Utilizar Sophos Endpoint localmente y comprobar la protección
Sophos Fusion (antes Sophos Central) muestra el estado central previsto. La interfaz local indica qué está realmente instalado, si funcionan los componentes y qué Events ocurrieron en el dispositivo. Un diagnóstico fiable necesita ambas perspectivas.
Este artículo cubre el agente local en Windows y macOS. Sophos Firewall, Sophos Mobile y Server Protection son productos separados.
Abrir la interfaz y el estado de protección
En Windows, abra Sophos Endpoint desde el icono del área de notificación o Inicio. En Mac, utilice el icono de la barra de menús.
La página inicial muestra el estado. Verde significa que no hay Alerts o solo de prioridad baja, amarillo que hay al menos una de prioridad media, rojo que existe al menos una de prioridad alta y gris que el estado es desconocido. Incluso el verde no demuestra que el dispositivo haya recibido la política o la fase de software correctas. Compruébelas en My Environment > Computers & Servers.
Comprobar funciones instaladas
About o los detalles muestran componentes y versiones. Es importante cuando Sophos Fusion muestra Endpoint, XDR o XDR Sensor, pero faltan módulos localmente.
En Windows, se abre el icono de Sophos del área de notificación y se selecciona About en la esquina inferior derecha. En macOS, se utiliza el icono de Sophos de la barra de menús y se accede a Sophos Endpoint > About. Los componentes pueden tener versiones diferentes; para una comparación con soporte se anotan por tanto las versiones relevantes, no una supuesta versión global.
XDR Sensor aporta telemetría, pero no protección completa contra malware. Debe existir otro producto operativo.
Entender los ajustes locales
Settings muestra las áreas utilizadas. Según plataforma y licencia incluyen:
- Deep Learning y Real-time Scanning,
- Web, Application y Peripheral Control,
- Runtime Protection y prevención de exploits,
- Adaptive Attack Protection,
- Computer Controls locales.
Sophos Fusion controla normalmente estos valores. Para un diagnóstico local, pulse Admin sign-in en Windows o Admin login en Mac, introduzca la contraseña de Tamper Protection y active Override Sophos Central Policy for up to 4 hours to troubleshoot en Settings. Los cambios sustituyen la política de Sophos Fusion durante un máximo de cuatro horas y después se revierten automáticamente. Puede finalizar antes todo el Override, pero no restablecer cada control por separado.
Regla operativa: El Override es una prueba temporal. La corrección permanente se realiza en la política efectiva y se vuelve a verificar.
Events y Detections
En Events, el agente muestra eventos locales de protección y administración. Filtre por tipo y tiempo. Es útil cuando Sophos Fusion solo muestra un Alert consolidado o el usuario informa de una hora exacta.
Detections muestra actividad sospechosa e historial. No toda Detection es malware confirmado. Evalúe proceso, ruta, usuario, hora, Parent Process y actividad secundaria. Las investigaciones XDR amplias se realizan en Threat Analysis Center.
Acciones disponibles localmente
Un enlace de acción solo aparece en un Event que requiere intervención y después de iniciar sesión localmente como Admin. Sophos indica que son las mismas acciones disponibles en Sophos Fusion Admin. Si falta el enlace, compruebe primero estado del Event, inicio de sesión Admin, plataforma, licencia y componente instalado. La limpieza local no sustituye Incident Investigation ni la corrección permanente de la Policy o aplicación causante.
Sophos Fusion muestra Events y el Agent local no
Si falta localmente un Event esperado, restablezca primero el filtro a All Events y busque por origen o Detection Type. Compare después la hora y el dispositivo con Sophos Fusion. No elimine almacenes locales ni archivos protegidos del agente a modo de prueba. Si la discrepancia persiste, recopile una SDU y analice los logs de Windows con la guía enlazada.
Iniciar una actualización manual
En About > Update Now, el agente solicita Threat Data actuales. Puede ayudar a un dispositivo temporalmente obsoleto, pero no elude una conexión bloqueada, un proxy roto o una licencia caducada. Como la detección no depende de firmas, la pantalla local por sí sola no confirma la versión más reciente; el administrador la comprueba en Sophos Fusion.
Después, compruebe por separado:
- El agente local ya no muestra error.
- About muestra versiones plausibles.
- Sophos Fusion actualiza Last Active, Health y software.
Si localmente está verde y Sophos Fusion sigue con error, compruebe comunicación, asignación y Agent Mode.
Analizar equipo o archivo
En Status o Detections, Scan > Quick scan comprueba memoria, Master Boot Record, procesos activos y archivos de inicio. Scan > Full scan comprueba todos los archivos y carpetas, además de memoria y MBR, por lo que tarda más. Un Scan iniciado en Sophos Fusion o programado mediante Policy es un Full Scan.
