Sophos Protected Browser: Anwendungsgruppen erstellen und Richtlinienobjekte einordnen
Sophos Protected Browser bietet Anwendungsgruppen, Standortlisten, Gerätestatus und Webkategorien unter My Products > Protected Browser > Policy objects. Die folgenden Schritte verwenden die englischen UI-Bezeichnungen. Für Anwendungsgruppen, Standortlisten und Gerätestatus dokumentiert Sophos vollständige Abläufe; bei Webkategorien besteht weiterhin ein Widerspruch in der Anleitung.
Voraussetzungen, Lizenz und Rolle klären
Die hier verlinkten Sophos-Verfahrensseiten nennen weder den benötigten Lizenzanspruch noch eine konkrete Mindestrolle. Auch ein sichtbarer Menüpfad oder die sichtbare Aktion Add object bestätigt keinen Lizenzanspruch. Lasse den Anspruch deshalb vor einer Änderung durch die für die Lizenzierung zuständige Stelle prüfen.
Sophos Fusion Administrationsrollen richtig zuweisen bietet allgemeinen Hintergrund zu Policy-Rechten und zur Prüfung mit einem Administratorkonto. Der Beitrag ordnet diese Rechte aber nicht den Protected-Browser-Richtlinienobjekten zu und weist daher keine Mindestrolle für Add object nach. Wenn Rolle oder Aktion unklar sind, stoppe und lasse die produktspezifische Berechtigung klären.
ZTNA ist nur dann eine zusätzliche Voraussetzung, wenn eine Anwendungsgruppe agentenlose RDP- oder SSH-Anwendungen enthalten soll. Dafür muss ZTNA bereits eingerichtet sein, die benötigten Ressourcen müssen in ZTNA vorhanden sein, und auf ESXi, Microsoft Hyper-V oder Sophos Firewall bereitgestellte ZTNA-Gateways müssen jeweils auf der neuesten Version ihrer Plattform laufen.
Anwendungsgruppe erstellen
Eine Anwendungsgruppe ist passend, wenn mehrere Anwendungen gemeinsam unter einer Internetrichtlinie verwaltet werden sollen.
- Öffne
My Products > Protected Browser > Policy objects. - Klicke auf Add object und wähle Application group.
- Gib unter Name einen Namen und unter Description eine Beschreibung für die Anwendungsgruppe ein.
- Für agentenlose RDP- oder SSH-Anwendungen erweitere ZTNA resources und wähle die benötigten Anwendungen aus.
- Für andere Anwendungen erweitere die passende Application category und wähle die Anwendungen aus.
- Eine erweiterte Kategorie zeigt zunächst 20 Anwendungen. Mit Show more werden die nächsten 20 eingeblendet.
- Alternativ suche im Feld Search nach dem Anwendungsnamen. Aktiviere danach Show added apps only, um die Auswahl gezielt zu kontrollieren.
- Klicke auf Save.
Add all apps currently in list ist laut Sophos nur für Generative AI verfügbar. Sophos: Add an application group.
Wichtig: Unter ZTNA resources erscheinen in diesem Ablauf nur agentenlose SSH- und RDP-Anwendungen. Eine agentenlose Webanwendung gehört stattdessen in eine Site list.
Standortliste erstellen
- Öffne My Products > Protected Browser > Policy objects.
- Wähle Add object > Site list und gib Name und Beschreibung ein.
- Trage unter Sites Domains, URLs oder IP-Adressen ein. Bestätige jeden Eintrag mit Enter oder Tab, auch einen einzelnen. Beim Einfügen mehrerer Einträge verwende Zeilenumbrüche.
- Prüfe die Auswahl und klicke auf Save.
Eine Standortliste kann auch agentenlose ZTNA-Webanwendungen aufnehmen.
Webkategorie: dokumentierten Widerspruch beachten
Die Sophos-Anleitung trägt den Titel Add a web category, fordert in einem Schritt jedoch dazu auf, unter Add object den Typ Site list zu wählen. Diese Anweisung widerspricht dem im Titel genannten Objekttyp.
