Gestire dispositivi e gruppi Endpoint in Sophos Central

Un agente Endpoint verde da solo non crea un inventario dispositivi ben gestito. Sophos Central deve anche mostrare a chi appartiene il dispositivo, quali policy si applicano, quali prodotti sono installati e se il computer viene ancora utilizzato.

La vista centrale attuale si trova in My Environment > Computers & Servers. Riunisce computer e server e sostituisce gradualmente le precedenti liste separate nei menu dei prodotti.

Importante: un gruppo controlla l’assegnazione organizzativa e spesso anche le policy. Un tag aggiunge caratteristiche flessibili. L’Agent Mode determina invece il set di prodotti installato. Questi tre livelli risolvono compiti diversi.

Che cosa mostra realmente la vista dispositivi

La tabella può essere filtrata per Health, tipo di dispositivo, sistema operativo, ultimo update del sistema, ultima attività, indirizzo IP, Tamper Protection, tag e Agent Mode. Le colonne visibili sono personalizzabili.

Sono particolarmente importanti quattro valori:

Un dispositivo può essere online e ricevere comunque la policy sbagliata. Al contrario, un laptop configurato correttamente può rimanere offline durante le ferie. I valori vanno quindi valutati insieme.

Definire il modello di gruppi prima del rollout

I gruppi computer sono adatti a confini organizzativi stabili. Un computer può appartenere a un solo gruppo. Se viene assegnato a un nuovo gruppo, lascia quello precedente.

Un modello pratico segue requisiti di protezione realmente diversi, per esempio:

• dispositivi pilota;
• postazioni standard;
• postazioni particolarmente critiche;
• sistemi kiosk o di produzione;
• desktop virtuali non persistenti.

I reparti sono buoni gruppi solo se richiedono realmente policy diverse. Riprodurre in profondità l’organigramma rende spesso confuse le assegnazioni senza migliorare la sicurezza.

I gruppi vengono attualmente gestiti in My Products > Endpoint > Computers > Computer Groups. L’eliminazione di un gruppo non elimina i suoi computer.

Utilizzare i tag per caratteristiche flessibili

I tag integrano il gruppo fisso con più proprietà combinabili liberamente. Esempi adatti sono owner=finance, site=zuerich, criticality=high o lifecycle=pilot.

Aiutano a filtrare, inventariare e creare liste di lavoro ricorrenti, ma non sostituiscono una struttura chiara di gruppi e policy. Ripetere la stessa informazione in nomi, gruppi e tag diversi crea dati contraddittori.

Un dispositivo può avere al massimo 15 tag. È inoltre possibile fissare fino a cinque dispositivi. I Pin sono una vista di lavoro personale, non un’assegnazione di gruppo o policy.

Verificare l’assegnazione delle policy

Una policy può essere assegnata a utenti, computer o gruppi. Nella scheda Policies del record dispositivo è visibile quale policy viene effettivamente applicata per ogni funzione.

Questa verifica fa parte di ogni approvazione del rollout:

1. Aprire il dispositivo in My Environment > Computers & Servers.
2. Verificare gruppo e tag.
3. Aprire la scheda Policies.
4. Controllare la policy effettivamente applicata per ogni tipo.
5. Correggere gli scostamenti tramite gruppo di destinazione e ordine delle policy.

Il modello e la priorità sono descritti in Strutturare correttamente le policy Sophos Central Endpoint.

Agent Mode e set di software

L’Agent Mode descrive quali prodotti Endpoint sono previsti:

• Endpoint: protezione Sophos Endpoint completa;
• XDR: protezione completa più funzioni XDR;
• XDR Sensor: telemetria e detection insieme a una protezione separata di terze parti.

I filtri Agent mode status e Agent mode installed mostrano tra l’altro Product unassigned, Upgrade available, Installed o Not Supported.

Con Manage device software è possibile aggiungere o rimuovere componenti e modificare l’Agent Mode. Sophos Core Agent rimane installato. Per l’offboarding completo, l’agente locale viene rimosso con SophosUninstall.exe.

