Risolvere sistematicamente i problemi di installazione Sophos Endpoint
Un messaggio come «Installation failed» descrive soltanto la fine di una catena. L’errore può essersi verificato già durante Download, verifica del certificato, rimozione di un prodotto concorrente, installazione dei componenti, registrazione o prima sincronizzazione Policy.
Il troubleshooting segue quindi le fasi dell’installazione e inizia dai fatti invece che da ripetuti avvii dell’installer.
Preparare la diagnosi
Prima di una modifica si raccolgono:
- sistema operativo, architettura e Patch Level,
- installer usato e ora del Download,
- comando completo senza Secret esposti,
- ora di avvio ed errore con fuso orario,
- Exit Code e messaggio visibile,
- percorso Proxy, Relay e rete,
- software di sicurezza esistente,
- precedenti installazioni Sophos o oggetti dispositivo.
L’installer è legato al tenant. Non viene copiato in ticket, Share pubbliche o Repository.
Fase 1: prerequisiti e sistema operativo
Si verifica innanzitutto se piattaforma, architettura e versione sono attualmente supportate. Le piattaforme Legacy possono richiedere una licenza Extended Support e non ricevono necessariamente tutte le funzioni.
Su Windows, in particolare, i Root Certificate devono essere correnti e attendibili. Update automatici dei Root Certificate disattivati o TLS Inspection con una CA non attendibile possono impedire installazione e comunicazione Central.
Disattivare volutamente l’aggiornamento dei certificati radice di Windows non è necessariamente errato se un altro processo controllato mantiene aggiornato il Trust Store. Senza tale processo, però, all’Installer mancano le necessarie ancore di fiducia. I componenti di installazione correnti richiedono DigiCert CS RSA4096 Root G5; gli Installer meno recenti possono fare riferimento anche a DigiCert Trusted Root G4. I certificati vengono ottenuti esclusivamente da DigiCert o tramite il processo di trust Microsoft gestito e ne vengono verificate impronta e firma. Un download con certutil può attivare una Detection XDR/MDR prevista, che viene chiusa solo dopo il confronto con l’attività amministrativa documentata.
Su macOS, oltre a una versione supportata, sono necessarie System Extension, Network Extension, Full Disk Access e altre autorizzazioni Privacy. Con rollout MDM, i profili devono essere distribuiti prima del software.
Fase 2: Download e avvio
Su Windows si controlla che SophosSetup.exe sia stato scaricato completamente e avviato con diritti amministrativi. AppLocker, Windows Defender Application Control, EDR Rule o Web Proxy possono bloccare il processo Bootstrap.
Si utilizza sempre un Installer appena scaricato dal tenant Central corretto. Un vecchio Stub Package può avviarsi ma, dopo una modifica dei requisiti Bootstrap, lasciare soltanto un’interfaccia con No Sophos security products installed. In tal caso si confronta la versione Stage 1 in CloudInstaller.log con il download corrente, invece di considerare riuscita l’installazione per la sola presenza dell’interfaccia vuota.
Se su Windows 10 o Windows Server 2019 l’Installer segnala No Products available for this Operating system, si controlla anche Settings > Apps > Apps & features > Choose where to get apps. Alcuni aggiornamenti Windows possono impostare The Microsoft Store only. L’impostazione gestita deve consentire le applicazioni Sophos, ad esempio con Anywhere. Se è corretta, con Sophos Support o il partner si verifica come seconda causa nota un Trial scaduto.
Gli Installer scaricati scadono dopo 90 giorni. Il Bootstrap corrente non genera un Installer offline completo; per rollout più grandi, un Update Cache riduce i download. L’Installer riceve i cache disponibili dalla Central Update Policy e sceglie autonomamente. Non esiste un parametro per fissare uno specifico Cache Server.
