Pianificare requisiti di sistema e ciclo di vita di Sophos Endpoint

Un Agent installato non resta automaticamente supportato nel lungo periodo. Sistema operativo, architettura, componenti Sophos, certificati e modello di licenza evolvono indipendentemente. Un’operatività Endpoint solida verifica quindi non soltanto se l’installazione funziona oggi, ma anche quando le piattaforme usciranno dal supporto e come saranno introdotte le nuove versioni Agent.

Ambito: Endpoint non è Server o Linux

Questa guida riguarda Sophos Endpoint per postazioni Windows e macOS. Windows Server viene gestito in Server Protection; i workload Linux usano Sophos Protection for Linux, con requisiti, Release Note e date propri. Una voce Server o Linux nel Retirement Calendar comune non approva Endpoint e richiede un Runbook separato.

Stato di pianificazione verificato al 29 ottobre 2026

Versione del prodotto, sistema operativo e contratto di supporto descrivono limiti diversi:

Le versioni del Core Agent Windows e dell’agente macOS sono documentate, ma non garantiscono che siano già offerte a ogni tenant. Analogamente, un componente Sophos aggiornato non modifica la fine del supporto del sistema operativo. Microsoft ESU riguarda il sistema operativo; Sophos Endpoint for Legacy Platforms riguarda la protezione Sophos. Nessuno dei due include automaticamente l’altro. Per un dispositivo datato devono essere verificabili entrambi i diritti e le relative scadenze.

Un esempio: un dispositivo Windows 10 Pro con stato Sophos integro non riacquista per questo il supporto Microsoft ordinario. Prima di approvarne ulteriormente l’uso, registrare separatamente build ed edizione OS, eventuale diritto ESU, specifico stato del supporto Sophos e una data vincolante di migrazione. Un dispositivo LTSC viene valutato in base alla propria voce di prodotto, non alla scadenza Home/Pro.

Limite dell’ambito: I requisiti che seguono sono stati confrontati il 29 ottobre 2026 con la KBA Windows del 18 settembre, la KBA macOS del 28 settembre e il Retirement Calendar del 9 ottobre 2026. Valori delle risorse, supporto del sistema operativo e fine del supporto vanno valutati insieme. Una versione del sistema operativo ancora elencata può essere già prossima alla propria scadenza di Retirement.

Snapshot di approvazione e decisione sul ciclo di vita

I numeri di versione e i limiti di supporto specifici diventano rapidamente obsoleti. Il responsabile del ciclo di vita esegue quindi la stessa revisione controllata prima di una prima installazione, di un upgrade del sistema operativo, di una modifica del pacchetto e almeno una volta al mese. Si parte da uno snapshot dell’inventario con tipo di dispositivo, edizione e build completo del sistema operativo, architettura, CPU, memoria, spazio libero nell’unità di sistema, cifratura, ambito di protezione richiesto e componenti Sophos installati con le relative versioni.

Per ogni nuova approvazione, aprire i requisiti Windows, i requisiti macOS e il Retirement Calendar per piattaforme e sistemi operativi, aggiornati online, e confrontarli congiuntamente. Il registro di approvazione contiene data della verifica, voce esaminata, piattaforma e architettura, idoneità a installazione e upgrade, prerequisiti minimi, esclusioni, Maintenance, Retirement, condizioni di licenza o Extended Support e ogni nota. Uno snapshot conservato dimostra una decisione, ma non è un elenco di supporto permanentemente valido; viene sostituito alla modifica successiva e la differenza viene registrata.

La decisione è approvata, solo pilota, migrazione richiesta o non approvata. Indica responsabile, ambito, funzioni necessarie, limitazioni note, scadenze del produttore e di Sophos, obiettivo di migrazione e data della prossima revisione. Se manca la voce esatta per sistema operativo/architettura, le informazioni sono contraddittorie o la matrice non è raggiungibile, non viene concessa una nuova approvazione: l’ultimo stato approvato resta invariato, il responsabile registra ora della richiesta e ambiguità e la chiarisce con Sophos Support prima del pilota.

Requisiti Windows e limiti di supporto

La tabella dei requisiti Windows distingue espressamente l’ambito di protezione. I valori si riferiscono alle postazioni di lavoro, non a Windows Server:

Sophos raccomanda vivamente un SSD come unità di avvio. I requisiti delle risorse valgono anche per la modalità Sensor, che non è supportata sulle piattaforme Legacy. I soli valori hardware non rendono nuovamente pienamente supportato un sistema operativo datato.

