Sophos Endpoint Application Control configureren

Application Control is bedoeld om ongewenste of riskante software te stoppen zonder iedere onbekende applicatie voortijdig als malware te behandelen. Sophos deelt bekende programma’s in applicatiecategorieën in. De policy bepaalt vervolgens welke zijn toegestaan of geblokkeerd.

Het veilige uitgangspunt is daarom niet “alles blokkeren wat niet nodig is”, maar detecteren, beoordelen, piloteren en pas daarna blokkeren. Zo worden werkelijk gebruikte Remote Management-, beheer- en samenwerkingstools zichtbaar voordat een productieblokkade bedrijfsprocessen onderbreekt.

Application Control is geen malwarebescherming

Threat Protection detecteert schadelijke bestanden en gedrag. Application Control dwingt een operationele beslissing af voor verder bekende applicaties. Een Remote Administration Tool kan legitiem zijn voor support en ongewenst op een normale werkplek. Geen algemene standaardschakelaar kan deze beoordeling vervangen.

Het toestaan van een applicatie in Application Control verhindert ook niet dat Sophos deze op malware, exploits, ransomware of schadelijk gedrag controleert. Omgekeerd mag een echte False Positive niet met een brede Application Control-uitzondering worden verborgen.

Eerst detecteren

Meld u aan bij Sophos Fusion (voorheen Sophos Central). Maak of open onder My Products > Endpoint > Policies een Application Control-policy. Op het tabblad Settings moet de policy ingeschakeld zijn. Voor een betrouwbare inventarisatie beveelt Sophos deze werkwijze aan:

1. Klik onder Controlled Applications op Add/Edit List.
2. Open een relevante categorie, kies eerst Select all applications en bevestig met Save to List. Herhaal dit voor alle categorieën die u wilt inventariseren.
3. Schakel onder Detection Options alleen Detect controlled applications during scheduled and on-demand scans in. Application Control gebruikt de geplande scans en bestandstypen uit de Threat Protection-instellingen.
4. Wacht totdat alle computers ten minste één geplande scan hebben uitgevoerd.
5. Schakel onder Reports > Logs > Events alle eventtypen behalve Application Control uit en beoordeel de gedetecteerde applicaties.

Niet alleen de applicatienaam is belangrijk, maar ook apparaat, gebruiker, tijdstip en bedrijfsdoel. Een applicatie die legitiem is op een IT-beheerapparaat, kan op alle andere endpoints ongewenst zijn.

Categorieën en afzonderlijke applicaties

Sophos ordent beheerbare programma’s in categorieën. Een hele categorie blokkeren is eenvoudig, maar heeft een groter bereik. Wanneer producten binnen dezelfde categorie anders moeten worden behandeld, wordt de categorie geopend en de beslissing op applicatieniveau verfijnd.

Een onderhoudbaar model bestaat meestal uit enkele beslissingen:

Vul de policy niet met veel preventieve afzonderlijke uitzonderingen. Iedere afwijking heeft een eigenaar en een traceerbare reden nodig.

Protected Browser en Island Browser niet afzonderlijk behandelen

Sophos Protected Browser en Island Enterprise Browser delen gemeenschappelijke kernbestanden, waardoor Sophos Endpoint beide met dezelfde handtekening kan herkennen. Een Application Control-besluit voor Island Browser kan dus ook Sophos Protected Browser treffen; betrouwbare afzonderlijke toestemming is niet gegarandeerd. De overlap raakt ook browserdetectie voor DLP. Test bij Workspace Protection Application Control samen met Endpoint DLP en documenteer de productgrens.

Een pilotgroep blokkeren

Open na de beoordeling opnieuw Add/Edit List en verwijder het vinkje bij applicaties die toegestaan moeten blijven. De overige items blijven gecontroleerd. Zet bij Detection Options Detect controlled applications when users access them en Block the detected application aan en sla de policy op.

Wijs de eerste blokkerende policy aan een kleine computergroep toe. Deze moet typische gebruikers, belangrijke bedrijfsapplicaties en minstens één IT-werkplek bevatten. Controleer na de toewijzing onder Policies op het apparaat of deze Application Control Policy werkelijk actief is.

Controleer tijdens de pilot:

• de verwachte applicatie wordt geblokkeerd en genereert een Event
• toegestane applicaties blijven starten
• Windows-gebruikers ontvangen de geconfigureerde desktopmelding
• de helpdesk kent applicatie, regel en goedkeuringsproces
• omzeilingspogingen met Portable of hernoemde programma’s worden gedetecteerd

Desktop Messaging staat standaard aan. Een eigen tekst vult de standaardmelding aan; bij een leeg veld verschijnt alleen de standaardmelding. Volgens Sophos kan dit alleen op Windows worden aangepast of uitgezet. Op andere platformen mag het proces dus niet van dezelfde dialoog afhangen.

