Configurer Sophos Endpoint Application Control

Application Control doit empêcher les logiciels indésirables ou risqués sans traiter trop vite chaque application inconnue comme un malware. Sophos classe les programmes connus par catégories. La stratégie décide ensuite lesquels sont autorisés ou bloqués.

Le démarrage sûr consiste donc à détecter, analyser, piloter puis seulement bloquer. Les outils de télémaintenance, d’administration ou de collaboration réellement utilisés deviennent ainsi visibles avant qu’un blocage en production n’interrompe un processus métier.

Application Control n’est pas une protection contre les malwares

Threat Protection détecte les fichiers et comportements malveillants. Application Control applique une décision opérationnelle à des applications connues. Un outil d’administration à distance peut être légitime pour le support et indésirable sur un poste standard. Aucun réglage global ne peut remplacer cette évaluation.

Une autorisation dans Application Control ne signifie pas que Sophos cesse d’analyser l’application pour malware, exploits, ransomware ou comportement malveillant. Inversement, un véritable False Positive ne doit pas être masqué par une large exclusion Application Control.

Commencer par la détection

Se connecter à Sophos Fusion. Sous My Products > Endpoint > Policies, créer ou ouvrir une stratégie Application Control. La stratégie doit être activée dans l’onglet Settings. Pour un inventaire fiable, Sophos recommande la procédure suivante :

1. Sous Controlled Applications, cliquer sur Add/Edit List.
2. Ouvrir une catégorie pertinente, choisir d’abord Select all applications, puis valider avec Save to List. Répéter pour toutes les catégories à inventorier.
3. Sous Detection Options, activer uniquement Detect controlled applications during scheduled and on-demand scans. Application Control utilise les analyses planifiées et les types de fichiers des paramètres Threat Protection.
4. Attendre que tous les ordinateurs aient effectué au moins une analyse planifiée.
5. Sous Reports > Logs > Events, désélectionner tous les types d’événements sauf Application Control et analyser les applications détectées.

Le nom de l’application n’est pas le seul élément important : l’appareil, l’utilisateur, l’heure et la finalité métier comptent aussi. Une application légitime sur un poste d’administration IT peut être indésirable sur tous les autres endpoints.

Catégories et applications individuelles

Sophos gère les programmes contrôlables par catégories. Bloquer une catégorie entière est pratique mais étend la portée. Lorsque plusieurs produits d’une même catégorie nécessitent un traitement différent, ouvrir la catégorie et affiner la décision par application.

Un modèle facile à maintenir repose généralement sur un nombre limité de décisions :

Ne pas remplir la stratégie de nombreuses exceptions préventives. Chaque écart reçoit un responsable et une justification traçable.

Ne pas traiter séparément Protected Browser et Island Browser

Sophos Protected Browser et Island Enterprise Browser partagent des binaires de base communs ; Sophos Endpoint peut donc les détecter avec la même signature. Une décision Application Control pour Island Browser peut aussi toucher Sophos Protected Browser, sans garantie d’autorisation distincte fiable. Le chevauchement concerne également la détection des navigateurs par la DLP. Avec Workspace Protection, testez ensemble Application Control et Endpoint DLP et documentez la limite produit.

Bloquer dans un groupe pilote

Après l’analyse, rouvrir Add/Edit List et décocher chaque application qui doit rester autorisée. Les autres entrées restent contrôlées. Activer ensuite Detect controlled applications when users access them et Block the detected application sous Detection Options, puis enregistrer.

La première stratégie bloquante est affectée à un petit groupe d’ordinateurs comprenant des utilisateurs typiques, des applications métier importantes et au moins un poste IT. Contrôler ensuite sous Policies que cette Application Control Policy est réellement appliquée.

Pendant le pilote, vérifier :

• l’application prévue est bloquée et génère un Event ;
• les applications autorisées démarrent toujours ;
• l’utilisateur Windows reçoit le message Desktop configuré ;
• le Helpdesk connaît l’application, la règle et le processus d’autorisation ;
• les tentatives de contournement par programme portable ou renommé sont détectées.

Desktop Messaging est activé par défaut. Un texte personnalisé complète le message standard ; si le champ reste vide, seul le message standard apparaît. Selon Sophos, la fonction ne peut être personnalisée ou désactivée que sur Windows. Le processus d’exploitation ne doit donc pas dépendre du même dialogue sur les autres plateformes.

Ne bloquer les hôtes de scripts qu’après inventaire

Sous Programming / Scripting tool, Application Control peut contrôler Microsoft WSH WScript. Cela ajoute un obstacle aux JavaScript malveillants, mais bloque aussi des scripts légitimes de connexion, d’administration ou d’application métier. Inventoriez d’abord l’hôte de scripts en mode de détection et ne le bloquez que pour des groupes adaptés. Cela ne remplace ni AMSI ni Threat Protection. Ce n’est pas non plus une mesure générale de suppression des malwares.