Nella KBA, Windows 10 a 64 bit e Windows 11 sono elencati come piattaforme pienamente supportate. La KBA aggiuntiva ARM64 del 27 ottobre 2026 conferma espressamente Windows 10 e Windows 11 su ARM64; Insider Preview non è supportato. Windows 7 e 8.1 richiedono Extended Support per il supporto Legacy; anche Windows 10 a 32 bit è classificato come Legacy. Restano inoltre determinanti le scadenze Microsoft e la specifica voce di Retirement Sophos. Soprattutto per Windows 10, «pienamente supportato» nella tabella Sophos non va confuso con il supporto Microsoft ordinario.

Per Windows, verificare separatamente rispetto alla voce corrente edizione e build completo, x64 o ARM64, CPU e memoria, spazio libero e unità di sistema, aggiornamenti e certificati Microsoft richiesti e modalità di protezione desiderata. I valori minimi sono condizioni di accesso, non raccomandazioni di capacità. Lo spazio libero su disco per installazione e aggiornamenti va distinto dalla RAM. Una raccomandazione per workload EDR, XDR o MDR non è il requisito minimo di un’altra fascia di prodotto; colonna e ambito della licenza devono corrispondere al dispositivo. I build Insider, Preview e altre versioni preliminari non sono approvati, salvo inclusione esplicita nella voce esatta.

Registrare anche la data di fine supporto Microsoft per quella precisa edizione e quel ramo di rilascio. Installazione riuscita, stato integro e supporto corrente della piattaforma sono tre affermazioni distinte. Windows Server non è un Endpoint Windows anche se il build è simile e non rientra in questa approvazione.

Requisiti macOS e limiti di supporto

Per macOS, verificare versione completa del sistema operativo, Intel o Apple Silicon, spazio libero, metodo di installazione e ambito di protezione richiesto. Il registro di approvazione comprende anche i profili MDM usati per System Extensions, Network Extensions, filtro web/contenuti, Full Disk Access e notifiche. Una riga OS corrispondente, quindi, non dimostra da sola una protezione efficace.

Requisiti e scadenze, verificati il 29 ottobre 2026: La KBA macOS del 28 settembre 2026 elenca macOS 14, 15, 26 e 27, Mac Intel a 64 bit e Apple Silicon M Series. Per Endpoint Protection e Intercept X Advanced (MDR Included) indica, in entrambi i casi, 2 GB di RAM e 2 GB di spazio libero su disco. Le note di rilascio indicano l’agente 2026.2.0 per macOS 27 Golden Gate.

L’elenco dei sistemi operativi va letto insieme al più recente Retirement Calendar del 9 ottobre 2026: macOS 14 Sonoma raggiunge il Retirement a fine ottobre 2026, macOS 15 Sequoia a fine ottobre 2027. Per macOS 26 e 27, il calendario verificato non indica ancora una data di Retirement prevista. Questo non significa una garanzia di supporto illimitato. Secondo il calendario, macOS non dispone di Extended Support. Un Mac Sonoma ancora in uso richiede quindi già ora un percorso di upgrade verificato; la voce esistente nella tabella dei requisiti non ne proroga la scadenza.

La tabella congiunta Sophos non garantisce che ogni architettura elencata possa eseguire ogni versione di macOS: Apple richiede Apple Silicon per macOS 27; i Mac Intel non sono idonei. Apple include i Mac M-Series e A-Series, mentre Sophos cita espressamente M Series nella propria matrice. L’approvazione di Apple da sola non conferma quindi il supporto Sophos su un Mac A-Series. Questa combinazione va chiarita con Sophos prima di una nuova approvazione, senza dedurre dalla formulazione né il supporto né la sua assenza. Installare Sophos Endpoint su macOS descrive la procedura concreta di installazione e collaudo.

Testare ogni nuova versione principale o secondaria di macOS, inclusa l’idoneità corrente dell’installer e dell’upgrade, su un Mac pilota rappresentativo. Registrare esplicitamente le differenze tra nuova installazione e agent esistente; «macOS supportato» non implica che entrambi i percorsi o tutte le funzioni siano supportati. Accettare Extended Support solo quando è indicato dalla voce macOS esatta.

