Sophos Fusion Endpoint-apparaten en groepen beheren

Computergroepen geven Endpoint-policies een stabiel doel. Ze beantwoorden niet elke inventaris- of identiteitsvraag: tags en algemene apparaatacties horen bij het gedeelde Central-platform, terwijl gebruikersgroepen een afzonderlijk identiteitsmodel volgen.

Snelle werkwijze: bepaal het model, maak onder My Products > Endpoint > Computers > Computer Groups een groep, wijs computers toe en controleer daarna de werkelijk toegepaste policies op groep en pilotapparaten. Leg de lifecycle apart vast vóór verwijderen, opschonen of migreren.

Belangrijk: een computer kan slechts tot één computergroep behoren. Tags voegen flexibele kenmerken toe; Agent Mode beschrijft de softwareomvang. Deze niveaus zijn niet uitwisselbaar.

Endpoint-groepen van platformfuncties scheiden

De gezamenlijke weergave My Environment > Computers & Servers is de basis voor filters, kolommen, tags, Tamper Protection, software, Health Reset en algemeen verwijderen. Beheer de Sophos Fusion-apparaatinventaris behandelt die workflow zonder hem hier te dupliceren.

Sophos vervangt de oudere pagina My Products > Endpoint > Computers door deze gezamenlijke weergave. Tijdens de overgang kan een tenant de oudere pagina nog tonen; bovendien blijft dit de route naar Computer Groups. Daarom gebruiken de onderstaande groepsprocedures dit pad.

Gebruikers, logins en gebruikersgroepen zijn eveneens aparte objecten. Wijs Sophos Fusion Endpoint-gebruikers en -groepen correct toe legt uit of een policy een persoon of apparaat moet volgen en hoe volgorde werkt. Dit artikel richt zich op computergroepen en hun Endpoint-lifecycle.

Groepsmodel vóór de uitrol bepalen

Computergroepen passen bij stabiele grenzen en moeten echt verschillende beschermingseisen weerspiegelen: pilotapparaten, standaard- of kritieke werkplekken, kiosk/productie en niet-persistente desktops. Afdelingen zijn alleen nuttig wanneer ze andere policies nodig hebben.

1. Open My Products > Endpoint > Computers en kies Computer Groups.
2. Klik op Add Computer Group.
3. Voer een eenduidige naam en korte beschrijving in.
4. Wijs uitsluitend de bedoelde computers toe en sla op.

Een reeds gegroepeerde computer verlaat bij hertoewijzing zijn vorige groep. Open voor bewerken de groepsnaam, kies Edit, wijzig Assigned Computers en sla op. Delete verwijdert alleen de groep. Documenteer oude en nieuwe toewijzing en begin met enkele pilotapparaten.

Tags voor flexibele kenmerken gebruiken

Tags voegen combineerbare kenmerken toe, zoals owner=finance, site=zuerich, criticality=high of lifecycle=pilot. Per apparaat zijn maximaal 15 tags toegestaan en maximaal vijf kunnen in de gezamenlijke lijst worden vastgepind. Tags helpen bij filters maar bepalen geen groepslidmaatschap. De Central-apparaatinventaris beschrijft aanmaken, controleren en verwijderen.

Policytoewijzing controleren

1. Open de groep onder My Products > Endpoint > Computers > Computer Groups.
2. Kies Policies en controleer ingeschakelde, toegepaste policies.
3. Open zo nodig een policy. Bewerken raakt alle toegewezen gebruikers en groepen; controleer doelbereik en volgorde vóór opslaan.
4. Open een pilotapparaat onder My Environment > Computers & Servers en vergelijk op Policies de effectieve policy per type.
5. Corrigeer doel of volgorde en controleer opnieuw na het volgende Central-contact.

Doeltype heeft geen automatische prioriteit: bij passende gebruikers- en computerpolicies van hetzelfde type beslist de volgorde. Zie Sophos Fusion Endpoint-policies correct opbouwen.

Agent Mode en apparaatstatus interpreteren

Endpoint, XDR en XDR Sensor zijn verschillende softwareomvangen; XDR Sensor bevat geen Sophos-malwarebescherming. Summary toont omvang en groep, Status de Health-beoordelingen en Policies de effectieve policies. De Central-apparaatinventaris behandelt kolommen, filters en softwareacties.

Inactieve apparaten onderzoeken

Een inactief object is eerst een signaal, geen verwijderopdracht. Bepaal waarom contact ontbreekt:

• apparaat is buiten gebruik of vervangen
• gebruiker is langere tijd afwezig
• agent, proxy of netwerkverbinding is verstoord
• computer is gekloond vanuit een oud image
• apparaat hoort bij een lab, VDI-omgeving of Update Cache

De gezamenlijke apparaatweergave toont ook apparaten die langer dan 30 dagen inactief zijn. In oudere Endpoint-lijsten moet eventueel het filter Not online recently worden ingesteld.