Nelle versioni macOS correnti il file ZIP non deve essere estratto in Documents, Downloads o sul Desktop. Sophos raccomanda una directory nella Home dell’utente. Se l’attributo Quarantine dopo l’estrazione è problematico, viene verificato in modo controllato:
xattr ~/SophosInstall/Sophos\ Installer.app
Soltanto se com.apple.quarantine è la causa documentata, l’attributo viene rimosso dall’installer specifico:
sudo xattr -r -d com.apple.quarantine ~/SophosInstall/Sophos\ Installer.app
Fase 3: rete, DNS e Proxy
Un test browser su central.sophos.com non dimostra che tutti i servizi Agent raggiungano le loro destinazioni. È determinante l’elenco Sophos corrente di domini e porte. Servono in particolare DNS funzionante, TCP 443 e, con Message Relay, TCP 8190.
Si verificano:
- Risoluzione dei domini Sophos richiesti.
- Percorso diretto o Proxy previsto dal contesto di sistema.
- Catena TLS senza manipolazioni non consentite.
- Autenticazione PAC o Proxy per servizi non interattivi.
- Raggiungibilità di un Message Relay configurato.
Le password Proxy nella riga di comando possono comparire negli elenchi processi e nei Deployment Log. È preferibile una funzione Secret della piattaforma di distribuzione.
Fase 4: protezione concorrente e vecchia installazione
Competitor Removal automatico può rimuovere prodotti noti. Un driver sconosciuto, una disinstallazione danneggiata o un Agent concorrente autoprotetto possono comunque arrestare il processo.
--nocompetitorremoval non è un’opzione di riparazione generale. Per un Sophos Endpoint completo, la coesistenza deve essere espressamente supportata. XDR Sensor è la variante prevista accanto a un prodotto di protezione separato.
Servizi o driver rimasti da una precedente installazione Sophos e Tamper Protection attivo vengono trattati in modo controllato. Eliminazioni Registry e rimozione manuale di singoli componenti MSI senza Support Runbook possono peggiorare lo stato.
Se una Repair Installation fallisce perché Tamper Protection è attivo, non si reinstalla ripetutamente sopra l’installazione esistente. La protezione viene disattivata in modo controllato per lo specifico dispositivo, Sophos Endpoint Agent viene disinstallato normalmente da Installed Apps e Windows viene riavviato. Solo dopo si esegue di nuovo l’Installer corrente legato al tenant. La procedura esatta è descritta in Disattivare Sophos Central Tamper Protection in sicurezza.
Se AVremove.log riporta Competitor Removal Tool exit code 16 o il codice 1603, si identifica il nome del prodotto rilevato direttamente sotto Info: Removing detected products. Se il prodotto concorrente è ancora installato, si disattiva il suo Tamper Protection secondo le istruzioni del produttore e lo si ripara o rimuove regolarmente. Se non è più elencato, si eliminano soltanto le chiavi Registry orfane nominate esattamente nel Log e dopo un backup. Una scansione generale del Registry per nome del produttore sarebbe troppo rischiosa.
Tutti i prodotti Invincea, incluso Dell Protected Workspace, devono essere rimossi prima di Sophos. Se la disinstallazione fallisce con Unable to load SBox.DLL, si installa prima la versione più recente di Dell Protected Workspace sopra quella esistente e poi la si disinstalla regolarmente. Dopo il riavvio si procede con l’installazione Sophos.
Se l’Installer segnala un prodotto concorrente non rimovibile anche se non ne è installato alcuno, controllare AVremove.log. Gli errori GetServiceKeyName 1060 o createSecurityCentreInformation failed indicano un servizio Windows Security Center mancante, disattivato o danneggiato. Riparare o reimpostare prima l’app Sicurezza di Windows. --nocompetitorremoval può aggirare il passaggio, ma non ripara Windows Security Center e non è quindi la soluzione preferita.
Fase 5: Windows Installer Log
I Bootstrap Log centrali si trovano normalmente in:
C:\ProgramData\Sophos\CloudInstaller\Logs
Per l’analisi si usa il Log corrispondente all’ora dell’errore. Si risale dal primo errore verso il componente, non si considera soltanto l’ultimo messaggio di ritorno generico.
