Sophos Mobile: diagnosticar tareas fallidas y problemas de sincronización

¿Parece que una política de Mobile no llega al dispositivo, una tarea sigue pendiente o el dispositivo muestra un estado desactualizado? Una marca de tiempo reciente en «Last active» acredita que el dispositivo se ha sincronizado, no que se hayan aplicado todos los comandos. Primero hay que identificar la tarea afectada y su resultado; ni crear otra tarea ni volver a sincronizar corrige automáticamente la causa del error.

Alcance y comprobaciones previas

Este recorrido de diagnóstico se aplica a las tareas de Sophos Mobile y Sophos Mobile Threat Defense. No es una guía para la cola de tareas del firewall, para volver a registrar el dispositivo ni para cambiar la asignación de políticas. Los problemas conocidos del producto solo sirven como comparación posterior para el caso concreto, no como punto de partida para intentar una reparación genérica.

Límites de función y acción: La revisión de tareas y del archivo que se describe a continuación es de solo lectura; utilice los permisos de consulta efectivamente concedidos en el tenant en el que ha iniciado sesión. Sophos Mobile distingue entre Administrator, Helpdesk y Read-only; poder ver un dispositivo o leer una tarea no autoriza automáticamente a usar Synchronize, Get log files o Set log level. Antes de cualquiera de estas acciones, compruebe el permiso concreto en el tenant y la autorización para esa intervención específica; si no dispone de permiso, limítese al diagnóstico de solo lectura y derive el caso a una persona autorizada. La clasificación general de funciones no acredita permisos específicos para las acciones de Helpdesk.

Antes de empezar, anote:

• Tenant y edición, dispositivo/plataforma, titularidad y modo de administración, así como la aplicación administrada (Sophos Mobile Control, Sophos Intercept X for Mobile, Sophos Chrome Security) o el agente MDM nativo. La edición Threat Defense no dispone automáticamente de las vías de sincronización de la edición Mobile completa para Mac, Windows o MDM nativo de iOS.
• Política o tarea afectada, dispositivo de destino y asignación, hora del cambio con zona horaria, último estado satisfactorio conocido y síntoma concreto en el dispositivo. ¿Afecta a un solo dispositivo o a varios del mismo tipo? ¿Sigue habiendo conexión de red y se puede acceder a la aplicación necesaria?
• Si la tarea implica una instalación, un mensaje, un análisis o una acción potencialmente destructiva. Enviar un mensaje a dispositivos administrados no sirve para comprobar que se haya aplicado una política. Scan for malware solo crea una tarea de análisis para dispositivos Android cuyo Intercept X for Mobile esté administrado por Sophos Mobile; en la edición completa se requiere para ello Sophos Mobile o Sophos Mobile Threat Defense. El resultado del análisis figura por separado en Scan results, no en la simple marca de tiempo «Last active».

Identificar primero la tarea y el error sin realizar cambios

1. En Sophos Mobile Admin > Tasks, filtre por tipo y estado de tarea y, si hace falta, ordene por nombre del dispositivo. La vista de tareas muestra las tareas pendientes y fallidas, además de las terminadas recientemente; se actualiza automáticamente. Actualizar esta vista no sincroniza el dispositivo.
2. Consulte el estado de la tarea afectada en State y ábrala con el icono de lupa Show. Anote la secuencia y las marcas de tiempo de los estados, los códigos de error y, si están disponibles, los Details de los comandos enviados al dispositivo. En esta vista de comandos, el código 0 significa que no se ha notificado ningún error; otros códigos no siempre vienen acompañados de una descripción.
3. Para tareas terminadas o fallidas más antiguas, abra Task archive y, si es necesario, seleccione Reload. El archivo contiene tareas completadas y fallidas; Reload vuelve a cargar la vista del archivo, no el dispositivo. Delete, Delete selected y la eliminación de una tarea bloqueante en la vista de tareas activas alteran el conjunto de tareas y eliminan pruebas de diagnóstico. Eso no demuestra que se haya revertido un comando ya ejecutado parcialmente en el dispositivo.
4. Compare por separado la política prevista y el estado observado del dispositivo. Successful indica que se han ejecutado los comandos o una instalación; durante la configuración inicial de la aplicación, Installed es el estado propio del aprovisionamiento. Ninguno de esos estados sustituye la comprobación del efecto realmente esperado en el dispositivo.

