Diagnosticare Sophos Endpoint con Self Help e SDU
Un problema Endpoint non si risolve reinstallando indiscriminatamente. Prima si delimita se sono interessati componenti di protezione, comunicazione Central, Update, Policy, sistema operativo o rete. Endpoint Self Help fornisce stati locali e prime cause. Sophos Diagnostic Utility, abbreviato SDU, raccoglie successivamente i Log tecnici.
Prima di raccogliere i Log
Prima di ogni diagnosi si documentano i sintomi visibili:
- computer interessato, sistema operativo e ora,
- messaggio di errore locale o screenshot,
- Central Health, Last Active, Agent Mode e Policies efficaci,
- ultima installazione, aggiornamento o modifica Policy,
- test riproducibile e comportamento atteso.
Questi dati sono spesso più importanti di un archivio Log molto grande senza riferimento temporale.
Aprire Endpoint Self Help
Nell’interfaccia Sophos Endpoint locale si seleziona About in basso a destra e poi Open Endpoint Self Help Tool. Lo strumento mostra lo stato di componenti importanti, comunicazione e servizi di protezione.
Self Help è adatto a domande come:
- Il componente previsto è in esecuzione?
- Un servizio è arrestato o errato?
- L’Agent raggiunge Central e l’infrastruttura Update?
- Esiste un errore noto di configurazione o autorizzazione locale?
Un Check rosso viene documentato con nome, stato, testo dettagliato e ora. Prima della riparazione si verifica se una Policy centrale o un blocco di rete ricreerebbero la causa.
Se SophosDiag.exe si arresta appena viene aperto e il registro eventi Application di Windows indica un user.config specifico dell’utente danneggiato, elimina soltanto il file citato nell’errore dal profilo interessato. Non automatizzare l’eliminazione della cartella superiore, il cui percorso dipende dalla versione. Poi riapri Self Help. Se l’errore persiste, raccogli un SDU oppure ripara il componente installato.
Usare in modo mirato le pagine Self Help
Le singole pagine rispondono a domande differenti e non devono essere lette come un indicatore generale:
| Pagina | Informazione | Passaggio successivo tipico |
|---|---|---|
| Communication | MCS, connessione Central, RCA, SXL o Relay segnala un errore | verificare Network Test, Proxy, DNS e server indicato |
| Update | stato Update, origine Update e ultima esecuzione riuscita | verificare Update Now, Cache o connessione diretta e AutoUpdate |
| Policy | ultima versione Policy ricevuta e Override locale | confrontare assegnazione Central, comunicazione e Override |
| Network Test | raggiungibilità dei percorsi di comunicazione effettivamente configurati | restringere il passaggio HTTPS, DNS o ICMP non riuscito |
| Performance Analysis | analizzare riepiloghi Scanner creati in precedenza | confrontare processi, percorsi e intervalli che generano carico |
Un Policy Update può richiedere fino a cinque minuti. Se Override Sophos Central Policy for up to 4 hours è attivo localmente, le nuove Central Policy vengono memorizzate e applicate solo al termine dell’Override. Un vecchio Timestamp della Policy non dimostra quindi un problema di comunicazione.
In Components, confronta le versioni dei moduli installate, scaricate e previste. Verifica prima Not installed, stati di download e installazione differenti o più versioni rispetto allo stato Update, a un riavvio in sospeso e a un prodotto di sicurezza concorrente. Non eliminare preventivamente il Repository locale. In System, un Pending Restart persistente può provenire da Windows Update. Dopo modifiche all’hardware o al software di sicurezza, rileva nuovamente lo stato del software con la CLI Endpoint prima di avviare una riparazione.
Normalmente le azioni Central arrivano in pochi secondi o minuti. Last Active viene invece aggiornato al massimo circa una volta all’ora. Con una User Policy, il passaggio può richiedere più tempo perché Central User, account locale connesso e sessione interattiva riconosciuta da MCS Client devono prima coincidere.
Interpretare correttamente Network Test
Network Test controlla i canali Updating, Management Communication e Sophos Extensible List (SXL). Per ogni destinazione, lo strumento tenta prima HTTPS e poi, a seconda del risultato, ICMP e risoluzione DNS. Per il funzionamento è decisiva una connessione HTTPS riuscita. Un solo Ping o nslookup non dimostra quindi che la comunicazione Central funzioni.
Con Update Cache o Message Relay, Self Help verifica soltanto la risoluzione DNS del server assegnato. Un test DNS verde non conferma né stato del servizio né porta o inoltro. La funzione Cache o Relay viene verificata separatamente.
