Diagnosticare Sophos Endpoint con Self Help e SDU

Un problema Endpoint non si risolve reinstallando indiscriminatamente. Prima si delimita se sono interessati componenti di protezione, comunicazione Central, Update, Policy, sistema operativo o rete. Endpoint Self Help fornisce stati locali e prime cause. Sophos Diagnostic Utility, abbreviato SDU, raccoglie successivamente i Log tecnici.

Il percorso di onboarding Endpoint descrive l’intero processo di distribuzione, dalla pianificazione al passaggio in esercizio.

Procedura rapida per una diagnosi affidabile

1. Registrare sintomo, impatto, ora dell’errore con fuso orario e un test riproducibile.
2. Aprire Endpoint Self Help e controllare l’area interessata e Network Test.
3. Attivare solo la diagnostica aggiuntiva pertinente e riprodurre il problema nell’intervallo concordato.
4. Ripristinare o arrestare Debug Logging e Packet Capture, quindi raccogliere un SDU relativo allo stesso intervallo.
5. Trasferire il pacchetto in modo sicuro e associarlo al caso con l’analisi dei log e il nome file SDU visualizzato.

Controllo dello stato, riproduzione e raccolta delle prove restano così allineati nel tempo. Non avviare riparazioni o esclusioni ampie prima di aver conservato l’osservazione.

Prima di raccogliere i Log

Prima di ogni diagnosi si documentano i sintomi visibili:

• computer interessato, sistema operativo e ora,
• messaggio di errore locale o screenshot,
• Central Health, Last Active, Agent Mode e Policies efficaci,
• ultima installazione, aggiornamento o modifica Policy,
• test riproducibile e comportamento atteso.

Questi dati sono spesso più importanti di un archivio Log molto grande senza riferimento temporale.

Aprire Endpoint Self Help

ESH supporta Windows Endpoint e Windows Server gestiti da Sophos Fusion (in precedenza Sophos Central). Nell’interfaccia Sophos Endpoint locale si seleziona About in basso a destra e poi Open Endpoint Self Help Tool; è possibile aprirlo anche direttamente da C:\Program Files\Sophos\Endpoint Self Help. Lo strumento mostra lo stato di componenti importanti, comunicazione e servizi di protezione. Le pagine visibili dipendono dalla licenza, dai componenti installati e dalla generazione dell’agente e della piattaforma; le versioni Windows legacy mostrano meno stati e funzioni.

Con Core Agent 2026.3.0.2090, Endpoint UI e Self Help vengono riuniti nel componente Sophos Endpoint UI su Windows 10 64-bit e versioni successive. Le Release Notes riportano questa versione per ottobre 2026 e indicano una distribuzione graduale. Prima di riparare un componente, verificare quindi le versioni effettivamente installate dell’agente e dei componenti: da questa generazione, l’assenza di un pacchetto Self Help separato non dimostra, da sola, un errore di installazione. L’unificazione non dimostra che il percorso di avvio descritto sopra sia cambiato; verificare l’accesso disponibile nel pacchetto installato, anziché presumere un nuovo percorso di menu. Verificato al 24 ottobre 2026.

Sulle piattaforme moderne, da Core Agent 2024.2 ESH si chiude dopo due ore senza interazione e avvisa cinque minuti prima. Da 2024.3 verifica automaticamente i Known Issues all’avvio. Gli agenti attuali distinguono System, Services e Update; le versioni precedenti possono raggruppare o omettere alcune viste. Per questo, ogni screenshot deve essere accompagnato dalla versione dell’agente.

Self Help è adatto a domande come:

• Il componente previsto è in esecuzione?
• Un servizio è arrestato o errato?
• L’Agent raggiunge Central e l’infrastruttura Update?
• Esiste un errore noto di configurazione o autorizzazione locale?

Un Check rosso viene documentato con nome, stato, testo dettagliato e ora. Prima della riparazione si verifica se una Policy centrale o un blocco di rete ricreerebbero la causa.

Se SophosDiag.exe si arresta appena viene aperto e il registro eventi Application di Windows indica un user.config specifico dell’utente danneggiato, elimina soltanto il file citato nell’errore dal profilo interessato. Non automatizzare l’eliminazione della cartella superiore, il cui percorso dipende dalla versione. Poi riapri Self Help. Se l’errore persiste, raccogli un SDU oppure ripara il componente installato.