Analizzare i dispositivi inattivi

Un record inattivo è innanzitutto un segnale, non un ordine di eliminazione. Prima della rimozione si chiarisce perché manca il contatto:

• il dispositivo è stato dismesso o sostituito;
• l’utente è assente da tempo;
• agente, proxy o connessione di rete non funzionano;
• il computer è stato clonato da una vecchia immagine;
• il dispositivo appartiene a un laboratorio, un ambiente VDI o un Update Cache.

La nuova vista unificata mostra anche i dispositivi inattivi da oltre 30 giorni. Nelle liste Endpoint precedenti può essere necessario impostare il filtro Not online recently.

Last Active viene aggiornato in media solo una volta all’ora. Un Event può quindi avere un timestamp più recente del valore Last Active visibile, senza che ciò indichi necessariamente un errore nei dati.

Lo stesso modello di aggiornamento ritardato vale per Online e Last Activity. Dopo l’accesso di un nuovo utente, Central può già associare il dispositivo a lui mentre i timestamp mostrano ancora lo stato precedente per circa un’ora. Se poi il dispositivo va offline, la correzione richiede più tempo.

Nel Computer Report, Online e Last User non hanno lo stesso significato: Online si basa sull’ultimo messaggio di stato elaborato. Last User cambia solo quando un altro account utente univoco accede per la prima volta al dispositivo. Un valore Last User molto vecchio non dimostra quindi che l’Endpoint sia offline da quella data.

Pulizia automatica

In Global Settings > Products and Services > Endpoint and Server > Removal of Inactive Devices si possono creare regole separate per Endpoint e server.

Sophos distingue Targeted rules per gruppi selezionati e una Global rule per tutti gli altri dispositivi. Il termine globale deve essere più lungo dei termini delle regole mirate. Update Cache, Message Relay o computer speciali avviati raramente appartengono a gruppi esplicitamente esclusi.

È possibile creare due Targeted Rules. Dalla Global Rule si possono escludere al massimo quattro gruppi; i sottogruppi contano separatamente e non vengono esclusi automaticamente. Sophos valuta le regole ogni giorno a mezzanotte nella Data Region del tenant.

I clienti MSP e Marketplace devono scegliere almeno 31 giorni. Per cloni VDI creati con --nonpersistent si può attivare Permanently remove VDI desktops; non sono poi ripristinabili. Il Gold Image Master non viene eliminato.

I dispositivi rimossi restano 120 giorni nel Recovery Report e possono essere ripristinati nei primi 30. Update Cache e Message Relay non vengono ripristinati.

Rimuovere non significa disinstallare localmente: la pulizia automatica rimuove il record da Central. Prima deve essere definito come trattare il software Sophos sul dispositivo.

Reimpostare correttamente l’Health State

Reset health status elimina gli alert precedenti e riporta a verde lo stato visibile. La funzione non è disponibile per macOS. Non rimuove malware né ripara componenti software danneggiati o obsoleti.

Un reset è utile quando la causa è già stata risolta e restano solo avvisi obsoleti. Se lo stato torna giallo o rosso, il problema è ancora attivo.

Eliminare un dispositivo

Un dispositivo viene eliminato solo dopo aver confermato la disinstallazione locale e salvato i dati di alert o forensi necessari. Sophos Central elimina anche gli alert assegnati al dispositivo.

I dispositivi eliminati possono attualmente essere ripristinati per 30 giorni. È una rete di sicurezza, non sostituisce un processo di offboarding. La procedura corretta è in Disinstallare Sophos Central Endpoint in Windows.

Entro questi 30 giorni Central ripristina un dispositivo eliminato. In seguito, l’Agent esistente deve essere registrato nuovamente o reinstallato. Dopo la scadenza di una licenza, il dispositivo può essere recuperato entro 90 giorni dall’attivazione di una nuova licenza; più tardi serve comunque una nuova registrazione o installazione. I dispositivi con Update Cache o Message Relay non sono esclusi e anche i loro componenti Cache e Relay vengono rimossi durante Delete o Expiry.

