Conectar Sophos Mobile Threat Defense con Microsoft Intune

Este borrador no autoriza cambios del acceso ni del conector en producción. El conector Sophos Mobile Threat Defense (MTD) vincula el estado de los dispositivos determinado por Sophos Intercept X for Mobile con Microsoft Intune. Intune lo evalúa mediante una directiva de cumplimiento de dispositivos; una directiva de Acceso condicional configurada por separado puede denegar el acceso a recursos empresariales a los dispositivos que no cumplan los requisitos. El conector no elimina por sí mismo el software malicioso ni sustituye la administración MDM de Intune.

No confundir: Las directivas de protección de aplicaciones de Intune en Sophos Mobile limitan el uso de aplicaciones según la identidad del usuario empresarial y pueden utilizarse sin administrar los dispositivos. Este artículo trata, en cambio, de MTD para dispositivos inscritos en Intune MDM. Que existan opciones generales de MTD de Intune para proteger aplicaciones o para dispositivos no inscritos no implica que este conector de Sophos funcione en un escenario exclusivamente MAM.

Comprobaciones previas y condiciones para detenerse

• Los dispositivos Android, iPhone y iPad previstos están inscritos en Intune MDM, no administrados exclusivamente mediante Intune MAM. La integración MTD de Sophos no admite dispositivos no inscritos. Se excluyen los dispositivos Android con el perfil de Intune Corporate-owned dedicated devices (por ejemplo, quioscos): en ellos no es posible el inicio de sesión de usuario necesario en el Portal de empresa.

• Azure Government no está disponible para esta integración directa MTD de Sophos con Intune; este conector directo tampoco admite MAM en lugar de MDM. Para ambos casos, Sophos describe una vía independiente: configurar Intune como EMM de terceros para administrar Sophos Intercept X for Mobile para Mobile Threat Defense. La vinculación de la aplicación mediante un EMM de terceros existente explica esta vía de administración y sus requisitos, en particular la compatibilidad con ajustes personalizados de aplicaciones y los requisitos de licencia y plataforma. Esta alternativa no es un paso del conector directo; no deducir de ella que dicho conector admita Azure Government o escenarios exclusivamente MAM, ni que se transmita el estado de seguridad al cumplimiento de Intune o se aplique Acceso condicional. No utilizar este registro de la aplicación en paralelo con una vinculación directa MTD de Intune ya configurada. Detenerse también si ya se ha configurado en Sophos Mobile la inscripción autónoma de Intercept X for Mobile; aclarar el modo antes de realizar cambios.

• Comprobar los permisos y las licencias en el inquilino concreto: Microsoft indica Intune Plan 1, Microsoft Entra ID P1 y Sophos Mobile Threat Defense. Sophos Mobile Threat Defense permite administrar Intercept X for Mobile; la licencia Sophos Mobile incluye MDM y Threat Defense. Una mera licencia de administración de dispositivos de Sophos Mobile no demuestra que se disponga de Threat Defense. Se requiere acceso de administrador del lado de Sophos. Para Bind, una cuenta de administrador de Microsoft Entra con los permisos correspondientes debe conceder el consentimiento en el inquilino correcto. Microsoft indica los permisos Sign in and read user profile, Access the directory as the signed-in user, Read directory data y Send device information to Intune; entre otras cosas, permiten transmitir el estado del dispositivo y cotejar el grupo de inscripción de Entra. Comprobar la pantalla de consentimiento real antes de aceptarla y documentar la aprobación. Para activar el conector MTD de Intune, la cuenta de Intune que realiza la operación necesita permisos RBAC equivalentes a los del rol integrado Endpoint Security Manager; si se usa un rol personalizado, en particular Read y Modify para Intune Mobile Threat Defense. Este rol de Intune no sustituye los permisos para conceder el consentimiento en Entra.

