Pianificare requisiti di sistema e ciclo di vita di Sophos Endpoint
Un Agent installato non resta automaticamente supportato nel lungo periodo. Sistema operativo, architettura, componenti Sophos, certificati e modello di licenza evolvono indipendentemente. Un’operatività Endpoint solida verifica quindi non soltanto se l’installazione funziona oggi, ma anche quando le piattaforme usciranno dal supporto e come saranno introdotte le nuove versioni Agent.
Ambito: Endpoint non è Server o Linux
Questa guida riguarda Sophos Endpoint per postazioni Windows e macOS. Windows Server viene gestito in Server Protection; i workload Linux usano Sophos Protection for Linux, con requisiti, Release Note e date propri. Una voce Server o Linux nel Retirement Calendar comune non approva Endpoint e richiede un Runbook separato.
Snapshot di approvazione e decisione sul ciclo di vita
I numeri di versione e i limiti di supporto specifici diventano rapidamente obsoleti. Il responsabile del ciclo di vita esegue quindi la stessa revisione controllata prima di una prima installazione, di un upgrade del sistema operativo, di una modifica del pacchetto e almeno una volta al mese. Si parte da uno snapshot dell’inventario con tipo di dispositivo, edizione e build completo del sistema operativo, architettura, CPU, memoria, spazio libero nell’unità di sistema, cifratura, ambito di protezione richiesto e componenti Sophos installati con le relative versioni.
Si verificano quindi internamente le matrici Sophos correnti per Windows o macOS e il Retirement Calendar. Il registro di approvazione contiene data della verifica, voce esaminata, piattaforma e architettura, idoneità a installazione e upgrade, prerequisiti minimi, esclusioni, Maintenance, Retirement, condizioni di licenza o Extended Support e ogni nota. Uno snapshot conservato dimostra una decisione, ma non è un elenco di supporto permanentemente valido; viene sostituito alla modifica successiva e la differenza viene registrata.
La decisione è approvata, solo pilota, migrazione richiesta o non approvata. Indica responsabile, ambito, funzioni necessarie, limitazioni note, scadenze del produttore e di Sophos, obiettivo di migrazione e data della prossima revisione. Se manca la voce esatta per sistema operativo/architettura, le informazioni sono contraddittorie o la matrice non è raggiungibile, non viene concessa una nuova approvazione: l’ultimo stato approvato resta invariato, il responsabile registra ora della richiesta e ambiguità e la chiarisce con Sophos Support prima del pilota.
Requisiti Windows e limiti di supporto
Per Windows, verificare separatamente rispetto alla voce corrente edizione e build completo, x64 o ARM64, CPU e memoria, spazio libero e unità di sistema, aggiornamenti e certificati Microsoft richiesti e modalità di protezione desiderata. I valori minimi sono condizioni di accesso, non raccomandazioni di capacità. I build Insider, Preview e altre versioni preliminari non sono approvati, salvo inclusione esplicita nella voce esatta.
Registrare anche la data di fine supporto Microsoft. Installazione riuscita, stato integro e supporto corrente della piattaforma sono tre affermazioni distinte. Windows Server non è un Endpoint Windows anche se il build è simile e non rientra in questa approvazione.
Requisiti macOS e limiti di supporto
Per macOS, verificare versione completa del sistema operativo, Intel o Apple Silicon, spazio libero, metodo di installazione e ambito di protezione richiesto. Il registro di approvazione comprende anche i profili MDM usati per System Extensions, Network Extensions, filtro web/contenuti, Full Disk Access e notifiche. Una riga OS corrispondente, quindi, non dimostra da sola una protezione efficace.
Testare ogni nuova versione principale o secondaria di macOS, inclusa l’idoneità corrente dell’installer e dell’upgrade, su un Mac pilota rappresentativo. Registrare esplicitamente le differenze tra nuova installazione e agent esistente; «macOS supportato» non implica che entrambi i percorsi o tutte le funzioni siano supportati. Accettare Extended Support solo quando è indicato dalla voce macOS esatta.