Due limiti sono particolarmente importanti:
- dopo una modifica dell’assegnazione Cache o Relay, Endpoint Self Help deve essere chiuso e riaperto, altrimenti Network Test può continuare a usare la vecchia destinazione;
- Network Test non supporta Proxy autenticati e può produrre risultati fuorvianti.
I test SXL richiedono elevazione UAC amministrativa. Se il dispositivo usa un Message Relay, Self Help non esegue direttamente il test SXL perché questo traffico passa attraverso il Relay.
Se la comunicazione resta difettosa, confrontare gli indirizzi Broker mostrati da Self Help con la configurazione MCS locale. Verificare inoltre Routing, file Hosts di Windows, Proxy e Firewall Log. Dopo una correzione è possibile riavviare Sophos MCS Client e aggiornare Self Help. L’accesso a Central tramite browser non sostituisce questo controllo.
Errori Update senza eliminare prematuramente la Cache
Un Update non riuscito durante la Sophos Grace Period può essere temporaneo. Controllare prima Update Now, rete, Proxy, origine Update e ora dell’ultimo Update riuscito. Solo se queste verifiche non mostrano la causa si considera il Reset documentato da Sophos della Cache AutoUpdate locale.
Per un errore riproducibile, correlare SophosUpdate.log con una cattura di pacchetti simultanea e con i Log Firewall o Proxy. Sono determinanti risposta DNS, Update Server realmente contattato, percorso diretto o tramite Proxy e primo errore HTTP o TLS. I principali percorsi dei Log Windows sono descritti in Analizzare Log e servizi Sophos Endpoint Windows.
Questo intervento richiede Tamper Protection disattivato, diritti amministrativi e genera un Pending Restart Alert. Le cartelle Cache e Repository vengono salvate o rinominate, non eliminate senza controllo. In seguito deve riuscire un Update completo e Self Help deve tornare sano dopo Refresh.
Performance Analysis
Da Core Agent 2024.3, Endpoint Self Help può caricare riepiloghi Scanner sui sistemi Windows supportati. I file CSV si trovano per impostazione predefinita in:
C:\ProgramData\Sophos\Sophos File Scanner\Logs\summary.<TIMESTAMP>.csv
Possono essere analizzati su un altro dispositivo con Endpoint Self Help. Il file mostra quali processi e percorsi hanno generato carico di scansione nell’intervallo registrato. Ciò non giustifica ancora un’eccezione indiscriminata. Verificare prima applicazione, modello di accesso e esclusione tecnica più ristretta possibile.
Durante l’analisi confrontare prima le cartelle con un lungo tempo di scansione cumulativo, poi i percorsi controllati più spesso e infine i grandi volumi di dati. Un percorso frequente non coincide necessariamente con quello dalla durata totale più alta. Se Self Help segnala un’esclusione troppo ampia, usarla solo brevemente per confermare la causa. Limitare qualsiasi soluzione permanente alla sottocartella o al processo che genera davvero il carico.
Product Analysis procede oltre e disattiva e riattiva in modo guidato le funzioni di protezione per isolare il componente coinvolto. Richiede diritti amministrativi e, con Tamper Protection attivo, la relativa password. Eseguirlo solo su un dispositivo di test controllato o in una finestra di manutenzione. Documentare prima lo stato di protezione e Update, salvare il risultato e infine ripristinare tutte le funzioni e gli Update. Lo strumento fornisce un’ipotesi, non un’autorizzazione automatica per un’esclusione.
File Info invece di supposizioni
In Tools > File Info si valuta localmente un file PE Windows. Self Help mostra SHA-256, dimensione, categoria Application Control, prodotto e decisione Policy. Local Reputation include dati Sophos e Allowed Applications o Blocked Items del cliente, quindi può differire da Global Reputation e prevalere nella decisione locale.
Deep Learning richiede una licenza Intercept X adeguata. Un risultato verde non prova che un malware già rilevato sia innocuo; i file Malware o PUA rilevati normalmente non si possono trascinare nella pagina. Per un errore di classificazione conservare Hash, Signature, Lookup Type locale e globale e decisione concreta, poi usare Sample Submission.
Approfondire lo stato di Policy, Services e Operations
Se Policy mostra timestamp obsoleti, distinguere ricezione e elaborazione locale. Controllare McsClient.log per Connection e Backoff e McsAgent.log per errori Policy, Namespace e Status. In MCS Cache, Active.policy e Latest.policy mostrano se una nuova Policy è arrivata senza attivarsi. Riavviare i servizi solo dopo aver salvato l’osservazione e confermare poi la transizione nel log.
