Configurare Sophos Endpoint Application Control
Application Control impedisce l’uso di software indesiderato o rischioso senza trattare frettolosamente ogni applicazione sconosciuta come malware. Sophos classifica i programmi noti in categorie e la policy stabilisce quali consentire o bloccare.
L’approccio sicuro non è quindi «bloccare tutto ciò che non serve», ma rilevare, valutare, eseguire un pilota e solo dopo bloccare. In questo modo, gli strumenti di assistenza remota, amministrazione o collaborazione realmente usati diventano visibili prima che un blocco interrompa i processi aziendali.
Application Control non è una protezione antimalware
Threat Protection rileva file e comportamenti dannosi. Application Control applica una decisione aziendale su applicazioni note. Uno strumento di amministrazione remota può essere legittimo per il supporto, ma indesiderato su una normale postazione. Nessuna impostazione standard può sostituire questa valutazione.
Consentire un’applicazione in Application Control non impedisce a Sophos di verificarla per malware, exploit, ransomware o comportamenti dannosi. Viceversa, un vero False Positive non deve essere nascosto con un’ampia eccezione Application Control.
Prima rilevare
Aprire la policy Application Control in My Products > Endpoint > Policies. Nella prima fase la policy resta in modalità di rilevamento. È inoltre possibile usare scansioni pianificate o locali per individuare anche applicazioni installate ma non avviate.
Dopo alcuni giorni lavorativi rappresentativi, valutare i risultati in Reports > Events. Oltre al nome dell’applicazione contano dispositivo, utente, ora e finalità aziendale. Un’applicazione legittima su un dispositivo amministrativo IT può essere indesiderata su tutti gli altri Endpoint.
Categorie e singole applicazioni
Sophos gestisce i programmi controllabili in categorie. Bloccare un’intera categoria è semplice, ma ha un raggio d’azione maggiore. Se prodotti della stessa categoria devono essere trattati diversamente, aprire la categoria e affinare la decisione a livello di applicazione.
Un modello gestibile comprende in genere poche decisioni:
| Decisione | Adatta per |
|---|---|
| Consentire la categoria | classe software consolidata e approvata |
| Bloccare la categoria | classe software generalmente vietata |
| Bloccare una singola applicazione | eccezione in una categoria altrimenti consentita |
| Consentire una singola applicazione | prodotto approvato in una categoria altrimenti bloccata |
La policy non viene riempita con molte eccezioni preventive. Ogni deviazione deve avere un responsabile e una motivazione tracciabile.
Non trattare separatamente Protected Browser e Island Browser
Sophos Protected Browser e Island Enterprise Browser condividono Core Binaries, quindi Sophos Endpoint può rilevarli con la stessa firma. Una decisione Application Control per Island Browser può colpire anche Sophos Protected Browser; una separazione affidabile non è garantita. La sovrapposizione riguarda anche DLP Browser Detection. Con Workspace Protection, testare insieme Application Control e Endpoint DLP e documentare il confine di prodotto.
Bloccare nel gruppo pilota
La prima policy di blocco viene assegnata a un piccolo gruppo di computer con utenti tipici, applicazioni aziendali importanti e almeno una postazione IT. Dopo l’assegnazione, verificare in Policies sul dispositivo che questa sia effettivamente la policy Application Control applicata.
Durante il pilota verificare che:
- l’applicazione prevista venga bloccata e generi un Event,
- le applicazioni consentite continuino ad avviarsi,
- l’utente Windows riceva il messaggio desktop configurato,
- l’Helpdesk conosca applicazione, regola e processo di autorizzazione,
- vengano rilevati tentativi di aggiramento con programmi portabili o rinominati.
I messaggi desktop sono una funzione Windows. Sulle altre piattaforme, il processo operativo non deve dipendere dalla visualizzazione dello stesso dialogo.
Bloccare gli Script Host solo dopo un inventario
In Programming / Scripting tool, Application Control può controllare Microsoft WSH WScript. Aggiunge un ostacolo ai JavaScript dannosi ma blocca anche script legittimi di login, amministrazione o applicazioni. Inventariare prima lo Script Host in Detection Mode e bloccarlo solo per gruppi adatti. Non sostituisce AMSI o Threat Protection.
Gestire automaticamente nuove applicazioni
Sophos può includere automaticamente le nuove applicazioni aggiunte a una categoria già controllata. Ciò mantiene aggiornata la policy, ma amplia l’effetto automatico: un nuovo prodotto necessario può essere bloccato senza un’approvazione separata.
Sophos contrassegna New applications added to this category by Sophos come opzionale e avverte di non attivarla senza un’attenta valutazione. Va usata solo quando si desidera che le nuove voci della categoria siano controllate automaticamente in modo consapevole. La comodità di un elenco aggiornato non sostituisce il Change Control; per le categorie bloccate, una revisione periodica seguita da un Pilot è in genere più facile da governare.
Nuova categoria GenAI
Sophos raggruppa ora le applicazioni con AI generativa nella categoria GenAI. A seconda della piattaforma, comprende tra l’altro client Desktop, modelli locali, Coding Assistant e Content Tool. Programmi esistenti come Cursor, Microsoft Copilot, Ollama, Perplexity o Windsurf sono stati spostati dalle categorie precedenti a questa.
Secondo Sophos, la riclassificazione non modifica lo stato Allow o Block esistente. Cambia però la posizione in cui l’applicazione viene trovata nei Report e nella manutenzione delle Policy. La categoria GenAI viene quindi inventariata nuovamente dopo un aggiornamento del catalogo. Un blocco indiscriminato non sostituisce regole per servizi browser, classificazione dei dati e applicazioni AI aziendali consentite.
Se manca un’applicazione
Non tutto il software è subito presente nel catalogo Sophos. È possibile richiederne l’inclusione. Nel frattempo, non cercare di ottenere lo stesso effetto con un’eccezione malware generica: Application Control e le eccezioni Threat Protection risolvono problemi diversi.
Secondo Sophos, l’esame di una nuova applicazione richiede in genere circa 6-10 settimane, talvolta di più in base a rischio, complessità e Release Cycle. Non è quindi un Change a breve termine.
Se nel frattempo un file specifico deve essere bloccato, il suo SHA-256 può essere aggiunto temporaneamente alla Blocked List globale. Blocca solo quel file in tutto il Tenant, senza Category Detection né decisione per gruppo o Policy, e va riesaminato dopo l’inserimento nel catalogo.
⚠️ Una Threat Protection Exclusion generica non sostituisce una voce Application Control mancante. I due meccanismi risolvono compiti diversi.
Troubleshooting
Se un’applicazione prevista non viene bloccata, controllare prima policy effettiva, gruppo target e ordine delle policy, poi versione, processo reale e ultimo aggiornamento dell’agent. La presenza nel catalogo non garantisce che ogni variante o launcher venga rilevato allo stesso modo.
Se viene bloccata un’applicazione necessaria, correggere e salvare nuovamente la policy a livello di applicazione. Non serve disattivare Application Control globalmente. Verificare poi che il dispositivo abbia ricevuto la policy aggiornata.
Articoli correlati
L’ordine e l’assegnazione effettiva sono spiegati in Strutturare correttamente le policy Sophos Central Endpoint. Il rollout complessivo è descritto in Introdurre in pratica le Sophos Endpoint Control Policies.