Sophos Endpoint lokal bedienen und Schutzstatus prüfen
Sophos Fusion (ehemals Sophos Central) zeigt den zentralen Sollzustand. Die lokale Sophos-Endpoint-Oberfläche zeigt dagegen, was auf einem konkreten Computer tatsächlich installiert ist, ob die Komponenten funktionieren und welche Ereignisse unmittelbar auf diesem Gerät aufgetreten sind. Für eine saubere Diagnose braucht man beide Perspektiven.
Dieser Artikel behandelt den lokalen Agenten auf Windows und macOS. Sophos Firewall, Sophos Mobile und Server Protection sind davon getrennte Produkte.
Oberfläche und Schutzstatus öffnen
Unter Windows wird Sophos Endpoint über das Sophos-Symbol im Infobereich oder über das Startmenü geöffnet. Auf einem Mac verwendet man das Sophos-Symbol in der Menüleiste.
Die Startseite zeigt den Sicherheitsstatus: Grün bedeutet keine oder nur niedrig priorisierte Alerts, Gelb steht für mindestens einen mittel priorisierten Alert, Rot für mindestens einen hoch priorisierten Alert und Grau für einen unbekannten Zustand. Auch Grün beweist nicht, dass das Gerät die richtige Sophos-Fusion-Policy oder die aktuelle Softwarestufe erhalten hat. Diese Punkte werden zusätzlich unter My Environment > Computers & Servers kontrolliert.
Installierte Funktionen prüfen
Über About beziehungsweise die Produktdetails sieht man die installierten Komponenten und Versionsstände. Das ist besonders wichtig, wenn Sophos Fusion einen Agent Mode wie Endpoint, XDR oder XDR Sensor anzeigt, lokal aber erwartete Module fehlen.
Unter Windows wird das Sophos-Symbol im Infobereich geöffnet und unten rechts About gewählt. Auf macOS folgt Sophos Endpoint > About über das Sophos-Symbol in der Menüleiste. Die angezeigten Komponenten können unterschiedliche Versionsnummern besitzen; für einen Supportvergleich wird deshalb nicht nur eine vermeintliche Gesamtversion notiert.
Der XDR Sensor liefert Telemetrie, enthält jedoch keinen vollständigen Malware-Schutz. Bei diesem Modus muss ein separates Schutzprodukt vorhanden und betriebsbereit sein.
Lokale Einstellungen verstehen
Die Seite Settings zeigt die vom Agenten verwendeten Schutzbereiche. Dazu gehören je nach Plattform und Lizenz unter anderem:
- Deep Learning und Real-time Scanning,
- Web-, Application- und Peripheral Control,
- Runtime Protection und Exploit-Abwehr,
- Adaptive Attack Protection,
- lokale Computer Controls.
Normalerweise werden diese Werte durch Sophos Fusion vorgegeben. Für eine lokale Diagnose klickt man unter Windows auf Admin sign-in, auf dem Mac auf Admin login, gibt das Tamper-Protection-Kennwort ein und aktiviert unter Settings die Option Override Sophos Central Policy for up to 4 hours to troubleshoot. Die lokalen Änderungen überschreiben die Sophos-Fusion-Policy höchstens vier Stunden und werden danach automatisch zurückgesetzt. Der Override kann früher vollständig beendet werden; einzelne Regler lassen sich nicht separat auf den Sophos-Fusion-Wert zurückstellen.
Betriebsregel: Der Override ist ein zeitlich begrenzter Test. Die nachhaltige Korrektur erfolgt in der wirksamen Policy und wird anschliessend wieder auf dem Gerät verifiziert.
Events und Detections
Unter Events zeigt der Agent lokale Schutz- und Verwaltungsereignisse. Die Liste lässt sich nach Ereignistyp und Zeitraum filtern. Sie hilft insbesondere dann, wenn Sophos Fusion nur einen zusammengefassten Alert zeigt oder ein Benutzer den genauen Zeitpunkt einer Blockierung meldet.
Detections zeigt erkannte verdächtige Aktivitäten und deren Verlauf. Nicht jede Detection ist automatisch bestätigte Malware. Für eine Beurteilung werden Prozess, Pfad, Benutzer, Zeitpunkt, Parent Process und mögliche Folgeaktivitäten herangezogen. Umfangreiche XDR-Untersuchungen erfolgen anschliessend im Threat Analysis Center.
Welche Aktionen lokal verfügbar sind
Ein Aktionslink erscheint nur bei einem Ereignis, das eine Aktion erfordert, und nur nach der lokalen Admin-Anmeldung. Sophos beschreibt diese Aktionen als dieselben, die auch in Sophos Fusion Admin verfügbar sind. Fehlt der Link, prüft man deshalb zuerst Ereignisstatus, Admin-Anmeldung, Plattform, Lizenz und installierte Komponente. Eine lokale Bereinigung ersetzt keine Incident-Untersuchung und keine nachhaltige Korrektur der auslösenden Policy oder Anwendung.