Orientación rápida: Si la tarea espera a la aplicación, al usuario o al desbloqueo, compruebe primero ese requisito; si hay errores de comandos, conserve la secuencia de estados y los Details; ante Skipped o Unknown, aclare si se trata de falta de compatibilidad o de ausencia de estado del servidor. Los plazos documentados solo se aplican al estado indicado en cada caso.

Conservar los registros necesarios antes de intervenir

Tras revisar la vista de tareas y el archivo, decida si los estados y códigos de error disponibles bastan para el diagnóstico o si se necesitan registros de la aplicación. Conserve las pruebas necesarias antes de una sincronización manual, una nueva tarea o un cambio del nivel de registro; si no tiene autorización para solicitar los registros o el destinatario no está aprobado, continúe con el diagnóstico de solo lectura y escale el caso con los datos existentes. Get log files no es un paso obligatorio en todos los casos.

Conservar los datos ya disponibles en Android: El usuario puede consultar el registro local en Intercept X for Mobile > Menu > Log; Delete lo elimina. Consultar las entradas existentes no es lo mismo que cambiar el nivel de registro.

Cambiar y comprobar el nivel de registro de forma específica

Set log level permite definir cuánta información de registro recopila el cliente de Sophos Mobile en el dispositivo. La acción se aplica a dispositivos Android, iPhones, iPads y Chromebooks con un cliente de Sophos Mobile. No es un comando MDM general para dispositivos sin ese cliente. Aumente el nivel de registro únicamente con autorización, dejando constancia del valor inicial y de un plan para restablecerlo.

1. En Sophos Mobile Admin, abra Devices en la barra lateral.
2. Seleccione uno o varios dispositivos cuyo nivel de registro quiera cambiar. Antes de seleccionar varios, compruebe sus plataformas.
3. Seleccione Actions > Set log level.
4. Seleccione el nivel de registro necesario. Como alternativa, seleccione Device default para que los usuarios puedan establecer el nivel de registro en el propio dispositivo.

Los niveles disponibles dependen de la plataforma; en cada una de las siguientes listas, la cantidad de información registrada aumenta de izquierda a derecha:

• Android: Error, Warn, Info.
• iPhone/iPad y Chromebook: Error, Warn, Info, Debug, Trace.

Si se seleccionan dispositivos Android junto con otros dispositivos compatibles y se elige Debug o Trace, Sophos Mobile excluye de la acción los dispositivos Android. Por tanto, la recomendación de Sophos de usar Trace antes de solicitar registros no se puede aplicar a Android mediante esta acción. Esto no permite concluir nada sobre los registros disponibles localmente ni sobre sus niveles.

Comprobar la configuración impuesta: Abra el dispositivo correspondiente en Devices y consulte la propiedad client.log.level.serverOverride en Show device > Internal properties. Esta muestra una configuración impuesta desde el servidor, no necesariamente el nivel de registro local efectivo. Por ello, especialmente con Device default, hay que comprobar por separado la configuración local. No considere que se ha cambiado correctamente el nivel de registro de los dispositivos Android excluidos. Tras el diagnóstico, restablezca el valor inicial documentado conforme a la autorización y vuelva a comprobar la configuración impuesta.

