Sophos Endpoint Application Control configureren

Application Control is bedoeld om ongewenste of riskante software te stoppen zonder iedere onbekende applicatie voortijdig als malware te behandelen. Sophos deelt bekende programma’s in applicatiecategorieën in. De policy bepaalt vervolgens welke zijn toegestaan of geblokkeerd.

Het veilige uitgangspunt is daarom niet “alles blokkeren wat niet nodig is”, maar detecteren, beoordelen, piloteren en pas daarna blokkeren. Zo worden werkelijk gebruikte Remote Management-, beheer- en samenwerkingstools zichtbaar voordat een productieblokkade bedrijfsprocessen onderbreekt.

Application Control is geen malwarebescherming

Threat Protection detecteert schadelijke bestanden en gedrag. Application Control dwingt een operationele beslissing af voor verder bekende applicaties. Een Remote Administration Tool kan legitiem zijn voor support en ongewenst op een normale werkplek. Geen algemene standaardschakelaar kan deze beoordeling vervangen.

Het toestaan van een applicatie in Application Control verhindert ook niet dat Sophos deze op malware, exploits, ransomware of schadelijk gedrag controleert. Omgekeerd mag een echte False Positive niet met een brede Application Control-uitzondering worden verborgen.

Eerst detecteren

Meld u aan bij Sophos Fusion, maak of open de policy onder My Products > Endpoint > Policies en controleer in Settings of deze aanstaat. Klik bij Controlled Applications op Add/Edit List, open elke relevante categorie, kies eerst Select all applications en daarna Save to List.

Selecteer bij Detection Options alleen Detect controlled applications during scheduled and on-demand scans. Application Control gebruikt de geplande scans en bestandstypen uit Threat Protection. Laat elke computer een geplande scan voltooien. Schakel daarna onder Reports > Logs > Events alle Event Types behalve Application Control uit en beoordeel ook apparaat, gebruiker, tijd en bedrijfsdoel.

Categorieën en afzonderlijke applicaties

Sophos ordent beheerbare programma’s in categorieën. Een hele categorie blokkeren is eenvoudig, maar heeft een groter bereik. Wanneer producten binnen dezelfde categorie anders moeten worden behandeld, wordt de categorie geopend en de beslissing op applicatieniveau verfijnd.

Een onderhoudbaar model bestaat meestal uit enkele beslissingen:

Vul de policy niet met veel preventieve afzonderlijke uitzonderingen. Iedere afwijking heeft een eigenaar en een traceerbare reden nodig.

Protected Browser en Island Browser niet afzonderlijk behandelen

Sophos Protected Browser en Island Enterprise Browser delen Core Binaries, waardoor Sophos Endpoint beide met dezelfde handtekening kan herkennen. Een Application Control-besluit voor Island Browser kan dus ook Sophos Protected Browser treffen; betrouwbare afzonderlijke toestemming is niet gegarandeerd. De overlap raakt ook DLP Browser Detection. Test bij Workspace Protection Application Control samen met Endpoint DLP en documenteer de productgrens.

Een pilotgroep blokkeren

Open na de beoordeling opnieuw Add/Edit List en verwijder het vinkje bij applicaties die toegestaan moeten blijven. Zet bij Detection Options Detect controlled applications when users access them en Block the detected application aan en sla de policy op.

Wijs de eerste blokkerende policy aan een kleine computergroep toe. Deze moet typische gebruikers, belangrijke bedrijfsapplicaties en minstens één IT-werkplek bevatten. Controleer na de toewijzing onder Policies op het apparaat of deze Application Control Policy werkelijk actief is.

Controleer tijdens de pilot:

• de verwachte applicatie wordt geblokkeerd en genereert een Event
• toegestane applicaties blijven starten
• Windows-gebruikers ontvangen de geconfigureerde Desktop Message
• de helpdesk kent applicatie, regel en goedkeuringsproces
• omzeilingspogingen met Portable of hernoemde programma’s worden gedetecteerd

Desktop Messaging staat standaard aan. Een eigen tekst vult de standaardmelding aan; bij een leeg veld verschijnt alleen de standaardmelding. Volgens Sophos kan dit alleen op Windows worden aangepast of uitgezet. Op andere platformen mag het proces dus niet van dezelfde dialoog afhangen.