Last Active wordt gemiddeld slechts eenmaal per uur bijgewerkt. Een Event kan daarom een nieuwer tijdstip hebben dan de zichtbare Last Active-waarde. Dat is niet automatisch een gegevensfout.

Hetzelfde vertraagde updatemodel geldt voor Online en Last Activity. Na aanmelding van een nieuwe gebruiker kan Central het apparaat al aan die gebruiker koppelen, terwijl de tijdstippen nog ongeveer een uur de vorige toestand tonen. Gaat het apparaat daarna offline, dan duurt de correctie overeenkomstig langer.

In Computer Report betekenen Online en Last User bovendien niet hetzelfde: Online is gebaseerd op het laatst verwerkte statusbericht. Last User verandert pas wanneer een ander uniek gebruikersaccount voor het eerst op het apparaat aanmeldt. Een zeer oude Last User-waarde bewijst daarom niet dat de Endpoint sinds die datum offline is.

Automatische opschoning

Onder Global Settings > Products and Services > Endpoint and Server > Removal of Inactive Devices kunnen afzonderlijke regels voor Endpoints en Servers worden gemaakt.

Sophos onderscheidt Targeted rules voor geselecteerde groepen en een Global rule voor alle overige apparaten. De globale termijn moet langer zijn dan die van gerichte regels. Update Caches, Message Relays en zelden gestarte speciale computers horen in expliciet uitgesloten groepen.

Er kunnen twee gerichte regels worden gemaakt. Van de globale regel kunnen maximaal vier groepen worden uitgesloten; subgroepen tellen afzonderlijk en worden niet automatisch mee uitgesloten. Sophos controleert de regels dagelijks om middernacht in de gegevensregio van de tenant.

MSP- en Marketplace-klanten moeten voor een regel minstens 31 inactieve dagen kiezen. Voor VDI-klonen die met --nonpersistent zijn gemaakt, kan Permanently remove VDI desktops worden geactiveerd; deze apparaten kunnen daarna niet worden hersteld. De Gold Image-master zelf wordt niet door zulke regels verwijderd.

Verwijderde apparaten blijven 120 dagen in het Recovery Report. Gedurende de eerste 30 dagen kunnen ze worden hersteld. Update Cache en Message Relay worden daarbij niet hersteld.

Verwijderen is geen lokale deïnstallatie: Automatische opschoning verwijdert het Central-object. Vooraf moet vaststaan wat met de Sophos-software op het apparaat gebeurt.

Automatische opschoning en verwijderen onderscheiden

Een automatische regel verwijdert inactieve apparaten uit beheer, maar deïnstalleert lokale Sophos-software niet. Op ondersteunde actuele Windows-systemen met Core Agent 2023.2 of hoger veroorzaken Delete en licentieverloop wel de gedocumenteerde back-off: Tamper Protection en beschermingscomponenten worden verwijderd, maar Sophos Endpoint Agent moet lokaal nog worden gedeïnstalleerd.

Recovery Report en Tamper Protection-wachtwoord blijven 120 dagen beschikbaar; herstel kan in de eerste 30 dagen. Update Cache en Message Relay worden niet hersteld. Zie Sophos Fusion Endpoint onder Windows verwijderen en de Central-apparaatinventaris.

Migratie niet verwarren met groepswijziging

Change group verplaatst het object binnen dezelfde tenant. Naar een andere tenant gaan is API-gebaseerde Device Migration met aparte ontvangende en verzendende jobs. Apparaten blijven maximaal 14 dagen in de wachtrij; blijvend offline apparaten moeten daarna opnieuw worden aangeboden. Volg Sophos Endpoint-apparaten tussen Central-tenants migreren.

Dubbele apparaten correct behandelen

Elke Sophos-installatie krijgt bij registratie een unieke Device ID. Als een al geregistreerd systeem zonder voorbereiding wordt gekloond, kunnen meerdere Endpoints dezelfde ID gebruiken. Central toont aanvankelijk slechts één apparaatobject dat zij afwisselend overschrijven. Automatic Duplicate Detection herkent dit patroon op Windows, macOS en Linux, registreert de getroffen apparaten opnieuw en maakt zo extra objecten.

Het opnieuw geregistreerde apparaat erft groep, policies en producttoewijzing van het oorspronkelijke object. Controleer deze waarden na Deduplication, omdat de geërfde toewijzing niet voor elke kloon passend hoeft te zijn.

