Installare Sophos Central Endpoint (macOS)

Sophos Central Endpoint protegge completamente un Mac solo quando l’agent è installato e sono state concesse le estensioni e le autorizzazioni per la privacy richieste da macOS. Questa guida descrive l’installazione manuale, spiega come scegliere il programma di installazione appropriato e mostra come verificare successivamente la protezione.

Importante: un’installazione completa di Sophos Endpoint non deve essere eseguita in parallelo con un altro antivirus. Il sensore XDR separato costituisce l’eccezione: è progettato per funzionare insieme a un antivirus di terze parti esistente, ma non offre autonomamente una protezione contro il malware.

Prima dell’installazione

Prima del download è opportuno verificare i seguenti requisiti:

• una versione di macOS attualmente supportata da Sophos
• un account amministratore di Sophos Central con accesso ai programmi di installazione
• diritti di amministratore locale sul Mac
• accesso Internet ai domini e alle porte Sophos richiesti
• nessun altro antivirus attivo se si intende installare Sophos Endpoint completo

In caso di migrazione da un’altra soluzione Endpoint, la rimozione deve essere testata prima su un numero limitato di Mac. In questo modo è possibile verificare se rimangono vecchie estensioni di sistema o di rete che interferiscono con il nuovo agent.

Le versioni Beta di macOS non sono supportate da Sophos. Per macOS 26 Tahoe, Sophos indica Endpoint 2025.1 o versioni successive come base supportata per nuove installazioni e Upgrade. Prima di ogni Upgrade principale di macOS vengono comunque controllati i requisiti di sistema correnti, i problemi noti e la versione Agent realmente installata; una generica indicazione di Agent aggiornato non sostituisce questo controllo della versione.

Per i Mac Intel e Apple Silicon supportati, Sophos richiede almeno 2 GB di spazio libero e 2 GB di RAM. È un minimo tecnico, non un obiettivo pratico. Riservare più spazio per Update macOS ed Endpoint, Logs e archivi SDU, soprattutto con SSD piccoli.

Scaricare il programma di installazione macOS appropriato

1. Accedere a Sophos Central Admin da central.sophos.com.
2. Aprire My Environment > Installers.
3. In Endpoint, selezionare il programma di installazione macOS appropriato.
4. Scaricare SophosInstall.zip.

Sophos Central offre diverse opzioni:

• Download Complete macOS Installer: installa i prodotti Endpoint coperti dalle licenze dell’account Central.
• Choose Components: crea un programma di installazione contenente soltanto i componenti selezionati. È utile quando, ad esempio, Device Encryption o ZTNA non devono essere installati sul Mac.
• XDR Sensor Installers: installa soltanto il sensore XDR per il rilevamento e l’analisi insieme a un antivirus di terze parti esistente. Sono necessari una licenza compatibile con XDR e almeno macOS 13 Ventura. Questo sensore non sostituisce un antivirus.

Il programma di installazione completo è normalmente adatto a una postazione di lavoro standard che deve essere protetta interamente da Sophos. Choose Components deve essere utilizzato quando la combinazione di prodotti desiderata differisce intenzionalmente dall’ambito delle licenze.

Installare Sophos Endpoint manualmente

A partire da macOS Monterey 12.4, SophosInstall.zip deve essere spostato da Downloads, Documents o dalla scrivania alla cartella Inizio dell’utente prima dell’estrazione. In caso contrario, il programma di installazione non può creare correttamente i propri file di lavoro e l’installazione non riesce.

Una possibile cartella di destinazione è:

~/SophosInstall

Quindi:

1. Estrarre il file ZIP nella cartella di destinazione.
2. Avviare Sophos Installer.app.
3. Confermare le credenziali di amministratore.
4. Completare l’installazione.
5. Concedere le estensioni e le autorizzazioni Sophos richieste da macOS.

Il programma di installazione scarica altri componenti da Sophos Central. Il corretto avvio della procedura guidata non dimostra quindi, da solo, che il Mac sia completamente protetto.

Verificare l’Installer prima di qualsiasi eccezione

Prima di rimuovere un attributo di quarantena o di integrare l’Installer nella Software Distribution, verificarne Notarization Apple e firma:

spctl -a -t exec -vv 'Sophos Installer.app'
codesign -vv 'Sophos Installer.app'

spctl deve segnalare l’Installer come Notarized Developer ID accettato. codesign deve confermare che il Bundle è valido sul disco e soddisfa la propria Designated Requirement. Nell’output dettagliato, la catena di firma comprende Developer ID Application: Sophos (2H5GFH3774), Apple Developer ID Certification Authority e Apple Root CA. Un risultato diverso o rifiutato non viene aggirato con un bypass Gatekeeper; si scarica invece un nuovo Installer direttamente dal proprio Tenant Central.