Solicitar los registros de forma remota

En Sophos Fusion > My Environment > Mobile Devices, abra el nombre del dispositivo y luego Actions > Get log files. La acción solicita los registros de todas las aplicaciones de Sophos Mobile administradas por Sophos Mobile en ese dispositivo. En Android y iPhone/iPad son Sophos Mobile Control y Sophos Intercept X for Mobile; en dispositivos Chrome, Sophos Chrome Security. No es una exportación arbitraria de una sola aplicación ni, en general, un registro de todo el dispositivo; esta acción no está documentada para Windows ni Mac. Sophos Mobile envía los archivos por correo electrónico al administrador que los solicitó. Por ello, solicítelos solo con autorización, un destinatario aprobado, minimización de datos y almacenamiento seguro.

iPhone/iPad: abrir la aplicación correspondiente en un plazo de 72 horas: Después de la acción en Fusion, según las instrucciones de Fusion y de la edición Mobile completa, el usuario debe abrir Sophos Mobile Control. En cambio, las instrucciones específicas para la obtención remota en Mobile Threat Defense exigen abrir Intercept X for Mobile. El plazo comienza al realizar la solicitud; si la aplicación correspondiente no se abre a tiempo, la solicitud falla. Antes de solicitar los registros, determine qué aplicación corresponde al modo de administración concreto según la edición y la aplicación realmente administrada; no infiera solo de las instrucciones de Fusion que un dispositivo exclusivamente Threat Defense necesite la aplicación SMC. Si la solicitud falla, registre el fallo y aclare la edición, la aplicación y la conectividad antes de volver a solicitar los registros con autorización; abrir la aplicación después del plazo no demuestra que se hayan obtenido correctamente. En iOS, utilice Send log files en Intercept X únicamente a petición del soporte de Sophos.

Para Android Enterprise, en la edición Mobile completa se puede solicitar además un informe de errores de Android con datos de diagnóstico de todo el dispositivo. En modo quiosco, esta opción adicional no está disponible si Show notifications está desactivado, porque el usuario no puede confirmar la notificación necesaria. La obtención remota de registros de aplicaciones administradas es independiente de esta opción.

Exportar los registros directamente desde el dispositivo

También es posible realizar una exportación local desde una aplicación que no esté administrada por Sophos Mobile. En ese caso, los registros de esa aplicación se exportan desde la propia aplicación; esto no implica que Sophos Mobile disponga de acceso remoto. En cambio, la exportación mediante Sophos Mobile Control recopila los registros de todas las aplicaciones de Sophos Mobile administradas en el dispositivo.

Comprobar las restricciones antes de la exportación local: En modo quiosco, los usuarios no pueden enviar registros desde Sophos Mobile Control; la obtención remota mediante Sophos Mobile sigue siendo posible. En dispositivos Samsung, una Knox container policy asignada con Allow “Share via” desactivado impide la exportación directamente desde el dispositivo. No extrapole esta restricción de Knox a la obtención remota ni la relaje sin comprobarla para realizar el diagnóstico.

Sophos Mobile Control en Android o iPhone/iPad

1. Abra Sophos Mobile Control y seleccione Send log to Sophos en el menú de la aplicación. Esta vía recopila los registros de todas las aplicaciones de Sophos Mobile administradas por Sophos Mobile en el dispositivo.
2. Seleccione una aplicación de correo electrónico e introduzca o compruebe el remitente y el destinatario. En Android, la cuenta de Google del usuario está preseleccionada como remitente y el contacto de TI configurado en Sophos Mobile Admin como destinatario. El contacto de TI se encuentra en Setup > General > IT contact. No dé por supuestos estos valores predeterminados de Android en iPhone/iPad.
3. Envíe el correo solo después de comprobar las direcciones reales y de que se haya aprobado el destinatario. El nombre de la opción del menú no significa que deba enviar los archivos a Sophos sin revisarlos.

