Desplegar Sophos Fusion Endpoint de forma sistemática
Implementar Sophos Fusion Endpoint implica mucho más que ejecutar un instalador. Una implantación fiable requiere acceso administrativo, identidades de dispositivos y usuarios, el alcance de software adecuado, políticas, conectividad de red, un piloto representativo y responsabilidades claras para la supervisión y la respuesta.
Este artículo proporciona orientación para el proyecto general. Siga los runbooks vinculados para obtener detalles sobre la instalación, la configuración de políticas y la solución de problemas.
El proceso de un vistazo
- Definir el alcance, los responsables y los criterios de éxito.
- Proteger el acceso a Central y los roles de administración.
- Comprobar la licencia, el Agent Mode y las plataformas compatibles.
- Diseñar las identidades, los grupos y el modelo de políticas.
- Preparar la ruta de red y el suministro de actualizaciones.
- Probar Windows y macOS en dispositivos representativos, y Linux mediante la vía independiente de Server Protection.
- Validar técnicamente la protección, la comunicación, los Events y la reversión.
- Solo entonces ampliar el despliegue en oleadas controladas y transferirlo a operación.
Solo se pasa a la fase siguiente cuando la anterior tiene un resultado documentado. Que el instalador haya terminado no equivale a una aceptación operativa.
Rutas directas para la puesta en marcha
Si de momento solo necesita instalar, puede ir directamente a la ruta de la plataforma correspondiente. Para una implantación completa, empiece por los requisitos del sistema y límites del ciclo de vida y los requisitos de red y proxy. Si macOS forma parte del alcance, añada los permisos de macOS. Para usuarios y grupos, Microsoft Entra ID puede actuar como origen; Active Directory también puede proporcionar dispositivos y grupos de dispositivos.
Proteger el acceso administrativo antes del despliegue
El acceso administrativo empieza por MFA, Passkeys e inicio de sesión federado. Según el Identity Provider, la federación se implementa con Microsoft Entra ID, OpenID Connect u Okta o AD FS. Para RBAC, limite primero los roles de administración para todo el tenant y después los roles y permisos específicos de Endpoint según cada tarea.
Instalación según la plataforma y el método de distribución
Para un piloto pequeño o dispositivos individuales, las guías manuales explican la instalación en Windows y macOS. El despliegue automatizado en Windows se prepara con el runbook de línea de comandos y distribución de software; las máquinas virtuales preconfiguradas requieren además el procedimiento para VDI Gold Images. Para los Mac, la ruta de Jamf Pro y MDM describe la distribución centralizada, incluidos los perfiles necesarios.
Linux no es otra variante del instalador de Endpoint para Windows/macOS. Sophos Fusion (antes Sophos Central) trata la instalación, la distribución mediante scripts y las Gold Images como Sophos Protection for Linux o Server Protection; el procedimiento independiente se explica en Instalar y desplegar Sophos Protection for Linux.
Configurar las funciones de protección de forma específica
La baseline no mejora por activar indiscriminadamente todos los interruptores. Los ajustes de Threat Protection explican, entre otros aspectos, el descifrado HTTPS, sus implicaciones para la privacidad y las exclusiones correspondientes. Las exclusiones de análisis específicas de productos o aplicaciones se definen con el mínimo alcance posible y de forma trazable. El runbook de Scheduled Scans explica si son necesarios análisis programados adicionales y cómo planificarlos.
Existen rutas independientes de decisión y configuración para los controles de usuarios y dispositivos: Web Control para sitios web y categorías, Application Control para aplicaciones, Peripheral Control para dispositivos Windows y macOS conectados y Data Loss Prevention para reglas de control de datos. Las ventanas de mantenimiento, las versiones de software y la infraestructura de distribución se definen por separado en actualizaciones, Update Cache y Message Relay.
Ampliar opcionalmente con integraciones XDR y MDR
Con una licencia XDR o MDR adecuada, el tenant puede reunir datos de otros productos de Sophos y de terceros. El runbook para todo Central Configurar y comprobar integraciones XDR explica la selección, los límites de licencia, la conexión y la verificación del funcionamiento; no es una política de protección de Endpoint.