Script Hosts pas na inventarisatie blokkeren

Onder Programming / Scripting tool kan Application Control bijvoorbeeld Microsoft WSH WScript controleren. Dat vormt een extra barrière tegen kwaadaardige JavaScript-bestanden, maar blokkeert ook legitieme login-, beheer- of applicatiescripts. Inventariseer de Script Host eerst in detectiemodus en blokkeer alleen voor passende apparaatgroepen. Dit vervangt AMSI of Threat Protection niet. Dit is ook geen algemene malwareopruiming.

Nieuwe applicaties automatisch behandelen

Sophos kan nieuwe applicaties automatisch opnemen in een reeds gecontroleerde categorie. Dit houdt policies actueel, maar vergroot hun automatische werking. In een geblokkeerde categorie kan een nieuw geclassificeerd maar operationeel noodzakelijk product daardoor zonder aparte goedkeuring worden geblokkeerd.

Sophos markeert New applications added to this category by Sophos als optioneel en waarschuwt om deze optie niet zonder zorgvuldige afweging in te schakelen. Gebruik haar alleen wanneer nieuwe catalogusitems in die categorie bewust automatisch moeten worden gecontroleerd. Het gemak van een actuele lijst vervangt geen Change Control; bij geblokkeerde categorieën is periodieke beoordeling gevolgd door een pilot meestal beter beheersbaar.

Nieuwe categorie GenAI

Sophos groepeert toepassingen met generatieve AI inmiddels in de categorie GenAI. Afhankelijk van het platform vallen daar onder meer desktopclients, lokale modellen, coding assistants en contenttools onder. Bestaande programma’s zoals Cursor, Microsoft Copilot, Ollama, Perplexity of Windsurf zijn uit eerdere categorieën hierheen verplaatst.

Volgens Sophos verandert de herclassificatie de bestaande Allow- of Block-status niet. Ze wijzigt wel waar een toepassing voortaan in rapporten en beleidsonderhoud wordt gevonden. Inventariseer de GenAI-categorie daarom opnieuw na een catalogusupdate. Een algemene blokkering vervangt geen beleid voor browserdiensten, dataclassificatie en toegestane zakelijke AI-toepassingen.

Catalogusstand van 18 augustus 2026: Application Control 6.27

De gegevensupdate 6.27 werd op 18 augustus 2026 uitgerold; het bijbehorende bericht verscheen op 19 augustus 2026. Deze stand vult de GenAI-beoordeling hierboven aan, maar is geen volledige applicatielijst en geen bewijs voor latere releases. Voor policyonderhoud zijn bijvoorbeeld deze items relevant:

• Windows-controle: GitHub Copilot, Zed AI en Warp Terminal staan als GenAI in de eerste cataloguslijst van het bericht. Die lijst heeft geen eigen platformkop; de items zijn daarom kandidaten voor controle in de Windows-pilot, geen algemene bevestiging voor elke Windows-versie of programmavariant.
• macOS: GitHub Copilot, Zed AI en Warp Terminal staan daarnaast uitdrukkelijk als GenAI in de afzonderlijke macOS-sectie. Controleer de macOS-indeling onafhankelijk van de eerste lijst; een item op het ene platform betekent niet dat de detectie op het andere identiek is.

Daarnaast is Notion Desktop App hernoemd naar Notion AI en verplaatst van BusinessIntelligenceTool naar GenAI. Zoek tijdens de inventarisatie daarom ook op de oude naam en vergelijk de bestaande beslissing om toe te staan of te blokkeren met het nieuwe item. Alleen de herclassificatie is geen reden om een bestaande toestemming zonder controle door een categorieblokkade te vervangen.

De publicatie verloopt in twee fasen: nieuwe items kunnen al 24 tot 48 uur vóór de release van de detectie-identiteiten zichtbaar zijn in de beheerinterface. Pas die release levert de detectiegegevens voor de applicatie. Wacht bij zojuist gepubliceerde items daarom dit tijdvenster af voordat de Allow/Block-werking wordt beoordeeld. Een zichtbaar item of opgeslagen instelling bewijst nog geen effectieve controle op de endpoint; het tijdvenster garandeert ook niet dat elk apparaat daarna al is bijgewerkt.

Voer voor deze cataloguswijziging de bestaande pilot afzonderlijk uit op een Windows- en een macOS-apparaat, met de werkelijk gebruikte applicatieversie:

