Planifier et dépanner les analyses Sophos Endpoint
Real-time Scanning contrôle les fichiers lors de leur lecture, écriture ou renommage. Une analyse planifiée ou lancée manuellement examine au contraire un ensemble défini. Ces contrôles ne se remplacent pas : un programme malveillant dormant sur un disque peut ne jamais être ouvert, et un fichier peut avoir été enregistré avant que la détection correspondante soit disponible.
Il ne faut toutefois pas analyser machinalement tous les disques chaque jour. La portée, l’heure et la profondeur doivent être adaptées à l’appareil, sous peine de générer beaucoup d’E/S, des durées importantes et des perturbations inutiles.
Choisir le bon type d’analyse
Un Quick Scan se concentre sur les zones actives et souvent détournées, notamment les processus en cours, les démarrages automatiques, la mémoire et les informations de démarrage. Il convient à un premier contrôle rapide, mais ne constitue pas un inventaire complet du disque.
Un Full Scan, ou une analyse de tout l’ordinateur, examine beaucoup plus de fichiers. Une analyse ciblée d’un fichier, dossier ou lecteur est utile lorsque l’emplacement suspect est déjà délimité. Les analyses on-demand utilisent le même moteur que la protection en temps réel, mais se distinguent par la portée choisie.
Pour des contrôles Windows automatisés ou précisément délimités, la CLI d’analyse Sophos Endpoint fournit également des codes de sortie et une sortie JSON.
Gérer les analyses planifiées avec une policy
Scheduled Scanning se configure dans la Threat Protection Policy effective. La policy est affectée à un groupe d’ordinateurs clairement défini, avec une heure de démarrage locale et une fenêtre de maintenance. Un appareil éteint à l’heure prévue ne rattrape pas automatiquement l’analyse plus tard.
Lorsque Real-time Scanning est actif, une analyse planifiée n’est pas nécessaire par principe. Elle s’utilise de manière ciblée pour des fichiers anciens rarement ouverts ou lors d’une investigation. Background Scanning n’est disponible que sur les ordinateurs Windows ; cette limite de plateforme intervient dans la décision de créer un planning supplémentaire.
Pour les appareils mobiles, évaluez plusieurs plages de connexion réalistes ou un runbook RMM distinct. Scan all files, Archive Scanning et Deep Scanning augmentent fortement la couverture et la durée. Ne les activez pas simultanément sur tous les appareils sans un pilote représentatif incluant de grands profils, des fichiers de développement et des disques lents.
Évaluer la durée de manière réaliste
La durée dépend notamment du volume de données occupé, des types de fichiers, de la proportion d’archives, du débit du disque et du CPU disponible. Les tâches d’analyse Sophos s’exécutent avec une priorité basse, de sorte qu’un appareil chargé analyse plus lentement. Une archive de 100 Mo peut produire plusieurs fois ce volume après extraction, alors que de nombreux fichiers texte simples n’exigent pas le même effort par défaut.
Les mises à jour Major et VDL peuvent interrompre une analyse planifiée en redémarrant un service. Les mises à jour de menaces IDE seules ne le font pas. Pour une analyse lente ou interrompue, comparez la policy, l’heure de mise à jour, SophosScanCoordinator.log, les E/S disque et la charge système sur la même période.
Ne modifiez qu’une option dans un groupe pilote afin que son effet reste mesurable. Désactiver globalement Archive Scanning ou Scan all files parce qu’un seul poste de développement était lent ne constitue pas une correction fiable.
Lorsque Quick Scan ou Scheduled Scan ne démarre pas
Il faut d’abord distinguer les erreurs de policy, de Coordinator et de File Scanner :
- Vérifier la Threat Protection Policy effective et le dernier contact Central.
- Contrôler le Health State local et la version de Core Agent installée.
- Rechercher dans
SophosScanCoordinator.logla première erreur à l’heure du démarrage. - Vérifier le service Sophos File Scanner et son processus worker.
- Ne décider d’une mise à jour, d’un redémarrage, d’une correction ACL ou d’un recours au support qu’après avoir identifié la cause.
Un ancien défaut de la branche FTS 2025.2.1 interrompait Quick Scan avec The file cannot be accessed by the system (1920). Il a été corrigé dans FTS 2025.2.1 MR2. Sur un package encore concerné, passez d’abord à une version de maintenance actuelle et prise en charge. Un ancien problème de Core Agent 2023.1 avec Google Drive File Stream ou RamDisk a également été corrigé à l’époque par une Maintenance Release ; les anciens tokens de package n’ont pas leur place dans un runbook actuel.
Le service Sophos File Scanner fonctionne, mais aucun worker ne démarre
Le service Windows peut apparaître actif alors que le processus File Scanner réel ne démarre pas. Les emplacements des logs diffèrent entre les versions actuelles de Core Agent, les versions Legacy et les anciennes versions modernes. Une cause documentée est l’absence de droits LOCAL SERVICE sur les clés de registre utilisées par Sophos.
N’accordez pas globalement Full Control sur les ACL du registre. Vérifiez d’abord que la signature du log, les clés concernées et l’héritage existant correspondent exactement au KBA Sophos actuel. Exportez les clés et ACL avant toute modification. Accordez ensuite à LOCAL SERVICE uniquement l’autorisation requise sur la clé documentée et ses sous-clés, redémarrez l’appareil et mettez l’agent à jour.
Health State rouge à cause de Cryptographic Services
Une autre cause est une GPO renforcée pour Windows Cryptographic Services. Si elle retire le droit Query status à NT AUTHORITY\SERVICE, Sophos File Scanner ne peut pas interroger l’état de CryptSvc et ne démarre pas.
Appliquez la correction à la source de la GPO administrée sous Computer Configuration > Policies > Windows Settings > Security Settings > System Services > Cryptographic Services. Accordez précisément Query status à NT AUTHORITY\SERVICE. Après gpupdate, ou l’actualisation normale de la policy, contrôlez à nouveau File Scanner. Les modifications ACL locales restent sans effet tant que la GPO les remplace.
Après l’analyse
Une analyse réussie sans détection est un bon signal, mais ne clôt pas entièrement un incident. Évaluez séparément les fichiers inaccessibles ou chiffrés, les exclusions effectives et l’absence de connexion à Live Protection. Après une détection, suivez le runbook Threat Cleanup au lieu de créer automatiquement une exclusion.