Aclarar las cuestiones MDR pendientes antes del despliegue
El derecho al sensor MDR y el valor de producto mdr del instalador de Windows siguen sin resolverse. La ayuda oficial de instalación MDR todavía menciona MDR Essentials para XDR Sensor, mientras que la descripción de los servicios indica MDR y MDR Plus. Esto no demuestra el derecho al sensor en todos los niveles actuales. Las instrucciones MDR para Windows también utilizan mdr, pero la lista de productos de la CLI de Windows no lo incluye. Esto no demuestra ni que el valor sea inválido ni que xdr o xdrsensor sean equivalentes; no se sustituye el valor por iniciativa propia.
Antes de desplegar un sensor MDR, se confirman con Sophos o el partner responsable el nivel/SKU contratado, la licencia activa en el tenant correcto, la plataforma y la vía de instalación prevista. Si hay dudas, ese paso del despliegue queda detenido; se solicita confirmación por escrito del valor de producto para la versión del instalador de Windows utilizada y del software resultante. Una opción visible no demuestra el derecho de uso. Los dispositivos ya gestionados se comprueban mediante la validación de Agent Mode y software; la instalación de Endpoint y un estado saludable verde no bastan para confirmar un servicio MDR operativo.
Estado e informes
Después del despliegue, Protection Overview con Events y Reports muestra si el estado de protección y el flujo de eventos son plausibles. Account Health Check complementa esta vista con las desviaciones de las recomendaciones de Sophos, pero no sustituye la aceptación del piloto ni las pruebas funcionales. Los destinatarios recurrentes, los calendarios y los fallos de entrega se configuran y supervisan mediante Reports programados.
Si la instalación o la operación fallan, Endpoint Self Help y SDU proporcionan el diagnóstico local y los logs necesarios. A continuación, puede abrir un ticket de Sophos Support con información útil. El acceso de un partner no se improvisa: se concede y se revoca mediante Partner Assistance y Remote Assistance con control temporal.
1. Definir alcance y propiedad
Antes de la primera instalación, documente qué dispositivos y sistemas operativos forman parte del proyecto, cuáles quedan expresamente excluidos y quién autoriza los cambios. Como mínimo, deben asignarse estas responsabilidades:
- tenant y roles,
- Endpoint y políticas,
- red y proxy,
- Alerts e incidentes de seguridad,
- aplicaciones para el piloto y la aceptación,
- suplencia para accesos y decisiones críticas.
Añada criterios de éxito medibles: el dispositivo aparece en el tenant y el grupo correctos, recibe el Agent Mode y las políticas previstos, comunica un estado saludable y genera los eventos de prueba planificados. Defina de antemano la reversión, la vía de soporte y quién tiene autoridad para decidir en caso de fallo.
2. Proteger el tenant y el acceso administrativo
Configure MFA para todos los administradores. No utilice privilegios amplios para el trabajo cotidiano; asigne los roles según la tarea y revíselos periódicamente. Pruebe la recuperación y la suplencia, en vez de improvisarlas cuando se pierda un dispositivo de autenticación.
Consulte Inicio de sesión seguro en Sophos Fusion con MFA y un IdP y Planificar roles y permisos de Sophos Fusion Endpoint para obtener decisiones detalladas.
3. Determinar el alcance del software y los límites de la plataforma
Antes del despliegue, compruebe conjuntamente la licencia, el tipo de dispositivo, el sistema operativo y el Agent Mode deseado. Las opciones visibles en el tenant dependen del contrato y de la plataforma reales; no deduzca su disponibilidad a partir de una captura de pantalla o una página general del producto.
Endpoint proporciona protección de Sophos Endpoint, XDR añade las capacidades previstas de detección y respuesta, y XDR Sensor no ofrece protección antimalware independiente. Un diseño basado en sensores sigue necesitando un producto de protección administrado por separado. Administrar el Agent Mode y el software de Sophos Endpoint explica la selección, los cambios y el control; Entender las licencias de Sophos Fusion Endpoint detalla los límites comerciales y técnicos.
Windows y macOS tienen rutas piloto independientes. Antes de aprobar una plataforma, consulte los requisitos del sistema y los avisos de retirada vigentes mediante Planificar los requisitos del sistema y el ciclo de vida de Sophos Endpoint.
Los Linux Runtime Detection Profiles pertenecen al ámbito de la protección de cargas de trabajo Linux y entornos cloud-native. Planifique su selección de políticas y el despliegue del sensor como una vía independiente para cargas de trabajo, con los requisitos actuales de Sophos, no como un añadido incidental a un despliegue de Endpoint para Windows o macOS.
