Planifier et dépanner les analyses Sophos Endpoint
Real-time Scanning reste le principal contrôle continu : il vérifie les fichiers lorsqu’ils sont consultés ou modifiés. Une analyse planifiée ou déclenchée manuellement examine les données déjà présentes. Elle est surtout utile pour les fichiers anciens rarement consultés et pour une investigation de sécurité ciblée. Analyser intégralement tous les appareils chaque jour ne remplace pas la protection en temps réel et peut générer une charge inutile.
Il faut distinguer deux procédures. Scheduled Scanning se configure durablement dans une Threat Protection Policy, tandis que Scan envoie une demande ponctuelle à un ordinateur. L’action de Fusion ne propose pas de choix Quick Scan, Full Scan, dossier ou lecteur. Pour définir une portée Windows précise ou obtenir des résultats lisibles par une machine, utilisez la CLI d’analyse Sophos Endpoint sans en dupliquer ici les commandes.
Vérifier les prérequis
- L’ordinateur est visible sous My Environment > Computers & Servers et son agent Sophos Endpoint communique avec Fusion. Une ancienne valeur Last active signale d’abord un problème de communication, pas un échec d’analyse.
- Une planification exige une Threat Protection Policy activée qui s’applique au groupe d’ordinateurs voulu. Si nécessaire, vérifiez l’affectation et la priorité avec le guide des policies Sophos Fusion Endpoint.
- La planification suit l’heure locale de l’ordinateur endpoint, et non UTC ou le fuseau horaire de l’administrateur.
- Scheduled Scanning ne s’exécute que si l’ordinateur est en ligne à l’heure prévue. Une exécution manquée n’est pas rattrapée. À l’inverse, une analyse on-demand demandée dans Fusion lorsque l’ordinateur est hors ligne démarre à son retour en ligne.
- L’action Scan de Fusion n’est pas disponible sur les appareils qui utilisent Sophos XDR Sensor.
Configurer Scheduled Scanning dans la policy
Le chemin anglais exact dans l’interface Fusion actuelle est My Products > Endpoint > Policies.
- Créez une policy Threat Protection ou ouvrez une policy existante destinée au groupe pilote.
- Ouvrez Settings et assurez-vous que la policy est activée.
- Recherchez Scheduled Scanning et activez Enable scheduled scan.
- Sélectionnez l’heure et un ou plusieurs jours. Choisissez un horaire où les appareils pilotes sont probablement allumés mais peu sollicités.
- N’activez Enable deep scanning que pour un besoin défini. Cette option inclut les archives dans les analyses planifiées et peut les ralentir fortement tout en augmentant la charge système.
- Enregistrez la policy et confirmez son affectation au groupe pilote prévu.
Sophos précise que Scheduled Scanning peut être superflu lorsque Real-time Scanning est actif. Partez donc du besoin plutôt que du planning le plus agressif : contrôler d’anciennes données rarement utilisées, soutenir une investigation ou répondre à une exigence interne. Background scanning n’est disponible que sur les ordinateurs Windows ; ne planifiez pas les Mac sur la base de cette capacité Windows.
Analyser un ordinateur depuis Fusion
Pour une demande administrative ponctuelle, le chemin actuel est le suivant :
- Ouvrez My Environment > Computers & Servers.
- Cliquez sur le nom de l’ordinateur et ouvrez Summary.
- En haut, cliquez directement sur Scan.
L’ordinateur reste également accessible sous My Products > Endpoint > Computers. S’il est hors ligne, la demande reste en attente jusqu’à sa reconnexion. Si une analyse est déjà en cours, l’endpoint ignore la nouvelle demande et poursuit la précédente. Cliquer plusieurs fois ne crée donc pas une file d’analyses supplémentaires.
Cette action convient au contrôle central rapide d’un appareil précis. Pour un dossier ou lecteur donné, l’automatisation ou des codes de sortie structurés, utilisez le guide CLI distinct.
Effectuer un pilote avant le déploiement général
Un groupe pilote utile ne comprend pas uniquement des portables standards rapides. Incluez un appareil souvent hors ligne, un ordinateur avec beaucoup de données et, le cas échéant, un poste de développement ou de build. Vous identifierez ainsi les rendez-vous manqués et la charge perceptible avant une large affectation de la policy.