• Microsoft sigue indicando en la página del conector de Sophos que la integración requiere Android 7.0 o posterior e iOS 14.0 o posterior. Por separado, Intune exige Android 10.0 o posterior para el piloto de Android Enterprise descrito aquí, con administración basada en usuarios: perfil de trabajo en un dispositivo personal, perfil de trabajo en un dispositivo propiedad de la empresa o dispositivo totalmente administrado. Este requisito de Intune no amplía el ámbito de la integración de Sophos a dispositivos dedicados o sin usuario, AOSP ni escenarios exclusivamente MAM. En cambio, para la aplicación Intercept X for Mobile actual, Sophos indica iOS 15, iPadOS 15 o posterior. Por tanto, el requisito de la integración no demuestra que la aplicación sea compatible con iOS 14. Antes de instalar o inscribir, comprobar la versión real de la aplicación y su aplicabilidad al sistema operativo en el App Store de la región de destino y en el dispositivo piloto. Los dispositivos de destino necesitan el Portal de empresa de Intune; en iPhone/iPad, además, Microsoft Authenticator. No dar por hecho que otra aplicación de autenticación pueda sustituirlo en este procedimiento de Sophos.

• Comprobar también la compatibilidad de Intune con iPhone/iPad. Microsoft indica actualmente iOS/iPadOS 18 o posterior como versiones compatibles, tanto con afinidad de usuario como sin ella. La posibilidad de inscripción que se menciona por separado a partir de iOS/iPadOS 16 se refiere a dispositivos sin afinidad de usuario y no garantiza la compatibilidad con todas las funciones. Para configurar aplicaciones, Intune exige iOS/iPadOS 17.x o posterior; la referencia de iOS/iPadOS indica expresamente iOS 17.0 o posterior para Require the device to be at or under the Device Threat Level. Estos límites de cada función no sustituyen ni la compatibilidad actual de Intune con el sistema operativo ni los requisitos de la aplicación Sophos. Autorizar el piloto solo con un sistema operativo compatible con su modo de inscripción; las indicaciones de Sophos sobre iOS 14/15 no demuestran una compatibilidad completa con Intune.

• Los responsables del cumplimiento de Intune, Acceso condicional y Sophos Mobile acuerdan los grupos de usuarios piloto, el umbral de amenaza admisible, las excepciones, la vía de reversión y un acceso administrativo de emergencia operativo. Registrar las reglas de acceso y las asignaciones de dispositivos existentes antes de cualquier cambio. No asignar ampliamente ninguna directiva antes de observar en el piloto el inicio de sesión y el estado de dispositivo deseado.

• Antes de la activación, identificar los proveedores MTD existentes por inquilino y plataforma, así como sus requisitos de aplicaciones y análisis. Microsoft recomienda un proveedor por plataforma: si hay varios proveedores configurados para la misma plataforma, los dispositivos deben instalar cada aplicación MTD correspondiente y transmitir su análisis; si falta un análisis, el dispositivo no puede alcanzar el estado de cumplimiento. Por ello, no eliminar un proveedor existente sin comprobarlo ni limitarse a activar Sophos como proveedor adicional. La excepción de Microsoft para Defender for Endpoint con directivas de cumplimiento separadas no constituye una autorización general para combinar proveedores arbitrariamente.

Configurar el conector y el piloto

Esta secuencia sigue el procedimiento de Sophos: primero Sophos Mobile y después Intune. Microsoft documenta como alternativa crear primero el conector en Intune y vincularlo después en Sophos. No mezclar ambas secuencias sin control ni crear conectores duplicados.