El ciclo de vida comienza en My Products > Global Settings > Protection and Remediation > Linux Profiles. Create Profile crea la versión 1; Profile Name, Content Version y el Change Description opcional documentan el estado. Active o desactive después cada regla según sea necesario en Detection Analytics, Smart Policy y BETA Ransomware. Asigne primero cada perfil nuevo o modificado a una Linux Runtime Detection Policy para servidores piloto y compruebe un Alert de prueba esperado. Create New Version conserva el historial. Duplicate clona la versión más reciente como perfil independiente; los cambios y las asignaciones de la copia no afectan al perfil de origen. Solo puede eliminar un perfil activo tras retirarlo de todas las políticas.
Para el ajuste avanzado, use Category, Enabled, Modified y Configurable. Hide filters solo oculta los filtros; Clear All los elimina. Las Allow/Block Lists se aplican a la regla seleccionada. Sophos Protection for Linux adopta automáticamente el contenido actualizado de SophosLabs, mientras que Sophos Linux Sensor debe actualizarse manualmente. El YAML de Export Latest Version solo contiene cambios respecto a los valores predeterminados, no un runtimedetections.yaml completo. Para Sophos Linux Sensor, incorpore solo esos cambios al archivo existente y edite únicamente campos y tipos de datos admitidos por el esquema de la versión de contenido implementada. Detenga el despliegue antes del piloto si aparecen errores concretos: sintaxis o sangría YAML no válidas, claves desconocidas, tipos de datos incorrectos, campos obligatorios ausentes o valores de regla no válidos. Solo tras superar la validación del parser y del esquema, versione el archivo, pruébelo en servidores piloto y compruebe Alerts y Runtime; si falla, reasigne la versión anterior o restaure la configuración validada anterior del sensor.
4. Diseñar identidades, grupos y políticas
Las políticas de usuario siguen a una persona, mientras que las políticas informáticas siguen a un dispositivo. Primero defina la fuente autorizada para usuarios y grupos y cómo se evitarán duplicados o identidades obsoletas. Administrar usuarios y grupos de Sophos Fusion Endpoint explica la implementación.
Un modelo de dispositivos mantenible suele empezar con pocos grupos bien definidos:
- dispositivos piloto con usuarios que reciben soporte activo,
- dispositivos de producción estándar,
- dispositivos críticos o con diferencias técnicas,
- excepciones temporales,
- dispositivos de prueba para nuevas versiones de software.
Para cada tipo de política se aplica la primera política activa que coincida. Compruebe la baseline, el orden y la asignación efectiva antes del despliegue masivo. Eliminar una política en Central es irreversible: exporte o documente su configuración y asignaciones e identifique primero los dispositivos afectados. Crear correctamente políticas de Sophos Fusion Endpoint explica este modelo.
No active ni desactive controles de forma indiscriminada. Evalúe Threat Protection, Web, Applications, Peripherals, DLP, DNS Protection, Updates, Tamper Protection, Data Collection y Response según la licencia, la plataforma y las necesidades del negocio. Siempre que sea posible y útil, introduzca los controles nuevos en un grupo piloto pequeño. Cada excepción requiere un motivo, un Owner, un alcance limitado y una fecha de revisión.
5. Comprobar la red y las actualizaciones antes de instalar
El Endpoint debe alcanzar los servicios de Sophos necesarios desde el contexto real del dispositivo y del servicio. Que el navegador de un administrador acceda correctamente no demuestra que la instalación, la comunicación del agente y las actualizaciones funcionen a través de un proxy, TLS Inspection o redes segmentadas.
Antes del piloto, pruebe DNS, HTTPS, autenticación de proxy, validación de certificados y rutas alternativas previstas. La precedencia de conexión actual y los destinos dinámicos de Sophos se tratan en Requisitos de proxy y red de Sophos Endpoint.
El ancho de banda de actualización, los Software Packages, los niveles de mantenimiento, Update Cache y Message Relay requieren una decisión operativa independiente. La configuración global del ancho de banda no sustituye la planificación de capacidad ni un piloto. Actualizaciones, Update Cache y Message Relay de Sophos Endpoint explica los detalles y los escenarios de fallo.
6. Implementar un piloto representativo
Obtenga el instalador destinado al tenant y su propósito en My Environment > Installers. Trate a los instaladores como material de acceso y distribúyalos únicamente a través de canales controlados.