- Documentez le but, le groupe cible, les jours et l’heure de début locale.
- Commencez sans Enable deep scanning, sauf si les archives font explicitement partie du périmètre.
- Observez au moins une exécution planifiée complète et un horaire volontairement manqué.
- Comparez l’impact utilisateur, la durée et les events. Ne changez qu’une variable à la fois.
- Élargissez l’affectation seulement lorsque les critères d’acceptation sont atteints.
Une Scheduled Scan manquée ne justifie pas la désactivation globale d’options de protection. Pour les appareils mobiles, un horaire plus réaliste ou un jour supplémentaire est généralement préférable. Sophos recommande les heures creuses afin de limiter l’impact sur la charge système.
Valider le résultat dans Fusion
Ouvrez Reports > Logs > General logs > Events. Après une analyse demandée depuis Fusion, un event Scan completed doit y apparaître. Les cleanups réussis figurent également dans le journal des events ; les échecs de cleanup produisent des alerts sous My Environment > Alerts.
Pour une analyse planifiée, vérifiez sur la même période :
- si l’appareil était en ligne à son heure locale planifiée ;
- si la Threat Protection Policy attendue était effective ;
- s’il existe un event de fin, de détection, de cleanup ou d’analyse manquée ;
- si l’endpoint signale ensuite une protection saine et un contact Fusion récent.
Une fin sans détection signifie que cette analyse s’est achevée. Elle ne prouve pas que les contenus inaccessibles ou chiffrés ont été analysés et ne clôt pas à elle seule un incident. Les Scanning Exclusions effectives continuent de s’appliquer et doivent être évaluées séparément lors d’une investigation.
Dépanner par symptôme
L’analyse planifiée ne s’est pas exécutée
Vérifiez d’abord Last active et comparez l’heure locale de l’ordinateur à celle choisie sous Scheduled Scanning. Si l’appareil était hors ligne, un event d’analyse manquée est l’explication attendue ; l’analyse ne démarre pas à l’allumage ultérieur. S’il était en ligne, confirmez ensuite que la policy était activée, affectée à l’appareil et déjà reçue par l’endpoint. Ne modifiez le planning ou la policy qu’après ces contrôles.
Scan semble sans effet
Un ordinateur hors ligne attend sa prochaine connexion. Si une analyse est déjà en cours, la nouvelle demande est ignorée. Vérifiez Last active, l’horodatage des events et une éventuelle analyse antérieure avant de renvoyer la demande. Si Scan est totalement absent, vérifiez si l’ordinateur utilise Sophos XDR Sensor.
L’analyse dure anormalement longtemps
Vérifiez si Enable deep scanning est actif et si les données comprennent de grandes archives. Comparez l’exécution avec la charge système et l’activité du stockage sur la même période, puis déplacez-la vers une heure locale plus calme si nécessaire. Ne modifiez qu’un réglage du pilote à la fois. Une exclusion générale ou une protection affaiblie n’est pas une réponse valable à un seul appareil lent.
Une menace est détectée ou le cleanup échoue
Ouvrez l’event et l’alert avant d’exclure le fichier détecté. En cas de détection, suivez le runbook Threat Cleanup. Une exclusion n’est justifiée qu’après confirmation d’un faux positif, avec la portée la plus étroite possible.
Fusion est à jour, mais aucune analyse locale ne démarre
Si la policy, la connexion et la demande sont correctes sans qu’une fin apparaisse, vérifiez le Health State local et la version de Core Agent installée. Collectez les logs avec Summary > More actions > Diagnose, qui lance Sophos Diagnostic Utility, et rapprochez la première erreur de l’heure de demande. Des problèmes historiques de File Scanner étaient liés à certaines versions ou autorisations Windows. N’accordez pas un droit Full Control général au registre ou aux GPO. Mettez d’abord l’agent à jour vers une version prise en charge, puis ne modifiez les ACL qu’avec un KBA Sophos actuel correspondant à la signature du log ou avec Sophos Support.