Sophos Endpoint Control Policies sicher einführen

Application Control, Peripheral Control, Web Control und Data Loss Prevention (DLP) ergänzen den Malware-Schutz um betriebliche Regeln. Sie kontrollieren jedoch unterschiedliche Vorgänge und sind keine austauschbaren Schalter.

Der sichere Gesamtweg lautet: eine Kontrollfunktion auswählen, die vorhandene Nutzung erfassen, eine eigene Pilot-Policy zuweisen, erlaubte und unerlaubte Fälle prüfen und erst danach den Scope erweitern. So bleibt bei einer Störung klar, welche Änderung sie ausgelöst hat.

Welche Policy passt zur Aufgabe?

Policy	Kontrolliert	Typische Entscheidung
Application Control	bekannte, nicht zwingend schädliche Anwendungen	Fernwartungstool auf IT-Geräten erlauben, sonst blockieren
Peripheral Control	Gerätetypen und Wechselmedien	USB-Speicher schreibschützen, genehmigtes Einzelgerät ausnehmen
Web Control	Website-Kategorien, Site Lists und Webzugriff	Streaming warnen, bekannte Risikokategorie blockieren
Data Loss Prevention	Dateiinhalt, Dateiname oder Dateityp beim Transfer	Transfer sensibler Daten protokollieren, bestätigen lassen oder blockieren

Keine dieser Policies ersetzt Threat Protection. Eine in Application Control erlaubte Anwendung wird weiterhin durch die übrigen Schutzfunktionen geprüft. DLP bewertet Datenübertragungen, nicht ob eine Datei Malware enthält.

Vor dem Pilot: Scope und Rückweg festlegen

Alle vier Policy-Typen werden unter My Products > Endpoint > Policies verwaltet. Sophos Fusion (ehemals Sophos Central) wendet pro Funktion die erste aktive Policy an, deren Benutzer- oder Computer-Scope passt. Policies desselben Typs werden nicht zusammengeführt. Deshalb wird die Pilot-Policy oberhalb einer allgemeineren Policy eingeordnet und nur einer kleinen, eindeutig benannten Gruppe zugewiesen.

Vor der ersten Durchsetzung werden festgehalten:

Geschäftsziel: Was soll verhindert werden, und welcher legitime Ablauf muss weiter funktionieren?
Zielgeräte: Betriebssystem, Agent-Version, Benutzer- oder Computergruppe und tatsächlich wirksame Policy.
Testfälle: mindestens ein erlaubter und ein unerlaubter Fall je konfigurierte Regel oder Kategorie.
Erfolgskriterium: erwartete Aktion, Ereignis in Sophos Fusion, Benutzermeldung und unveränderter Zugriff auf benötigte Dienste.
Rückweg: Policy deaktivieren oder ihre Zuweisung entfernen; bei Netzwerkgeräten zusätzlich lokalen oder alternativen Zugriff bereithalten.

Die wirksame Policy kontrolliert man am betroffenen Computer auf der Registerkarte Policies. Nur die gewünschte Konfiguration in der Policy-Liste zu sehen, beweist noch nicht, dass sie dieses Gerät erreicht.

Die vier Kontrollen richtig pilotieren

Application Control: erst erkennen, dann sperren

Application Control verwendet den von Sophos gepflegten Katalog kontrollierbarer Anwendungen. Für die Bestandsaufnahme werden relevante Kategorien und Anwendungen ausgewählt und zunächst nur Detect controlled applications during scheduled and on-demand scans aktiviert. Nachdem alle Pilotgeräte mindestens einen geplanten Scan ausgeführt haben, werden die Application-Control-Events unter Reports > Logs > Events ausgewertet.

Geschäftlich benötigte Anwendungen werden aus der kontrollierten Auswahl entfernt. Erst danach werden Detect controlled applications when users access them und Block the detected application für die Pilotgruppe aktiviert. Die Option New applications added to this category by Sophos vergrössert den Scope später automatisch; bei einer blockierten Kategorie kann dadurch ohne weitere Policy-Änderung ein neues Programm gesperrt werden.

Peripheral Control: Netzwerkzugang schützen

Der sichere Einstieg ist Monitor but do not block (all peripherals will be allowed). Erst die so erkannten Geräte stehen für gezielte Ausnahmen zur Verfügung. Danach wird auf Control access by peripheral type and add exemptions umgestellt und je Typ Allow, Read Only, Block oder bei Wireless Block Bridged gewählt, soweit die jeweilige Kategorie diese Aktion unterstützt.

Ausnahmen können über Model ID oder Instance ID durchgesetzt werden. Model ID gilt für alle Geräte desselben Modells; Instance ID ist normalerweise enger und daher für ein einzelnes genehmigtes Gerät der bessere Ausgangspunkt.

⚠️ Wireless und Modem nie unvorbereitet blockieren: Eine Sperre kann die Verbindung zu Sophos Fusion unterbrechen. Benötigte Adapter werden vorher ausgenommen und ein alternativer Zugriffsweg wird getestet. Andernfalls kann physischer Zugriff nötig sein, um die Verbindung wiederherzustellen.

Windows und macOS unterstützen nicht dieselben Gerätetypen. Bluetooth wird unter macOS nicht durch Peripheral Control blockiert; die Kategorie Camera ist dort nicht verfügbar. Eine erfolgreiche Windows-Abnahme gilt deshalb nicht automatisch für Macs.