En Endpoint están disponibles los instaladores de Protection, ZTNA y Device Encryption. Los instaladores completos para Windows y macOS contienen los productos Endpoint cubiertos por la licencia del tenant; Choose Components permite seleccionar específicamente los componentes necesarios antes de la descarga. Este instalador de Endpoint no se aplica a Linux, que pertenece al itinerario separado de Server Protection descrito anteriormente.
Si va a utilizar DNS Protection for endpoints como parte de Workspace Protection, esta derivación se aplica exclusivamente a endpoints Windows compatibles; macOS y Windows Server no están incluidos. En estos endpoints Windows, el agente de Endpoint instalado es solo el requisito previo común. A continuación, configure y compruebe el componente DNS y su propia política siguiendo el runbook separado Configurar Sophos DNS Protection para endpoints; no los incorpore a este proceso como una política general de protección de Endpoint.
Mantenga separados los flujos de trabajo de la plataforma:
- Windows: Instalar Sophos Fusion Intercept X
- macOS: Instalar Sophos Fusion Endpoint
- Implementación automatizada de Windows: Automatizar la implementación de Sophos Endpoint en Windows
El piloto no debe incluir únicamente portátiles de TI sin particularidades. Debe representar las versiones de sistema operativo utilizadas, los segmentos de red, el teletrabajo o la VPN, las aplicaciones esenciales para el negocio y el software existente de seguridad, backup, DLP y cifrado. Observe primero los cambios en unos pocos dispositivos; separar las oleadas en el tiempo no sustituye una aceptación técnica.
7. Validar técnicamente el piloto
Apruebe un dispositivo piloto solo cuando haya superado de forma trazable todos los controles previstos:
- El agente local comunica un estado saludable.
- El dispositivo aparece en el tenant correcto y en el grupo planificado.
- El Agent Mode y los componentes instalados coinciden con la planificación aprobada.
- La página del dispositivo muestra las políticas efectivas esperadas.
- Last Active, Events y Updates evolucionan de forma plausible.
- Una prueba de protección autorizada produce el Event o Alert esperado.
- Se han probado las aplicaciones empresariales, los cambios de red y cualquier reinicio necesario.
- La recepción de Alerts, el triaje y el escalado funcionan.
- Se ha verificado la desinstalación u otra reversión definida en un dispositivo de prueba.
Pruebe de forma segura las funciones de protección de Sophos Endpoint cubre pruebas seguras. Si un dispositivo sigue en mal estado, no lo reinstale a ciegas: utilice Manejar alertas de Sophos Endpoint y estado de la cuenta y Solucionar sistemáticamente errores de instalación de Sophos Endpoint.
El Account Health Check es una vista de control adicional. Identifica desviaciones seleccionadas de las recomendaciones de Sophos, pero no demuestra la funcionalidad de la aplicación ni la seguridad completa del tenant. Las correcciones automáticas pueden afectar a muchos dispositivos o políticas y deben manejarse como un cambio. Consulte Usar correctamente la comprobación del estado de la cuenta de Sophos Fusion.
8. Decidir deliberadamente la respuesta y la preparación forense
Antes del despliegue general, determine quién gestiona los Alerts, cuándo se aísla un dispositivo y qué datos pueden recopilarse para la investigación y el soporte. Los Forensic Snapshots registran datos de actividad de un dispositivo. Por eso, su almacenamiento, exportación, transferencia opcional a un bucket S3 propio y acceso requieren una decisión consciente sobre seguridad y privacidad.
Crear, conservar y convertir Forensic Snapshots
Cree un snapshot en My Environment > Computers & Servers > dispositivo > Summary > More actions > Create forensic snapshot > Create now o mediante Create forensic snapshot en un Threat Graph. Los snapshots manuales se guardan en %PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\ y los generados por una Detection en %PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\. Con Tamper Protection se requiere una consola elevada. El período predeterminado es de dos semanas; cámbielo o elija All log data en Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots. Defina antes espacio libre, accesos, retención y borrado seguro.
Para el análisis, conserve una copia probatoria del .tgz. En Windows de 64 bits elija el exportador de 64 bits; solo Windows de 32 bits necesita la otra versión. Antes de descargar, compruebe la arquitectura en PowerShell con (Get-CimInstance Win32_OperatingSystem).OSArchitecture.