Sophos Fusion zeigt Events, der lokale Agent aber nicht
Fehlt ein erwartetes Ereignis lokal, setzt man zuerst die Eventfilter auf All Events zurück und sucht nach Quelle oder Detection-Typ. Danach vergleicht man Zeitpunkt und Gerät mit Sophos Fusion. Lokale Datenbestände oder geschützte Agentdateien werden nicht auf Verdacht gelöscht. Bleibt die Abweichung bestehen, sammelt man eine SDU und wertet die Windows-Logs mit der verlinkten Diagnoseanleitung aus.
Update manuell anstossen
Unter About > Update Now fordert der Agent aktuelle Threat Data an. Diese Aktion hilft bei einem vorübergehend veralteten Gerät, umgeht aber keine gesperrte Verbindung, keinen fehlerhaften Proxy und keine abgelaufene Lizenz. Wegen der signaturlosen Erkennung lässt sich aus der lokalen Anzeige allein nicht ableiten, ob die neueste Produktversion verwendet wird; diesen Stand kontrolliert der Admin in Sophos Fusion.
Nach dem Update werden drei Ebenen getrennt geprüft:
- Der lokale Agent meldet keinen Updatefehler mehr.
- Die Komponenten unter About zeigen plausible Versionsstände.
- Sophos Fusion aktualisiert Last Active, Health und Softwarestatus.
Bleibt nur die lokale Anzeige grün, während Sophos Fusion weiterhin einen Fehler meldet, wird Kommunikation, Policy-Zuweisung und Agent Mode geprüft.
Computer oder einzelne Datei scannen
Unter Status oder Detections startet Scan > Quick scan eine schnelle Prüfung von Speicher, Master Boot Record, laufenden Prozessen und Autostart-Dateien. Scan > Full scan prüft alle Dateien und Ordner sowie Speicher und MBR und dauert entsprechend länger. Ein in Sophos Fusion gestarteter oder per Policy geplanter Scan ist dagegen ein Full Scan.
Einzelne Dateien lassen sich unter Windows im Explorer und unter macOS im Finder mit Scan with Sophos Endpoint prüfen. Windows 11 zeigt den Eintrag gegebenenfalls erst unter Show more options. Fehlt der Eintrag auf dem Mac, aktiviert man ihn unter Services > Services Settings beziehungsweise System Settings > Keyboard > Keyboard Shortcuts > Services > Files and Folders.
Bei einem Rechtsklick-Scan zählt ein Archiv als eine Datei. Verschlüsselte Archive können nicht gescannt werden; verschlüsselte Dateien innerhalb eines Archivs werden nicht zur Anzahl der gescannten Dateien gezählt, erscheinen aber im Scanprotokoll.
Ein Scan ergänzt den Echtzeitschutz, ersetzt ihn aber nicht. Er ist sinnvoll bei einem konkreten Verdacht, nach einer Bereinigung oder zur Abnahme eines neu installierten Geräts. Vor einem grossen Full Scan werden CPU-, I/O- und Arbeitszeit-Auswirkungen berücksichtigt.
Für automatisierte Windows-Scans mit Exitcodes und JSON-Ausgabe dient die separate Anleitung Sophos Endpoint per CLI scannen.
Erkannte Bedrohung bereinigen
Wenn der Agent eine Bedrohung meldet, wird zuerst geprüft, ob sie automatisch bereinigt oder nur erkannt wurde. Ein erneuter Scan ist erst nach der Beurteilung sinnvoll. Wiederkehrende Erkennungen, laufende Malware, Ransomware oder schädlicher Netzwerkverkehr erfordern Isolation und Incident-Triage statt wiederholtes Wegklicken.
Eine Ausnahme wird nicht direkt aus Bequemlichkeit erstellt. Der vollständige Ablauf steht unter Sophos Endpoint Threat Cleanup und Malware-Bereinigung.
Blockierter Dateitransfer
Diese benutzerseitige Funktion ist nur unter Windows verfügbar. Die Meldung File transfer blocked stammt typischerweise von Data Loss Prevention oder einer anderen Kontrollfunktion. Beim Transfer mehrerer Dateien kann die Benachrichtigung eine Teilmenge betreffen, während andere Dateien erfolgreich übertragen wurden.