Non ogni simbolo blu o vuoto in Operations è un errore. Distinguere Data Lake disattivato, dispositivo escluso o limite giornaliero raggiunto da un servizio Live Query realmente guasto. Con Data Lake Status negativo, controllare prima SophosLiveQueryService.log, SophosOsquery.log e Service State.
Heartbeat mostra Readiness, Certificate State e connessione a Sophos Firewall. configured, no connection currently available non prova da solo un guasto Endpoint e Heartbeat non entra nel Device Health generale. Se si attende una connessione, correlare i log per orario e Device ID. Registry o Certificate Repairs da Advanced Self Help richiedono Backup, Tamper Protection disattivato e rollback documentato.
Avviare SDU dall’interfaccia
Da Endpoint Self Help si può aprire Launch SDU. Dopo Start, lo strumento raccoglie informazioni di sistema e Sophos Product Log. Al termine il pacchetto può essere salvato o trasmesso a Sophos.
L’archivio può contenere hostname, nomi utente, percorsi, indirizzi IP, elenchi processi, configurazioni ed Event. Non appartiene quindi a ticket pubblici, File Share non protette o chat.
Un dispositivo online può essere diagnosticato anche da Central. Aprirlo in My Environment > Computers & Servers e scegliere More actions > Diagnose per avviare una raccolta SDU. L’archivio viene inviato direttamente a Sophos. Annotare il nome file visualizzato per il caso di supporto. L’esecuzione e l’amministratore che l’ha avviata compaiono negli Audit Logs.
Se il dispositivo è offline, Central conserva il comando per un massimo di 14 giorni. In seguito lo elimina e deve essere avviato di nuovo. Il comando parte alla successiva comunicazione con Central, quindi prima vanno chiariti orario, autorizzazione per i dati e connettività prevista.
Product Logging e Packet Capture
Product Logging aumenta il Log Level di componenti selezionati. Attivarlo solo per il componente sospetto e un intervallo riproducibile. Dopo la riproduzione usare Revert e conservare i log con orari e passaggi. Debug Logging permanente può generare contenuti sensibili e molto volume.
Packet Capture usa Windows pktmon, non disponibile su versioni meno recenti, e richiede UAC Elevation. Il limite predefinito è 512 MB; un limite amministrativo evita di riempire il disco. Self Help crea ETL e PCAPNG in C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture. Chiudere Self Help arresta la cattura.
Se Self Help non riesce a elevare Logging, Packet Capture o SDU, controllare prima UAC. UAC completamente disattivato o prompt soppressi possono bloccare la funzione. Ripristinare i valori Microsoft è più corretto che usare stabilmente l’account Administrator integrato.
SDU su Windows tramite riga di comando
La versione Windows si trova normalmente in:
C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe
Un prompt amministrativo mostra l’Help integrato con:
& "C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe" -help
I parametri importanti sono:
| Parametro | Scopo |
|---|---|
-[no-]sysinfo | includere o escludere informazioni di sistema |
-[no-]sophos | includere o escludere Sophos Product Log |
-outputdir="<directory>" | definire la directory di destinazione |
-outputname="<path>" | definire nome e percorso dell’archivio ZIP |
L’output -help installato localmente è determinante per la versione Agent presente. Le raccolte automatizzate prevedono limite di spazio, destinazione sicura e termine di eliminazione.
SDU su macOS tramite riga di comando
Su Mac si avvia SDU dal pacchetto applicativo:
/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --cli --help
Con --output_path="<path>" si definisce il percorso di output. Il processo richiede le autorizzazioni necessarie per i dati da raccogliere. Autorizzazioni Full Disk Access o System Extension mancanti vengono inoltre controllate tramite la diagnosi delle autorizzazioni macOS.
Valutare correttamente la modalità forense
SDU può generare speciali Forensic Log. Questa modalità è prevista per Sophos Incident Response o un’indagine forense mirata. Non sostituisce un processo forense Enterprise completo e non deve restare attiva senza un incarico definito.
In caso di possibile compromissione valgono regole aggiuntive:
- non riavviare o pulire prematuramente il dispositivo,
- documentare origine dell’ora e fuso orario,
- scrivere i dati probatori soltanto su una destinazione controllata,
- registrare hash, consegna e accesso all’archivio,
- coinvolgere i responsabili Incident Response.