Traiter automatiquement les nouvelles applications

Sophos peut intégrer automatiquement les nouvelles applications d’une catégorie déjà contrôlée. Cela maintient la stratégie à jour mais étend l’effet automatique. Dans une catégorie bloquée, un produit nouvellement classé et nécessaire à l’activité peut alors être bloqué sans autorisation séparée.

Sophos indique que New applications added to this category by Sophos est une option facultative et avertit qu’elle ne doit pas être activée sans réflexion. Elle ne s’utilise que si les nouvelles entrées de cette catégorie doivent volontairement être contrôlées automatiquement. La commodité d’une liste à jour ne remplace pas la gestion des changements ; pour les catégories bloquées, un examen périodique suivi d’un pilote est généralement plus facile à maîtriser.

Nouvelle catégorie GenAI

Sophos réunit désormais les applications utilisant l’intelligence artificielle générative dans la catégorie GenAI. Selon la plateforme, cela inclut notamment des clients de bureau, des modèles locaux, des assistants de programmation et des outils de création de contenu. Des programmes existants comme Cursor, Microsoft Copilot, Ollama, Perplexity ou Windsurf ont été déplacés de leurs anciennes catégories vers celle-ci.

Selon Sophos, la reclassification ne modifie pas le statut Allow ou Block existant. Elle change toutefois l’emplacement où l’application est trouvée dans les rapports et lors de la maintenance des stratégies. La catégorie GenAI est donc inventoriée de nouveau après une mise à jour du catalogue. Un blocage global ne remplace pas une règle sur les services de navigateur, la classification des données et les applications AI autorisées pour l’activité.

État du catalogue au 18 août 2026 : Application Control 6.27

La mise à jour des données 6.27 a été déployée le 18 août 2026 ; l’annonce correspondante est parue le 19 août 2026. Cet état complète l’évaluation de GenAI ci-dessus, mais ne constitue ni une liste exhaustive des applications ni une preuve pour les versions ultérieures. Pour la maintenance des stratégies, les entrées suivantes sont notamment pertinentes :

• Vérification sous Windows : GitHub Copilot, Zed AI et Warp Terminal figurent comme GenAI dans la première liste du catalogue de l’annonce. Cette liste n’a pas de titre de plateforme propre ; ces entrées sont donc des candidates à vérifier dans le pilote Windows, et non une confirmation générale pour toutes les versions de Windows ou variantes des programmes.
• macOS : GitHub Copilot, Zed AI et Warp Terminal figurent aussi explicitement comme GenAI dans la section distincte macOS. Vérifier l’affectation à macOS indépendamment de la première liste ; une entrée sur une plateforme n’implique pas une détection identique sur l’autre.

Par ailleurs, Notion Desktop App a été renommée Notion AI et déplacée de BusinessIntelligenceTool vers GenAI. Lors de l’inventaire, rechercher aussi l’ancien nom et rapprocher la décision d’autorisation ou de blocage existante de la nouvelle entrée. La reclassification seule ne justifie pas de remplacer une autorisation existante par un blocage de catégorie sans vérification.

La publication se déroule en deux étapes : les nouvelles entrées peuvent déjà être visibles dans l’interface d’administration 24 à 48 heures avant la publication des identités de détection. Seule cette publication fournit les données de détection de l’application. Pour les entrées qui viennent d’être publiées, attendre donc que ce délai soit écoulé avant d’évaluer leur effet Allow/Block. Une entrée visible ou un réglage enregistré ne prouve pas encore que le contrôle est effectif sur l’endpoint ; ce délai ne garantit pas non plus que tous les appareils seront alors à jour.

Pour ce changement de catalogue, exécuter le pilote existant séparément sur un appareil Windows et un appareil macOS, avec la version de l’application réellement utilisée :

1. Avant le changement, documenter la stratégie Application Control effective, l’ancienne entrée et son état de contrôle, ainsi que New applications added to this category by Sophos. Si cette option est active pour la catégorie et que Block the detected application est activé, les applications nouvellement ajoutées sont bloquées automatiquement. Si ce n’est pas souhaité, désactiver l’option de catégorie avant le déploiement ; cela n’autorise pas automatiquement les entrées déjà contrôlées.
2. Après le délai de publication et une mise à jour réussie de l’endpoint, vérifier la stratégie pilote effective sous Policies. Analyser d’abord l’application dans le mode de détection existant, puis rechercher l’entrée attendue sous Reports > Logs > Events avec le filtre Application Control. Pour Notion, rapprocher le nom Notion AI de la décision antérieure. Consigner le nom de l’appareil, le système d’exploitation, la version de l’application et l’heure comme éléments de vérification.
3. Activer le blocage prévu uniquement dans le groupe pilote, vérifier la réception de la stratégie et rouvrir l’application. Le résultat est correct si l’application sélectionnée est bloquée, si un événement correspondant est présent et si une application de comparaison volontairement autorisée fonctionne toujours. Ne pas présumer que macOS affiche le même message de bureau que Windows.
4. Si la détection ou le blocage manque, vérifier d’abord l’affectation de la stratégie, la mise à jour de l’endpoint, la version de l’application et le processus réel. Ne pas bloquer à la place la catégorie GenAI sans distinction sur tous les appareils. Pour revenir en arrière, rétablir dans la stratégie pilote l’état de contrôle documenté de l’application concernée, enregistrer, attendre la réception de la stratégie et tester de nouveau le démarrage. Ne rétablir la valeur antérieure de l’option de catégorie que si le traitement automatique des nouvelles entrées est également souhaité de nouveau.