1. Documenteer vóór de wijziging de effectieve Application Control-policy, het oude item en de controlestatus, en New applications added to this category by Sophos. Als deze optie voor de categorie actief is en Block the detected application is ingeschakeld, worden nieuw toegevoegde applicaties automatisch geblokkeerd. Als dat niet de bedoeling is, schakel de categorieoptie vóór de uitrol uit; reeds gecontroleerde items worden daardoor niet automatisch toegestaan.
2. Controleer na het publicatievenster en een geslaagde endpointupdate onder Policies de effectieve pilotpolicy. Scan de applicatie eerst in de bestaande detectiemodus en zoek onder Reports > Logs > Events met het filter Application Control naar het verwachte item. Vergelijk voor Notion de naam Notion AI met de eerdere beslissing. Leg apparaatnaam, besturingssysteem, applicatieversie en tijdstip vast als bewijs van de controle.
3. Activeer de bedoelde blokkade alleen in de pilotgroep, controleer of de policy is ontvangen en open de applicatie opnieuw. De test slaagt als de geselecteerde applicatie wordt geblokkeerd, een passend event aanwezig is en een bewust toegestane vergelijkingsapplicatie blijft werken. Ga er onder macOS niet van uit dat dezelfde desktopmelding als onder Windows verschijnt.
4. Ontbreekt detectie of blokkering, controleer dan eerst policytoewijzing, endpointupdate, applicatieversie en het daadwerkelijke proces. Blokkeer niet als alternatief de GenAI-categorie zonder onderscheid voor alle apparaten. Herstel voor het terugdraaien de gedocumenteerde controlestatus van de betrokken applicatie in de pilotpolicy, sla op, wacht tot de policy is ontvangen en test het starten opnieuw. Zet de categorieoptie alleen terug naar de vorige waarde als automatische behandeling van nieuwe items ook weer gewenst is.

Catalogusstand 6 oktober 2026: Application Control 6.28

De data-update 6.28 is op 6 oktober 2026 uitgerold; het definitieve bericht van 7 oktober 2026 bevestigt dit. De vooraankondiging van 25 september beschreef alleen de geplande stand. Voor de inventariscontrole telt de definitieve lijst, niet de vooraankondiging:

• De eerste lijst, zonder eigen platformkop, bevat bijvoorbeeld ToDesk, Gorelo en TiFlux Agent als RemMan, en Google Antigravity IDE en Google Antigravity CLI als GenAI. Ten opzichte van de vooraankondiging zijn daar Claude Science en Taskade Agent, beide GenAI, aan toegevoegd. Deze lijst is geen expliciet als zodanig aangeduide Windows-compatibiliteitsmatrix; controleer alleen werkelijk gebruikte programma’s en varianten.
• Het uitdrukkelijk afzonderlijke macOS-gedeelte bevat onder meer Claude Science, Taskade Agent en Google Antigravity IDE als GenAI. Deze items stonden daar al in de vooraankondiging. De aanvullingen op de eerste lijst zijn dus niet ook nieuwe macOS-aanvullingen; controleer detectie en policywerking per platform.

Daarnaast gaat Google Antigravity van ProgrammingScriptTool naar GenAI. Otter AI Assistant heet nu Otter en gaat van SystemTool naar GenAI. Dynalist Obsidian wordt Obsidian, nog steeds in DocumentViewer. Zoek daarom bij rapporten en policyonderhoud zowel op de oude als de nieuwe naam. De eerdere uitspraak over behoud van de controlestatus bij de invoering van GenAI is geen expliciete toezegging voor deze oktoberwijzigingen: vergelijk de werkelijke Allow/Block-status van elk betrokken item met de eerdere vastlegging.

Voor reeds aanwezige betrokken applicaties geldt ook bij 6.28 de hierboven beschreven werkwijze met detectie, een platformpilot en een beperkte terugvalroute. Controleer vóór een policywijziging vooral de categorieautomatisering en Block the detected application: als beide actief zijn, kunnen nieuwe items automatisch worden geblokkeerd. De 24 tot 48 uur tussen het console-item en de identity-release blijven een publicatievenster, geen updategarantie voor elk apparaat. Opname in de catalogus is geen malwareoordeel en ook geen aanbeveling om alle genoemde applicaties te blokkeren.

Wanneer een applicatie ontbreekt

Niet ieder product staat direct in de Sophos-catalogus. Onderaan Settings opent Application Control Request de officiële aanvraag. Verzin vóór Sophos-classificatie geen categorie of handtekening om catalogusdetectie na te bootsen.

⚠️ Een algemene Threat Protection-uitzondering vervangt geen ontbrekende Application Control-entry. Beide lossen verschillende taken op.

Troubleshooting

Als een verwachte applicatie niet wordt geblokkeerd, worden eerst effectieve policy, doelgroep en policyvolgorde gecontroleerd. Daarna volgen applicatieversie, werkelijk proces en tijdstip van de laatste Agent Update. Een catalogusitem betekent niet dat iedere variant of Launcher identiek wordt gedetecteerd.

Als een vereiste applicatie wordt geblokkeerd, wordt de policy op applicatieniveau gecorrigeerd en opnieuw opgeslagen. Application Control hoeft niet globaal te worden uitgeschakeld. Controleer vervolgens op het getroffen apparaat of de bijgewerkte policy is aangekomen.

Verwante artikelen

Sophos Endpoint-policies correct opbouwen legt policyvolgorde en effectieve toewijzing uit. Sophos Endpoint Control Policies praktisch invoeren behandelt de totale uitrol van Control-functies.

Veelgestelde vragen

Actuele applicatiecatalogus

Controleer vóór een policywijziging in de actuele catalogus met gecontroleerde applicaties van Sophos of de applicatie momenteel kan worden beheerd en aan welke categorie Sophos haar toewijst. De leverancier voegt voortdurend applicaties en nieuwe classificaties aan de catalogus toe.