Usare in modo mirato le pagine Self Help

Le singole pagine rispondono a domande differenti e non devono essere lette come un indicatore generale:

Un Policy Update può richiedere fino a cinque minuti. Se Override Sophos Central Policy for up to 4 hours è attivo localmente, le nuove Central Policy vengono memorizzate e applicate solo al termine dell’Override. Un vecchio Timestamp della Policy non dimostra quindi un problema di comunicazione.

In Components, confronta le versioni dei moduli installate, scaricate e previste. Verifica prima Not installed, stati di download e installazione differenti o più versioni rispetto allo stato Update, a un riavvio in sospeso e a un prodotto di sicurezza concorrente. Non eliminare preventivamente il Repository locale. In System, un Pending Restart persistente può provenire da Windows Update. Dopo modifiche all’hardware o al software di sicurezza, rileva nuovamente lo stato del software con la CLI Endpoint prima di avviare una riparazione.

Normalmente le azioni Central arrivano in pochi secondi o minuti. Last Active viene invece aggiornato al massimo circa una volta all’ora. Con una User Policy, il passaggio può richiedere più tempo perché Central User, account locale connesso e sessione interattiva riconosciuta da MCS Client devono prima coincidere.

Interpretare correttamente Network Test

Network Test controlla i canali Updating, Management Communication e Sophos Extensible List (SXL). Per ogni destinazione, lo strumento tenta prima HTTPS e poi, a seconda del risultato, ICMP e risoluzione DNS. Per il funzionamento è decisiva una connessione HTTPS riuscita. Un solo Ping o nslookup non dimostra quindi che la comunicazione Central funzioni.

È il primo controllo da eseguire quando Update o Communication non sono integri, Live Discover/Response sembrano offline oppure si verificano problemi con Real-Time Scanning, Web Control o SXL. Indica lo stadio non riuscito, ma non individua da solo la causa in firewall, proxy o DNS. Su Windows 7/8/8.1 e Server 2008 R2/2012, il test HTTPS verso sdds3.sophosupd.net può fallire a causa di cipher suite mancanti nel sistema operativo.

Con Update Cache o Message Relay, Self Help verifica soltanto la risoluzione DNS del server assegnato. Un test DNS verde non conferma né stato del servizio né porta o inoltro. La funzione Cache o Relay viene verificata separatamente.

Due limiti sono particolarmente importanti:

• dopo una modifica dell’assegnazione Cache o Relay, Endpoint Self Help deve essere chiuso e riaperto, altrimenti Network Test può continuare a usare la vecchia destinazione;
• Network Test non supporta Proxy autenticati e può produrre risultati fuorvianti.

I test SXL richiedono elevazione UAC amministrativa. Se il dispositivo usa un Message Relay, Self Help non esegue direttamente il test SXL perché questo traffico passa attraverso il Relay.

Se la comunicazione resta difettosa, confrontare gli indirizzi Broker mostrati da Self Help con la configurazione MCS locale. Verificare inoltre Routing, file Hosts di Windows, Proxy e Firewall Log. Dopo una correzione è possibile riavviare Sophos MCS Client e aggiornare Self Help. L’accesso a Central tramite browser non sostituisce questo controllo.

Errori Update senza eliminare prematuramente la Cache

Un Update non riuscito durante la Sophos Grace Period può essere temporaneo. Controllare prima Update Now, rete, Proxy, origine Update e ora dell’ultimo Update riuscito. Se queste verifiche non mostrano la causa, raccogliere prima le seguenti evidenze diagnostiche per Sophos Support.

Per un errore riproducibile, correlare SophosUpdate.log con una cattura di pacchetti simultanea e con i Log Firewall o Proxy. Sono determinanti risposta DNS, Update Server realmente contattato, percorso diretto o tramite Proxy e primo errore HTTP o TLS. I principali percorsi dei Log Windows sono descritti in Analizzare Log e servizi Sophos Endpoint Windows.

La diagnosi termina qui; non modificare le cartelle di cache e repository sulla base di un sospetto. Un reset della cache richiede istruzioni complete di Sophos Support adatte alla versione dell’agente e ai sintomi, con percorsi esatti, sequenza e procedura di ripristino.

Questo intervento richiede diritti amministrativi e Tamper Protection temporaneamente disattivata; genera un Pending Restart Alert. Salvare o rinominare le cartelle interessate secondo tali istruzioni, senza eliminarle senza controllo. Dopo l’intervento deve riuscire un aggiornamento completo e Self Help deve tornare a mostrare uno stato sano dopo Refresh.

Infine, riattivare Tamper Protection e controllare lo stato di protezione attivo sia localmente sia in Sophos Fusion. Finché manca la procedura o il percorso di ripristino, limitarsi ai risultati diagnostici.

