Analizzare Log e servizi Sophos Endpoint Windows

In Windows, Sophos Endpoint è composto da più componenti di protezione, Update e comunicazione. Un Health State rosso non significa quindi automaticamente che l’intero Agent non funzioni. Per una diagnosi affidabile, associare prima il sintomo a un componente e controllare poi solo il relativo Log nell’intervallo temporale corretto.

La maggior parte dei Log operativi si trova in C:\ProgramData\Sophos. I Log di installazione si trovano invece generalmente in C:\Windows\Temp, C:\Windows\SystemTemp o nel %TEMP% dell’account che ha avviato l’Installer. Dalle versioni più recenti di Core Agent, alcuni Log dell’interfaccia utente si trovano in %LOCALAPPDATA%.

Procedura rapida:

1. Annotare ora dell’incidente, fuso orario e sintomo visibile.
2. In Sophos Endpoint Agent > About > Open Endpoint Self Help Tool, controllare prima Services e Components.
3. Annotare piattaforma, versione Core Agent e componenti installati; licenza e Agent Mode determinano lo stato atteso.
4. Scegliere il Log pertinente qui sotto e leggerlo in avanti dal primo errore rilevante.
5. Dopo la correzione, aggiornare Self Help e ripetere lo stesso test. Per l’escalation, conservare anche una SDU dello stesso intervallo.

In Computer details > Status, Central suddivide lo stato generale in Communication, Operations, Services, System, Threat e Update. I dettagli Good, Warning, Bad e Info possono variare in base al sistema operativo e alla versione dell’agente. Correlare quindi sempre la categoria interessata con il componente esatto in Endpoint Self Help, anziché dedurre il guasto di un servizio dal solo colore generale.

Dal sintomo al Log corretto

I nomi dei file e le associazioni dei servizi possono cambiare con la versione di Core Agent. Prima di valutarli, confrontare la versione del pacchetto installato con la panoramica degli aggiornamenti di Sophos Endpoint e delle modifiche ai componenti; per la diagnosi vera e propria fanno fede i componenti della versione installata e i file realmente presenti sul dispositivo interessato.

Update e AutoUpdate

SophosUpdate.log è il Log principale del processo Update effettivo. Nelle versioni Windows attualmente supportate, sau-service.log mostra quando Central o una Policy Update o di comunicazione modificata ha avviato un Update. SophosLaunchUpdate.log documenta l’avvio del processo.

Un errore di Update non viene valutato soltanto dall’ultima riga Error. Controllare prima:

1. quale destinazione Update è stata effettivamente utilizzata,
2. se erano coinvolti accesso diretto, Proxy o Update Cache,
3. quale errore HTTP o TLS è comparso per primo,
4. se lo stesso orario è visibile nel Log Firewall o Proxy.

Voci errate nel file Hosts di Windows possono reindirizzare le destinazioni Sophos verso un indirizzo sbagliato. Per errori riproducibili, confrontare SophosUpdate.log, DNS, Proxy e una cattura di pacchetti dello stesso intervallo.

Il classico Sophos AutoUpdate Service non esiste più sui Windows moderni. Se manca su una piattaforma Legacy espressamente supportata, riparare con diritti amministrativi il MSI AutoUpdate in cache e rilanciare About > Update Now. La vecchia procedura MSI non si usa su Windows 10 x64, Windows Server 2016 o successivi.

Comunicazione Central e Policy

Sophos MCS Client mantiene la connessione con Sophos Fusion (in precedenza Sophos Central). McsClient.log indica se l’Endpoint raggiunge Central. McsAgent.log mostra quindi quali Policy e comandi sono stati elaborati. Un valore Last Active recente in Central è un buon indicatore del funzionamento di MCS, ma viene aggiornato al massimo circa una volta all’ora.

In caso di errore di comunicazione, verificare indirizzo del Broker, DNS, Routing, Proxy e Firewall. Dopo la correzione è possibile riavviare il servizio Sophos MCS Client e aggiornare Endpoint Self Help. Tamper Protection viene disattivata solo se richiesto dall’intervento specifico.

Protezione, blocchi e Cleanup

sed.log è il Log operativo centrale di Sophos Endpoint Defense. Contiene tra l’altro accessi a Registry Key, processi e file protetti e azioni bloccate. seds.log aiuta a stabilire se Driver e servizio sono stati caricati.

Per il Cleanup sono rilevanti SophosCleanup.log e i relativi Scan_*.log. Mostrano minaccia rilevata, azione eseguita, verifica Safestore e durata. Prima di un ripristino da Safestore si chiarisce se il file è sicuro e perché è stato rilevato.

Una singola voce nel Log non giustifica un’autorizzazione. Un’eccezione viene creata solo dopo aver verificato file, Publisher, Hash, Reputation e necessità operativa.

