Sophos Endpoint Schutzfunktionen sicher testen

Ein installierter und grüner Endpoint beweist, dass der Agent grundsätzlich gesund meldet. Er bestätigt jedoch nicht die hier behandelten Funktionen: Download Reputation, Echtzeitscan, die Sophos-Simulationen für verhaltensbasierten Schutz mit Malicious Behavior, Adaptive Attack Protection und Critical Attack Warning sowie die erwartete Web-Control-Policy. Nach einem Rollout, einer Plattformänderung oder einer grösseren Policy-Anpassung sollten deshalb diese unterstützten Testpfade mit ungefährlichen Testartefakten geprüft werden.

Reale Schadsoftware gehört nicht in einen Funktionstest. Verwendet werden ausschliesslich die von Sophos genannten Security Test Tools und die standardisierte EICAR-Datei. Der Test läuft auf einem freigegebenen Pilotgerät, nicht auf einem Produktivserver oder einer gemeinsam genutzten Freigabe.

Was ein vollständiger Test nachweist

Jeder Test wird auf mehreren Ebenen abgenommen:

1. Die erwartete lokale Schutzaktion tritt ein.
2. Der Benutzer erhält die passende Meldung, sofern die Plattform dies unterstützt.
3. Central zeigt ein Event mit richtigem Gerät, Benutzer, Policy und Zeitpunkt.
4. Das Artefakt wird blockiert oder bereinigt und bleibt nicht ausführbar zurück.
5. Health State und Kommunikation sind nach dem Test plausibel.

Ein einzelner EICAR-Treffer bestätigt nur den getesteten Scanpfad. Er beweist weder Exploit- noch Ransomware-Schutz, Web Control, DLP oder XDR-Telemetrie.

Echtzeit- und On-Demand-Scan mit EICAR

EICAR ist eine standardisierte, ungefährliche Testdatei, die Antivirenprodukte absichtlich wie Malware erkennen. Sie wird direkt von eicar.org bezogen oder gemäss EICAR-Anleitung als lokale Testdatei erstellt.

Für den On-Access-Test wird die Datei in einem lokalen Testordner gespeichert beziehungsweise dorthin kopiert. Für den On-Demand-Test wird ein Scan des Ordners gestartet. Erwartet werden Blockierung oder Bereinigung sowie ein passendes Central-Event.

Die Datei wird nicht per E-Mail versendet, nicht auf eine produktive Netzwerkfreigabe gelegt und nicht in ein Softwareverteilungssystem übernommen. Sonst testen andere Schutzschichten oder Systeme statt des vorgesehenen Endpoints.

Download Reputation unter Windows

Auf sophostest.com steht unter Endpoint Security > Low Reputation EXE ein harmloser Reputationstest bereit. Diese Prüfung funktioniert laut Sophos nur auf Windows-Endpoints. Erwartet wird eine Download-Reputation-Warnung beziehungsweise die in der effektiven Policy konfigurierte Aktion.

Bleibt der Test ohne Reaktion, werden Agent Mode, Threat-Protection-Policy, Browser-Downloadweg, Proxy, HTTPS-Inspection und Event-Zeitpunkt geprüft. Ein Browser- oder Proxyblock vor dem Endpoint ist kein erfolgreicher Download-Reputation-Test.

Sophos-Simulationen für Verhaltensschutz

sophostest.com stellt unter Endpoint Security harmlose Sophos-Testartefakte bereit. Nur die dort aktuell angebotenen Dateien und Anweisungen verwenden; keine aus Foren kopierten Skripte, Payloads oder Direktlinks. Für Malicious Behavior ist exakt BehaveTest_2d zu erwarten. Beim zweistufigen Adaptive Attack Protection-Test wechselt der Endpoint zuerst sichtbar in den AAP-Modus; danach wird eine Disrupt_*-Regel ausgelöst. Der Critical Attack Warning-Test erzeugt BehaveTest_2c; die zugehörige Central-Warnung kann laut Sophos verzögert erscheinen.