Installazione dal Terminale

Per un’installazione automatica di Sophos Anti-Virus e Intercept X, eseguire dal Terminale il programma di installazione estratto:

cd ~/SophosInstall
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --quiet

--products antivirus intercept definisce i componenti di protezione da installare. --quiet nasconde la finestra di installazione, ma non sostituisce le autorizzazioni macOS necessarie. Prima di un’implementazione estesa, i nomi dei prodotti e le opzioni devono essere testati con un programma di installazione aggiornato su un dispositivo di prova.

Per assegnare il Mac direttamente a un gruppo di dispositivi Central durante l’installazione, specificare il gruppo come segue:

sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --devicegroup Firma\\Macs \
  --quiet

Nell’esempio, Firma\Macs è un sottogruppo Central esistente. La doppia barra rovesciata garantisce che la shell trasmetta correttamente al programma di installazione il percorso del gruppo.

Se macOS blocca il programma di installazione

Per prima cosa è possibile verificare se macOS ha aggiunto un attributo di quarantena al programma di installazione:

xattr ~/SophosInstall/Sophos\ Installer.app

Se viene mostrato com.apple.quarantine e il file è stato scaricato direttamente dall’account Sophos Central dell’organizzazione, rimuovere l’attributo esclusivamente dal programma di installazione Sophos:

sudo xattr -r -d com.apple.quarantine \
  ~/SophosInstall/Sophos\ Installer.app

Questa operazione non disattiva Gatekeeper a livello globale. L’attributo non deve essere semplicemente rimosso da un programma di installazione proveniente da una fonte sconosciuta.

Se l’Installer segnala un system umask differente, non impostare alla cieca un valore qualsiasi. Un umask globale influisce su tutti i file creati dagli account di sistema e può danneggiare sicurezza e applicazioni. Eseguire il Backup della configurazione LaunchDaemon responsabile, confrontarla con la baseline macOS e farla correggere solo da un amministratore che abbia valutato l’impatto sull’intero dispositivo.

L’errore Folder Insecurity indica che un percorso di sistema superiore non rispetta più lo standard sicuro macOS e consentirebbe all’Installer di adottare file estranei con privilegi elevati. Possono essere coinvolti /, /Library, /Library/Caches o /Library/Application Support. Confrontare proprietà e permessi di scrittura con un Mac sano equivalente. Non disattivare SIP per un chmod generico; correggere il software di Imaging o Management responsabile e coinvolgere Apple o Sophos Support se necessario.

Concedere le autorizzazioni macOS

In base ai prodotti concessi in licenza, Sophos richiede un’estensione di sicurezza, un’estensione di rete, l’autorizzazione del proxy e l’accesso completo al disco. Se manca una di queste autorizzazioni, l’agent può essere installato e visibile in Central mentre singole funzioni di protezione non sono operative.

L’interfaccia esatta varia in base alla versione di macOS:

• macOS 14 e versioni precedenti: consentire le estensioni di sistema Sophos in Privacy & Security.
• macOS 15: aprire System Settings > General > Login Items & Extensions. In Endpoint Security Extensions, attivare Sophos Detection.app; in Network Extensions, attivare Sophos Network Extension.app.
• macOS 26: nella stessa posizione, sotto By App, attivare l’estensione di sicurezza di Sophos Detection e l’estensione di rete di Sophos Network Extension.

Dopo l’attivazione dell’estensione di rete, macOS chiede se Sophos Network Extension può essere autorizzata come proxy di rete. Questa finestra di dialogo deve essere confermata con Allow affinché la scansione e la protezione Web funzionino completamente.

Il metodo più affidabile per verificare e concedere l’accesso completo al disco è tramite Sophos Endpoint:

Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites

In Prerequisites, Sophos indica l’autorizzazione mancante e apre l’impostazione macOS corrispondente. Le voci necessarie possono cambiare con la versione dell’agent e i prodotti concessi in licenza; questa verifica è quindi più affidabile di un elenco statico.