Con Splashtop Streamer 3.5.6.0, molti log ruotati e rinominati rapidamente possono riempire la coda di scansione Sophos e aumentare CPU e RAM. Aggiornare preferibilmente alla 3.5.8.0 o successiva e riavviare. Solo se impossibile, valutare il percorso log effettivo come eccezione ristretta per il gruppo; escludere tutto Splashtop sarebbe eccessivo.

Un’altra causa di CPU elevata per SEDService.exe è una regola Sysmon File Delete che archivia file .bin sotto C:\ProgramData\Sophos. sed.log richiama allora ripetutamente l’archivio Sysmon. Escludere quella struttura dall’archiviazione FileDelete di Sysmon, non dalla scansione Sophos. Dopo aver ricaricato Sysmon, SEDService.exe dovrebbe smaltire i journal aperti e ridurre il carico.

Windows Security Audit Logging: volume e ripristino

Enable additional audit policy logging è attivato per impostazione predefinita con Sophos Endpoint Core Agent 2026.1 e Sophos Server Core Agent 2026.1. L’elenco degli eventi Windows Audit aggiuntivi, non configurabile singolarmente, migliora i dati disponibili per il rilevamento e il Threat Hunting. Questi eventi si trovano nel Windows Security Event Log, non in un Log di testo Sophos sotto C:\ProgramData\Sophos. La mappatura e il ripristino descritti qui valgono per gli Endpoint Windows e per Windows Server; non descrivono una funzionalità Linux.

La Policy effettivamente applicata viene gestita per gli Endpoint in Threat Protection e per i server in Server Threat Protection. Un volume maggiore di eventi non indica, di per sé, un problema di protezione. Prima di disattivare la funzionalità, verificare la conservazione dei Log e l’elaborazione SIEM, perché una minore quantità di dati Audit limita le indagini sugli attacchi successivi.

Associare gli eventi alle sottocategorie Audit

La tabella riporta le sottocategorie Windows in inglese. In una versione localizzata di Windows, ad esempio in italiano, i nomi possono essere diversi; per i comandi locali si usa la GUID individuata di seguito. Gli ID costituiscono una mappatura, non un piano di test: non tutti i ruoli server o tutte le attività generano ogni evento. Per le verifiche, utilizzare attività operative esistenti e autorizzate; non apportare modifiche ad account, attività pianificate o servizi soltanto per eseguire un test.

Stato precedente, conservazione e salvaguardia delle evidenze

Prima di una modifica pianificata, documentare per ciascun dispositivo nome e assegnazione della Policy, versione Core Agent, ruolo server, ora della modifica con fuso orario e responsabili. Per ogni sottocategoria interessata, registrare separatamente il monitoraggio degli esiti positivi e negativi e chiarire se sia richiesto da GPO, da una baseline di sicurezza o da un altro prodotto. Se la funzionalità è già attiva, un nuovo backup documenta soltanto lo stato attuale, non automaticamente quello precedente alla modifica di Sophos. Non disattivare sottocategorie sulla base di supposizioni senza una configurazione precedente affidabile e l’autorizzazione del responsabile.

I comandi seguenti sono destinati a un prompt dei comandi Windows aperto come amministratore. Leggono le configurazioni o scrivono un file di backup; non modificano le impostazioni Audit. C:\Audit-Sicherung è un esempio di directory da creare preventivamente, con accesso protetto e spazio libero sufficiente. Utilizzare un nuovo nome di file per ogni acquisizione, in modo da preservare lo stato precedente.

auditpol /get /category:* /r
auditpol /list /subcategory:* /v
auditpol /backup /file:"C:\Audit-Sicherung\audit-vorher.csv"
wevtutil gl Security
wevtutil gli Security

Il backup CSV comprende le impostazioni Audit di sistema e per utente, nonché le opzioni Audit; non sostituisce un backup delle GPO. Conservare l’output delle interrogazioni insieme alla documentazione della modifica. Per il confronto successivo, annotare la GUID della sottocategoria specifica presente nell’elenco e il relativo nome visualizzato localmente.

wevtutil gl Security mostra, tra l’altro, dimensione massima, percorso del Log e modalità di conservazione; wevtutil gli Security mostra lo stato del Log. Nel Visualizzatore eventi di Windows, controllare il Log Security: annotare il timestamp più vecchio ancora presente, gli eventi nell’intervallo di confronto stabilito e gli ID predominanti. Prima e dopo la modifica, sotto un carico comparabile, confrontare il numero di eventi per intervallo temporale, il periodo disponibile localmente, lo spazio libero, nonché la velocità di acquisizione SIEM, il ritardo e gli eventi scartati. In un Log circolare, la sola dimensione del file non indica quanta cronologia sia ancora disponibile.