Revisione di componenti e versioni

Sophos Endpoint è composto da diversi componenti aggiornati indipendentemente, tra cui AutoUpdate, Endpoint Defense, Health Service, Management Communication, Network Threat Protection, Endpoint UI e altri moduli dipendenti dalla licenza. Un livello di prodotto visualizzato in Central o un unico numero di versione locale non descrivono quindi lo stato complessivo.

In questo preciso passaggio della revisione, il responsabile del ciclo di vita apre, in base alla piattaforma, il flusso aggiornato Sophos Core Agent per Windows o Sophos Anti-Virus per macOS. A ogni revisione acquisisce direttamente build di destinazione, stato del rollout, correzioni e limitazioni note. Il registro di versione documenta questa verifica puntuale e non sostituisce una nuova verifica alla revisione successiva.

Il registro di versione riporta ora, piattaforma, nodo prodotto/versione selezionato, avviso di pubblicazione e rollout, build dei componenti, correzioni, problemi noti e scostamenti dalla voce precedente. Il responsabile associa ogni elemento alle funzioni utilizzate e ai dispositivi pilota e decide approvare, rinviare o rifiutare. Un flusso vuoto, non caricabile o incoerente non vale come approvazione: conservare screenshot o errore, controllare parametri di selezione e rete, riprovare più tardi e chiarire con Sophos Support ogni ambiguità persistente. Fino ad allora, l’assegnazione del pacchetto e la fase successiva restano bloccate.

Testare risorse e software di terze parti nel pilota

Il minimo ufficiale è solo una soglia d’ingresso. Un pilota rappresentativo misura avvio e login, CPU, memoria, spazio e I/O con il software reale. SSD/HDD, cifratura, DLP, backup, VPN, controllo remoto e allowlisting devono essere attributi espliciti.

In caso di regressione, usare Sophos Performance Analysis e i log. Non disattivare globalmente protezione o Event Journals. Una misura temporanea di ambito rigorosamente circoscritto richiede un responsabile, una data finale, accettazione del rischio e un nuovo test; la soluzione può essere un fix del vendor, un upgrade o la sostituzione hardware.

Comprendere il rollout graduale

Sophos pubblica talvolta le Release Note il primo giorno di un rollout che dura più settimane. Una nuova versione documentata potrebbe quindi non essere immediatamente disponibile su ogni tenant o Endpoint.

Ciò evita due interpretazioni errate:

• Un dispositivo non è automaticamente obsoleto solo perché non ha ricevuto la nuova versione il giorno della pubblicazione.
• Una reinstallazione manuale non forza in modo affidabile una versione software non ancora rilasciata.

Livelli pilota e produzione

Software Packages e Update Management Policies consentono fasi controllate:

1. Pilota: IT e combinazioni rappresentative di hardware, OS e software.
2. Produzione iniziale: piccolo campione dopo il superamento dei criteri.
3. Produzione: assegnazione ampia dopo l’approvazione del change.
4. Pacchetto fisso: solo per necessità motivata, con un responsabile e scadenza monitorata.

Verificare nomi, disponibilità, supporto, scadenza e sovrapposizione in Sophos Fusion (in precedenza Sophos Central) e nella pagina corrente Software packages. Questo articolo non fissa durate. Gli update dei contenuti di sicurezza sono distinti dalle versioni prodotto.

Definire dispositivi sani, componenti attesi, nessuna nuova concentrazione di Alert e performance accettabile come criteri. Preparare il rollback: sospendere l’assegnazione, isolare il gruppo, conservare le assegnazioni di policy e pacchetto, riassegnare un pacchetto attualmente offerto da Sophos e già testato e ricontrollare. Downgrade manuale e vecchi installer non sono affidabili.

Extended Support è transitorio

Interpretare il nome della licenza: Sophos chiama l’add-on Sophos Endpoint for Legacy Platforms; il nome precedente era Central Extended Support for Server 2012/2012 R2. Integra un diritto Endpoint o Workload Protection valido, senza sostituirlo. L’annuncio del 28 agosto 2025 descrive piattaforme legacy Windows e Linux, non una lista di OS attualmente approvati valida per sempre. Per ordinare confrontare piattaforma precisa, durata e perimetro confermato con l’offerta. Non dedurre copertura di tutte le vecchie versioni Windows/Linux né di macOS legacy.

