Sophos Endpoint Schutzfunktionen sicher testen
Ein installierter und grüner Endpoint beweist, dass der Agent grundsätzlich gesund meldet. Er beweist nicht, dass Download Reputation, Echtzeitscan, Malicious Traffic Detection oder die erwartete Web-Control-Policy auf diesem Gerät tatsächlich greifen. Nach einem Rollout, einer Plattformänderung oder einer grösseren Policy-Anpassung wird der komplette Schutzpfad deshalb mit ungefährlichen Testartefakten geprüft.
Reale Schadsoftware gehört nicht in einen Funktionstest. Verwendet werden ausschliesslich die von Sophos genannten Security Test Tools und die standardisierte EICAR-Datei. Der Test läuft auf einem freigegebenen Pilotgerät, nicht auf einem Produktivserver oder einer gemeinsam genutzten Freigabe.
Was ein vollständiger Test nachweist
Jeder Test wird auf mehreren Ebenen abgenommen:
- Die erwartete lokale Schutzaktion tritt ein.
- Der Benutzer erhält die passende Meldung, sofern die Plattform dies unterstützt.
- Central zeigt ein Event mit richtigem Gerät, Benutzer, Policy und Zeitpunkt.
- Das Artefakt wird blockiert oder bereinigt und bleibt nicht ausführbar zurück.
- Health State und Kommunikation sind nach dem Test plausibel.
Ein einzelner EICAR-Treffer bestätigt nur den getesteten Scanpfad. Er beweist weder Exploit- noch Ransomware-Schutz, Web Control, DLP oder XDR-Telemetrie.
Echtzeit- und On-Demand-Scan mit EICAR
EICAR ist eine standardisierte, ungefährliche Testdatei, die Antivirenprodukte absichtlich wie Malware erkennen. Sie wird direkt von eicar.org bezogen oder gemäss EICAR-Anleitung als lokale Testdatei erstellt.
Für den On-Access-Test wird die Datei in einem lokalen Testordner gespeichert beziehungsweise dorthin kopiert. Für den On-Demand-Test wird ein Scan des Ordners gestartet. Erwartet werden Blockierung oder Bereinigung sowie ein passendes Central-Event.
Die Datei wird nicht per E-Mail versendet, nicht auf eine produktive Netzwerkfreigabe gelegt und nicht in ein Softwareverteilungssystem übernommen. Sonst testen andere Schutzschichten oder Systeme statt des vorgesehenen Endpoints.
Download Reputation unter Windows
Auf sophostest.com steht unter Endpoint Security > Low Reputation EXE ein harmloser Reputationstest bereit. Diese Prüfung funktioniert laut Sophos nur auf Windows-Endpoints. Erwartet wird eine Download-Reputation-Warnung beziehungsweise die in der effektiven Policy konfigurierte Aktion.
Bleibt der Test ohne Reaktion, werden Agent Mode, Threat-Protection-Policy, Browser-Downloadweg, Proxy, HTTPS-Inspection und Event-Zeitpunkt geprüft. Ein Browser- oder Proxyblock vor dem Endpoint ist kein erfolgreicher Download-Reputation-Test.
Malicious Traffic Detection
Sophos dokumentiert einen harmlosen VBScript-Test, der eine spezielle URL auf sophostest.com aufruft. Die aktuelle Befehlsfolge wird direkt aus dem Sophos-KBA übernommen und als mtd.vbs auf dem Pilotgerät ausgeführt. Bei aktiver MTD-Funktion entsteht eine Erkennung C2/generic-B.
Dieser Test benötigt die installierte Komponente Sophos Network Threat Protection. Fehlt die Detection, werden deshalb zuerst Agent Mode, installierte Komponente, Policy, Proxy und tatsächliche URL-Erreichbarkeit geprüft. Das Skript wird nach dem Test entfernt und nicht als allgemeines Diagnosetool verteilt.
Web Protection und Web Control
Unter Sophos Security Test Tools > Web Security & Control stehen harmlose Ziele für Spyware-, Malware- und Kategorienprüfungen bereit. Vorher wird festgelegt, welche Schicht den Zugriff blockieren soll: Endpoint Web Control, DNS Protection, Protected Browser oder eine Netzwerk-Firewall können unterschiedliche Blockseiten zeigen.
Der Test umfasst mindestens eine erlaubte, gewarnte und blockierte Aktion sowie einen HTTPS-Aufruf. Anschliessend wird das Endpoint-Event mit der wirksamen Policy verglichen. Eine Blockseite ohne passenden Endpoint-Event kann von einer anderen Schutzschicht stammen.
Kontrollrichtlinien mit Geschäftsfällen testen
Application Control, Peripheral Control und DLP benötigen keine Malware-Testdatei. Stattdessen wird je ein kontrollierter erlaubter und unerlaubter Geschäftsfall verwendet:
- eine bekannte Testanwendung aus der gewählten Application-Control-Kategorie,
- ein genehmigter und ein nicht genehmigter USB- beziehungsweise MTP-Datenträger,
- eine synthetische DLP-Datei mit Testdaten und dem tatsächlich verwendeten Übertragungsweg.
Die Tests prüfen nicht nur Blockierung, sondern auch Event, Benutzerhinweis, Ausnahme und Rollback. Echte Kundendaten, Zugangsdaten und produktive vertrauliche Dokumente werden dafür nicht verwendet.
Resultat dokumentieren
Eine Rollout-Abnahme enthält Datum, Gerät, Betriebssystem, Agent Mode, Agentversion, effektive Policies, Testquelle, erwartetes und tatsächliches Resultat sowie die zugehörigen Central-Events. Abweichungen werden vor der nächsten Rolloutstufe behoben.
Für die fortlaufende Kontrolle wird kein automatisches EICAR-Dauerfeuer eingerichtet. Health, Update- und Policy-Status werden laufend überwacht; vollständige Funktionstests erfolgen nach relevanten Änderungen und periodisch auf einem definierten Testgerät.