Con retention:false, i nuovi eventi sovrascrivono quelli più vecchi non appena viene raggiunta la dimensione massima. Con retention:true senza backup automatico, al raggiungimento di tale limite i nuovi eventi vengono invece scartati. autoBackup:true richiede retention:true; gli archivi necessitano comunque di spazio e di una conservazione controllata. Non ridurre quindi indiscriminatamente le dimensioni del Log e non confondere «non sovrascrivere» con una conservazione illimitata. Concordare le modifiche a dimensione massima, modalità di conservazione o archiviazione con i responsabili Windows/SIEM e documentare prima tutti e tre i valori iniziali. Durante il ripristino, ripristinare esattamente questi valori tramite il percorso di configurazione locale o GPO competente e verificarli con wevtutil gl Security. Gli eventi già sovrascritti o scartati non vengono recuperati.

Prima di un intervento, esportare gli eventi rilevanti, senza svuotare il Log Security. Anche in questo caso, usare un nuovo nome di file e una destinazione protetta con spazio sufficiente:

wevtutil epl Security "C:\Audit-Sicherung\Security-vorher.evtx"

Aprire il file esportato nel Visualizzatore eventi e verificare l’intervallo temporale necessario. I dati Audit possono contenere informazioni su utenti, account e attività; limitare di conseguenza accesso, trasferimento e conservazione.

Ripristino selettivo dopo la disattivazione della Policy

Disattivare prima Enable additional audit policy logging nella Threat Protection Policy Endpoint o Server effettivamente applicata, salvare e verificare la ricezione della Policy sul dispositivo. Le impostazioni Windows Audit già attivate rimangono in vigore e, se necessario, devono essere ripristinate manualmente. Non eliminare l’intera Policy Audit: questo interesserebbe anche impostazioni necessarie indipendentemente da Sophos. Non ripristinare nemmeno alla cieca un intero backup CSV, perché dalla sua acquisizione potrebbero essere state apportate modifiche autorizzate.

Solo dopo l’autorizzazione dei responsabili Windows/sicurezza, riportare singolarmente le sottocategorie effettivamente interessate ai rispettivi valori precedenti documentati. Il seguente esempio modifica le impostazioni e vale esclusivamente se in precedenza il monitoraggio degli esiti positivi era attivo e quello degli esiti negativi era inattivo. Sostituire completamente <GUID> con la GUID della sottocategoria individuata, incluse le parentesi {...}; il segnaposto non è eseguibile. Prima di impostare i valori, leggerli nuovamente in locale:

auditpol /get /subcategory:"<GUID>"
auditpol /set /subcategory:"<GUID>" /success:enable /failure:disable
auditpol /get /subcategory:"<GUID>"

Per altri stati precedenti documentati, scegliere i due valori indipendentemente: enable mantiene attivo o attiva il rispettivo ramo, disable lo disattiva. Solo se entrambi i rami erano precedentemente disattivati e nessun altro requisito vigente li richiede, disattivarli entrambi per quella specifica sottocategoria. Una sottocategoria può controllare più eventi rispetto agli ID elencati qui; la modifica non costituisce un filtro per singoli Event IDs.

Dopo ogni modifica, confrontare i valori attesi con quelli effettivi; leggerli nuovamente dopo il normale aggiornamento delle GPO o dei prodotti e verificare il flusso di eventi necessario e il volume dei Log e del SIEM. Se i valori vengono riattivati, chiarire prima quale GPO o altro prodotto di sicurezza li governa, senza contrastarlo ripetutamente in locale. Se lo stato precedente, la responsabilità o la ricezione della Policy Sophos restano incerti, interrompere il ripristino e inoltrare ai responsabili competenti i risultati delle verifiche su Policy, Agent, Audit e volume. Per ripristinare la visibilità aggiuntiva, riattivare l’opzione Sophos e, dopo la ricezione, verificare lo stato Audit e il flusso di eventi; questo non colma un’eventuale lacuna nei dati verificatasi nel frattempo.

Valutare correttamente i servizi

Self Help distingue Windows SCM Services e Sophos SCM Services. Solo il primo gruppo è registrato in Windows Service Control Manager ed è visibile in services.msc. I Sophos SCM Services vengono eseguiti come processi, ma non compaiono lì. Sulle piattaforme moderne, Sophos Live Query, Sophos Health Service e Sophos System Protection Service sono passati al secondo gruppo da Core Agent 2025.2. L’assenza di una voce in services.msc non dimostra quindi, da sola, un errore di installazione.