Thin Installer viene prima estratto in %TEMP%, carica SophosSetup_Stage2.exe e registra il Tenant tramite Customer Token e MCS Customer ID. Oltre al Bootstrap Log, vengono creati Log dei componenti in %TEMP% e C:\Windows\Temp. Sono particolarmente utili AVremove.log per Competitor Removal, Sophos Management Communications System Install Log.txt per MCS e registrazione e il Log di installazione del componente indicato nell’errore. Il Log MCS può contenere Registration Token e viene trattato come un Secret.
Con --traillogging l’installer può generare dati diagnostici aggiuntivi. L’opzione viene usata in modo mirato su un dispositivo pilota, perché i Log possono essere più estesi e sensibili.
Le cause tipiche sono:
- Download o verifica firma non riusciti,
- Root Certificate non attendibile,
- Proxy o DNS bloccati,
- prodotto concorrente non rimovibile,
- riavvio in sospeso,
- spazio o diritti insufficienti,
- installer errato o scaduto,
- componente incompatibile con la piattaforma.
Se CloudInstaller.log contiene WinHttpSendRequest failed with error 15100 oppure 15105, una system file di Windows mancante o danneggiata può impedire la richiesta WinHTTP. Si esegue prima sfc /scannow e si verifica il risultato CBS. Un file può essere copiato solo da un dispositivo con esattamente la stessa versione e lo stesso Patch Level di Windows; una DLL qualsiasi da Internet non è una riparazione.
Se le TLS Cipher Suite sono sottoposte a hardening tramite GPO, deve rimanere attiva almeno una Suite offerta da Sophos MCS. L’SSL Cipher Suite Order effettivo viene confrontato con un dispositivo funzionante e con l’elenco Sophos corrente, corretto nella Domain GPO gestita e ritestato dopo il riavvio richiesto. Non serve riattivare in modo generalizzato vecchie Cipher Suite.
Endpoint Defense non si avvia con errore 31
Se l’Installer mostra Failed to start service - Sophos Endpoint Defense with error 31 e il Mini-Filter Endpoint Defense risulta Stopped in Self Help, si verifica il tipo del valore Windows HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute. Windows richiede REG_MULTI_SZ; una modifica esterna a REG_SZ impedisce all’Installer di aggiungere la propria voce. Prima della correzione si esegue un backup del Registry e si documenta il contenuto esistente. Il valore viene ripristinato come Multi-String solo per questo esatto errore, quindi si reinstalla. Non è un Reset generale di Endpoint Defense.
Se il Setup Log di Endpoint Defense contiene Failed to copy SophosEL.sys into ELAM driver Backup Path e in precedenza il codice file system 1, si verifica se manca C:\Windows\ELAMBKUP. La cartella Windows ELAMBKUP viene creata solo per questo preciso Log Pattern, quindi si esegue Update Now. L’operazione non ripara altri errori ELAM o Driver.
Se Sophos Network Threat Protection non si avvia dopo l’installazione, si controllano prima Microsoft Visual C++ Runtime e il servizio Windows Base Filtering Engine. Una BFE mancante o danneggiata è un problema del sistema operativo. Non si importano indiscriminatamente Registry Permission o intere chiavi BFE da un altro dispositivo; sono necessari Build identiche, backup e un Runbook Microsoft o Sophos aggiornato.
Se l’Installation Log di Network Threat Protection in C:\Windows\Temp contiene esplicitamente E DLL verification error: -2146869243 e l’avvio manuale del servizio termina con errore 1053, si controlla l’ACL del Certificate Store di LOCAL SERVICE:
Get-Acl Registry::HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\SystemCertificates | Format-List
Get-Acl Registry::HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\SystemCertificates\CA | Format-List
LOCAL SERVICE richiede Full Control su entrambe le chiavi. Permessi diversi vengono corretti soltanto dopo il backup del Registry e l’analisi della causa, per esempio una Security Baseline o GPO. Seguono riavvio e un nuovo Endpoint Update. Anche copiare ACL arbitrarie da un altro dispositivo è errato per questo caso.