1. En Sophos Fusion > My Products > Mobile > Setup > Sophos setup > Intune MTD, seleccionar Bind. Iniciar sesión con la cuenta de administrador de Microsoft Entra autorizada para ello, comprobar los permisos solicitados y solo entonces conceder el consentimiento.
2. Definir Owner (tipo de propiedad) y Device group para los nuevos dispositivos. En los campos opcionales Mobile Threat Defense policy (Android) y Mobile Threat Defense policy (iOS), seleccionar las directivas predeterminadas de Sophos para Intercept X for Mobile. Estos campos no determinan las directivas de cumplimiento de Intune; revisar antes en el piloto sus destinatarios y contenido. Seleccionar Save. En su procedimiento alternativo de configuración, Microsoft describe el mensaje Successful Integration y, después, la disponibilidad del conector Sophos en Intune como comprobaciones del resultado. Ni el mensaje ni la confirmación del inquilino correcto demuestran todavía que la aplicación haya realizado un análisis o transmitido el estado del dispositivo.
3. En Microsoft Intune admin center > Tenant administration > Connectors and tokens > Mobile Threat Defense, seleccionar el conector Sophos o, si la interfaz utilizada lo requiere, crearlo mediante Add > Sophos > Create. Antes de seleccionar las opciones, comprobar MDM Authority = Intune; Microsoft lo indica como requisito para que se muestre la lista completa de opciones. Si faltan opciones, aclararlo primero revisando MDM Authority, los permisos del conector y la compatibilidad específica del proveedor, no cambiando la autoridad de administración sin verificar las consecuencias. Tras vincularlo, activar y guardar solo las opciones Compliance policy evaluation realmente previstas para las plataformas piloto compatibles. Comprobar Connection status y Last synchronized time. Available significa configurado, pero no necesariamente activado para alguna plataforma; Enabled significa que hay al menos una opción de plataforma activa, no que esté demostrada la sincronización de los dispositivos. Las opciones generales de Microsoft para proteger aplicaciones, compartir inventarios y el rol MTD no son automáticamente requisitos específicos de Sophos: App Sync y Certificate Sync pueden compartir datos de dispositivos; Microsoft indica actualmente la sincronización de certificados solo para otro proveedor. No activarlas por precaución. Compartir el inventario de aplicaciones de dispositivos personales requiere, en particular, una decisión propia de protección de datos.
4. Añadir y asignar Sophos Intercept X for Mobile para las plataformas piloto como se describe a continuación. Distribuir la aplicación antes de aplicar una regla de cumplimiento o Acceso condicional que bloquee el acceso. La configuración de la aplicación es opcional y no sustituye la conexión completada en el dispositivo.
5. Crear las directivas de cumplimiento adecuadas para el modo de inscripción real y asignarlas inicialmente solo a los grupos de usuarios piloto. Autorizar por separado el umbral de amenaza y las acciones ante el incumplimiento; activar Acceso condicional para el ámbito previsto solo después de obtener resultados positivos en el piloto.

Evaluar la opción Grant MTD role permissions to <MTD partner name> on enrolled Android COBO and COPE devices por separado de la evaluación del cumplimiento. Microsoft la describe para dispositivos propiedad de la empresa totalmente administrados y con perfil de trabajo, inscritos mediante la Android Management API, no para perfiles de trabajo en dispositivos personales. No deducir de ello que Sophos admita también dispositivos de quiosco, AOSP o exclusivamente MAM.

Google establece distintos límites de sistema operativo para los efectos del rol MTD en la Android Management API. A partir de Android 14, la aplicación MTD queda exenta de suspensión, hibernación y restricciones de energía y ejecución en segundo plano. Las excepciones de energía descritas por Microsoft incluyen App Standby, el inicio de servicios en primer plano desde segundo plano y la protección de esos servicios frente a su detención por el usuario. A partir de Android 11, se bloquean los controles de usuario de la aplicación MTD; el usuario no puede borrar sus datos ni detenerla mediante Force stop. Estos límites corresponden a los distintos efectos del rol, no a la versión mínima para toda la integración del conector Sophos. Solo un proveedor MTD por inquilino puede recibir este rol. Antes de activarlo, su conector debe estar configurado y su aplicación MTD debe estar asignada a un grupo de usuarios o dispositivos. Esta asignación de la aplicación no es la regla de amenazas descrita más abajo, que solo admite grupos de usuarios. Activar la opción únicamente si aparece realmente para Sophos y tras autorizar sus efectos en un piloto adecuado. Aquí no se han probado ni la concesión efectiva del rol ni sus efectos en la aplicación.

Añadir la aplicación y asignarla al piloto

El piloto de Android descrito aquí utiliza Android Enterprise; una entrada genérica de la tienda de Android no es la vía para añadir la aplicación en este caso.