Revisione di componenti e versioni
Sophos Endpoint è composto da diversi componenti aggiornati indipendentemente, tra cui AutoUpdate, Endpoint Defense, Health Service, Management Communication, Network Threat Protection, Endpoint UI e altri moduli dipendenti dalla licenza. Un livello di prodotto visualizzato in Central o un unico numero di versione locale non descrivono quindi lo stato complessivo.
In questo preciso passaggio della revisione, il responsabile del ciclo di vita apre, in base alla piattaforma, il flusso aggiornato Sophos Core Agent per Windows o Sophos Anti-Virus per macOS. A ogni revisione acquisisce direttamente build di destinazione, stato del rollout, correzioni e limitazioni note. Il registro di versione documenta questa verifica puntuale e non sostituisce una nuova verifica alla revisione successiva.
Il registro di versione riporta ora, piattaforma, nodo prodotto/versione selezionato, avviso di pubblicazione e rollout, build dei componenti, correzioni, problemi noti e scostamenti dalla voce precedente. Il responsabile associa ogni elemento alle funzioni utilizzate e ai dispositivi pilota e decide approvare, rinviare o rifiutare. Un flusso vuoto, non caricabile o incoerente non vale come approvazione: conservare screenshot o errore, controllare parametri di selezione e rete, riprovare più tardi e chiarire con Sophos Support ogni ambiguità persistente. Fino ad allora, l’assegnazione del pacchetto e la fase successiva restano bloccate.
Testare risorse e software di terze parti nel pilota
Il minimo ufficiale è solo una soglia d’ingresso. Un pilota rappresentativo misura avvio e login, CPU, memoria, spazio e I/O con il software reale. SSD/HDD, cifratura, DLP, backup, VPN, controllo remoto e allowlisting devono essere attributi espliciti.
In caso di regressione, usare Sophos Performance Analysis e i log. Non disattivare globalmente protezione o Event Journals. Una mitigazione temporanea richiede un responsabile, una data finale, accettazione del rischio e un nuovo test; la soluzione può essere un fix del vendor, un upgrade o la sostituzione hardware.
Comprendere il rollout graduale
Sophos pubblica talvolta le Release Note il primo giorno di un rollout che dura più settimane. Una nuova versione documentata potrebbe quindi non essere immediatamente disponibile su ogni tenant o Endpoint.
Ciò evita due interpretazioni errate:
- Un dispositivo non è automaticamente obsoleto solo perché non ha ricevuto la nuova versione il giorno della pubblicazione.
- Una reinstallazione manuale non forza in modo affidabile una versione software non ancora rilasciata.
Livelli pilota e produzione
Software Packages e Update Management Policies consentono fasi controllate:
- Pilota: IT e combinazioni rappresentative di hardware, OS e software.
- Produzione iniziale: piccolo campione dopo il superamento dei criteri.
- Produzione: assegnazione ampia dopo l’approvazione del change.
- Pacchetto fisso: solo per necessità motivata, con un responsabile e scadenza monitorata.
Verificare nomi, disponibilità, supporto, scadenza e sovrapposizione in Sophos Central e nella pagina corrente Software packages. Questo articolo non fissa durate. Gli update dei contenuti di sicurezza sono distinti dalle versioni prodotto.
Definire dispositivi sani, componenti attesi, nessuna nuova concentrazione di Alert e performance accettabile come criteri. Preparare il rollback: sospendere l’assegnazione, isolare il gruppo, conservare Policy e Package, riassegnare un pacchetto attuale offerto e testato da Sophos e ricontrollare. Downgrade manuale e vecchi installer non sono affidabili.
Extended Support è transitorio
«Legacy» o «Extended Support» è una transizione, non un’approvazione generale. Verificare nel Retirement Calendar la voce esatta dell’OS client, date di Maintenance e Retirement, funzioni ed eventuale licenza. Assegnare a ogni dispositivo una scadenza di migrazione.