Los archivos individuales pueden comprobarse en Windows Explorer y macOS Finder con Scan with Sophos Endpoint. En Windows 11, la entrada puede aparecer solo en Show more options. Si falta en Mac, actívela en Services > Services Settings o System Settings > Keyboard > Keyboard Shortcuts > Services > Files and Folders.
En un análisis iniciado desde el menú contextual, un archivo comprimido cuenta como un solo archivo. Los archivos comprimidos cifrados no pueden analizarse; los archivos cifrados que contienen se omiten del recuento de archivos analizados, pero aparecen en el registro del análisis.
Un análisis complementa Real-time Protection; no la sustituye. Resulta útil ante sospecha, tras Cleanup o para validar un dispositivo nuevo. Antes de un Full Scan amplio, considere CPU, I/O y horario.
Para análisis Windows automatizados con códigos de salida y JSON, consulte Analizar Sophos Endpoint desde CLI.
Limpiar una amenaza
Cuando el agente informa de una amenaza, determine si se limpió o solo detectó. Ejecute otro análisis solo tras evaluarla. Detections recurrentes, malware activo, ransomware o tráfico malicioso requieren aislamiento y triaje.
No cree una exclusión por comodidad. El proceso está en Sophos Endpoint Threat Cleanup y eliminación de malware.
Transferencia de archivo bloqueada
Esta función para usuarios solo está disponible en Windows. File transfer blocked suele proceder de DLP u otro control. Al transferir varios archivos, el aviso puede afectar solo a parte mientras otros sí se copiaron.
Una simple notificación emergente significa que la política no permite la aprobación del usuario. Un diálogo con Allow y Block, en cambio, permite decidir sobre esa transferencia. Si no se elige nada, caduca a los cinco minutos y no se transfieren más archivos. Con varios archivos, Sophos transfiere hasta encontrar el primero bloqueado. Block termina la transferencia y bloquea todos los restantes; Allow continúa hasta la siguiente coincidencia. Los archivos transferidos antes no se recuperan.
Registre archivo, destino, aplicación, hora y usuario. Busque el Event en DLP Event Log y compruebe la política efectiva. Autorizar ampliamente la aplicación ocultaría la causa.
Restaurar acceso al equipo
Tras una configuración errónea, reglas Web, de red o Peripheral pueden impedir acceso. Mientras llegue a Sophos Fusion, corrija la política y espere sincronización.
Si ya no hay comunicación, se necesita acceso administrativo local y quizá la contraseña Tamper Protection del dispositivo. Puede requerirse acceso físico, especialmente si se bloquearon adaptadores. Documente la recuperación.
Capturar tráfico directamente en Endpoint
Para fallos reproducibles como ZTNA, abra About > Endpoint Self Help como Admin e inicie Tools > Packet Capture. Desactive temporalmente Tamper Protection, reproduzca solo el fallo y detenga la captura.
Self Help guarda ETL y PCAPNG en C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture. Pueden contener direcciones, DNS y Payload Data, por lo que deben protegerse. Límites y requisitos están en Diagnosticar Sophos Endpoint con Self Help y SDU.
Consultar el estado por CLI
En Windows actual, sophosinterceptxcli.exe está en C:\Program Files\Sophos\Endpoint Defense y ofrece un estado Machine Readable soportado, preferible a leer Registry.
cd "C:\Program Files\Sophos\Endpoint Defense"
sophosinterceptxcli.exe query softwaremonitor all --json
sophosinterceptxcli.exe query configuration on_access_scan_enabled --json
Sophos Software Monitor devuelve Status y con --json componentes y versiones. Tras instalar, está disponible después del primer Product Update, normalmente en cinco minutos. Espere al menos un segundo entre consultas y evalúe Status, Exit Code y antigüedad.
query configuration devuelve solo Policy Values expuestos, actualmente on_access_scan_enabled. Requiere Prompt administrativo, no cambia Policies ni sustituye compararlas con Sophos Fusion.
Comprobación local como Runbook
Durante un fallo:
- Compruebe Security Status y hora del último cambio.
- Revise componentes y versiones en About.
- Filtre Events y Detections alrededor del fallo.
- Inicie una actualización y observe el resultado.
- Compare Health, Last Active, Agent Mode y políticas en Sophos Fusion.
- Solo entonces use Self Help o SDU.
Estas herramientas se explican en Diagnosticar Sophos Endpoint con Self Help y SDU. Para asignar de forma orientada al síntoma Update, MCS, Health, protección web, Cleanup y Live Response se utiliza Analizar correctamente logs y servicios de Sophos Endpoint en Windows.