Behandle das nicht als sicheren Klickpfad und lege nicht versuchsweise ein anderes Objekt an. Stoppe vor einer Auswahl oder Speicherung und kläre den aktuellen Ablauf mit Sophos Support. Die Sophos-Anleitung beschreibt keinen sicheren Fortsetzungs- oder Speicherpfad für ein Webkategorie-Objekt.
Gerätestatus konfigurieren
Wähle Add object > Device posture, gib Name und Beschreibung ein und wähle Windows oder macOS unter OS platform. Lege danach fest, ob die Bedingungen für Protected Browser, die Erweiterung oder beide gelten. Unter Endpoint protection sind neben dem Verzicht auf eine Prüfung auch Bedingungen für Sophos Endpoint, dessen Gesundheitsstatus, erkannte EPP-Produkte oder fehlenden Schutz dokumentiert. Any active EPP detected prüft laut Sophos nur, ob ein unterstütztes Produkt installiert ist; es bestätigt nicht dessen aktiven Schutz.
Wichtig: Die Erweiterung wertet den Endpoint-Gesundheitsstatus nicht aus. Entsprechende Bedingungen gelten nur für den vollständigen Protected Browser. Unter Full disk encryption (FDE) wählst du abhängig vom Betriebssystem Bedingungen für BitLocker oder FileVault oder verzichtest auf diese Prüfung. Kontrolliere die Bedingungen und schliesse mit Save ab.
Auswahl vor dem Speichern prüfen
Dies ist keine vollständige Funktionsprüfung. Sophos dokumentiert weder ein Erfolgssignal nach dem Speichern noch einen Bericht oder eine Prüfung der Richtlinienwirkung. Prüfe die Auswahl der Anwendungsgruppe vor dem Speichern wie folgt:
- Notiere lokal den beabsichtigten Objektnamen, Objekttyp und die Anwendungsauswahl.
- Kontrolliere im Dialog die ausgewählten Anwendungen mit Show added apps only und bei Bedarf mit Search.
Stoppe die Auswahlprüfung hier, bevor du speicherst. Damit ist nur die Auswahl im Dialog kontrolliert.
Anschliessend speichern
Klicke nun auf Save, um den dokumentierten Erstellungsablauf abzuschliessen. Sophos nennt dafür jedoch kein Erfolgssignal und beschreibt weder eine Prüfung der dauerhaft gespeicherten Werte noch der Wirkung einer später verknüpften Richtlinie. Fehlt nach dem Speichern ein eindeutiges Ergebnis, führe keine weiteren Änderungen als vermeintlichen Test durch, sondern kläre den Prüfpfad mit Sophos Support.
Troubleshooting nach Symptom
Eine ZTNA-Webanwendung fehlt in der Anwendungsgruppe
Agentenlose ZTNA-Webanwendungen gehören in eine Site list; verwende dafür den oben beschriebenen vollständigen Ablauf.
Es werden nur 20 Anwendungen angezeigt
Klicke in der erweiterten Anwendungskategorie auf Show more, um die nächsten 20 Anwendungen einzublenden. Alternativ lässt sich die gewünschte Anwendung über Search finden.
Der Webkategorie-Dialog passt nicht zur Anleitung
Die dokumentierte Auswahl Site list widerspricht dem Titel der Sophos-Anleitung. Lege nicht versuchsweise ein anderes Objekt an. Stoppe vor einer Auswahl oder Speicherung und kläre den aktuellen UI-Pfad mit Sophos Support.
Änderungen sicher vorbereiten
Sophos beschreibt hier weder das Löschen noch eine Abhängigkeitsanzeige oder die Wiederherstellung. Halte die beabsichtigte Änderung deshalb vor dem Erstellen in einem lokalen Änderungsnachweis fest. Wenn ein bereits vorhandenes Objekt geändert, zurückgenommen oder entfernt werden soll, stoppe vor der Änderung und kläre den aktuellen, dokumentierten Ablauf mit Sophos Support.
Betrieb und wiederkehrende Kontrollen
Sophos beschreibt hier keinen Ablauf für wiederkehrende Kontrollen oder Massnahmen während des Betriebs dieser Richtlinienobjekte. Nutze diese Anleitung daher nicht als Nachweis für Betrieb oder Ausserbetriebnahme. Für darüber hinausgehende Prüfungen musst du den aktuellen Ablauf mit Sophos Support klären.