Le righe Windows Server e Linux non appartengono al gruppo Endpoint. Pianificarle in base ai requisiti e alle licenze specifici di Server Protection o Sophos Protection for Linux. Non presumere Extended Support per macOS senza una dichiarazione esplicita di Sophos per la versione esatta.
Pianificare i riavvii
Sophos non forza sempre immediatamente un riavvio necessario. Protection e Detection Update possono continuare, mentre un componente attende il successivo riavvio di manutenzione.
Su dispositivi non riavviati da molto tempo, più stati Update consecutivi possono richiedere ciascuno un riavvio. Tra due cicli si lascia tempo sufficiente per completare il primo Update. Central Alert e stato software locale vengono ricontrollati dopo ogni riavvio.
Early Access Programs
Un Early Access Program non è un normale canale produttivo. Prima di partecipare si definiscono scopo, dispositivi target, modifiche previste, percorso Support, Exit Plan e implicazioni Privacy.
I dispositivi EAP appartengono a un gruppo pilota chiaramente denominato. Dopo l’uscita si controlla quando tornano alla versione software regolare. Un EAP non viene attivato su dispositivi critici soltanto per aggirare un singolo problema senza analizzarne la causa.
Applicare, convalidare e diagnosticare
Il tecnico incaricato applica al gruppo pilota definito solo il pacchetto approvato nel registro di approvazione; sono esclusi cambi improvvisati dell’installer, downgrade manuali e vecchi pacchetti di installazione. Prima conserva gruppo di dispositivi, assegnazioni di policy e pacchetto, versioni dei componenti, stato, alert aperti e un test funzionale riproducibile. Durante l’osservazione, gruppo target e criteri di successo rimangono invariati.
Dopo installazione, aggiornamento e ogni riavvio necessario, controllare in Central Last active, stato e alert e, localmente, stato dei servizi e versioni attese dei componenti. Ripetere poi gli stessi test prima/dopo: login e tempo di avvio, ricezione delle policy, capacità di aggiornamento, test malware secondo la procedura interna, protezione rete/web e tutte le funzioni dipendenti dalla licenza. Su macOS, dimostrare anche che estensioni e autorizzazioni privacy sono attive. Il responsabile riconcilia il risultato con il registro di versione e quello di approvazione e documenta gli scostamenti in entrambi; solo un pilota superato completamente apre la fase successiva.
Classificare prima l’errore: piattaforma non approvata, installer bloccato, componente obsoleto, rollout non ancora offerto, riavvio in sospeso, autorizzazione MDM mancante o conflitto con terze parti. Raccogliere insieme ora, dispositivo, build completo, architettura, pacchetto e policy Central, tutte le versioni, stato/alert, stato del riavvio, passaggi riproducibili e log pertinenti. Fermare l’assegnazione ad altri dispositivi e annullare in isolamento l’ultima modifica se Central offre a tale scopo un pacchetto corrente già testato. Non disattivare globalmente la protezione né forzare un vecchio installer. Se causa o ritorno sicuro restano incerti, isolare il pilota, impostare il registro di versione su rinviato e coinvolgere Sophos Support con questo pacchetto diagnostico.
Controllo Lifecycle mensile
Un ritmo operativo sensato comprende:
- verificare nuove Release Note Endpoint e Central,
- confrontare il Retirement Calendar con le proprie piattaforme,
- esportare i dispositivi per sistema operativo, architettura e Agent Mode,
- assegnare un responsabile ai dispositivi Legacy e inattivi,
- controllare pacchetti Fixed Term o LTS in scadenza,
- risolvere Alert di riavvio e Update,
- documentare i risultati del Pilot.
L’architettura tecnica degli Update è descritta in Sophos Endpoint Update, Cache e Message Relay.