Diagnosticar Sophos Endpoint con Self Help y SDU

Una reinstalación aleatoria no resuelve un problema de Endpoint. Determine primero si afecta a componentes, comunicación con Central, actualizaciones, política, sistema o red. Endpoint Self Help aporta estado local y causas iniciales. Sophos Diagnostic Utility, o SDU, recopila después los registros técnicos.

La ruta de incorporación de Endpoint describe todo el recorrido de despliegue, desde la planificación hasta el traspaso a operaciones.

Flujo rápido para un diagnóstico fiable

1. Anote el síntoma, el impacto, la hora del error con zona horaria y una prueba reproducible.
2. Abra Endpoint Self Help y revise el área afectada y Network Test.
3. Active solo el diagnóstico adicional pertinente y reproduzca el problema dentro del intervalo acordado.
4. Revierta o detenga Debug Logging y Packet Capture y recopile después un SDU del mismo intervalo.
5. Transfiera el paquete de forma segura y asócielo al caso con su análisis y el nombre de archivo SDU mostrado.

Así, la revisión del estado, la reproducción y la recogida de pruebas quedan alineadas. No inicie reparaciones ni exclusiones amplias hasta conservar la observación.

Antes de recopilar registros

Documente los síntomas visibles:

• equipo, sistema y hora afectados,
• error local o captura,
• Central Health, Last Active, Agent Mode y políticas efectivas,
• última instalación, actualización o cambio,
• prueba reproducible y comportamiento esperado.

Esta información suele ser más útil que un archivo enorme sin referencia temporal.

Abrir Endpoint Self Help

ESH es compatible con Sophos Fusion (antes Sophos Central) Windows Endpoint y Windows Server. En la interfaz local, seleccione About abajo a la derecha y Open Endpoint Self Help Tool, o ábralo directamente desde C:\Program Files\Sophos\Endpoint Self Help. Muestra el estado de componentes, comunicación y servicios. Las páginas visibles dependen de la licencia, los componentes instalados y la generación del agente y de la plataforma; las versiones antiguas de Windows muestran menos estados y funciones.

Con Core Agent 2026.3.0.2090, Endpoint UI y Self Help se unifican en el componente Sophos Endpoint UI en Windows 10 64-bit y versiones posteriores. Las Release Notes sitúan esta versión en octubre de 2026 e indican una distribución gradual. Antes de reparar componentes, compruebe las versiones del agente y los componentes realmente instalados: a partir de esta generación, la ausencia de un paquete Self Help independiente no demuestra por sí sola un fallo de instalación. La unificación no demuestra que haya cambiado la ruta de inicio descrita anteriormente; compruebe el acceso disponible en el paquete instalado en lugar de suponer una nueva ruta de menú. Estado comprobado: 24 de octubre de 2026.

En plataformas modernas, a partir de Core Agent 2024.2, ESH se cierra tras dos horas sin interacción y avisa cinco minutos antes. A partir de 2024.3 comprueba automáticamente los Known Issues al iniciarse. Los agentes actuales separan System, Services y Update; las versiones anteriores pueden agrupar u omitir vistas. Por ello, cada captura de pantalla debe ir acompañada de la versión del agente.

Self Help responde preguntas como:

• ¿Funciona el componente esperado?
• ¿Hay un servicio detenido o defectuoso?
• ¿Llega el agente a Central y a actualizaciones?
• ¿Existe un error local conocido de configuración o permisos?

Documente cada comprobación roja con nombre, estado, detalle y hora. Antes de repararla, compruebe si una política o bloqueo de red recrearía la causa.

Si SophosDiag.exe se cierra al abrirse y el registro de eventos de aplicaciones de Windows identifica un user.config específico del usuario dañado, elimine únicamente el archivo indicado en el error dentro del perfil afectado. No automatice la eliminación de la carpeta superior, cuya ruta depende de la versión. Después vuelva a abrir Self Help. Si el error persiste, recopile un SDU o repare el componente instalado.

Utilizar de forma selectiva las páginas de Self Help

Cada página responde a preguntas distintas. No deben interpretarse como un semáforo general:

Una Policy Update puede tardar hasta cinco minutos. Si está activado localmente Override Sophos Central Policy for up to 4 hours, las nuevas Central Policies se almacenan en caché y solo se aplican al finalizar el override. En ese caso, una hora antigua de Policy no demuestra un problema de comunicación.