Visualizzare configurazione e stato software tramite CLI
La Endpoint CLI locale può visualizzare stati di Policy e software. Output configuration mostra quali impostazioni sono arrivate al dispositivo. Software Monitor fornisce gli stati dei componenti installati e può aggiornarli.
Questi output aiutano con tre contraddizioni tipiche:
- Central mostra una Policy come assegnata, ma localmente manca l’impostazione.
- Agent Mode è corretto, ma un componente non è installato o sano.
- È stato annunciato un Update, ma Software Monitor resta in stato errato.
Prima dell’uso si verifica l’Help disponibile localmente, perché comandi e parametri possono dipendere dalla versione Agent installata.
Analizzare i Log in modo mirato
Non ogni Log viene letto integralmente. Si inizia con un intervallo temporale ristretto e si cerca il primo errore, non soltanto quelli successivi. Sono particolarmente utili:
- Installer Log e Update Log per problemi di rollout,
- MCS o Management Communication in assenza di contatto Central,
- Health Log e Component Log con stato rosso,
- Event Web, DLP, Application o Peripheral per problemi Policy,
- Event Log del sistema operativo relativi ad avvio servizi, driver e certificati.
Un singolo error non costituisce ancora una causa. Correlazione temporale, componente e comportamento riproducibile sono decisivi.
Preparare il pacchetto Support
Un buon pacchetto Support contiene:
- breve descrizione del problema e impatto,
- ora esatta con fuso orario,
- dispositivi di confronto interessati e non interessati,
- passaggi di riproduzione,
- screenshot Central rilevanti senza Secrets,
- archivio SDU ed eventualmente Installer Log,
- misure già testate e relativo risultato.
Password Tamper Protection, API Secret, password Proxy e Installer Token non vengono mai allegati in chiaro.
Soddisfare i Minimum Escalation Requirements
Sophos ha suddiviso i requisiti per le escalation di Support Windows Endpoint in base alla classe di errore. Un SDU senza analisi propria non soddisfa questi Minimum Escalation Requirements, abbreviati MER.
Per ogni caso vengono prima registrati piattaforma e versione prodotto, componente interessato, ambito, frequenza, riproducibilità, modifiche precedenti e messaggi di errore esatti. I Log devono essere completi, includere l’orario dell’errore e, nei problemi Client-Server, corrispondere temporalmente.
Si aggiungono poi dati specifici per lo scenario:
| Caso | Dati minimi aggiuntivi |
|---|---|
| installazione o disinstallazione | CLI completa, percorso Deployment, Installer Log e, se necessario, registrazione Process Monitor con Advanced Output e tutti gli Event |
| Update o comunicazione | risultato Self Help e Network Test, origine Update o Relay, Proxy e indirizzo server interessato |
| scanning o Detection | funzione di protezione, passaggio di riproduzione, File Info Reputation, Log del componente e, se necessario, Performance Analysis |
| Performance | processo interessato, andamento CPU, RAM o I/O, intervallo riproducibile e relativo ETL o Process Dump |
| Crash o Blue Screen | Memory Dump completo o attivo, analisi Stack di Driver Sophos e terzi e SDU dello stesso periodo |
| Device Management | Policy effettiva, componente locale, applicazione o hardware concreto e Debug Log specifico della funzione |
Per un problema di Performance si distingue prima se è anomalo SophosFileScanner.exe, SEDService.exe, SSPService.exe, un altro processo Sophos o il carico generale del sistema. Una protezione disattivata globalmente senza misurazione simultanea e associazione precisa del componente non dimostra una causa affidabile.
Un caso di Support non include soltanto i file raccolti, ma anche il risultato dell’analisi interna: quale Log mostra il primo errore rilevante, a quale ora e quale ipotesi è stata confermata o esclusa?
Controllare inoltre in Account Preferences > Evaluation Modes se Aggressive threat detection è attivo. Questa opzione diagnostica di Sophos Support e SophosLabs aumenta sensibilmente il carico di sistema e non è una baseline di sicurezza per la produzione. Se è attiva, documentarne lo scopo e disattivarla dopo la misurazione prevista. Se il problema rimane, proseguire come caso Performance separato con un nuovo intervallo temporale.
Nei casi Exploit, Ransomware o HitmanPro.Alert, verificare anche se Sophos offre una Endpoint Maintenance Release con una correzione pertinente. Creare il Crash Dump o il Memory Dump completo dopo aver riprodotto il problema e prima dell’SDU, così che gli artefatti appartengano allo stesso intervallo. Non rinominare DLL o Driver di protezione senza un Runbook Sophos aggiornato.