Performance Analysis

Da Core Agent 2024.3, ESH può caricare riepiloghi dello scanner su Windows 10 x64 o versioni successive e Windows Server 2016 o versioni successive. Come input si usano i risultati di una procedura Product Analysis oppure file generati tramite SFS > Scan Summaries in Product Logging; possono provenire da questo dispositivo o da un altro dispositivo ESH. I file CSV si trovano per impostazione predefinita in:

C:\ProgramData\Sophos\Sophos File Scanner\Logs\summary.<TIMESTAMP>.csv

Possono essere analizzati su un altro dispositivo con Endpoint Self Help. Il file mostra quali processi e percorsi hanno generato carico di scansione nell’intervallo registrato. Ciò non giustifica ancora un’eccezione indiscriminata. Verificare prima applicazione, modello di accesso e esclusione tecnica più ristretta possibile.

Durante l’analisi confrontare prima le cartelle con un lungo tempo di scansione cumulativo, poi i percorsi controllati più spesso e infine i grandi volumi di dati. Un percorso frequente non coincide necessariamente con quello dalla durata totale più alta. Se Self Help segnala un’esclusione troppo ampia, usarla solo brevemente per confermare la causa. Limitare qualsiasi soluzione permanente alla sottocartella o al processo che genera davvero il carico.

Product Analysis procede oltre e disattiva e riattiva in modo guidato le funzioni di protezione per isolare il componente coinvolto. Richiede diritti amministrativi e, con Tamper Protection attiva, la relativa password. Eseguirlo solo su un dispositivo di test controllato o in una finestra di manutenzione. Documentare prima lo stato di protezione e Update, salvare il risultato e infine ripristinare tutte le funzioni e gli Update. Lo strumento fornisce un’ipotesi, non un’autorizzazione automatica per un’esclusione.

File Info invece di supposizioni

In Tools > File Info si valuta localmente un file PE Windows. Self Help mostra SHA-256, dimensione, categoria Application Control, prodotto e decisione Policy. Local Reputation include dati Sophos e Allowed Applications o Blocked Items del cliente, quindi può differire da Global Reputation e prevalere nella decisione locale.

Deep Learning richiede una licenza Intercept X adeguata. Un risultato verde non prova che un malware già rilevato sia innocuo; i file Malware o PUA rilevati normalmente non si possono trascinare nella pagina. Per un errore di classificazione conservare Hash, Signature, Lookup Type locale e globale e decisione concreta, poi usare Sample Submission.

File Info fornisce i dati più completi per i file PE Windows; per gli altri tipi di file le informazioni sono limitate. Dopo Run as administrator, Windows può bloccare il trascinamento da un processo con privilegi inferiori; in tal caso usare browse for a file. Reputazione e risultato della policy non sono una garanzia di integrità. Quando l’affidabilità è determinante, procedere con l’analisi del campione approvata.

Approfondire lo stato di Policy, Services e Operations

Se Policy mostra timestamp obsoleti, distinguere ricezione e elaborazione locale. Controllare McsClient.log per Connection e Backoff e McsAgent.log per errori Policy, Namespace e Status. In MCS Cache, Active.policy e Latest.policy mostrano se una nuova Policy è arrivata senza attivarsi. Riavviare i servizi solo dopo aver salvato l’osservazione e confermare poi la transizione nel log.

Non ogni simbolo blu o vuoto in Operations è un errore. Distinguere Data Lake disattivato, dispositivo escluso o limite giornaliero raggiunto da un servizio Live Query realmente guasto. Con Data Lake Status negativo, controllare prima SophosLiveQueryService.log, SophosOsquery.log e Service State.

Heartbeat mostra Readiness, Certificate State e connessione a Sophos Firewall. configured, no connection currently available non prova da solo un guasto Endpoint e Heartbeat non entra nel Device Health generale. Se si attende una connessione, correlare i log per orario e Device ID. Registry o Certificate Repairs da Advanced Self Help richiedono Backup, Tamper Protection disattivata e rollback documentato.

Avviare SDU dall’interfaccia

In ESH aprire Launch SDU, accettare l’EULA e scegliere Start. Lo strumento raccoglie informazioni di sistema e log dei prodotti Sophos. View log mostra quindi la raccolta, Open folder apre sdu.log e gli archivi, mentre Submit offre il caricamento o l’invio manuale per il caso. In Windows, sducli.exe senza opzioni di raccolta salva in C:\WINDOWS\Temp\sdu-YYYYMMDD_xxxxxx_xxxxxx. Per Upload to Sophos, sdu-feedback.sophos.com deve essere raggiungibile sulla porta TCP 443. L’URL di caricamento, intenzionalmente non navigabile, va copiato nel caso e si ritrova alla fine di sdu.log.