En Components, compare las versiones de módulos instaladas, descargadas y esperadas. Compruebe primero Not installed, las diferencias entre descarga e instalación o la presencia de varias versiones frente al estado de Update, un reinicio pendiente y otro producto de seguridad. No elimine preventivamente el repositorio local. En System, un Pending Restart persistente puede proceder de Windows Update. Tras cambios de hardware o software de seguridad, vuelva a detectar el estado del software con la CLI de Endpoint antes de iniciar una reparación.

Normalmente las acciones de Central llegan en segundos o minutos. En cambio, Last Active se actualiza como máximo aproximadamente cada hora. Un cambio de User Policy puede tardar más porque primero deben coincidir el usuario de Central, la cuenta local iniciada y la sesión interactiva reconocida por MCS Client.

Interpretar correctamente Network Test

Network Test comprueba los canales Updating, Management Communication y Sophos Extensible List (SXL). Para cada destino, la herramienta prueba primero HTTPS y, según el resultado, ICMP y la resolución DNS. Una conexión HTTPS correcta es decisiva para el funcionamiento. Por ello, un ping o nslookup por sí solos no demuestran una comunicación Central operativa.

Es la primera comprobación ante un estado degradado de Update o Communication, Live Discover/Response aparentemente offline o problemas de Real-Time Scanning, Web Control o SXL. Identifica la etapa que falla, pero no determina por sí sola la causa en el firewall, proxy o DNS. En Windows 7/8/8.1 y Server 2008 R2/2012, la prueba HTTPS a sdds3.sophosupd.net puede fallar porque el sistema operativo carezca de los conjuntos de cifrado necesarios.

Con Update Cache o Message Relay, Self Help solo comprueba la resolución DNS del servidor asignado. Un test DNS verde no confirma el estado del servicio, el puerto ni el reenvío. La función real de Cache o Relay se controla por separado.

Dos límites son especialmente importantes:

• Tras cambiar la asignación de Cache o Relay, Endpoint Self Help debe cerrarse y abrirse de nuevo; de lo contrario, Network Test aún puede utilizar el destino anterior.
• Network Test no admite proxies autenticados y puede producir resultados engañosos.

Los tests SXL requieren elevación UAC administrativa. Si el dispositivo utiliza Message Relay, Self Help no ejecuta directamente el test SXL porque este tráfico pasa por el Relay.

Si la comunicación sigue fallando, se comparan las direcciones de Broker mostradas por Self Help con la configuración MCS local. También se comprueban routing, el archivo Hosts de Windows, proxy y Firewall Log. Tras corregirlo, puede reiniciarse Sophos MCS Client y actualizarse Self Help. El acceso a Central desde el navegador no sustituye esta comprobación.

Errores de actualización sin borrar precipitadamente la caché

Una actualización fallida dentro del Sophos Grace Period puede ser temporal. Primero se comprueban Update Now, red, proxy, fuente de actualización y hora del último Update correcto. Si estas comprobaciones no revelan la causa, primero se guardan las siguientes pruebas de diagnóstico para Sophos Support.

En un fallo reproducible, SophosUpdate.log se correlaciona con una captura de paquetes simultánea y los logs de Firewall o proxy. Son decisivos la respuesta DNS, el Update Server realmente contactado, la ruta directa o mediante proxy y el primer error HTTP o TLS. Las rutas principales de logs de Windows se explican en Interpretar correctamente los logs y servicios de Sophos Endpoint para Windows.

El diagnóstico termina aquí; no modifique las carpetas de caché y repositorio por sospecha. Un restablecimiento de la caché requiere instrucciones completas de Sophos Support adecuadas para la versión del agente y los síntomas, con rutas exactas, orden y procedimiento de recuperación.

Esta intervención requiere derechos de administrador y Tamper Protection desactivado temporalmente; genera un Pending Restart Alert. Guarde o renombre las carpetas afectadas según estas instrucciones; no las borre sin comprobarlas. Tras la intervención debe completarse una actualización íntegra y Self Help debe volver a mostrar un estado saludable tras Refresh.