«Legacy» o «Extended Support» è una transizione, non un’approvazione generale. Verificare nel Retirement Calendar la voce esatta dell’OS client, date di Maintenance e Retirement, funzioni ed eventuale licenza. Assegnare a ogni dispositivo una scadenza di migrazione.

Le righe Windows Server e Linux non appartengono al gruppo Endpoint. Pianificarle in base ai requisiti e alle licenze specifici di Server Protection o Sophos Protection for Linux. Non presumere Extended Support per macOS senza una dichiarazione esplicita di Sophos per la versione esatta.

Pianificare i riavvii

Sophos non forza sempre immediatamente un riavvio necessario. Gli aggiornamenti della protezione e del rilevamento possono continuare, mentre un componente attende il successivo riavvio di manutenzione.

Su dispositivi non riavviati da molto tempo, più stati di aggiornamento consecutivi possono richiedere ciascuno un riavvio. Tra due cicli si lascia tempo sufficiente per completare il primo aggiornamento. Le segnalazioni in Central e lo stato del software locale vengono ricontrollati dopo ogni riavvio.

Early Access Programs

Un Early Access Program non è un normale canale produttivo. Prima di partecipare si definiscono scopo, dispositivi target, modifiche previste, canale di assistenza, piano di uscita e conseguenze per la protezione dei dati.

I dispositivi EAP appartengono a un gruppo pilota chiaramente denominato. Dopo l’uscita si controlla quando tornano alla versione software regolare. Un EAP non viene attivato su dispositivi critici soltanto per aggirare un singolo problema senza analizzarne la causa.

Applicare, convalidare e diagnosticare

Il tecnico incaricato applica al gruppo pilota definito solo il pacchetto approvato nel registro di approvazione; sono esclusi cambi improvvisati dell’installer, downgrade manuali e vecchi pacchetti di installazione. Prima conserva gruppo di dispositivi, assegnazioni di policy e pacchetto, versioni dei componenti, stato, alert aperti e un test funzionale riproducibile. Durante l’osservazione, gruppo target e criteri di successo rimangono invariati.

Dopo installazione, aggiornamento e ogni riavvio necessario, controllare in Central Last active, stato e alert e, localmente, stato dei servizi e versioni attese dei componenti. Ripetere poi gli stessi test prima/dopo: login e tempo di avvio, ricezione delle policy, capacità di aggiornamento, test malware secondo la procedura interna, protezione rete/web e tutte le funzioni dipendenti dalla licenza. Su macOS, dimostrare anche che estensioni e autorizzazioni privacy sono attive. Il responsabile riconcilia il risultato con il registro di versione e quello di approvazione e documenta gli scostamenti in entrambi; solo un pilota superato completamente apre la fase successiva.

Classificare prima l’errore: piattaforma non approvata, installer bloccato, componente obsoleto, rollout non ancora offerto, riavvio in sospeso, autorizzazione MDM mancante o conflitto con terze parti. Raccogliere insieme ora, dispositivo, build completo, architettura, pacchetto e policy Central, tutte le versioni, stato/alert, stato del riavvio, passaggi riproducibili e log pertinenti. Fermare l’assegnazione ad altri dispositivi e annullare in isolamento l’ultima modifica se Central offre a tale scopo un pacchetto corrente già testato. Non disattivare globalmente la protezione né forzare un vecchio installer. Se causa o ritorno sicuro restano incerti, isolare il pilota, impostare il registro di versione su rinviato e coinvolgere Sophos Support con questo pacchetto diagnostico.

Controllo mensile del ciclo di vita

Un ritmo operativo sensato comprende:

• verificare nuove Release Note Endpoint e Central,
• confrontare il Retirement Calendar con le proprie piattaforme,
• esportare i dispositivi per sistema operativo, architettura e Agent Mode,
• assegnare un responsabile ai dispositivi Legacy e inattivi,
• controllare pacchetti Fixed Term o LTS in scadenza,
• risolvere le segnalazioni relative ai riavvii e agli aggiornamenti,
• documentare i risultati del gruppo pilota.

L’architettura tecnica degli aggiornamenti è descritta in Sophos Endpoint Update, Cache e Message Relay.

Domande frequenti