• Android Enterprise: Comprobar primero la conexión del inquilino de Intune con Managed Google Play. En Apps > All Apps > Create > Managed Google Play app, buscar la aplicación de Sophos y verificarla mediante el identificador de paquete fijo com.sophos.smsec. La entrada correspondiente de la tienda es https://play.google.com/store/apps/details?id=com.sophos.smsec. Añadir la aplicación correcta con Select, ejecutar Sync y actualizar la lista de aplicaciones de Intune con Refresh. Si falta o no está disponible para los dispositivos de destino, detener la distribución y aclarar la compatibilidad de la aplicación y el modo; no recurrir a un APK sin verificar ni a otro modo de administración.
• iPhone/iPad: En Apps > All Apps > Create > iOS store app > Search the App Store, elegir el país o la región adecuados y buscar exactamente Sophos Intercept X for Mobile. Seleccionar el resultado real de Sophos y, en App information, comprobar los campos Name, Publisher, Appstore URL, Minimum operating system y Applicable device type. El nombre mostrado debe ser único; si está duplicado, el Portal de empresa solo muestra una entrada. Establecer la versión mínima según la compatibilidad real de la aplicación y comprobar además los requisitos de sistema operativo de Intune, sin adoptar directamente iOS 14 de la página del conector. Un dispositivo con una versión inferior a la mínima configurada no recibe la aplicación. Añadirla mediante Review + create > Create.

En Properties > Assignments de cada aplicación, añadir el grupo de usuarios piloto previsto. Para una instalación voluntaria por el usuario, elegir Available for enrolled devices, siempre que se ofrezca para el modo de aplicación y dispositivo; como alternativa, utilizar Required para una instalación dirigida por Intune. Guardar la asignación y comprobar en el dispositivo piloto la instalación o disponibilidad real. Required no significa, en general, que la aplicación esté oculta en el Portal de empresa; las aplicaciones obligatorias de la tienda de iOS también pueden aparecer allí. Available with or without enrollment no amplía la compatibilidad de Sophos a dispositivos exclusivamente MAM.

Si una aplicación disponible no aparece en el Portal de empresa, comprobar primero la asignación, el usuario que ha iniciado sesión y Primary user, así como la aplicabilidad de la aplicación y el sistema operativo. Para Available for enrolled devices, el usuario que haya iniciado sesión allí debe ser el usuario principal que inscribió el dispositivo. En Android, comprobar además la sincronización y la tienda administrada correspondiente al modo de inscripción.

Configuración opcional de la aplicación

Una configuración opcional permite, por ejemplo, iniciar automáticamente el asistente de conexión o modificar la asignación de nombres. Si no se especifica Device name en Android o deviceName en iOS, Sophos Mobile utiliza el nombre del dispositivo de Microsoft Entra ID. Este nombre de respaldo también puede utilizarse sin configuración adicional. Para iOS, la documentación de Sophos menciona deviceName en la nota sobre la asignación de nombres, pero no incluye la clave en su tabla de ajustes. Por tanto, antes de configurar opcionalmente el nombre de esta forma, es necesario aclarar el tipo de datos y el valor exacto o la variable de Intune a partir de la información actual del fabricante; aquí no se proporciona ninguna configuración ejecutable de deviceName.

En Apps > Configuration > Create > Managed devices, crear una entrada para el piloto con un nombre inequívoco, elegir la plataforma y, en Targeted app > Select app, seleccionar la aplicación Intercept X administrada añadida previamente. En Settings > Configuration settings format > Use configuration designer, establecer solo los ajustes documentados para la plataforma de destino:

Android Enterprise: Con Add, seleccionar los campos que ofrezca el esquema real de la aplicación; comprobar los tipos de datos y los valores en ese esquema, sin deducirlos de iOS.

• Device ID: identificador único del dispositivo en el EMM. Intune ofrece distintas variables de identificador; no introducir un identificador de Entra o Intune sin verificarlo.
• Device name: nombre que utiliza Sophos Mobile al añadir el dispositivo. Opcionalmente, se puede elegir Value type > variable > User name para este campo. Comprobar en el piloto esta decisión de nombrar el dispositivo según el usuario; no sustituye un identificador único de dispositivo.
• EULA disabled: suprime la visualización del acuerdo de licencia de usuario final al iniciar la aplicación. Utilizarlo solo tras una aprobación jurídica u organizativa independiente.
• Connect to Intune: inicia automáticamente el asistente de conexión de Intune. Esto todavía no confirma que la inscripción se haya completado correctamente. Comprobar los tipos y valores predeterminados disponibles para Android en el esquema de la aplicación.

iOS/iPadOS: Seleccionar como destino una aplicación administrada mediante MDM; esta configuración no está prevista para aplicaciones DDM. Las claves distinguen entre mayúsculas y minúsculas:

• eulaDisabled, Value type: Boolean, valores true o false, valor predeterminado false. true suprime el acuerdo de licencia al iniciar la aplicación y requiere la misma aprobación independiente que en Android.
• startIntuneConnection, Value type: Boolean, valores true o false, valor predeterminado false. true inicia automáticamente el asistente de conexión, pero no demuestra la conexión del dispositivo.
• macAddress (String) solo es obligatorio para la función adicional Synchronized Security; la dirección MAC del dispositivo sirve para identificarlo al conectarse a un punto de acceso Wi-Fi de Sophos. No es un requisito de la vinculación básica MTD de Intune.