Web Control: neues Profilmodell und Classic trennen

Sophos Fusion bietet das neue Modell mit Web Filtering Profiles und Classic Web Control. Web Filtering Profiles sind für unterstützte Windows-Endpoints ab Sophos Endpoint 2026.1 vorgesehen; ältere Windows-Agenten sowie macOS verwenden weiterhin Classic. Eine gemischte Umgebung benötigt daher Testgeräte für jede tatsächlich eingesetzte Variante.

Ein Web Filtering Profile kann Kategorien und priorisierte Site Lists kombinieren. In Classic werden unter anderem eigene Website-Tags aus Website Management verwendet. Eine globale Website Exclusion umgeht Web Control breiter und ist kein normaler Ersatz für eine eng begrenzte Policy-Entscheidung.

Im Pilot werden eine erlaubte, eine gewarnte und eine blockierte Kategorie sowie eine gezielte Site-List- oder Tag-Ausnahme geprüft. Warnseiten im neuen Profilmodell benötigen HTTPS Decryption in der wirksamen Threat-Protection-Policy. Fehlt die Warnseite, werden daher nicht nur Web Control, sondern auch Zertifikatsvertrauen und HTTPS Decryption kontrolliert.

Data Loss Prevention: Erkennung vor Blockierung bewerten

Endpoint DLP besteht aus Content Control Lists (CCLs), wiederverwendbaren DLP-Regeln und der zugewiesenen Policy. Eine Content Rule prüft Dateiinhalt; eine File Rule prüft Dateiname oder Dateityp. SophosLabs-CCLs und regionale Vorlagen sind ein Ausgangspunkt, aber keine fertige Compliance-Freigabe.

Für den ersten Pilot wird die Regel mit Allow file transfer betrieben. Treffer erscheinen unter Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Erst wenn Positiv- und Negativtests eine brauchbare Trefferqualität zeigen, wird auf Allow transfer if user confirms oder Block transfer umgestellt. Treffen mehrere Regeln, setzt Sophos die strengste Aktion durch.

Content Rules lesen den Dateiinhalt. Grosse Dateien und viele nacheinander geprüfte Regeln können Transfers verlängern; File Rules nach Name oder Typ sind davon nicht in derselben Weise betroffen. Deshalb gehören typische Dateigrössen, echte Zielanwendungen und die wahrgenommene Übertragungsdauer in die Abnahme.

Rollout und Abnahme

Die vier Funktionen werden nacheinander eingeführt:

Baseline erfassen: Anwendungen und Geräte inventarisieren, Webanforderungen und sensible Datenflüsse dokumentieren.
Regeln entwerfen: nur begründete Kategorien, Regeln und Ausnahmen aufnehmen; Verantwortliche und Prüftermin festlegen.
Pilot zuweisen: repräsentative Benutzer und Geräte, aber einen kleinen rückholbaren Scope verwenden.
Positiv und negativ testen: erlaubte Abläufe müssen funktionieren, unerlaubte den erwarteten Event und die erwartete Aktion erzeugen.
Einzeln korrigieren: eine Regel oder Ausnahme ändern, Policy-Eingang prüfen und denselben Test wiederholen.
Gestaffelt erweitern: erst nach dokumentierter Abnahme weitere Gruppen aufnehmen und Ausnahmen regelmässig bereinigen.

Benutzermeldungen sollen knapp erklären, was kontrolliert wurde und über welchen internen Prozess eine Ausnahme beantragt werden kann. Sie dürfen keine sensiblen DLP-Muster oder internen Kontrollmechanismen offenlegen.

Wenn die Wirkung nicht zur Policy passt

In dieser Reihenfolge prüfen:

Ist die richtige Policy aktiv, korrekt zugewiesen und in der Reihenfolge die erste passende Policy?
Zeigt der Computer unter Policies wirklich diese Policy als wirksam an?
Unterstützen Betriebssystem und Agent-Version die konfigurierte Funktion oder Variante?
Trifft der Test exakt die gewählte Anwendung, Gerätekennung, Website-Regel, DLP-Bedingung und den vorgesehenen Transferweg?
Gibt es eine breitere Ausnahme oder bei DLP eine zweite, strengere Regel?
Erscheint das erwartete Event? Falls nicht, erst Scope und Bedingungen korrigieren, statt globalen Schutz auszuschalten.

Eine Funktion wird nicht gleichzeitig mit mehreren grossen Policy-Änderungen produktiv geschaltet. Sonst lassen sich Benutzerwirkung, Performance und Fehlalarme keiner einzelnen Ursache zuverlässig zuordnen.

Detailanleitungen

Häufige Fragen

Sollte man alle vier Kontrollrichtlinien gemeinsam aktivieren?

Nein. Man führt jeweils eine Funktion in einer kleinen Pilotgruppe ein und nimmt sie ab. Erst danach folgt die nächste grosse Policy-Änderung.

Kann Peripheral Control den Kontakt zu Sophos Fusion unterbrechen?

Ja. Werden benötigte Wireless- oder Modem-Adapter ohne wirksame Ausnahme blockiert, kann das Gerät seine Management-Verbindung verlieren.

Ist eine DLP-Vorlage bereits eine fertige Compliance-Regel?

Nein. Vorlage, CCL, Aktionen, Fehlalarme, Performance und erlaubte Geschäftsprozesse müssen mit repräsentativen Dateien und Transferwegen geprüft werden.