Se setupapi.dev.log mostra per NTP64: General error il codice 0xe0000248 e una Device Class {4d36e972-e325-11ce-bfc1-08002be10318} bloccata da Policy, una Windows GPO impedisce l’installazione degli adattatori di rete. Si corregge la limitazione nella relativa GPO gestita, si esegue gpupdate /force e quindi Update Now. Eliminare solo la voce Registry locale non è duraturo se la GPO rimane attiva.
Se l’Installer segnala erroneamente l’assenza del supporto Azure Code Signing e CloudInstaller.log mostra nello stesso momento che Application Control ha bloccato SophosACSenabledTest.exe, il Patch Level non è la causa primaria. La Third-Party Policy, per esempio WDAC o Intune Application Control, deve consentire esattamente questo processo di test Sophos firmato durante l’installazione.
Se Airlock Whitelist Application blocca un Upgrade a causa di una presunta firma non valida di una MSI Sophos Health in cache, non si disattiva globalmente la verifica della firma. Nelle versioni correnti Sophos Health non è più un componente MSI separato. Dopo aver salvato il Sophos Health Uninstall Log e l’evento Airlock, si utilizza l’Installer Sophos Central Endpoint corrente per una Repair Installation supportata.
Se il Setup NTP segnala Failed to grab execution mutex. System error 258 dopo dieci tentativi con un Installer attivo, un’altra istanza di msiexec.exe blocca Windows Installer. Prima si identifica il relativo processo di installazione legittimo e si attende o lo si termina in modo controllato. Un processo msiexec sconosciuto non viene terminato alla cieca; quando l’Installer è libero si avvia nuovamente l’Update Sophos.
Se durante un Upgrade manca la precedente MSI registrata da Windows Installer, si determina innanzitutto quale componente e versione Sophos siano coinvolti. Una MSI corrispondente può provenire solo dal Sophos Cache di un dispositivo con esattamente la stessa versione del prodotto e viene ripristinata con il nome atteso in C:\Windows\Installer. Una MSI estranea o una versione più recente qualsiasi danneggiano ulteriormente lo stato; senza una fonte identica si procede con Sophos Support.
L’errore NTP 0x80070057 durante la chiamata a netcfg.exe può indicare un valore di configurazione di rete Windows danneggiato sotto HKLM\SYSTEM\CurrentControlSet\Control\Network. Prima si riproduce l’errore con netcfg.exe -s n. Il Registry viene corretto solo dopo l’esportazione della chiave e seguendo il Runbook Sophos corrente, perché l’area riguarda tutti gli adattatori di rete Windows.
L’errore 0x8004a029 indica che Windows ha raggiunto il limite predefinito di otto NDIS Filter Driver. Insieme ai responsabili di rete e VPN si identificano e disinstallano correttamente i filtri non più necessari. Se occorre aumentare il limite Windows documentato, Sophos indica un valore massimo di 14; un valore Registry maggiore non crea ulteriori posti e nasconde soltanto la causa.
Se Windows segnala soltanto another installation or update is in progress, si identifica il proprietario dell’installazione attiva e si attende. Uno stato orfano Installer\InProgress viene rimosso solo dopo la verifica di riavvii e processi e un backup del Registry, mai mentre è attiva una distribuzione software.
Gli errori 0xC0190005 o Failed to open transacted registry key: 6801 indicano uno stato di transazione del Registry Windows danneggiato o bloccato, non una Sophos Policy. Le procedure ufficiali modificano file di transazione TxR e SMI e richiedono backup, Maintenance Window e un Runbook Microsoft o Sophos aggiornato. Non vengono usate come cleanup generico dell’Installer.