En Assignments, seleccionar solo el grupo piloto y guardar mediante Review + create > Create. A continuación, comprobar el estado de aplicación de la configuración; para iOS/iPadOS, abrir Devices > All devices, seleccionar el dispositivo piloto y después App configuration. En ese mismo dispositivo, comprobar el nombre, la identidad y el comportamiento al iniciar la aplicación. No añadir códigos de conexión ni claves de otro procedimiento de inscripción; guardar una configuración no demuestra por sí solo que se haya aplicado.

Definir el cumplimiento para la plataforma y el perfil

En Endpoint security > Device compliance > Create policy, elegir la plataforma iOS/iPadOS o Android Enterprise. En Android, seleccionar el Profile type que corresponda al dispositivo inscrito: Personally-owned work profile o Fully managed, dedicated, and corporate-owned work profile. A pesar del nombre de la segunda opción de la interfaz, los dedicated devices siguen excluidos de esta integración de Sophos. Si el piloto incluye ambas familias de perfiles Android compatibles, se necesitan directivas Android separadas y adecuadas; en ese caso, una sola directiva Android y una sola directiva iOS no bastan para todo el piloto.

En Compliance settings > Device Health > Require the device to be at or under the Device Threat Level, elegir el umbral aprobado:

• Secured: no se permiten amenazas. Así denominan las referencias actuales de Microsoft para Android Enterprise e iOS/iPadOS el umbral MTD más estricto. La guía general de cumplimiento MTD de Microsoft denomina Clear a ese mismo umbral sin amenazas. Comprobar la etiqueta en el diálogo real de la plataforma; aquí no se ha observado ningún desplegable de un inquilino. Es una opción de la directiva, no el estado secured transmitido por Sophos.
• Low: solo se permiten amenazas de nivel bajo.
• Medium: se permiten amenazas de nivel bajo y medio, pero no de nivel alto.
• High: se permiten todos los niveles de amenaza; esta opción sirve para generar informes, no como umbral de protección estricto. Aun así, la aplicación MTD debe estar activada. Esto no debe confundirse con el estado de Sophos activated (todavía sin análisis, no conforme).

Estos valores determinan la regla de amenazas, no por sí solos el estado final de cumplimiento ni el acceso a los recursos. En Actions for noncompliance, autorizar por separado las acciones y los plazos, incluida una posible suspensión o retirada. En Assignments, asignar grupos de usuarios piloto adecuados y seleccionar después Review + create > Create. Esta regla de amenazas no admite grupos de dispositivos. Comprobar el estado transmitido como se describe a continuación antes de activar la regla independiente de Acceso condicional.

Conectar los dispositivos del piloto

• Android con perfil de trabajo en un dispositivo personal (Personally-owned work profile): En el dispositivo piloto inscrito, con el usuario correcto, seleccionar Intercept X en Company Portal > Apps e instalarlo mediante Google Play en el perfil administrado; si la asignación es Required, comprobar primero la instalación real. Iniciar la aplicación administrada y seguir las instrucciones de Sophos. En el panel de la aplicación, seleccionar Tap to connect to Microsoft Intune y completar el asistente.
• Otros modos compatibles de Android Enterprise: Comprobar la vía de instalación en el dispositivo piloto concreto. En dispositivos fully managed, el Portal de empresa redirige a la aplicación Microsoft Intune; las aplicaciones empresariales disponibles se obtienen allí mediante Managed Google Play, no mediante la misma secuencia de clics del portal. Con Required, comprobar que Intune haya realizado la instalación. Después, iniciar la aplicación Intercept X administrada y comprobar el asistente de conexión de Intune que se ofrezca. Si falta o no se puede confirmar la correspondencia del usuario y el dispositivo, detenerse y aclarar el procedimiento compatible con este modo, en lugar de forzar la vía del perfil de trabajo o una inscripción EMM.
• iPhone/iPad: En un dispositivo inscrito en Intune que tenga el Portal de empresa y Microsoft Authenticator, seleccionar View > Intercept X en el Portal de empresa, instalarlo, iniciarlo y seguir las instrucciones de Sophos.

