Mettere in esercizio Sophos Central Endpoint in modo strutturato

Sophos Central Endpoint non è un singolo installer, ma un modello operativo composto da Cloud Tenant, accesso amministrativo, identità di utenti e dispositivi, licenze, Policies, software Agent, Monitoring e Response. Distribuire soltanto l’Agent fa comparire i dispositivi in Central, ma non crea ancora una Baseline di protezione affidabile.

1. Chiarire account e regione

Dopo la creazione dell’account, il tenant viene attivato tramite l’e-mail di invito. Si verificano dati aziendali, regione dei dati e partner responsabile. La regione dei dati influenza, tra l’altro, API Host e determinati servizi e non viene scelta incidentalmente.

Devono essere presenti almeno due amministratori responsabili, affinché l’accesso non dipenda da una sola persona durante ferie, uscita dall’azienda o perdita del dispositivo MFA.

2. Proteggere l’accesso amministrativo

MFA viene configurato immediatamente. Sophos supporta Passkey e Authenticator App con codici TOTP. Ogni amministratore registra almeno due metodi indipendenti.

Super Admin viene usato soltanto per ruoli, API e impostazioni particolarmente estese. Il lavoro quotidiano avviene con un ruolo Admin, Help Desk, Read-only o Custom adeguato. I diritti specifici Endpoint sono descritti in Pianificare ruoli e autorizzazioni Sophos Central Endpoint.

Per Identity Provider, Passkey, ripristino e Sign-in Rule vedere Proteggere l’accesso a Sophos Central con MFA e IdP.

3. Determinare licenza e Agent Mode

Prima del rollout si chiarisce quale licenza Endpoint è attiva e quale Agent Mode è previsto:

• Endpoint per una protezione Endpoint completa,
• XDR per protezione completa più funzioni XDR,
• XDR Sensor per telemetria accanto a un prodotto di protezione separato.

XDR Sensor non protegge autonomamente dal malware. Scadenza licenza e assegnazione prodotto vengono verificate prima di un rollout di massa. Gli effetti sono descritti in Comprendere le licenze Sophos Central Endpoint.

4. Definire l’origine identità

Le User Policies seguono una persona, le Computer Policies un dispositivo. Occorre quindi decidere presto come nascono utenti e gruppi in Central:

• automaticamente tramite gli accessi Endpoint,
• manualmente o tramite CSV,
• da Active Directory locale,
• da Microsoft Entra ID.

Più origini per lo stesso dominio possono creare duplicati e assegnazioni Policy inattese. La logica delle identità viene testata prima del rollout.

5. Progettare il modello di gruppi e Policies

Un numero ridotto di gruppi comprensibili è più manutenibile di un gruppo per ogni reparto e caso speciale. Un modello tipico comprende:

• dispositivi pilota,
• dispositivi di lavoro produttivi,
• dispositivi speciali critici,
• gruppo di eccezione temporaneo,
• dispositivi di test per nuove versioni software.

Per ogni tipo di Policy si applica la prima Policy attiva corrispondente. La pianificazione completa è descritta in Strutturare correttamente le Sophos Central Endpoint Policies.

6. Definire la Baseline di protezione

Prima del primo dispositivo produttivo si definiscono almeno questi ambiti:

• Threat Protection e HTTPS Decryption,
• Application, Peripheral e Web Control,
• DLP e DNS Protection, se licenziati e necessari,
• Update Management e Software Packages,
• Tamper Protection ed eccezioni,
• Data Collection, isolamento e Live Response,
• regole e-mail per Alert e responsabilità.

Le nuove funzioni Control iniziano in modalità Monitor o Pilot. Un’eccezione priva di Owner, motivo e scadenza non appartiene alla Baseline.

7. Preparare rete e piattaforma

I domini e le porte Sophos correnti vengono autorizzati sul Proxy effettivamente usato e sui Network Firewall. TLS Inspection non deve interrompere la comunicazione Agent con una catena di certificati non attendibile.

Windows e macOS vengono pilotati separatamente. Sui Mac, profili MDM e autorizzazioni di sicurezza Apple devono essere pronti prima del rollout ampio.

8. Distribuire l’installer in modo controllato

In My Environment > Installers viene scaricato l’installer legato al tenant appropriato. I vecchi installer possono essere invalidati irrevocabilmente con Expire previous installers.

Il primo rollout comprende pochi dispositivi rappresentativi. Per Windows vedere Installare Sophos Central Endpoint, per macOS Installare Sophos Central Endpoint.

I rollout automatizzati utilizzano parametri CLI documentati, trasferimento sicuro dei Secret e Log univoci.

Per l’inventario o le modifiche di massa basate su API si utilizza un Service Principal dedicato con il ruolo minimo. Autenticazione, host API regionali e gestione sicura delle operazioni Bulk sono descritti in Automatizzare in sicurezza Sophos Central Endpoint API.

9. Approvare tecnicamente il Pilot

Un dispositivo è considerato introdotto con successo soltanto quando sono corretti tutti questi punti:

1. Lo stato Endpoint locale è sano.
2. Il dispositivo compare nel tenant e nel gruppo corretti.
3. Agent Mode e componenti installati corrispondono alla licenza.
4. Le Policies previste sono effettive.
5. Last Active ed Event si aggiornano.
6. Test Detection, Web, Application o Peripheral Event compare come previsto.
7. Update, riavvio e disinstallazione sono stati verificati nel Pilot.
8. E-mail di Alert e responsabilità Response funzionano.

I test sicuri EICAR, Reputation, MTD e Web sono descritti in Testare in sicurezza le funzioni di Sophos Endpoint.

10. Stabilire operatività e Ownership

Prima del rollout ampio sono necessarie responsabilità fisse:

• Chi gestisce High Alert e Outbreak?
• Chi approva le eccezioni e quando scadono?
• Chi verifica Account Health, dispositivi inattivi e licenze?
• Chi gestisce livelli Update e finestre di manutenzione?
• Chi può usare Live Response o funzioni AI?
• Quali dati possono essere trattati in Sophos Central e nei pacchetti Support?

Navigazione e aiuto

L’interfaccia Central corrente raggruppa i dispositivi in My Environment, i prodotti in My Products e le impostazioni globali tramite l’icona ingranaggio. Sophos Help offre ricerca, risorse contestuali e guide interattive.

Sophos modifica regolarmente navigazione e nomi delle funzioni. Nei Runbook si documentano quindi anche nomi delle funzioni e termini di ricerca, non soltanto screenshot.

Domande frequenti