Por último, reactive Tamper Protection y compruebe el estado de protección activo tanto localmente como en Sophos Fusion. Mientras falte el procedimiento o la vía de recuperación, limítese a los resultados del diagnóstico.

Performance Analysis

Desde Core Agent 2024.3, ESH puede cargar resúmenes del Scanner en Windows 10 x64 o posterior y Windows Server 2016 o posterior. Admite resultados de un proceso de Product Analysis o archivos generados mediante SFS > Scan Summaries en Product Logging; pueden proceder de este dispositivo o de otro con ESH. Los archivos CSV se encuentran de forma predeterminada en:

C:\ProgramData\Sophos\Sophos File Scanner\Logs\summary.<TIMESTAMP>.csv

Pueden analizarse en otro dispositivo con Endpoint Self Help. El archivo muestra qué procesos y rutas generaron carga de Scan durante el periodo registrado. Esto todavía no justifica una excepción general. Primero se comprueban la aplicación, el patrón de acceso y la exclusión técnicamente más limitada.

Al analizar los datos, compare primero las carpetas con mucho tiempo de análisis acumulado, después las rutas examinadas con mayor frecuencia y, por último, los grandes volúmenes de datos. Una ruta frecuente no tiene por qué ser la de mayor duración total. Si Self Help advierte que una exclusión es demasiado amplia, úsela solo brevemente para confirmar la causa. Como solución permanente, limítela al subdirectorio o proceso que realmente genera la carga.

Product Analysis va más allá y desactiva y vuelve a activar de forma guiada las funciones de protección para delimitar el componente implicado. Requiere privilegios de administrador y, con Tamper Protection activo, su contraseña. Ejecútelo únicamente en un equipo de prueba controlado o durante una ventana de mantenimiento. Documente antes la protección y las actualizaciones, guarde el resultado y restablezca después todas las funciones y actualizaciones. La herramienta aporta una hipótesis, no una autorización automática para una exclusión.

File Info en lugar de suposiciones

En Tools > File Info se evalúa localmente un archivo PE de Windows. Self Help muestra SHA-256, tamaño, categoría Application Control, producto y decisión de Policy. Local Reputation incluye datos Sophos y Allowed Applications o Blocked Items propios, por lo que puede diferir de Global Reputation y prevalecer en la decisión local.

Deep Learning requiere licencia Intercept X adecuada. Un resultado verde no demuestra que malware ya detectado sea inocuo; normalmente no se pueden arrastrar archivos Malware o PUA detectados. Para una clasificación errónea se guardan Hash, Signature, Lookup Type local y global y decisión concreta, y después se usa Sample Submission.

File Info ofrece los datos más completos para archivos PE de Windows; para otros tipos de archivo, la información es limitada. Después de Run as administrator, Windows puede impedir arrastrar y soltar desde un proceso con menos privilegios; en ese caso, utilice browse for a file. La reputación y el resultado de la política no garantizan la integridad. Cuando la confianza sea decisiva, siga el análisis de muestras autorizado.

Profundizar en Policy, Services y Operations

Si Policy muestra timestamps antiguos, se distingue recepción de procesamiento local. Se revisa McsClient.log por Connection y Backoff, y McsAgent.log por Policy, Namespace y Status Errors. En MCS Cache, Active.policy y Latest.policy muestran si llegó una Policy nueva sin activarse. Solo se reinician servicios tras guardar la observación y se confirma la transición en el log.

No todo icono azul o vacío de Operations es un error. Se distingue Data Lake desactivado, dispositivo excluido o límite diario alcanzado de un servicio Live Query realmente defectuoso. Con mal Data Lake Status se revisan primero SophosLiveQueryService.log, SophosOsquery.log y Service State.

Heartbeat muestra Readiness, Certificate State y conexión con Sophos Firewall. configured, no connection currently available no prueba por sí solo un fallo del Endpoint y Heartbeat no entra en Device Health general. Si se espera conexión, se correlacionan logs por hora y Device ID. Registry o Certificate Repairs de Advanced Self Help solo se hacen con Backup, Tamper Protection desactivado y rollback documentado.