Sophos Service Manager controlla automaticamente queste autorizzazioni circa ogni 30 minuti. Dopo una concessione manuale, riavviarlo consente di anticipare la verifica; il nuovo stato compare dopo circa 30 secondi.

Verificare l’installazione e la protezione

Dopo l’installazione è necessario controllare tre livelli:

1. Localmente: in Endpoint Self Help > Prerequisites non manca alcuna autorizzazione.
2. Sophos Central: il Mac compare in My Environment > Computers & Servers, comunica attualmente con Central e non presenta uno stato di integrità rosso.
3. Ambito della protezione: i prodotti e i criteri previsti sono attivi nella pagina dei dettagli del dispositivo.

Un dispositivo non deve essere eliminato prematuramente da Sophos Central. La rimozione dell’oggetto Central non disinstalla l’agent, ma può rendere più difficile il normale accesso alla password di protezione antimanomissione specifica del dispositivo. Occorre quindi prima disattivare la protezione antimanomissione in modo controllato, quindi disinstallare l’agent.

Se il Mac è già stato eliminato da Central, riavviare l’Installer non registra semplicemente l’installazione esistente: la tratta come Upgrade e conserva la vecchia identità. Per Endpoint 2024.1 e versioni successive, Sophos raccomanda disinstallazione completa e nuova installazione. Le vecchie istruzioni che eliminano la voce Sophos di sola lettura dal Keychain e usano comandi interni di registrazione non valgono per queste versioni.

La procedura completa e supportata è descritta in Disinstallare Sophos Central Endpoint da macOS.

Sophos Central rileva normalmente in modo automatico gli utenti che hanno effettuato l’accesso. Un’assegnazione manuale di utenti o licenze è necessaria soprattutto quando nomi di accesso locali diversi hanno creato oggetti utente duplicati.

Le funzioni installate successivamente possono essere gestite separatamente. L’articolo Installare o disinstallare le funzioni di Sophos Endpoint descrive la procedura.

Distribuire più Mac tramite MDM

Con più Mac, le autorizzazioni non devono essere confermate manualmente su ogni dispositivo. In My Environment > Installers, sotto Deployment Tools, è disponibile il pacchetto SophosMacDeploymentTools.zip. Contiene profili MDM e script di installazione per Sophos Endpoint e Sophos Endpoint con ZTNA.

L’ordine delle operazioni è importante:

1. Selezionare il profilo appropriato per la combinazione di prodotti e la versione di macOS.
2. Distribuire prima il profilo MDM ai dispositivi di prova.
3. Verificare che il profilo sia stato installato.
4. Eseguire quindi il programma di installazione o lo script di installazione incluso.
5. Controllare il criterio MDM e Endpoint Self Help > Prerequisites.

Sophos documenta questa procedura per Jamf Pro. In linea di principio, i profili e gli script possono essere utilizzati anche con altre soluzioni MDM, ma devono essere convalidati nel processo interno di test e approvazione.

Problemi di installazione comuni

Il Mac non compare in Sophos Central

Controllare la connessione Internet, il DNS, l’ora di sistema e il proxy. In presenza di regole di uscita restrittive, i domini Sophos attuali devono essere raggiungibili. Verificare inoltre che il programma di installazione provenga dall’account Central corretto.

La finestra distingue Software Installed, Registration Status to Sophos Central e Configuration Status. Assegnare l’errore alla fase corretta. Per Network o Registration Errors, registrare Server e messaggio esatto. Se la registrazione riesce ma la configurazione no, analizzare Central Communication e Policy Processing anziché reinstallare subito.

L’agent è installato, ma lo stato rimane rosso

Verificare in Endpoint Self Help > Prerequisites se mancano autorizzazioni di sistema, di rete o per la privacy. In macOS 14 e 15, in particolare, la mancanza dell’accesso completo al disco per SophosUpdater può causare errori di aggiornamento.

Da Endpoint 2024.4, Sophos considera l’assenza di Full Disk Access per l’Updater uno stato di servizio non integro, anche se gli Update funzionano ancora. Con MDM usare il profilo Sophos attuale. Senza MDM, avviare l’autorizzazione tramite Endpoint Self Help > Prerequisites > Allow Full Disk Access. SophosUpdater può non comparire nel selettore macOS finché il sistema non lo ha bloccato; in tal caso seguire il flusso drag-and-drop di Self Help.