Gestire correttamente i dispositivi duplicati

Ogni installazione Sophos riceve un Device ID univoco alla registrazione. Se un sistema già registrato viene clonato senza preparazione, più Endpoint possono usare lo stesso ID. Inizialmente Central mostra un solo oggetto dispositivo che viene sovrascritto a turno. Automatic Duplicate Detection riconosce questo schema su Windows, macOS e Linux, registra nuovamente i dispositivi interessati e crea così oggetti aggiuntivi.

Il dispositivo registrato nuovamente eredita gruppo, policy e assegnazione dei prodotti dall’oggetto originale. Verificare questi valori dopo la Deduplication, perché l’assegnazione ereditata potrebbe non essere adatta a ogni clone.

Un Alert come Device has been detected as a duplicate device non impone di eliminare subito il record contrassegnato. Altri cloni con lo stesso ID possono dipendere ancora dall’oggetto originale. Se viene rimosso troppo presto, non comunicano più con Central e devono essere reinstallati. Sophos raccomanda di conservare l’oggetto originale contrassegnato per almeno due settimane, salvo che tutti i sistemi interessati siano stati identificati con certezza.

Procedura sicura:

1. Esaminare Alert ed Events del dispositivo interessato.
2. Cercare il nome del dispositivo e confrontare record attivi e precedenti con Last Active.
3. Controllare gruppo, policy e assegnazione prodotti del nuovo oggetto.
4. Correggere la causa in Deployment, Gold Image o Snapshot.
5. Eliminare solo quando tutti i sistemi con il vecchio ID sono noti e nessuno comunica più tramite esso.

Negli ambienti VDI non persistenti, ogni nuovo clone o ritorno a uno Snapshot può causare una nuova registrazione. Gli oggetti aggiuntivi non indicano quindi necessariamente un nuovo errore di Deduplication. Preparare il Gold Image con il processo supportato descritto in Distribuire Sophos Central Endpoint per VDI e Gold Images.

Anche istanze AWS e VM Azure attraversano questa rilevazione. Windows Server con Server Lockdown attivo e dispositivi con lo stesso ID ma sistemi operativi diversi non vengono deduplicati automaticamente. Risolvere gli Alert ricorrenti alla causa dell’immagine e della registrazione, invece di nasconderli eliminando continuamente gli oggetti.

Importante: Central non può riparare l’eliminazione accidentale dell’oggetto originale condiviso per i cloni che non comunicano più. In questo caso occorre reinstallare Sophos Agent.

Interpretare correttamente i riavvii

Una prima installazione o la rimozione di un prodotto concorrente può richiedere un riavvio. Gli aggiornamenti spesso non lo richiedono subito. Dopo mesi senza riavvio, due stati successivi possono richiederne uno ciascuno; Sophos raccomanda circa 20 minuti tra i cicli.

I vecchi Alert Windows e macOS vengono rimossi dalla vista dopo 90 giorni. Un Health State rosso può restare finché la causa non è risolta e lo stato reimpostato. La scomparsa dell’Alert non prova la riparazione.

Controllo operativo mensile

Un breve controllo mensile impedisce l’accumulo di punti ciechi:

1. Filtrare i dispositivi senza attività recente e identificarne il responsabile.
2. Risolvere i problemi Health in base alla causa e non soltanto al colore.
3. Verificare Product unassigned, Upgrade available e dispositivi non supportati.
4. Giustificare e correggere Tamper Protection con stato Off.
5. Ripulire computer senza gruppo o con tag errati.
6. Escludere Update Cache, Message Relay e VDI Golden Image dalle regole di eliminazione.
7. Disinstallare in modo controllato i dispositivi non più necessari e poi eliminarli.

Domande frequenti