Intercept X for Mobile en Android

1. Abra Intercept X for Mobile y seleccione Settings > Send log to Sophos en el menú de la aplicación. Esta exportación contiene los registros de Intercept X, no automáticamente los de otras aplicaciones administradas. La función entrega los archivos de traza y de registro a otra aplicación para su envío.
2. Seleccione la aplicación de correo electrónico e introduzca o compruebe el remitente y el destinatario. El remitente predeterminado es la cuenta de Google del usuario. Las instrucciones de Mobile Threat Defense también indican el contacto de TI configurado como destinatario predeterminado; las instrucciones de la edición Mobile completa no especifican un destinatario predeterminado para esta exportación de Intercept X. Por ello, compruebe la dirección que aparece en el dispositivo concreto en lugar de asumir el valor predeterminado de SMC.
3. Envíe el correo únicamente al destinatario aprobado.

Intercept X for Mobile en iPhone/iPad

1. Abra Intercept X for Mobile y seleccione Settings > Diagnostics > Send log files.
2. Seleccione Mail y compruebe el remitente y el destinatario. El remitente predeterminado es la dirección de correo electrónico vinculada al Apple Account. La ayuda de la aplicación Intercept X indica Sophos Support como destinatario predeterminado; la dirección se puede cambiar si es necesario.
3. Envíe los archivos al soporte de Sophos solo si este los ha solicitado. Para otra entrega autorizada, cambie el destinatario según corresponda y solo entonces seleccione Send. También en este caso se trata de registros de la aplicación Intercept X, no de registros del sistema iOS.

Para los registros del sistema iOS, Sophos remite al procedimiento independiente Get iOS logs using Apple Configurator 2 or Xcode. Las exportaciones de aplicaciones descritas aquí no sustituyen ese procedimiento.

Sophos Chrome Security

1. Abra Chrome y seleccione Sophos Chrome Security en la barra de extensiones.
2. Seleccione About > Export log. Los archivos de registro se guardan en la carpeta de descargas del dispositivo; no se envían automáticamente por correo electrónico.
3. Compruebe en la carpeta de descargas que la exportación existe. Solo entonces entréguela por la vía de transferencia aprobada por la organización.

Comprobar la exportación y la entrega

Un correo preparado o enviado todavía no demuestra que el destinatario aprobado haya recibido los archivos. Solicite confirmación de la recepción de los adjuntos necesarios; en Chrome, compruebe primero la exportación guardada. Si falla la exportación o el envío, registre el error y la aplicación y el modo de administración afectados. No eluda las restricciones del modo quiosco o de Knox como supuesta solución de sincronización.

Para los archivos exportados, Avanet recomienda seguir las pautas de tratamiento establecidas por la organización: Guarde las descargas, los adjuntos y las copias de correo únicamente para la finalidad prevista, limite el acceso a las personas responsables y elimine las copias conforme al procedimiento aprobado de conservación y eliminación. Esta recomendación se refiere a las copias propias, no establece un plazo de conservación de Sophos ni implica la eliminación de adjuntos de casos de soporte. No considere que las exportaciones estén necesariamente anonimizadas.

Comprobar la sincronización esperada del dispositivo

Después de revisar la tarea en Mobile Admin, vaya a la página de dispositivos móviles en Sophos Fusion > My Environment > Mobile Devices y compare allí Last active con la aplicación, la plataforma y el intervalo configurado. Hay sincronizaciones periódicas, activadas por eventos y manuales; cada sincronización reinicia el intervalo periódico siguiente. Por tanto, no presuponga un objetivo universal de 15 minutos o 24 horas para que una política surta efecto.