Script Hosts pas na inventarisatie blokkeren

Onder Programming / Scripting tool kan Application Control bijvoorbeeld Microsoft WSH WScript controleren. Dat vormt een extra barrière tegen kwaadaardige JavaScript-bestanden, maar blokkeert ook legitieme login-, beheer- of applicatiescripts. Inventariseer de Script Host eerst in Detection Mode en blokkeer alleen voor passende apparaatgroepen. Dit vervangt AMSI of Threat Protection niet.

Nieuwe applicaties automatisch behandelen

Sophos kan nieuwe applicaties automatisch opnemen in een reeds gecontroleerde categorie. Dit houdt policies actueel, maar vergroot hun automatische werking. In een geblokkeerde categorie kan een nieuw geclassificeerd maar operationeel noodzakelijk product daardoor zonder aparte goedkeuring worden geblokkeerd.

Sophos markeert New applications added to this category by Sophos als optioneel en waarschuwt om deze optie niet zonder zorgvuldige afweging in te schakelen. Gebruik haar alleen wanneer nieuwe catalogusitems in die categorie bewust automatisch moeten worden gecontroleerd. Het gemak van een actuele lijst vervangt geen Change Control; bij geblokkeerde categorieën is periodieke beoordeling gevolgd door een pilot meestal beter beheersbaar.

Nieuwe categorie GenAI

Sophos groepeert toepassingen met generatieve AI inmiddels in de categorie GenAI. Afhankelijk van het platform vallen daar onder meer desktopclients, lokale modellen, coding assistants en contenttools onder. Bestaande programma’s zoals Cursor, Microsoft Copilot, Ollama, Perplexity of Windsurf zijn uit eerdere categorieën hierheen verplaatst.

Volgens Sophos verandert de herclassificatie de bestaande Allow- of Block-status niet. Ze wijzigt wel waar een toepassing voortaan in rapporten en beleidsonderhoud wordt gevonden. Inventariseer de GenAI-categorie daarom opnieuw na een catalogusupdate. Een algemene blokkering vervangt geen beleid voor browserdiensten, dataclassificatie en toegestane zakelijke AI-toepassingen.

Wanneer een applicatie ontbreekt

Niet ieder product staat direct in de Sophos-catalogus. Onderaan Settings opent Application Control Request de officiële aanvraag. Verzin vóór Sophos-classificatie geen categorie of handtekening om catalogusdetectie na te bootsen.

⚠️ Een algemene Threat Protection-uitzondering vervangt geen ontbrekende Application Control-entry. Beide lossen verschillende taken op.

Troubleshooting

Als een verwachte applicatie niet wordt geblokkeerd, worden eerst effectieve policy, doelgroep en policyvolgorde gecontroleerd. Daarna volgen applicatieversie, werkelijk proces en tijdstip van de laatste Agent Update. Een catalogusitem betekent niet dat iedere variant of Launcher identiek wordt gedetecteerd.

Als een vereiste applicatie wordt geblokkeerd, wordt de policy op applicatieniveau gecorrigeerd en opnieuw opgeslagen. Application Control hoeft niet globaal te worden uitgeschakeld. Controleer vervolgens op het getroffen apparaat of de bijgewerkte policy is aangekomen.

Verwante artikelen

Sophos Fusion Endpoint-policies correct opbouwen legt policyvolgorde en effectieve toewijzing uit. Sophos Endpoint Control Policies praktisch invoeren behandelt de totale uitrol van Control-functies.

Veelgestelde vragen

Actuele applicatiecatalogus

Controleer vóór een policywijziging in de actuele catalogus met gecontroleerde applicaties van Sophos of de applicatie momenteel kan worden beheerd en aan welke categorie Sophos haar toewijst. De leverancier voegt voortdurend applicaties en nieuwe classificaties aan de catalogus toe.