Catalogue au 6 octobre 2026 : Application Control 6.28

La mise à jour de données 6.28 a été déployée le 6 octobre 2026 ; l’annonce finale du 7 octobre 2026 le confirme. L’annonce préalable du 25 septembre ne décrivait que la situation prévue. Pour vérifier l’inventaire, c’est la liste finale qui compte, et non l’annonce préalable :

• La première liste, sans titre de plateforme propre, comprend par exemple ToDesk, Gorelo et TiFlux Agent dans RemMan, ainsi que Google Antigravity IDE et Google Antigravity CLI dans GenAI. Par rapport à l’annonce préalable, Claude Science et Taskade Agent, tous deux GenAI, y ont été ajoutés. Cette liste n’est pas une matrice explicitement identifiée de compatibilité Windows ; ne vérifiez que les programmes et variantes réellement utilisés.
• La section macOS, explicitement séparée, comprend notamment Claude Science, Taskade Agent et Google Antigravity IDE dans GenAI. Ces entrées y figuraient déjà dans l’annonce préalable. Les ajouts de la première liste ne constituent donc pas aussi de nouveaux ajouts macOS ; vérifiez la détection et l’effet de la stratégie pour chaque plateforme.

Par ailleurs, Google Antigravity passe de ProgrammingScriptTool à GenAI. Otter AI Assistant s’appelle désormais Otter et passe de SystemTool à GenAI. Dynalist Obsidian devient Obsidian, toujours dans DocumentViewer. Recherchez donc les anciens et les nouveaux noms dans les rapports et lors de la maintenance des stratégies. L’affirmation antérieure sur la conservation de l’état de contrôle lors de l’introduction de GenAI n’est pas une garantie explicite pour ces changements d’octobre : comparez l’état Allow/Block réel de chaque entrée concernée à l’enregistrement précédent.

Pour les applications concernées déjà présentes, la procédure décrite plus haut, avec détection, pilote par plateforme et retour arrière limité, s’applique aussi à la version 6.28. Avant de modifier une stratégie, vérifiez en particulier l’automatisme de catégorie et Block the detected application : si les deux sont actifs, les nouvelles entrées peuvent être bloquées automatiquement. Les 24 à 48 heures entre l’entrée dans la console et la publication des identités restent un délai de publication, pas une garantie de mise à jour de chaque appareil. L’ajout au catalogue n’est ni un verdict de malware ni une recommandation de bloquer toutes les applications citées.

Si une application manque

Tous les logiciels ne figurent pas immédiatement dans le catalogue Sophos. Au bas de Settings, Application Control Request ouvre la demande officielle. Tant que Sophos n’a pas classé l’application, ne pas inventer de catégorie ou de signature pour imiter la détection du catalogue.

⚠️ Une Threat Protection Exclusion non spécifique ne remplace pas une entrée Application Control manquante. Les deux répondent à des tâches différentes.

Dépannage

Si une application attendue n’est pas bloquée, contrôler d’abord la stratégie effective, la cible et l’ordre, puis la version de l’application, le processus réel et la dernière mise à jour de l’agent. Une entrée du catalogue ne garantit pas que toutes les variantes ou Launchers soient détectés de manière identique.

Si une application métier est bloquée, corriger la stratégie au niveau de l’application et l’enregistrer de nouveau. Une désactivation globale d’Application Control n’est pas nécessaire. Vérifier ensuite que l’appareil a reçu la stratégie actualisée.

Articles associés

L’ordre et l’affectation effective sont décrits dans Structurer correctement les stratégies Sophos Fusion Endpoint. Le déploiement global des contrôles est présenté dans Déployer les Control Policies Sophos Endpoint.

Questions fréquentes

Catalogue actuel des applications

Avant de modifier une stratégie, consultez le catalogue actuel des applications contrôlées de Sophos pour vérifier si l’application peut être contrôlée et à quelle catégorie Sophos l’affecte. Le fabricant ajoute continuellement des applications et de nouvelles classifications au catalogue.