La mera instalación de la aplicación no confirma ni la inscripción en Sophos ni un estado MTD utilizable. Comprobar primero la correspondencia del usuario y dispositivo correctos en Sophos Mobile e Intune.

Comprobar el estado e investigar discrepancias

En el piloto, comparar el estado de la aplicación y el registro del dispositivo en Sophos con Intune > Mobile Threat Defense (estado del conector y última sincronización) y con el informe de cumplimiento de dispositivos. Para abrir el informe por dispositivo, ir a Reports > Device compliance > Reports > Device Compliance. Si es necesario, ejecutar primero Generate y seleccionar después la columna Device threat level en Columns. Comparar el valor para el mismo usuario y dispositivo con el análisis de la aplicación Sophos y la última sincronización del conector. Observar además la decisión efectiva de acceso a un recurso destinado específicamente al piloto; Enabled en el conector no demuestra que se haya transmitido el estado del dispositivo y Compliant por sí solo no demuestra que la aplicación sea segura.

Tras la configuración, la inscripción de Sophos como proveedor MTD de Intune puede tardar unos minutos; durante ese tiempo Intune podría mostrar un estado de cumplimiento incorrecto. No ampliar de inmediato las asignaciones de directivas ni volver a inscribir la aplicación. Si el estado sigue siendo discrepante, comparar primero la identidad correcta del usuario y dispositivo, la conexión completada de la aplicación, el último análisis de la aplicación y la sincronización del conector; después, comprobar la directiva de cumplimiento de Intune aplicable a la plataforma afectada y su asignación a grupos de usuarios, así como, si se ha configurado, la directiva de Sophos Mobile pertinente y el grupo de dispositivos. No equiparar el estado unresponsive de un dispositivo con el plazo configurable por separado en Microsoft para un proveedor MTD que no responde: según Microsoft, Intune puede ignorar el estado de cumplimiento de un proveedor que no responde. En tal caso, no afirmar que existe la protección de acceso esperada, sino comprobar el efecto real de Acceso condicional y detener el despliegue.

Reversión y límite de aprobación

Si el piloto bloquea accesos de forma inesperada, primero retirar, junto con el responsable de Intune, la asignación de Acceso condicional y de cumplimiento que afecte al grupo piloto o restablecer la configuración previamente aprobada. Volver a observar los inicios de sesión y el cumplimiento. No empezar la reversión desinstalando la aplicación Sophos, eliminando dispositivos, desvinculando el conector ni revocando el consentimiento en Entra: una aplicación no administrada puede comunicar deactivated y, por tanto, un estado de incumplimiento; los efectos de desconectar el conector sobre las directivas y los dispositivos existentes no se han probado en producción aquí.

Antes de una retirada completa, identificar los grupos, las asignaciones de aplicaciones, los dispositivos y las dependencias restantes de cumplimiento y Acceso condicional afectados. Retirar una asignación, desactivar o eliminar el conector, desvincular Sophos y revocar el consentimiento de Entra para la aplicación Sophos son intervenciones diferentes. Solo después de documentar la revisión de los dispositivos afectados, las reglas de cumplimiento restantes y un acceso alternativo funcional, los responsables de Sophos, Intune y Entra deben aprobar el orden de una retirada completa y probarlo en el inquilino. Las fuentes no establecen un procedimiento de desvinculación o revocación cuya seguridad general esté demostrada; en particular, no debe deducirse una recuperación inmediata del cumplimiento ni del acceso. Este borrador no cuenta con una prueba funcional en producción ni con aprobación para esa reversión.

Ámbito de aplicación

La guía describe funciones y requisitos documentados, no permisos demostrados, opciones realmente disponibles, sincronización ni efectos de una retirada en el inquilino de un cliente concreto. No se han realizado pruebas de dispositivos ni de inquilinos; las comprobaciones del piloto descritas deben ejecutarse en el entorno concreto.