Pianificare e risolvere le scansioni Sophos Endpoint
Real-time Scanning controlla i file durante lettura, scrittura o ridenominazione. Una scansione pianificata o avviata manualmente esamina invece un insieme definito. I due controlli non si sostituiscono: un malware inattivo su un disco potrebbe non essere mai aperto e un file potrebbe essere stato salvato prima che fosse disponibile il rilevamento adatto.
Una scansione non va comunque eseguita automaticamente ogni giorno su tutte le unità. Ambito, orario e profondità devono adattarsi al dispositivo, altrimenti il controllo aggiuntivo genera molto I/O, tempi lunghi e interruzioni inutili.
Scegliere il tipo di scansione corretto
Un Quick Scan si concentra sulle aree attive e spesso abusate, come processi in esecuzione, avvii automatici, memoria e informazioni di boot. È adatto a un primo controllo rapido, ma non costituisce un inventario completo del disco.
Un Full Scan, ossia una scansione dell’intero computer, esamina molti più file. Una scansione mirata di file, cartella o unità è utile quando l’area sospetta è già delimitata. Le scansioni on-demand usano lo stesso motore della protezione in tempo reale, ma differiscono per l’ambito scelto.
Per controlli Windows automatizzati o definiti con precisione, la CLI di scansione Sophos Endpoint offre inoltre exit code e output JSON.
Gestire le scansioni pianificate come policy
Scheduled Scanning si configura nella Threat Protection Policy effettiva. La policy viene assegnata a un gruppo di computer chiaramente definito, con ora di avvio locale e finestra di manutenzione. Un dispositivo spento all’ora prevista non recupera automaticamente la scansione in seguito.
Con Real-time Scanning attivo, una scansione pianificata non è necessaria per principio. La si usa in modo mirato per file vecchi aperti raramente o durante un’indagine. Background Scanning è disponibile solo sui computer Windows; questo limite di piattaforma rientra nella decisione se aggiungere una pianificazione.
Per i dispositivi mobili si valutano più finestre realistiche di connessione o un runbook RMM separato. Scan all files, Archive Scanning e Deep Scanning aumentano notevolmente copertura e durata. Non vanno attivati simultaneamente su tutti i dispositivi senza un pilot rappresentativo che includa profili grandi, file di sviluppo e dischi lenti.
Valutare realisticamente la durata
La durata dipende soprattutto dal volume di dati occupato, dai tipi di file, dalla quota di archivi, dalla velocità del disco e dalla CPU disponibile. Le attività di scansione Sophos hanno priorità bassa, quindi un dispositivo occupato è più lento. Un archivio da 100 MB può generare più volte quel volume dopo l’estrazione, mentre molti file di solo testo non richiedono di default lo stesso lavoro.
Gli aggiornamenti Major e VDL possono interrompere una scansione pianificata riavviando un servizio. Gli aggiornamenti delle minacce solo IDE non lo fanno. Per una scansione lenta o interrotta, si confrontano policy, orario dell’aggiornamento, SophosScanCoordinator.log, I/O del disco e carico di sistema nello stesso intervallo.
Si modifica una sola opzione in un gruppo pilot, così che l’effetto resti misurabile. Disattivare globalmente Archive Scanning o Scan all files perché una singola workstation di sviluppo era lenta non è una correzione attendibile.
Quando Quick Scan o Scheduled Scan non si avvia
Occorre prima distinguere tra errori di policy, Coordinator e File Scanner:
- Verificare la Threat Protection Policy effettiva e l’ultimo contatto Central.
- Controllare Health State locale e versione Core Agent installata.
- Esaminare
SophosScanCoordinator.logper il primo errore all’ora di avvio. - Verificare il servizio Sophos File Scanner e il relativo processo worker.
- Decidere su aggiornamento, riavvio, correzione ACL o supporto solo dopo aver identificato la causa.
Un problema storico della linea FTS 2025.2.1 faceva terminare Quick Scan con The file cannot be accessed by the system (1920). È stato risolto in FTS 2025.2.1 MR2. Su un package ancora interessato si passa prima a una Maintenance Version attuale e supportata. Anche un vecchio problema Core Agent 2023.1 con Google Drive File Stream o RamDisk fu risolto da una Maintenance Release; i vecchi package token non appartengono a un runbook attuale.
Il servizio Sophos File Scanner è attivo, ma non avvia un worker
Il servizio Windows può apparire attivo anche se il processo File Scanner vero e proprio non si avvia. Le posizioni dei log differiscono tra versioni Core Agent attuali, Legacy e versioni moderne meno recenti. Una causa documentata è la mancanza dei diritti LOCAL SERVICE sulle chiavi di registro usate da Sophos.
Non si assegna genericamente Full Control alle ACL del registro. Prima occorre verificare che firma del log, chiavi interessate ed ereditarietà esistente coincidano esattamente con il KBA Sophos corrente. Prima di modificare si esportano chiavi e ACL. Poi si concede a LOCAL SERVICE solo l’autorizzazione necessaria sulla chiave documentata e le sue sottochiavi, si riavvia il dispositivo e si aggiorna l’agent.
Health State rosso a causa di Cryptographic Services
Un’altra causa è una GPO con hardening per Windows Cryptographic Services. Se rimuove il diritto Query status a NT AUTHORITY\SERVICE, Sophos File Scanner non può interrogare lo stato di CryptSvc e non si avvia.
La correzione va applicata all’origine della GPO gestita in Computer Configuration > Policies > Windows Settings > Security Settings > System Services > Cryptographic Services. Qui si concede specificamente Query status a NT AUTHORITY\SERVICE. Dopo gpupdate, o il normale refresh della policy, si controlla nuovamente File Scanner. Le modifiche ACL locali non hanno effetto finché la GPO le sovrascrive.
Dopo la scansione
Una scansione riuscita senza rilevamenti è un buon segnale, ma non chiude completamente un incidente. File inaccessibili o cifrati, esclusioni effettive e assenza della connessione Live Protection vengono valutati separatamente. Dopo un rilevamento si segue il runbook Threat Cleanup, invece di creare automaticamente un’esclusione.