Solo en esta acción, inicie la obtención desde Sophos mediante HTTPS: obtener SDR Exporter de 64 bits u obtener SDR Exporter de 32 bits. Complete el formulario de Sophos y acepte únicamente el archivo que Sophos facilite después. Guárdelo en un directorio de trabajo nuevo en el que solo puedan escribir los investigadores responsables; no use adjuntos de correo ni mirrors de terceros. Antes de ejecutarlo, verifique la firma Authenticode y calcule un hash probatorio. Este identifica exactamente la versión obtenida, pero, al no haber un valor de referencia de Sophos publicado por separado, no demuestra de forma independiente el origen:
$tool = '.\SDRExporterx64.exe'
$expectedSubject = $env:SDR_EXPORTER_EXPECTED_SUBJECT
$expectedThumbprint = $env:SDR_EXPORTER_EXPECTED_THUMBPRINT
if ([string]::IsNullOrWhiteSpace($expectedSubject) -or
[string]::IsNullOrWhiteSpace($expectedThumbprint)) {
throw 'Set the approved signer subject and thumbprint before validation.'
}
$expectedThumbprint = ($expectedThumbprint -replace '\s', '').ToUpperInvariant()
if ($expectedThumbprint -notmatch '\A[0-9A-F]+\z') {
throw 'The approved signer thumbprint is not hexadecimal.'
}
$sig = Get-AuthenticodeSignature -FilePath $tool
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
throw "SDR Exporter: Authenticode status is $($sig.Status)."
}
$actualThumbprint = ($sig.SignerCertificate.Thumbprint -replace '\s', '').ToUpperInvariant()
if (-not [string]::Equals($sig.SignerCertificate.Subject, $expectedSubject,
[StringComparison]::Ordinal) -or
-not [string]::Equals($actualThumbprint, $expectedThumbprint,
[StringComparison]::Ordinal)) {
throw 'SDR Exporter: signer does not exactly match the approved acquisition record.'
}
$chain = [Security.Cryptography.X509Certificates.X509Chain]::new()
$chainBuilt = $chain.Build($sig.SignerCertificate)
[pscustomobject]@{
Status = $sig.Status
StatusMessage = $sig.StatusMessage
SignerSubject = $sig.SignerCertificate.Subject
SignerThumbprint = $actualThumbprint
SignerIssuer = $sig.SignerCertificate.Issuer
SignerNotBefore = $sig.SignerCertificate.NotBefore
SignerNotAfter = $sig.SignerCertificate.NotAfter
ChainBuilt = $chainBuilt
ChainStatus = ($chain.ChainStatus.Status -join ', ')
TimestampSubject = $sig.TimeStamperCertificate.Subject
TimestampThumbprint = $sig.TimeStamperCertificate.Thumbprint
}
$chain.ChainElements | ForEach-Object {
[pscustomobject]@{
ChainSubject = $_.Certificate.Subject
ChainThumbprint = $_.Certificate.Thumbprint
ChainStatus = ($_.ChainElementStatus.Status -join ', ')
}
}
Get-FileHash -Algorithm SHA256 -Path $tool
Antes de ejecutar el bloque, establezca SDR_EXPORTER_EXPECTED_SUBJECT y SDR_EXPORTER_EXPECTED_THUMBPRINT con los valores exactos de un registro de adquisición aprobado internamente y obtenido mediante un proceso de confianza independiente; no los copie nunca del archivo que se está comprobando. El estado Valid y la coincidencia exacta de ambos valores son criterios de aprobación. Conserve como pruebas los datos mostrados de la cadena del firmante y de la marca de tiempo junto con el SHA-256. El hash identifica el archivo obtenido, pero, sin un valor de referencia de confianza independiente, no establece su procedencia. Si falta un valor aprobado, falla alguna comprobación o el hash cambia posteriormente, no ejecute el archivo: elimínelo e investigue o vuelva a obtenerlo mediante el enlace de Sophos anterior. Después ejecute la herramienta y la entrada solo desde la ubicación protegida, en una consola elevada y con rutas de entrada y salida distintas:
SDRExporterx64.exe -i <snapshot.tgz> -o <snapshot.sqlite> -f sqlite
Para JSON use -f json y un nombre de salida adecuado; el ejecutable de 32 bits es SDRExporterx86.exe. Entrecomille las rutas con espacios. Tras finalizar sin errores, verifique que la salida no esté vacía y pueda abrirse y consultarse como SQLite o analizarse como JSON. Registre en el diario del incidente los hashes de entrada y del exportador, el comando, la hora y la ruta de salida; proteja y conserve el archivo convertido como el snapshot.