Con l’Exit Code 3221226505 del servizio Health si verifica se manca C:\Windows\SysWOW64\config\systemprofile\AppData\Local. La cartella viene creata e l’Update riavviato solo per questo preciso Log Pattern. StartService failed with error 1053 può invece dipendere da permessi modificati su C:\ProgramData. Le ACL effettive e la GPO responsabile vengono confrontate con i permessi standard Windows; i diritti non vengono ampliati indiscriminatamente nell’intero tenant.
CreateDirectory ... HitmanPro.Alert\Logs failed with error 3 può indicare una Uninstall Entry orfana dopo un’installazione interrotta. Prima di rimuovere la chiave indicata nel KBA Sophos corrente si salvano Component Status, contenuto della chiave e backup del Registry. Non si eliminano altre Uninstall Entry solo perché hanno un nome simile.
L’errore di installazione MCS 997 può essere collegato alla funzione Secure Repair di Windows Installer. Secure Repair non viene disattivato globalmente. Dopo la conferma nel MCS Installation Log, al massimo si aggiunge a SecureRepairWhitelist l’esatto Sophos Product Code documentato e, a riparazione riuscita, si verifica la modifica rispetto alla Windows Hardening Policy vigente.
Il Return Code numerico dell’Installer è solo un’indicazione. Sono decisivi il primo ERROR precedente, l’identificatore del componente citato e il relativo Installation Log. Le vecchie tabelle dei Bootstrap Code non vanno usate come unica diagnosi, poiché fasi e componenti dell’Installer sono cambiati.
SFS64 segnala un percorso mancante
Se durante la copia di filerep.dat il Log Sophos File Scanner contiene l’errore Windows 3 The system cannot find the path specified, può mancare la cartella C:\ProgramData\Sophos\Sophos File Scanner\Data. Dopo aver salvato i Log, creare la cartella secondo la Sophos KBA corrente e copiarvi filerep.dat e signrep.dat da C:\ProgramData\Sophos\AutoUpdate\Cache\decoded\sfs64. Avviare quindi di nuovo l’Update. Questa riparazione è adatta solo a questo specifico Log e non costituisce un Reset generico del File Scanner.
Fase 6: installazione macOS e autorizzazioni
Su Mac si distingue tra installazione vera e propria e autorizzazioni di sicurezza mancanti. L’Agent può essere installato, mentre Central mostra un Health Status negativo a causa di System Extension, Full Disk Access o Network Extension.
Le autorizzazioni vengono controllate localmente, tramite Terminal e nella soluzione MDM. La guida corrente è Sophos Endpoint macOS CLI e autorizzazioni.
Fase 7: registrazione in Central
Dopo un’installazione locale riuscita, il dispositivo deve comparire nel tenant corretto. Se manca, si verificano Customer Token, raggiungibilità MCS, ora di sistema, Proxy e Management Communication.
Se compare un duplicato, si controllano override di nome computer, dominio o immagine e una precedente preparazione Gold Image. Un dispositivo non viene eliminato prematuramente da Central finché sono ancora necessari password Tamper Protection e dati diagnostici.
--registeronly può registrare di nuovo un’installazione Sophos esistente e sana. Non ripara componenti danneggiati.
Fase 8: Agent Mode e Policy
Un’installazione completata può essere comunque incompleta. In My Environment > Computers & Servers si verificano:
- Agent Mode e modifica software annunciata,
- Health e Last Active,
- gruppo computer e Tag,
- componenti installati,
- Policies effettive,
- Alert di riavvio e Update.
Le modifiche software vengono normalmente elaborate al successivo Update e possono richiedere tempo. Ripetere continuamente l’installer non accelera il processo.
Quando è utile SDU
Se il Bootstrap è riuscito, ma servizi, Update, comunicazione o Health restano errati, si usa Endpoint Self Help e SDU. Il pacchetto Support contiene intervallo temporale, comando, Installer Log, SDU e confronto con un dispositivo funzionante.