo admita.
Las excepciones se aplican por Model ID o Instance ID. Model ID abarca todos los dispositivos del mismo modelo; Instance ID suele ser más estrecho y es mejor para un único dispositivo aprobado.
⚠️ No bloquee Wireless o Modem sin preparación: puede interrumpirse la conexión con Sophos Fusion. Exceptúe antes los adaptadores necesarios y pruebe un acceso alternativo. De lo contrario, puede requerirse acceso físico.
Windows y macOS no admiten los mismos tipos. Peripheral Control no bloquea Bluetooth en macOS y Camera no está disponible. Una validación Windows no cubre automáticamente los Mac.
Web Control: separar el modelo nuevo de Classic
Sophos Fusion ofrece Web Filtering Profiles y Classic Web Control. Los perfiles están previstos para endpoints Windows compatibles desde Sophos Endpoint 2026.1. Agentes Windows anteriores y macOS siguen usando Classic. Un entorno mixto necesita equipos de prueba para cada variante utilizada.
Un Web Filtering Profile combina categorías y Site Lists priorizadas. Classic usa, entre otras cosas, tags personalizados de Website Management. Una Website Exclusion global omite Web Control más ampliamente y no sustituye una decisión limitada.
En el piloto pruebe una categoría permitida, una con aviso y otra bloqueada, además de una excepción Site List o tag. Las páginas de aviso del modelo nuevo requieren HTTPS Decryption en la política Threat Protection efectiva. Si faltan, compruebe también confianza de certificados y HTTPS Decryption.
Data Loss Prevention: evaluar la detección antes del bloqueo
Endpoint DLP consta de Content Control Lists (CCLs), reglas DLP reutilizables y la política asignada. Una Content Rule examina contenido; una File Rule, nombre o tipo. Las CCL de SophosLabs y plantillas regionales son un punto de partida, no una aprobación de compliance terminada.
Ejecute el primer piloto con Allow file transfer. Las coincidencias aparecen en Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Cambie a Allow transfer if user confirms o Block transfer solo cuando pruebas positivas y negativas demuestren buena calidad. Si coinciden varias reglas, Sophos aplica la acción más estricta.
Las Content Rules leen contenido. Archivos grandes y muchas reglas consecutivas pueden alargar transferencias; las File Rules por nombre o tipo no se ven afectadas igual. Incluya tamaños habituales, aplicaciones reales y duración percibida en la validación.
Despliegue y validación
Introduzca las funciones una por una:
- Registrar baseline: inventariar aplicaciones y dispositivos; documentar necesidades Web y flujos sensibles.
- Diseñar: incluir solo categorías, reglas y excepciones justificadas; definir responsable y fecha de revisión.
- Asignar piloto: usuarios y equipos representativos, pero alcance pequeño y recuperable.
- Probar positivo y negativo: el flujo permitido funciona; el prohibido genera evento y acción esperados.
- Corregir individualmente: cambiar una regla o excepción, verificar la recepción y repetir la misma prueba.
- Ampliar gradualmente: añadir grupos tras la validación documentada y revisar excepciones periódicamente.
Los mensajes deben explicar brevemente el control y cómo solicitar una excepción, sin revelar patrones DLP sensibles ni mecanismos internos.
Cuando el resultado no coincide con la política
Compruebe en este orden:
- ¿Está activa, asignada y es la primera política coincidente?
- ¿La pestaña Policies del equipo la muestra como efectiva?
- ¿Sistema y versión del agente admiten la función o el modelo?
- ¿La prueba coincide exactamente con aplicación, identificador, regla Web, condición DLP y transferencia elegidos?
- ¿Hay una excepción más amplia o, en DLP, otra regla más estricta?
- ¿Aparece el evento esperado? Si no, corrija alcance y condiciones, no desactive globalmente la protección.
No aplique una función junto con varios cambios importantes. De lo contrario, impacto, rendimiento y falsos positivos no podrán atribuirse a una sola causa.
Guías detalladas
- Comprender orden y alcance de políticas Endpoint
- Configurar Application Control
- Configurar Peripheral Control
- Configurar Web Control
- Configurar Data Loss Prevention
- Gestionar Windows Firewall con Sophos Fusion Endpoint