Iniciar SDU desde la interfaz

En ESH, abra Launch SDU, acepte el EULA y seleccione Start para recopilar información del sistema y registros de Sophos. Después, View log muestra la recopilación, Open folder abre sdu.log y los archivos, y Submit ofrece la carga o el envío manual para el caso de soporte. En Windows, sducli.exe sin opciones de recopilación guarda los resultados en C:\WINDOWS\Temp\sdu-YYYYMMDD_xxxxxx_xxxxxx. Para Upload to Sophos, sdu-feedback.sophos.com debe ser accesible por TCP 443. La URL de carga, que deliberadamente no puede abrirse en el navegador, se copia al caso y también se encuentra al final de sdu.log.

Puede contener hostnames, usuarios, rutas, IP, procesos, configuraciones y Events. No debe guardarse en tickets públicos, recursos sin protección ni chats.

También puede diagnosticarse desde Central un dispositivo Windows, macOS o Linux: abra My Environment > Computers & Servers, seleccione el dispositivo y después Summary > More actions > Diagnose > Run. El campo SDU muestra Status, Last Run y File Name; el nombre de archivo debe incluirse en el caso de soporte. La carga envía el archivo a Sophos por HTTPS 443 a través de la ruta habitual de dominios Sophos autorizados. La acción y el administrador que la inició aparecen en Reports > General Logs > Audit Logs.

Si el dispositivo está desconectado, Central conserva la orden un máximo de 14 días. Después la descarta y debe iniciarse de nuevo. El comando empieza con la siguiente comunicación con Central, por lo que antes deben aclararse el momento, la autorización de protección de datos y la conectividad prevista.

Product Logging y Packet Capture

Product Logging requiere elevación UAC. Un ajuste del Parent se aplica a todos sus Children; un asterisco en el Parent indica valores que difieren únicamente en el nivel Child. Save aplica los niveles pendientes; Revert… solo descarta los cambios antes de guardarlos. Para restablecer un nivel ya aplicado, seleccione Default en el Parent o Child modificado y pulse después Save. Al cerrar, Revert to Default restablece los valores predeterminados; Just Close deja activo el Debug Logging. Por tanto, cerrar ESH por sí solo no lo detiene.

Active el Logging solo para el componente sospechoso y durante un periodo reproducible. Después de restablecerlo correctamente, conserve los logs con la hora inicial, la final y los pasos. El Debug Logging permanente puede generar datos sensibles y mucho volumen.

Packet Capture utiliza Windows pktmon, requiere elevación UAC y no está disponible antes de Windows 10 1809 ni en Windows Server 2016 o versiones anteriores. El límite predeterminado es 512 MB y puede ajustarse entre 1 y 9999 MB; las compilaciones de Windows 10 anteriores a 2004 mantienen el límite de 512 MB. Un límite de almacenamiento evita llenar el disco. Cada ejecución genera capture-<date><time>.etl y capture-<date><time>.pcapng en C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture; deben enviarse ambos archivos. Cerrar ESH detiene la captura. Los archivos no se eliminan automáticamente y deben borrarse manualmente al finalizar el periodo de retención autorizado.

Si Self Help no puede elevar Logging, Packet Capture o SDU, primero se revisa UAC. UAC totalmente desactivado o prompts suprimidos puede bloquearlo. Restaurar valores Microsoft es más limpio que ejecutar permanentemente con la cuenta Administrator integrada.

Ejecutar SDU desde CLI de Windows

Normalmente se encuentra en:

C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe

La ayuda integrada se muestra así en una sesión de PowerShell con derechos de administrador:

& "C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe" -help

Parámetros importantes:

La salida -help de la versión instalada es la referencia. Las recopilaciones automáticas tienen límite de almacenamiento, destino seguro y fecha de eliminación.

Ejecutar SDU desde CLI de macOS

En Mac, inícielo desde el bundle:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --help

--help solo muestra los comandos disponibles; no recopila diagnósticos. El comando ejecutable de recopilación es:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --cli

--output_path="<path>" define la ubicación de salida; de lo contrario se usa el directorio actual. Estas opciones se aplican al agente macOS 2026.1 y posterior. El proceso necesita los permisos requeridos para los datos que debe recopilar. La falta de Full Disk Access o de autorización para System Extensions se comprueba además mediante el diagnóstico de permisos de macOS.