Sophos descrive questa consolidazione in 2025.2.1 come un’ottimizzazione delle prestazioni. La diagnosi deve comunque seguire la versione Core Agent installata e il relativo articolo Self Help: l’articolo Services attuale è espressamente indicato per Core Agent 2026.1 e altri pacchetti possono richiedere una procedura diversa. Controllare prima lo stato in Self Help, che indica anche se il servizio è gestito tramite Windows SCM o Sophos SCM. Le procedure di riparazione richiedono diritti amministrativi e Tamper Protection disattivata; non eseguirle solo perché un vecchio elenco di servizi è diverso.

Con Core Agent 2025.x, questo raro caso può verificarsi dopo un feature update Windows 11 da 23H2 a 24H2 o 25H2 fallito con rollback. Un aggiornamento DecisionCache simultaneo può disallineare registro e file. L’Endpoint diventa rosso, System Protection non parte e C:\ProgramData\Sophos\Endpoint Defense\Logs\SSP.log segnala una versione delle regole mancante.

Non attendere fino a 96 ore senza System Protection. Assegnare temporaneamente una Update Management Policy con pacchetto FTS o LTS supportato. Rimuoverla solo con Health verde, componente attivo e SSP log corrente. Una correzione manuale del registro richiede Tamper Protection Override, backup e directory delle regole esattamente corrispondente.

L’elenco ufficiale di componenti e servizi include le associazioni seguenti. La tabella è un aiuto diagnostico, non l’elenco completo previsto per ogni dispositivo:

I componenti necessari dipendono da piattaforma, Agent Mode e licenza. Un XDR Sensor installa ad esempio componenti di telemetria, ma non la protezione Malware Sophos completa. Lo stato previsto viene quindi determinato prima in Central e solo dopo confrontato con servizi e processi.

Protezione di rete e Web

SophosNetFilter.log contiene le connessioni ai siti e le azioni di Web Control e della scansione Internet in tempo reale. SophosIPS.log mostra configurazione e contenuti di rilevamento della protezione dalle minacce di rete. SntpService.log contiene tra l’altro informazioni su Isolation e altre funzioni di rete.

Per un sito bloccato, confrontare orario, URL, processo e Policy effettiva. Il solo Log non indica sempre se a bloccare per primo sia stato Endpoint Web Control, DNS Protection o un firewall a monte. Questi punti di controllo vengono verificati separatamente.

Interfaccia utente e Self Help

Nelle versioni Core Agent attuali, SophosUI.Net.log e SophosUITray.log si trovano in:

%LOCALAPPDATA%\Sophos\Sophos UI\Logs

Documentano le azioni nell’interfaccia locale e sull’icona della Taskbar. Da Core Agent 2026.1, anche i Log Self Help possono trovarsi per utente in %LOCALAPPDATA%\Sophos\Endpoint Self Help\Logs. A seconda del componente, rimane rilevante anche la directory a livello di computer C:\ProgramData\Sophos\Endpoint Self Help\Logs.

Analizzare correttamente un Log

Prima di aprire il file, definire un intervallo di errore ristretto con relativo fuso orario. Leggere poi in avanti a partire dal primo errore rilevante. Errori successivi come service unavailable, timeout o component unhealthy sono spesso solo conseguenze.

Una nota affidabile contiene:

• sintomo visibile e test riproducibile,
• nome del Log, Timestamp e primo messaggio rilevante,
• percorso Endpoint, Proxy, Cache o Relay coinvolto,
• confronto con un dispositivo funzionante,
• modifica testata e risultato misurabile.

Il Loglevel non viene aumentato permanentemente in via preventiva. Il Logging MCS dettagliato può contenere dati di comunicazione sensibili e occupare spazio aggiuntivo. Viene attivato solo per un intervallo definito seguendo la guida Sophos corrente e poi ripristinato.

Sophos Support può richiedere un diagnostic message trail per MCS. Su Windows 10 x64 o Server 2016 e successivi è attivo per impostazione predefinita da Core Agent 2023.2; i passaggi XML per attivarlo e poi disattivarlo riguardano solo le piattaforme Legacy. I file del trail possono contenere Policy e dati di comunicazione e devono essere trasferiti in modo protetto insieme alla SDU. Disattivare una raccolta Legacy al termine, perché altrimenti può riempire il disco.

Salvare i Log per il Support

I singoli Log aiutano a restringere localmente il problema. Per un’escalation viene inoltre creata una raccolta SDU dello stesso intervallo. Il pacchetto può contenere nomi host, utenti, percorsi, indirizzi IP e dati di configurazione e deve essere trasferito con protezione adeguata.

La raccolta completa è descritta in Diagnosticare Sophos Endpoint con Self Help e SDU. Gli errori di installazione sono trattati separatamente in Risolvere sistematicamente l’installazione di Sophos Endpoint su Windows.

Domande frequenti