Il registro pertinente può essere cercato nel modo seguente:

sudo log show \
  --predicate "subsystem == 'com.sophos.macendpoint'" \
  --last 1d |
grep -i 'Error renaming Installer directory'

Un risultato indica che SophosUpdater non è riuscito a rinominare la propria cartella del programma di installazione. In questo caso, distribuire il profilo MDM attuale oppure concedere l’accesso completo al disco a /Library/Sophos Anti-Virus/SophosUpdater.app.

Se Central segnala l’errore 6001 scaricando MacEndpoint e SophosUpdater.log mostra 403 Forbidden o EXPIRED_TOKEN, il pacchetto non è la causa primaria. Il Mac ha perso la comunicazione con Central e non ha potuto rinnovare il JWT. Ripristinare DNS, Proxy e MCS, riavviare l’Endpoint e verificare di nuovo l’Update prima di considerare una nuova registrazione.

Endpoint Self Help mostra per Update e Management Communication il Server, l’indirizzo risolto, il Proxy e l’ultimo contatto riuscito. Invalid Server URL indica un errore DNS, mentre HTTP 503 richiede un nuovo tentativo successivo. Nei Services distinguere missing da unexpected. Ricontrollare un servizio mancante dopo il riavvio e, se resta assente, eseguire l’escalation con componente e SDU anziché eliminare altri file Agent.

La pagina Policy mostra l’ultima Central Policy ricevuta e si aggiorna automaticamente. Per un test controllato, modificare minimamente un’impostazione realmente assegnata, salvarla e ricontrollare dopo circa 30 secondi. Se il Timestamp non cambia, analizzare prima Management Communication. Un’abbreviazione Policy sconosciuta di tre lettere significa soltanto che Self Help non riconosce il tipo ricevuto.

La pagina System contiene solo Inventory e non influisce su Health State. Central usa per impostazione predefinita il nome macOS di Sharing; senza Directory Binding può apparire come dominio utente il nome locale. Se servono nomi diversi, usare gli Installer Overrides documentati e controllare poi nuovi oggetti o duplicati.

Per diagnosticare i processi, considerarne i ruoli: SophosServiceManager monitora i componenti, SophosMcsAgentD comunica con Central, SophosUpdater aggiorna, Sophos Network Extension intercetta la rete, SophosCryptoGuard protegge dal Ransomware, SophosOSQuery e SophosLiveQuery forniscono Query Data e SophosLiveResponse la sessione privilegiata. La crittografia usa processi dell’utente connesso e _sophosencryption. Un processo mancante è un errore solo se la funzione con licenza dovrebbe essere installata e attiva.

Captive Portal su Wi-Fi pubblico

Se non appare la pagina di accesso di hotel, aereo o rete ospiti, Endpoint Self Help > Captive Portal Mode può sospendere l’intercettazione per non oltre cinque minuti. Termina prima se disattivato manualmente e non richiede la password Tamper Protection. Usarlo solo per accedere al portale, poi ricontrollare protezione e connessione. Sophos non segnala altri casi dello storico problema Apple dall’inizio del 2024, ma mantiene questa funzione come aiuto circoscritto.

I file su condivisioni SMB restano bloccati

Se file aperti da un Mac restano temporaneamente bloccati su una condivisione SMB, documentare versione Agent, percorso, applicazione e durata. Una sola esclusione On-Access non modifica necessariamente il comportamento. Sophos documenta come workaround limitato lo stesso percorso nelle esclusioni On-Access e CryptoGuard o Ransomware. Vengono così meno due livelli di protezione, quindi vanno valutati condivisione, permessi e protezione Server. Disattivare globalmente Real-time Scanning - Network è più ampio e non preferibile.

Reset summary azzera il contatore locale. Non elimina Malware, Events Central né Incident History. Usarlo solo dopo la correzione tecnica.

È già installato un altro antivirus

Per ottenere una protezione Sophos completa, l’antivirus esistente deve essere migrato e rimosso in modo controllato. Se si intende mantenere la protezione esistente, soltanto il sensore XDR separato è progettato per questa coesistenza. Poiché non offre autonomamente una protezione contro il malware, l’antivirus di terze parti deve rimanere attivo e funzionante.

Viene visualizzato l’account locale _Sophos

L’Installer crea l’account di servizio limitato _Sophos. Non possiede una Shell di login interattiva, non appartiene al normale gruppo utenti ed esegue processi Sophos con meno privilegi di root. Non è quindi un utente sconosciuto e non deve essere eliminato. L’Agent non conserva né usa la password generata automaticamente per un accesso.

Domande frequenti