Sophos Fusion meldt dit patroon op drie plaatsen: op het Dashboard staat de Alert Duplicate device detection; op het tabblad Events van het apparaat staan Device has been detected as a duplicate device en, na herregistratie, Device has been de-duplicated from: <DEVICENAME>. Beheerders ontvangen bovendien een e-mail met het onderwerp [Medium] Alert for Sophos Central: We’ve detected a cloned device.

Een Alert zoals Device has been detected as a duplicate device is geen opdracht om de gemarkeerde record onmiddellijk te verwijderen. Andere klonen met dezelfde ID kunnen het oorspronkelijke object nog nodig hebben. Bij te vroege verwijdering communiceren zij niet meer met Central en moeten zij opnieuw worden geïnstalleerd. Sophos adviseert het gemarkeerde oorspronkelijke object minstens twee weken te behouden, tenzij alle getroffen systemen met zekerheid bekend zijn.

Central toont daarom een extra bevestigingsvakje wanneer dit oorspronkelijke record wordt verwijderd. Selecteer dit en ga alleen verder nadat is vastgesteld dat geen ander apparaat meer probeert te communiceren met de voor Deduplication gemarkeerde ID.

Veilige werkwijze:

1. Controleer Alert en Events van het getroffen apparaat.
2. Zoek op de apparaatnaam en vergelijk actieve en oudere records via Last Active.
3. Controleer groep, policies en producttoewijzing van het opnieuw geregistreerde object.
4. Verhelp de oorzaak in Deployment, Gold Image of Snapshot.
5. Verwijder pas wanneer alle systemen met de oude ID bekend zijn en geen ervan er nog mee communiceert.

In niet-persistente VDI-omgevingen kan elke nieuwe kloon of terugkeer naar een Snapshot opnieuw registratie veroorzaken. Extra objecten betekenen dus niet noodzakelijk een nieuwe Deduplication-fout. Bereid het Gold Image voor met de ondersteunde methode in Sophos Fusion Endpoint voor VDI en Gold Images implementeren.

Zelfs met een correct voorbereid image maakt elke nieuw aangemaakte VM zoals verwacht een nieuw Central-apparaatobject; het terugzetten van een bestaande VM naar een Snapshot hoort na de ondersteunde voorbereiding daarentegen geen Deduplication te veroorzaken. Voer die voorbereiding uit vóór elk nieuw of bijgewerkt Gold Image. Anders kan het image zich opnieuw registreren, een ID ontvangen en die gedeelde ID aan alle volgende klonen doorgeven.

Ook AWS-instances en Azure-VM’s doorlopen deze detectie. Hun instance- of VM-record kan tijdelijk nog niet aan het serverrecord zijn gekoppeld; Central behandelt het apparaat dan als een normale server. De registratie koppelt het later aan een nieuw serverrecord. Windows Servers met actieve Server Lockdown zijn van Deduplication uitgesloten. Apparaten die dezelfde ID maar verschillende besturingssystemen gebruiken, worden als dubbele apparaten gedetecteerd maar niet automatisch opnieuw geregistreerd. Los terugkerende Alerts op bij de image- en registratieoorzaak in plaats van ze met herhaald verwijderen te verbergen.

Belangrijk: Central kan een onbedoelde verwijdering van het gedeelde oorspronkelijke object niet herstellen voor klonen die niet meer communiceren. Dan rest alleen herinstallatie van Sophos Agent.

Herstarts correct interpreteren

Een eerste installatie of de verwijdering van een concurrerend product kan een herstart vereisen. Productupdates hebben die vaak niet direct nodig. Als een apparaat echter maandenlang niet opnieuw is gestart, kunnen twee updatestaten na elkaar elk een herstart vereisen. Sophos adviseert in dat geval ongeveer 20 minuten tussen beide herstartcycli, zodat de eerste update volledig kan worden afgerond.

Oude Windows- en macOS-Alerts worden na 90 dagen uit de detailweergave verwijderd. Een rode Health State kan toch blijven staan totdat de oorzaak is opgelost en de status is gereset. Het ontbreken van de oude Alert alleen bewijst geen herstel.

Maandelijkse operationele controle

Een korte maandelijkse controle voorkomt dat blinde vlekken zich opstapelen:

1. Filter apparaten zonder actuele activiteit en bepaal de eigenaar.
2. Behandel Health-problemen op oorzaak, niet alleen kleur.
3. Controleer Product unassigned, Upgrade available en niet-ondersteunde apparaten.
4. Verklaar en corrigeer Tamper Protection met status Off.
5. Ruim computers zonder groep of met verkeerde tags op.
6. Sluit Update Caches, Message Relays en VDI Golden Images uit van verwijderregels.
7. Deïnstalleer overbodige apparaten gecontroleerd en verwijder ze daarna.

Veelgestelde vragen