• En Android con Sophos Mobile Control, distinga entre la regla de cumplimiento del servidor Maximum interval between SMC synchronizations y el intervalo independiente iniciado por el dispositivo en Setup > Google setup > Android > SMC app sync interval. Para la regla del servidor se documenta un intervalo de 24 horas si no se indica ningún valor. Si Intercept X for Mobile está administrado en Android, se aplica en su lugar la regla de cumplimiento correspondiente a Intercept X.
• En iPhone/iPad con Sophos Mobile Control se aplica la regla SMC (sin valor: 24 horas); con Intercept X for Mobile administrado, la regla de Intercept X. Para iPhone/iPad sin aplicación de Sophos Mobile, la documentación de la edición Mobile completa indica la regla Maximum interval between native MDM agent synchronizations (sin valor: 24 horas). No extrapole esta variante de MDM nativo a Threat Defense.
• Para Chrome Security se aplican la regla de cumplimiento correspondiente del servidor y una vía de sincronización iniciada por el dispositivo cada 24 horas; la documentación de Mobile completo indica 24 horas para la regla del servidor cuando no se especifica un valor. Solo la edición completa menciona un intervalo de 24 horas para Mac.
• Para Windows en la edición completa, distinga entre la regla de cumplimiento de MDM nativo del servidor y el intervalo iniciado por el dispositivo en Setup > Microsoft setup > MDM polling interval. Un cambio posterior del intervalo de sondeo no llega a los dispositivos ya registrados. Esto no permite concluir nada sobre la compatibilidad actual de una versión concreta de Windows.

No acorte los intervalos por reflejo: una frecuencia mayor aumenta el consumo de batería, datos y recursos del servidor y no sustituye el análisis del error.

Acción específica y comprobación del resultado

Antes de una nueva solicitud, conserve la secuencia de estados y los códigos de error y, si hacen falta, solicite los registros según la sección anterior, solo en la medida necesaria y con autorización. Aclare primero la causa y los permisos; si hay una infracción de cumplimiento, corrija antes su motivo. Después solicite únicamente la sincronización manual que corresponda a la edición y al dispositivo:

• Administrador en Sophos Fusion: En la página de dispositivos móviles, seleccione Actions > Synchronize. Esto inicia la sincronización del dispositivo, pero no confirma que haya tenido éxito.
• Usuario con Sophos Mobile Control: Deslice hacia abajo el panel principal de la aplicación.
• Usuario autorizado en Sophos Central Self Service Portal: Inicie sesión en el portal, abra Mobile, seleccione su propio dispositivo asociado y, en la página de ese dispositivo, elija Actions > Refresh data. Esta acción no está disponible para algunos tipos de dispositivo; si no aparece o el dispositivo no pertenece al usuario que ha iniciado sesión, no la sustituya por otra acción: derive el caso a la administración responsable. Este paso inicia una sincronización, pero no demuestra que la política se haya aplicado correctamente.

Decida según el modo de administración, no mediante una reparación genérica: Si no responde la aplicación SMC, compruebe su accesibilidad y las acciones del usuario en el dispositivo SMC afectado; si está administrado Intercept X for Mobile, compruebe la conexión de Intercept X y el resultado de su tarea, sin dar por supuesto que exista un panel de SMC. Para MDM nativo de iOS, Mac o Windows, compare únicamente la vía de sincronización documentada para la edición Mobile completa; no aplique el gesto de la aplicación SMC a dispositivos sin esa aplicación. Ante Skipped, no repita una acción no compatible con el dispositivo; si falta la conexión con un servicio externo o hay un reintento programado, espere la evolución de ese estado o escale el caso con el error concreto. Ni una sincronización manual ni un análisis o un mensaje sustituyen la corrección de una política o conexión defectuosa.

Estas acciones no son diagnósticos de solo lectura ni una reparación universal mediante «Force Sync». Después compruebe ambas cosas: ¿Ha cambiado Last active como se esperaba? ¿Han terminado correctamente la tarea concreta y sus comandos, y se observa en el dispositivo el estado previsto? Si solo se ha actualizado la marca de tiempo, vuelva al análisis de estados y errores. Si sigue sin sincronizarse, compruebe la conectividad y el modo de aplicación/agente, y escale el caso con los estados conservados en lugar de repetir los envíos.

