Introdurre in sicurezza le policy di controllo Sophos Endpoint

Application Control, Peripheral Control, Web Control e Data Loss Prevention (DLP) aggiungono regole operative alla protezione malware. Controllano però attività diverse e non sono opzioni intercambiabili.

Il percorso sicuro consiste nello scegliere un controllo, rilevare l’uso attuale, assegnare una policy pilota separata, provare casi consentiti e vietati e solo dopo ampliare lo scope. In caso di problema, la causa rimane identificabile.

Quale policy serve per ogni attività?

Nessuna sostituisce Threat Protection. Un’applicazione consentita da Application Control viene ancora controllata dalle altre protezioni. DLP valuta i trasferimenti, non se il file contiene malware.

Prima del pilota: definire scope e rollback

I quattro tipi si gestiscono in My Products > Endpoint > Policies. Per ogni funzione, Sophos Central applica la prima policy attiva il cui scope utente o computer corrisponde. Policy dello stesso tipo non vengono unite. La policy pilota va quindi sopra una più generale e assegnata solo a un piccolo gruppo chiaramente denominato.

Prima dell’applicazione documentare:

1. Obiettivo aziendale: cosa impedire e quale processo legittimo deve continuare.
2. Destinatari: sistema operativo, versione agent, gruppo utente o computer e policy realmente effettiva.
3. Test: almeno un caso consentito e uno vietato per ogni regola o categoria.
4. Criteri di successo: azione, evento Central, messaggio utente e accesso invariato ai servizi necessari.
5. Rollback: disattivare la policy o rimuoverne l’assegnazione; per dispositivi di rete mantenere anche accesso locale o alternativo.

Controllare la policy effettiva nella scheda Policies del computer. Vederla nell’elenco non prova che sia arrivata al dispositivo.

Pilotare correttamente i quattro controlli

Application Control: rilevare prima di bloccare

Application Control usa il catalogo Sophos delle applicazioni controllabili. Per l’inventario, selezionare categorie e applicazioni rilevanti e attivare inizialmente solo Detect controlled applications during scheduled and on-demand scans. Dopo almeno una scansione pianificata su ogni dispositivo pilota, valutare gli eventi in Reports > Logs > Events.

Rimuovere dalla selezione le applicazioni necessarie. Solo dopo attivare Detect controlled applications when users access them e Block the detected application per il pilota. New applications added to this category by Sophos amplia automaticamente lo scope: in una categoria bloccata un nuovo programma può essere bloccato senza altre modifiche.

Peripheral Control: proteggere l’accesso di rete

Iniziare con Monitor but do not block (all peripherals will be allowed). Solo i dispositivi così rilevati sono disponibili per esclusioni mirate. Passare poi a Control access by peripheral type and add exemptions e scegliere Allow, Read Only, Block o, per Wireless, Block Bridged, se supportato dalla categoria.

Le esclusioni usano Model ID o Instance ID. Model ID comprende tutti i dispositivi dello stesso modello; Instance ID è normalmente più ristretto e adatto a un singolo dispositivo approvato.

⚠️ Non bloccare mai Wireless o Modem senza preparazione: la connessione a Sophos Central può interrompersi. Escludere prima gli adattatori necessari e provare un accesso alternativo. Altrimenti può servire accesso fisico.

Windows e macOS non supportano gli stessi tipi. Peripheral Control non blocca Bluetooth su macOS e Camera non è disponibile. Un collaudo Windows non copre automaticamente i Mac.

Web Control: separare il nuovo modello da Classic

Sophos Central offre Web Filtering Profiles e Classic Web Control. I profili sono previsti per endpoint Windows supportati da Sophos Endpoint 2026.1. Gli agent Windows precedenti e macOS continuano a usare Classic. Un ambiente misto richiede dispositivi di prova per ogni variante usata.

Un Web Filtering Profile combina categorie e Site Lists ordinate per priorità. Classic utilizza anche tag personalizzati di Website Management. Una Website Exclusion globale aggira Web Control più ampiamente e non sostituisce una decisione mirata.

Nel pilota provare una categoria consentita, una con avviso e una bloccata, più un’eccezione Site List o tag. Le pagine di avviso del nuovo modello richiedono HTTPS Decryption nella policy Threat Protection effettiva. Se mancano, controllare anche attendibilità dei certificati e HTTPS Decryption.

Data Loss Prevention: valutare il rilevamento prima del blocco

Endpoint DLP comprende Content Control Lists (CCLs), regole DLP riutilizzabili e policy assegnata. Una Content Rule controlla il contenuto; una File Rule nome o tipo. CCL SophosLabs e template regionali sono un punto di partenza, non una conformità già approvata.

Nel primo pilota usare Allow file transfer. I match compaiono in Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Passare a Allow transfer if user confirms o Block transfer solo quando test positivi e negativi dimostrano una qualità utile. Se coincidono più regole, Sophos applica l’azione più rigorosa.

Le Content Rules leggono il contenuto. File grandi e molte regole sequenziali possono allungare i trasferimenti; le File Rules per nome o tipo non sono interessate allo stesso modo. Il collaudo include dimensioni tipiche, applicazioni reali e durata percepita.

Rollout e collaudo

Introdurre le funzioni una per volta:

1. Rilevare la baseline: inventariare applicazioni e dispositivi, documentare requisiti Web e flussi sensibili.
2. Progettare: includere solo categorie, regole ed esclusioni motivate; definire responsabile e data di revisione.
3. Assegnare il pilota: utenti e dispositivi rappresentativi, ma scope piccolo e recuperabile.
4. Testare positivo e negativo: il processo consentito funziona; quello vietato genera evento e azione attesi.
5. Correggere singolarmente: cambiare una regola o esclusione, verificare la ricezione e ripetere il test.
6. Ampliare gradualmente: aggiungere gruppi dopo il collaudo documentato e revisionare le esclusioni.

I messaggi spiegano brevemente il controllo e come richiedere un’eccezione, senza rivelare pattern DLP sensibili o meccanismi interni.

Quando il risultato non corrisponde alla policy

Controllare nell’ordine:

1. La policy corretta è attiva, assegnata e prima tra quelle corrispondenti?
2. La scheda Policies del computer la mostra come effettiva?
3. Sistema operativo e versione agent supportano funzione o modello?
4. Il test coincide esattamente con applicazione, identificatore, regola Web, condizione DLP e trasferimento scelti?
5. Esiste un’esclusione più ampia o, per DLP, un’altra regola più rigorosa?
6. Compare l’evento atteso? In caso contrario correggere scope e condizioni, senza disattivare globalmente la protezione.

Non applicare una funzione insieme a più grandi modifiche. Altrimenti impatto, performance e falsi positivi non sono attribuibili a una sola causa.

Guide dettagliate

• Comprendere ordine e scope delle policy Endpoint
• Configurare Application Control
• Configurare Peripheral Control
• Configurare Web Control
• Configurare Data Loss Prevention
• Gestire Windows Firewall con Sophos Central Endpoint

Domande frequenti