Gestire dispositivi e gruppi Endpoint in Sophos Central

I gruppi di computer offrono alle policy Endpoint una destinazione stabile. Non risolvono però ogni questione di inventario o identità: tag e azioni generali appartengono alla piattaforma Central condivisa, mentre i gruppi di utenti seguono un modello di identità separato.

Procedura rapida: definire il modello, creare un gruppo in My Products > Endpoint > Computers > Computer Groups, assegnare i computer e verificare le policy realmente applicate sul gruppo e sui dispositivi pilota. Chiarire separatamente il lifecycle prima di eliminazione, pulizia o migrazione.

Importante: un computer può appartenere a un solo gruppo. I tag aggiungono più attributi flessibili; Agent Mode descrive l’ambito software. I livelli non sono intercambiabili.

Separare i gruppi Endpoint dalle funzioni di piattaforma

La vista condivisa My Environment > Computers & Servers è la base per filtri, colonne, tag, Tamper Protection, software, Health Reset ed eliminazione generale. Gestire l’inventario dispositivi Sophos Central descrive questo flusso senza duplicarlo qui.

Sophos sta sostituendo la precedente pagina My Products > Endpoint > Computers con questa vista unificata. Durante la transizione, in un tenant può ancora comparire la pagina precedente, che rimane inoltre il percorso per Computer Groups; le procedure seguenti usano quindi tale percorso.

Utenti, login e gruppi di utenti sono oggetti distinti. Assegnare correttamente utenti e gruppi Sophos Central Endpoint spiega se una policy debba seguire una persona o un dispositivo e come opera l’ordine. Qui ci concentriamo sui gruppi di computer e sul loro lifecycle Endpoint.

Definire il modello di gruppi prima del rollout

I gruppi sono adatti a confini organizzativi stabili e dovrebbero riflettere requisiti realmente diversi: dispositivi pilota, postazioni standard o critiche, sistemi kiosk/produzione e desktop virtuali non persistenti. I reparti sono utili solo se richiedono policy diverse.

1. Aprire My Products > Endpoint > Computers e scegliere Computer Groups.
2. Fare clic su Add Computer Group.
3. Inserire un nome univoco e una breve descrizione.
4. Assegnare solo i computer previsti e salvare.

Un computer già raggruppato lascia il gruppo precedente quando viene riassegnato. Per modificare un gruppo, aprirne il nome, scegliere Edit, aggiornare Assigned Computers e salvare. Delete elimina il gruppo, non i computer. Documentare l’assegnazione precedente e quella nuova e iniziare con pochi dispositivi pilota.

Utilizzare i tag per caratteristiche flessibili

I tag aggiungono al gruppo attributi combinabili come owner=finance, site=zuerich, criticality=high o lifecycle=pilot. Ogni dispositivo può avere al massimo 15 tag e fino a cinque possono essere fissati nella lista condivisa. Sono utili per filtri, ma non controllano l’appartenenza al gruppo. L’inventario Central descrive creazione, verifica e rimozione.

Verificare l’assegnazione delle policy

1. Aprire il gruppo in My Products > Endpoint > Computers > Computer Groups.
2. Selezionare Policies e controllare quelle abilitate e applicate.
3. Aprire una policy se necessario. La modifica influisce su tutti gli utenti e gruppi assegnati: verificare ambito e ordine prima di salvare.
4. Aprire un dispositivo pilota in My Environment > Computers & Servers e confrontare in Policies la policy effettiva di ogni tipo.
5. Correggere destinazione o ordine e ricontrollare dopo il successivo contatto con Central.

Il tipo di destinazione non ha priorità automatica: se coincidono policy utente e computer dello stesso tipo, decide l’ordine. Vedere Strutturare correttamente le policy Sophos Central Endpoint.

Interpretare Agent Mode e stato del dispositivo

Endpoint, XDR e XDR Sensor rappresentano ambiti software diversi; XDR Sensor non include la protezione malware Sophos. Nell’oggetto computer, Summary mostra ambito e gruppo, Status le valutazioni Health e Policies le policy effettive. L’inventario Central copre colonne, filtri e azioni software.