L’archivio può contenere hostname, nomi utente, percorsi, indirizzi IP, elenchi processi, configurazioni ed Event. Non appartiene quindi a ticket pubblici, File Share non protette o chat.

Un dispositivo Windows, macOS o Linux può essere diagnosticato anche da Central: in My Environment > Computers & Servers selezionare il dispositivo, quindi Summary > More actions > Diagnose > Run. Il campo SDU mostra Status, Last Run e File Name; il nome del file va incluso nel caso di supporto. L’archivio viene caricato direttamente su Sophos tramite HTTPS 443, attraverso il normale percorso dei domini Sophos autorizzati. L’azione e l’amministratore sono registrati in Reports > General Logs > Audit Logs.

Se il dispositivo è offline, Central conserva il comando per un massimo di 14 giorni. In seguito lo elimina e deve essere avviato di nuovo. Il comando parte alla successiva comunicazione con Central, quindi prima vanno chiariti orario, autorizzazione per i dati e connettività prevista.

Product Logging e Packet Capture

Product Logging aumenta il livello di log dei componenti selezionati e richiede l’elevazione UAC. Attivarlo solo per il componente sospetto e per un intervallo riproducibile. Un’impostazione Parent si applica a tutti i Children; un asterisco sul Parent indica soltanto valori diversi impostati a livello Child. Save applica i livelli in sospeso; Revert… li annulla soltanto prima del salvataggio. Per ripristinare un livello già applicato, selezionare Default sul Parent/Child modificato e poi Save. Alla chiusura, Revert to Default ripristina i valori predefiniti, mentre Just Close lascia attivo il debug. Chiudere ESH, da solo, non interrompe quindi il debug logging. Conservare i log con orari e passaggi; il debug logging permanente può generare contenuti sensibili e grandi volumi di dati.

La cattura dei pacchetti usa Windows pktmon, richiede l’elevazione UAC e non è disponibile prima di Windows 10 1809 né su Windows Server 2016 o versioni precedenti. Il limite predefinito è 512 MB ed è configurabile da 1 a 9999 MB; nelle build Windows 10 precedenti alla 2004 resta fisso a 512 MB. Il limite evita di riempire il disco. Ogni esecuzione genera capture-<date><time>.etl e capture-<date><time>.pcapng in C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture; inviare entrambi i file. Chiudere ESH arresta la cattura. I file non vengono eliminati automaticamente e devono essere rimossi manualmente alla scadenza del periodo di conservazione autorizzato.

Se Self Help non riesce a elevare Logging, Packet Capture o SDU, controllare prima UAC. UAC completamente disattivato o prompt soppressi possono bloccare la funzione. Ripristinare i valori Microsoft è più corretto che usare stabilmente l’account Administrator integrato.

SDU su Windows tramite riga di comando

La versione Windows si trova normalmente in:

C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe

Una sessione PowerShell con diritti amministrativi mostra la guida integrata con:

& "C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe" -help

I parametri importanti sono:

L’output -help installato localmente è determinante per la versione Agent presente. Le raccolte automatizzate prevedono limite di spazio, destinazione sicura e termine di eliminazione.

SDU su macOS tramite riga di comando

Su Mac si avvia SDU dal pacchetto applicativo:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --help

--help mostra solo i comandi disponibili e non raccoglie dati diagnostici. Il comando di raccolta eseguibile è:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --cli

Con --output_path="<path>" si definisce il percorso di output; altrimenti viene usata la directory corrente. Queste opzioni valgono per macOS Agent 2026.1 e versioni successive. Il processo richiede le autorizzazioni necessarie per i dati da raccogliere. Autorizzazioni Full Disk Access o System Extension mancanti vengono inoltre controllate tramite la diagnosi delle autorizzazioni macOS.

SDU su Linux tramite riga di comando

Su un dispositivo protetto da Sophos Protection for Linux, l’utilità installata viene eseguita così:

/opt/sophos-spl/bin/sophos_diagnose

Crea un archivio tar.gz nella directory di lavoro corrente e raccoglie i log dell’agente SPL, di tutti i plugin e l’Audit Log. Per usare una destinazione controllata, creare una directory privata e passarla come primo argomento posizionale:

mkdir -p "$HOME/sophos-sdu"
chmod 700 "$HOME/sophos-sdu"
/opt/sophos-spl/bin/sophos_diagnose "$HOME/sophos-sdu"

L’ultimo argomento è una directory, non il nome dell’archivio; il file tar.gz risultante viene creato al suo interno. In questo modo si conserva la sintassi del produttore senza usare una cartella temporanea condivisa.