Ejecutar SDU desde CLI de Linux

En un dispositivo protegido por Sophos Protection for Linux, la utilidad instalada se ejecuta así:

/opt/sophos-spl/bin/sophos_diagnose

Crea un archivo tar.gz en el directorio de trabajo actual y recopila los registros del agente SPL, todos los plugins y el registro de auditoría. Para usar un destino controlado, cree un directorio privado y páselo como primer argumento posicional:

mkdir -p "$HOME/sophos-sdu"
chmod 700 "$HOME/sophos-sdu"
/opt/sophos-spl/bin/sophos_diagnose "$HOME/sophos-sdu"

El último argumento es un directorio, no el nombre del archivo; el tar.gz resultante se crea dentro. Así se conserva la sintaxis del fabricante sin usar una carpeta temporal compartida.

Entender el modo forense

SDU puede crear registros forenses especiales. Se destina a Sophos Incident Response o una investigación dirigida. No sustituye un proceso forense empresarial ni debe permanecer activo sin mandato.

Ante un posible compromiso:

• no reinicie ni limpie precipitadamente,
• documente fuente horaria y zona,
• escriba evidencias solo en destino controlado,
• registre hash, transferencia y acceso al archivo,
• involucre a Incident Response.

Mostrar configuración y software por CLI

La CLI local puede mostrar políticas y software. Output configuration muestra qué ajustes llegaron; Software Monitor informa del estado de componentes y puede actualizarlo.

Ayudan en tres discrepancias:

1. Central muestra política asignada, pero falta localmente.
2. Agent Mode es correcto, pero falta o falla un componente.
3. Se anunció actualización, pero Software Monitor sigue con error.

Compruebe la ayuda local porque comandos y parámetros dependen de la versión.

Analizar registros selectivamente

No lea todo. Empiece con un intervalo estrecho y busque el primer error, no solo los posteriores. Son útiles:

• registros de instalación y actualización,
• MCS o comunicación de administración,
• Health y componentes,
• Events Web, DLP, Application o Peripheral,
• Event Logs del sistema sobre servicios, drivers y certificados.

Un error no es necesariamente la causa. Deciden tiempo, componente y comportamiento reproducible.

Preparar un paquete de soporte

Incluya:

1. descripción e impacto,
2. hora exacta con zona,
3. dispositivos afectados y de comparación,
4. pasos para reproducir,
5. capturas sin secretos,
6. archivo SDU y registros de instalación,
7. medidas probadas y resultados.

Nunca adjunte contraseñas Tamper Protection, API Secrets, contraseñas de proxy ni tokens en texto claro.

Cumplir los Minimum Escalation Requirements

Sophos divide los requisitos de escalado para Windows Endpoint según la clase de error. Un SDU sin análisis propio no cumple estos Minimum Escalation Requirements, o MER.

Para cada caso se registran primero plataforma y versión del producto, componente afectado, alcance, frecuencia, reproducibilidad, cambios anteriores al problema y mensajes de error exactos. Los logs deben estar completos, incluir la hora del fallo y, en problemas cliente-servidor, estar sincronizados temporalmente.

Después se añaden los datos específicos del escenario:

En un caso de Performance, primero se distingue si destaca SophosFileScanner.exe, SEDService.exe, SSPService.exe, otro proceso Sophos o la carga general del sistema. Desactivar globalmente la protección sin una medición simultánea y una asignación exacta al componente no proporciona una causa fiable.

El caso de Support no incluye solo los archivos recopilados, sino también el resultado del análisis propio: qué log muestra el primer error relevante, a qué hora y qué hipótesis se confirmó o descartó.

Compruebe además en Account Preferences > Evaluation Modes si está activado Aggressive threat detection. Esta opción de diagnóstico de Sophos Support y SophosLabs aumenta notablemente la carga del sistema y no es una configuración base para producción. Si está activa, documente el motivo y desactívela después de la medición prevista. Si el problema continúa, trátelo como un caso de rendimiento separado con un nuevo intervalo.

En casos de Exploit, Ransomware o HitmanPro.Alert, compruebe también si Sophos ofrece una Endpoint Maintenance Release con una corrección adecuada. Genere el Crash Dump o Memory Dump completo después de reproducir el fallo y antes del SDU para que los artefactos correspondan al mismo periodo. No cambie el nombre de DLL ni Drivers de protección sin un Runbook actual de Sophos.

Preguntas frecuentes