Analizzare i dispositivi inattivi

Un record inattivo è innanzitutto un segnale, non un ordine di eliminazione. Prima della rimozione si chiarisce perché manca il contatto:

• il dispositivo è stato dismesso o sostituito;
• l’utente è assente da tempo;
• agente, proxy o connessione di rete non funzionano;
• il computer è stato clonato da una vecchia immagine;
• il dispositivo appartiene a un laboratorio, un ambiente VDI o un Update Cache.

La nuova vista unificata mostra anche i dispositivi inattivi da oltre 30 giorni. Nelle liste Endpoint precedenti può essere necessario impostare il filtro Not online recently.

Last Active viene aggiornato in media solo una volta all’ora. Un Event può quindi avere un timestamp più recente del valore Last Active visibile, senza che ciò indichi necessariamente un errore nei dati.

Lo stesso modello di aggiornamento ritardato vale per Online e Last Activity. Dopo l’accesso di un nuovo utente, Central può già associare il dispositivo a lui mentre i timestamp mostrano ancora lo stato precedente per circa un’ora. Se poi il dispositivo va offline, la correzione richiede più tempo.

Nel Computer Report, Online e Last User non hanno lo stesso significato: Online si basa sull’ultimo messaggio di stato elaborato. Last User cambia solo quando un altro account utente univoco accede per la prima volta al dispositivo. Un valore Last User molto vecchio non dimostra quindi che l’Endpoint sia offline da quella data.

Pulizia automatica

In Global Settings > Products and Services > Endpoint and Server > Removal of Inactive Devices si possono creare regole separate per Endpoint e server.

Sophos distingue Targeted rules per gruppi selezionati e una Global rule per tutti gli altri dispositivi. Il termine globale deve essere più lungo dei termini delle regole mirate. Update Cache, Message Relay o computer speciali avviati raramente appartengono a gruppi esplicitamente esclusi.

È possibile creare due Targeted Rules. Dalla Global Rule si possono escludere al massimo quattro gruppi; i sottogruppi contano separatamente e non vengono esclusi automaticamente. Sophos valuta le regole ogni giorno a mezzanotte nella Data Region del tenant.

I clienti MSP e Marketplace devono scegliere almeno 31 giorni. Per cloni VDI creati con --nonpersistent si può attivare Permanently remove VDI desktops; non sono poi ripristinabili. Il Gold Image Master non viene eliminato.

I dispositivi rimossi restano 120 giorni nel Recovery Report e possono essere ripristinati nei primi 30. Update Cache e Message Relay non vengono ripristinati.

Rimuovere non significa disinstallare localmente: la pulizia automatica rimuove il record da Central. Prima deve essere definito come trattare il software Sophos sul dispositivo.

Distinguere rimozione automatica ed eliminazione

Una regola automatica rimuove i dispositivi inattivi dalla gestione, ma non disinstalla il software Sophos locale. Sui sistemi Windows attuali supportati con Core Agent 2023.2 o successivo, Delete e la scadenza della licenza avviano invece il back-off documentato: Tamper Protection e componenti di protezione vengono rimossi, ma per completare la rimozione Sophos Endpoint Agent va ancora disinstallato localmente.

Recovery Report e password Tamper Protection restano disponibili 120 giorni; il ripristino è possibile nei primi 30. Update Cache e Message Relay non vengono ripristinati. Vedere Disinstallare Sophos Central Endpoint in Windows e l’inventario Central.

Non confondere migrazione e cambio di gruppo

Change group sposta l’oggetto nello stesso tenant. Lo spostamento in un altro tenant è una Device Migration API con job di ricezione e invio distinti. I dispositivi restano in coda fino a 14 giorni; quelli sempre offline devono poi essere rimessi in coda. Seguire Migrare dispositivi Sophos Endpoint tra tenant Central.

Gestire correttamente i dispositivi duplicati

Ogni installazione Sophos riceve un Device ID univoco alla registrazione. Se un sistema già registrato viene clonato senza preparazione, più Endpoint possono usare lo stesso ID. Inizialmente Central mostra un solo oggetto dispositivo che viene sovrascritto a turno. Automatic Duplicate Detection riconosce questo schema su Windows, macOS e Linux, registra nuovamente i dispositivi interessati e crea così oggetti aggiuntivi.

Il dispositivo registrato nuovamente eredita gruppo, policy e assegnazione dei prodotti dall’oggetto originale. Verificare questi valori dopo la Deduplication, perché l’assegnazione ereditata potrebbe non essere adatta a ogni clone.