Eine reine Toast-Meldung bedeutet, dass die Policy keine Benutzerfreigabe erlaubt. Ein Dialog mit Allow und Block lässt dagegen die Entscheidung für diesen Transfer zu. Ohne Auswahl läuft er nach fünf Minuten ab und es werden keine weiteren Dateien übertragen. Bei mehreren Dateien überträgt Sophos bis zur ersten blockierten Datei. Block beendet den Transfer und blockiert alle verbleibenden Dateien; Allow setzt ihn bis zum nächsten Fund fort. Bereits vorher übertragene Dateien werden dadurch nicht zurückgeholt.
Für die Analyse werden Dateiname, Ziel, Anwendung, Uhrzeit und Benutzer notiert. Danach sucht man im DLP Event Log nach dem passenden Ereignis und prüft die tatsächlich wirksame DLP-Policy. Das pauschale Freigeben des Zielprogramms würde die Ursache verdecken.
Zugriff auf den Computer wiederherstellen
Nach einer Fehlkonfiguration können Web-, Netzwerk- oder Peripheral-Regeln den Zugriff erschweren. Solange das Gerät Sophos Fusion erreicht, wird zuerst die fehlerhafte Policy korrigiert und eine Synchronisierung abgewartet.
Ist keine Kommunikation mehr möglich, benötigt man lokalen Administratorzugriff und gegebenenfalls das gerätespezifische Tamper-Protection-Kennwort. Besonders bei blockierten Netzwerkadaptern kann physischer Zugriff erforderlich sein. Die Wiederherstellung wird dokumentiert, damit die gleiche Policy nicht erneut ausgerollt wird.
Netzwerkverkehr direkt am Endpoint aufzeichnen
Für reproduzierbare Verbindungsfehler, beispielsweise bei agentenbasiertem ZTNA, öffnet man About > Endpoint Self Help mit Administratorrechten und startet unter Tools > Packet Capture die Aufzeichnung. Tamper Protection muss dafür vorübergehend deaktiviert sein. Während der Aufzeichnung wird nur der konkrete Fehler reproduziert und danach sofort gestoppt.
Self Help speichert ETL- und PCAPNG-Dateien unter C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture. Diese Dateien können interne Adressen, DNS-Namen und Nutzdaten enthalten und werden entsprechend geschützt. Die technischen Grenzen, UAC-Voraussetzungen und Grössensteuerung beschreibt Sophos Endpoint mit Self Help und SDU diagnostizieren.
Schutzstatus per CLI abfragen
Auf aktuellen Windows-Endpoints liegt sophosinterceptxcli.exe unter C:\Program Files\Sophos\Endpoint Defense. Das Werkzeug liefert einen unterstützten, maschinenlesbaren Zustand und ist einer eigenen Registry-Auswertung vorzuziehen.
cd "C:\Program Files\Sophos\Endpoint Defense"
sophosinterceptxcli.exe query softwaremonitor all --json
sophosinterceptxcli.exe query configuration on_access_scan_enabled --json
Sophos Software Monitor zeigt Status und, mit --json, detaillierte Komponenten- und Versionsinformationen. Nach einer Erstinstallation ist die Abfrage erst nach dem ersten Produktupdate verfügbar, normalerweise nach ungefähr fünf Minuten. Zwischen zwei Abfragen muss mindestens eine Sekunde liegen. Eine Automatisierung bewertet den zurückgegebenen Status, den Exitcode und das Alter der Daten; sie nimmt nicht nur an, dass jede JSON-Ausgabe einen grünen Zustand bedeutet.
query configuration gibt ausschliesslich die von Sophos dafür freigegebenen effektiven Policywerte aus. Derzeit lässt sich damit insbesondere on_access_scan_enabled prüfen. Die Abfrage benötigt eine administrative Eingabeaufforderung. Sie verändert keine Policy und ersetzt nicht den Vergleich mit der in Sophos Fusion zugewiesenen Richtlinie.
Lokale Prüfung als Runbook
Bei einer Störung liefert diese Reihenfolge schnell belastbare Fakten:
- Lokalen Security Status und Zeitpunkt der letzten Änderung prüfen.
- Unter About Komponenten und Versionen kontrollieren.
- Events und Detections auf den Fehlerzeitpunkt filtern.
- Update manuell anstossen und Ergebnis beobachten.
- In Sophos Fusion Health, Last Active, Agent Mode und effektive Policies vergleichen.
- Erst danach Self Help beziehungsweise SDU für eine tiefere Diagnose verwenden.
Die Werkzeuge für den letzten Schritt erklärt Sophos Endpoint mit Self Help und SDU diagnostizieren. Für eine symptomorientierte Zuordnung von Update, MCS, Health, Webschutz, Cleanup und Live Response dient Sophos Endpoint Windows-Logs und Dienste richtig auswerten.