Valutare correttamente la modalità forense

SDU può generare speciali Forensic Log. Questa modalità è prevista per Sophos Incident Response o un’indagine forense mirata. Non sostituisce un processo forense Enterprise completo e non deve restare attiva senza un incarico definito.

In caso di possibile compromissione valgono regole aggiuntive:

• non riavviare o pulire prematuramente il dispositivo,
• documentare origine dell’ora e fuso orario,
• scrivere i dati probatori soltanto su una destinazione controllata,
• registrare hash, consegna e accesso all’archivio,
• coinvolgere i responsabili Incident Response.

Visualizzare configurazione e stato software tramite CLI

La Endpoint CLI locale può visualizzare stati di Policy e software. Output configuration mostra quali impostazioni sono arrivate al dispositivo. Software Monitor fornisce gli stati dei componenti installati e può aggiornarli.

Questi output aiutano con tre contraddizioni tipiche:

1. Central mostra una Policy come assegnata, ma localmente manca l’impostazione.
2. Agent Mode è corretto, ma un componente non è installato o sano.
3. È stato annunciato un Update, ma Software Monitor resta in stato errato.

Prima dell’uso si verifica l’Help disponibile localmente, perché comandi e parametri possono dipendere dalla versione Agent installata.

Analizzare i Log in modo mirato

Non ogni Log viene letto integralmente. Si inizia con un intervallo temporale ristretto e si cerca il primo errore, non soltanto quelli successivi. Sono particolarmente utili:

• Installer Log e Update Log per problemi di rollout,
• MCS o Management Communication in assenza di contatto Central,
• Health Log e Component Log con stato rosso,
• Event Web, DLP, Application o Peripheral per problemi Policy,
• Event Log del sistema operativo relativi ad avvio servizi, driver e certificati.

Un singolo error non costituisce ancora una causa. Correlazione temporale, componente e comportamento riproducibile sono decisivi.

Preparare il pacchetto Support

Un buon pacchetto Support contiene:

1. breve descrizione del problema e impatto,
2. ora esatta con fuso orario,
3. dispositivi di confronto interessati e non interessati,
4. passaggi di riproduzione,
5. screenshot Central rilevanti senza Secrets,
6. archivio SDU ed eventualmente Installer Log,
7. misure già testate e relativo risultato.

Password Tamper Protection, API Secret, password Proxy e Installer Token non vengono mai allegati in chiaro.

Soddisfare i Minimum Escalation Requirements

Sophos ha suddiviso i requisiti per le escalation di Support Windows Endpoint in base alla classe di errore. Un SDU senza analisi propria non soddisfa questi Minimum Escalation Requirements, abbreviati MER.

Per ogni caso vengono prima registrati piattaforma e versione prodotto, componente interessato, ambito, frequenza, riproducibilità, modifiche precedenti e messaggi di errore esatti. I Log devono essere completi, includere l’orario dell’errore e, nei problemi Client-Server, corrispondere temporalmente.

Si aggiungono poi dati specifici per lo scenario:

Per un problema di Performance si distingue prima se è anomalo SophosFileScanner.exe, SEDService.exe, SSPService.exe, un altro processo Sophos o il carico generale del sistema. Una protezione disattivata globalmente senza misurazione simultanea e associazione precisa del componente non dimostra una causa affidabile.

Un caso di Support non include soltanto i file raccolti, ma anche il risultato dell’analisi interna: quale Log mostra il primo errore rilevante, a quale ora e quale ipotesi è stata confermata o esclusa?

Controllare inoltre in Account Preferences > Evaluation Modes se Aggressive threat detection è attivo. Questa opzione diagnostica di Sophos Support e SophosLabs aumenta sensibilmente il carico di sistema e non è una baseline di sicurezza per la produzione. Se è attiva, documentarne lo scopo e disattivarla dopo la misurazione prevista. Se il problema rimane, proseguire come caso Performance separato con un nuovo intervallo temporale.

Nei casi Exploit, Ransomware o HitmanPro.Alert, verificare anche se Sophos offre una Endpoint Maintenance Release con una correzione pertinente. Creare il Crash Dump o il Memory Dump completo dopo aver riprodotto il problema e prima dell’SDU, così che gli artefatti appartengano allo stesso intervallo. Non rinominare DLL o Driver di protezione senza un Runbook Sophos aggiornato.

Domande frequenti