Central segnala lo schema in tre punti: nel Dashboard compare l’Alert Duplicate device detection; in Events del dispositivo sono riportati Device has been detected as a duplicate device e, dopo la nuova registrazione, Device has been de-duplicated from: <DEVICENAME>. Gli amministratori ricevono inoltre un’e-mail con oggetto [Medium] Alert for Sophos Central: We’ve detected a cloned device.

Un Alert come Device has been detected as a duplicate device non impone di eliminare subito il record contrassegnato. Altri cloni con lo stesso ID possono dipendere ancora dall’oggetto originale. Se viene rimosso troppo presto, non comunicano più con Central e devono essere reinstallati. Sophos raccomanda di conservare l’oggetto originale contrassegnato per almeno due settimane, salvo che tutti i sistemi interessati siano stati identificati con certezza.

Per questo Central mostra un’ulteriore casella di conferma quando si elimina il record originale. Selezionarla e procedere solo dopo aver verificato che nessun altro dispositivo tenti di comunicare con l’ID contrassegnato per la Deduplication.

Procedura sicura:

1. Esaminare Alert ed Events del dispositivo interessato.
2. Cercare il nome del dispositivo e confrontare record attivi e precedenti con Last Active.
3. Controllare gruppo, policy e assegnazione prodotti del nuovo oggetto.
4. Correggere la causa in Deployment, Gold Image o Snapshot.
5. Eliminare solo quando tutti i sistemi con il vecchio ID sono noti e nessuno comunica più tramite esso.

Negli ambienti VDI non persistenti, ogni nuovo clone o ritorno a uno Snapshot può causare una nuova registrazione. Gli oggetti aggiuntivi non indicano quindi necessariamente un nuovo errore di Deduplication. Preparare il Gold Image con il processo supportato descritto in Distribuire Sophos Central Endpoint per VDI e Gold Images.

Anche con un’immagine preparata correttamente, ogni nuova VM crea come previsto un nuovo oggetto dispositivo in Central; il ripristino di una VM esistente a uno Snapshot non dovrebbe invece attivare la Deduplication dopo la preparazione supportata. Ripetere la preparazione prima di ogni Gold Image nuovo o aggiornato. Altrimenti l’immagine può registrarsi di nuovo, ricevere un ID e trasmettere questo ID condiviso a tutti i cloni successivi.

Anche istanze AWS e VM Azure attraversano questa rilevazione. Il relativo record di istanza o VM può rimanere temporaneamente scollegato dal record server; in questo intervallo Central tratta il dispositivo come un server normale. La registrazione lo collega poi a un nuovo record server. I Windows Server con Server Lockdown attivo sono esclusi dalla Deduplication. I dispositivi che condividono un ID ma usano sistemi operativi diversi vengono rilevati come duplicati, ma non registrati nuovamente in automatico. Risolvere gli Alert ricorrenti alla causa dell’immagine e della registrazione, invece di nasconderli eliminando continuamente gli oggetti.

Importante: Central non può riparare l’eliminazione accidentale dell’oggetto originale condiviso per i cloni che non comunicano più. In questo caso occorre reinstallare Sophos Agent.

Interpretare correttamente i riavvii

Una prima installazione o la rimozione di un prodotto concorrente può richiedere un riavvio. Gli aggiornamenti spesso non lo richiedono subito. Dopo mesi senza riavvio, due stati successivi possono richiederne uno ciascuno; Sophos raccomanda circa 20 minuti tra i cicli.

I vecchi Alert Windows e macOS vengono rimossi dalla vista dopo 90 giorni. Un Health State rosso può restare finché la causa non è risolta e lo stato reimpostato. La scomparsa dell’Alert non prova la riparazione.

Controllo operativo mensile

Un breve controllo mensile impedisce l’accumulo di punti ciechi:

1. Filtrare i dispositivi senza attività recente e identificarne il responsabile.
2. Risolvere i problemi Health in base alla causa e non soltanto al colore.
3. Verificare Product unassigned, Upgrade available e dispositivi non supportati.
4. Giustificare e correggere Tamper Protection con stato Off.
5. Ripulire computer senza gruppo o con tag errati.
6. Escludere Update Cache, Message Relay e VDI Golden Image dalle regole di eliminazione.
7. Disinstallare in modo controllato i dispositivi non più necessari e poi eliminarli.

Domande frequenti