Jede Simulation wird einzeln auf dem Pilotgerät ausgeführt und danach beendet. Fehlt die erwartete Evidenz, den Test nicht mit fremden Tools wiederholen: Lizenz, Betriebssystem, installierte Komponenten, effektive Threat-Protection-Policy, Agentzustand und Central-Zeitfenster prüfen und anschliessend mit Testname, Uhrzeit und Gerät an den Sophos-Support eskalieren.

Web Protection und Web Control

Unter Sophos Security Test Tools > Web Security & Control stehen harmlose Ziele für Spyware-, Malware- und Kategorienprüfungen bereit. Vorher wird festgelegt, welche Schicht den Zugriff blockieren soll: Endpoint Web Control, DNS Protection, Protected Browser oder eine Netzwerk-Firewall können unterschiedliche Blockseiten zeigen.

Der Test umfasst mindestens eine erlaubte, gewarnte und blockierte Aktion sowie einen HTTPS-Aufruf. Anschliessend wird das Endpoint-Event mit der wirksamen Policy verglichen. Eine Blockseite ohne passenden Endpoint-Event kann von einer anderen Schutzschicht stammen.

Kontrollrichtlinien mit Geschäftsfällen testen

Application Control, Peripheral Control und DLP benötigen keine Malware-Testdatei. Stattdessen wird je ein kontrollierter erlaubter und unerlaubter Geschäftsfall verwendet:

• eine bekannte Testanwendung aus der gewählten Application-Control-Kategorie,
• ein genehmigter und ein nicht genehmigter USB- beziehungsweise MTP-Datenträger,
• eine synthetische DLP-Datei mit Testdaten und dem tatsächlich verwendeten Übertragungsweg.

Die Tests prüfen nicht nur Blockierung, sondern auch Event, Benutzerhinweis, Ausnahme und Rollback. Echte Kundendaten, Zugangsdaten und produktive vertrauliche Dokumente werden dafür nicht verwendet.

Resultat dokumentieren

Eine Rollout-Abnahme enthält Datum, Gerät, Betriebssystem, Agent Mode, Agentversion, effektive Policies, Testquelle, erwartetes und tatsächliches Resultat sowie die zugehörigen Central-Events. Abweichungen werden vor der nächsten Rolloutstufe behoben.

Für die fortlaufende Kontrolle wird kein automatisches EICAR-Dauerfeuer eingerichtet. Health, Update- und Policy-Status werden laufend überwacht; vollständige Funktionstests erfolgen nach relevanten Änderungen und periodisch auf einem definierten Testgerät.

Cleanup und Eskalation

Nach jedem Test werden alle noch vorhandenen Testdateien, Archive und synthetischen DLP-Daten aus dem Testordner entfernt. Quarantänisierte Objekte werden nicht wiederhergestellt; Central-Event und lokale Meldung werden zuerst als Evidenz gesichert. Temporäre Testausnahmen und Policy-Zuweisungen werden zurückgenommen, das Pilotgerät aktualisiert und neu geprüft. Abgenommen ist der Test erst, wenn das erwartete Event zum richtigen Gerät und Zeitpunkt vorliegt, das Artefakt nicht mehr zugänglich ist und Health sowie Kommunikation wieder normal sind.

Bleibt das Gerät rot, die Erkennung unbereinigt oder der erwartete Event nach einem angemessenen Synchronisationsfenster aus, keine Schutzkomponente deaktivieren und den Test nicht weiter wiederholen. Gerät bei Verdacht isolieren, Zeitpunkt, Zeitzone, Geräte-ID, Agentversion, Policy, Testname und Screenshots sichern und an den internen Security-Betrieb beziehungsweise Sophos-Support eskalieren. Dieser Artikel beschreibt ein Verfahren; er behauptet nicht, dass ein Test auf einem konkreten Tenant ausgeführt wurde.

Häufige Fragen

Quellen

• Sophos Security Test Tools – aktuelle, von Sophos bereitgestellte Testauswahl und erwartete Erkennungsnamen.
• Sophos Central: Malicious behavior types – Einordnung von Malicious-Behavior-Events.
• EICAR: Anti-Malware-Testdatei herunterladen – Zweck, sichere Verwendung, Varianten und Cleanup-Hinweise der standardisierten Datei.