Iniciar un análisis de malware en Android y evaluar el resultado

Si la tarea concreta consiste en un análisis de malware, se necesita una licencia de Sophos Mobile (antes Central Mobile Advanced) o Sophos Mobile Threat Defense (antes Intercept X for Mobile). El análisis del dispositivo está disponible en dispositivos Android en los que Sophos Mobile administra Sophos Intercept X for Mobile. Los nombres de las licencias por sí solos no indican si la aplicación está realmente administrada en el dispositivo de destino; compruébelo antes de la acción, junto con los permisos y la autorización.

1. En Sophos Mobile Admin, abra Devices en la barra lateral.
2. Haga clic en el dispositivo que desea analizar.
3. En la página Show device, seleccione Actions > Scan for malware.

Esto crea una tarea de análisis del dispositivo y la envía a Sophos Intercept X for Mobile. Crear la tarea todavía no equivale a obtener un resultado de análisis. Para evaluarlo, abra la pestaña Scan results en Show device. Haga clic en el nombre de una amenaza que aparezca para consultar información adicional de SophosLabs. Compruebe por separado la evolución de la tarea y el resultado del análisis; una marca de tiempo reciente en Last active no sustituye esta evaluación. Si no aparece el resultado, vuelva a revisar la tarea y los errores en lugar de solicitar el análisis repetidamente.

Enviar un mensaje personalizado a dispositivos administrados

Send message permite enviar un texto personalizado a dispositivos administrados, por ejemplo, para coordinar una acción necesaria del usuario. Compruebe antes los permisos, la autorización y los destinatarios previstos. Este mensaje sigue siendo una acción de comunicación, no una prueba de que se haya aplicado una política.

1. En Sophos Mobile Admin, abra Devices en la barra lateral. Aparecerá la página Devices.
2. Seleccione uno o varios dispositivos de destino y elija Actions > Send message.
3. Introduzca el texto deseado en el diálogo Enter message. El mensaje puede contener como máximo 500 caracteres.
4. Compruebe los dispositivos seleccionados y el texto antes de enviarlo; después seleccione Finish.

Finish es el paso de envío, no una confirmación de que el usuario haya leído el mensaje. Si se solicita una acción del usuario, confirme con él que la ha realizado y compruebe después la tarea afectada o el estado esperado del dispositivo. No deduzca de un mensaje enviado que la política se haya aplicado correctamente.

Escalar sin perder datos

Para el caso de soporte, registre el identificador del dispositivo sin datos personales innecesarios, la edición, la plataforma y el modo de administración, la aplicación, el tipo de tarea, la secuencia de estados con sus horas y códigos de error, Last active, el estado esperado y el observado, y los pasos ya autorizados. Asocie una incidencia conocida solo si coinciden la sección del producto Mobile, el identificador de la incidencia, la plataforma, el modo de administración y el síntoma concreto; compare también la versión si la entrada la indica. La lista de problemas conocidos de Sophos es dinámica; su respuesta HTML puede contener secciones de productos sin filtrar. Una entrada sin versión indicada es solo una pista para el soporte, no una prueba de que el dispositivo esté afectado. En particular, un problema de sincronización de registros de red no implica necesariamente un problema de sincronización de políticas o tareas. La lista no es una receta de reparación general y, en particular, no justifica un reinicio como solución genérica de sincronización. La guía general de derivación explica cómo abrir un ticket de soporte de Sophos.

Deténgase antes de intervenir: No elimine tareas ni pruebas del archivo como diagnóstico habitual; no vuelva a registrar el dispositivo, quite perfiles, borre o restablezca el dispositivo, lo reinicie ni cambie certificados o ajustes de Wi-Fi como supuesta solución genérica de sincronización. Si no existe una vía de recuperación, se desconoce el código del dispositivo o la conexión Wi-Fi es la única disponible, consulte antes a los responsables del dispositivo y al soporte de Sophos. Para cambiar un intervalo o un nivel de registro, anote el valor anterior y restablézcalo de forma específica solo con autorización; después vuelva a comprobar de manera independiente el dispositivo y la tarea.