Si falla la conversión, no experimente con el original. Compruebe arquitectura y nombre, firma, comillas, permisos de lectura y escritura, espacio libre e integridad de la copia de trabajo .tgz, y use después otra ruta de salida. Una salida parcial no es un resultado. El exportador no instala nada: la reversión consiste en detener el proceso y eliminar de forma segura las salidas incompletas y, al terminar, el exportador del directorio de trabajo. Elimine una copia de trabajo .tgz solo tras verificar la conversión y conforme al proceso de incidentes. Mantenga intactos el original probatorio y los registros necesarios hasta que termine su retención.
Cargar opcionalmente en su propio bucket S3
La carga directa requiere Windows y licencia XDR o MDR. En AWS limite una Managed Policy a s3:ListBucket sobre arn:aws:s3:::<bucketName> y s3:PutObject sobre arn:aws:s3:::<bucketName>/*. Active Upload forensic snapshot to an AWS S3 bucket en Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots. Use AWS Account ID y AWS External ID en la Trust Policy de un rol IAM dedicado para sts:AssumeRole; después de la propagación, guarde S3 bucket name, el directorio opcional y Role ARN.
Elija la región de AWS teniendo en cuenta la residencia de datos, la latencia y el coste de transferencia y los requisitos de recuperación ante desastres. Antes de guardar en Central, deje que el rol IAM se propague a todas las regiones de AWS; puede tardar hasta cinco minutos.
Una Bucket Policy y una IAM Permissions Boundary restringen el acceso al rol y a los investigadores autorizados. Una regla Lifecycle elimina cargas multiparte incompletas y datos vencidos. Los buckets con KMS no son compatibles; AES-256 sí y Sophos lo solicita al cargar. Evite caracteres especiales no admitidos y permita S3 en el firewall. Valide un snapshot piloto completo, legible y convertible por un investigador autorizado, denegando accesos no autorizados. Retire después roles, políticas y asignaciones obsoletos.
Investigar Detections y Threat Graphs de Sophos Endpoint explica el resto de la investigación.
Permitir o bloquear archivos en todo el tenant
En Global Settings > Protection and Remediation > Allow and Block > Files, Allowed Applications muestra el origen de una autorización. Según la plataforma, se permite por certificado, SHA-256 o ruta; certificados y rutas pueden abarcar varias versiones. La aplicación queda permitida para todos los usuarios y excluida de posteriores Threat Detections, aunque continúan los controles de exploits, ransomware y comportamiento malicioso. Antes de Allow, verifique fabricante, firma o hash, Owner, motivo, alcance y caducidad. Remove revoca la autorización; compruebe después en un piloto que la Detection vuelve a funcionar.
Blocked Items requiere XDR y bloquea aplicaciones sospechosas por SHA-256 en Windows, pero no archivos con reputación trusted ni otros objetos. Pulse Add, introduzca SHA-256 y Reason y seleccione Save. Las entradas de archivos permitidos y bloqueados comparten un único límite de 5.000 entradas en todo el tenant; revise la capacidad combinada de ambas listas antes de cargas masivas. Verifique en un piloto que la aplicación no arranca y aparece el Event esperado. Remove es la reversión y también debe probarse. Para otras exclusiones, consulte Configurar exclusiones de Sophos Fusion Endpoint de forma segura.
9. Aprobar oleadas y transferirlas a operaciones
Para cada oleada, defina los dispositivos incluidos, quién supervisa el avance y qué señales obligan a detenerla. Entre las señales adecuadas figuran una acumulación de errores de instalación, falta de comunicación del agente, asignaciones de políticas inesperadas, problemas en aplicaciones o un volumen de Alerts imposible de gestionar.
La operación normal comprende, como mínimo:
- responsabilidad diaria sobre los Alerts críticos y los brotes,
- revisión periódica de dispositivos inactivos o en mal estado,
- revisión de licencias, Agent Modes y ciclo de vida de las plataformas,
- pilotos controlados de software y políticas,
- control de caducidad de las excepciones,
- comprobación de proxy, Update Cache y Message Relay,
- procedimientos documentados de Response, privacidad y soporte.
Una oleada solo se completa cuando sus dispositivos no solo están instalados, sino también aceptados técnicamente e incorporados a estos procesos operativos.