Sophos Endpoint-controlebeleid veilig invoeren
Application Control, Peripheral Control, Web Control en Data Loss Prevention (DLP) voegen bedrijfsregels toe aan malwarebescherming. Ze controleren echter verschillende handelingen en zijn niet onderling verwisselbaar.
De veilige aanpak is: kies één controle, inventariseer huidig gebruik, wijs een aparte pilotpolicy toe, test toegestane en verboden gevallen en vergroot pas daarna de scope. Zo blijft bij een storing duidelijk welke wijziging de oorzaak is.
Welke policy past bij de taak?
| Policy | Controleert | Typische beslissing |
|---|---|---|
| Application Control | bekende, niet noodzakelijk schadelijke applicaties | remote support op IT-apparaten toestaan en elders blokkeren |
| Peripheral Control | apparaattypen en verwisselbare media | USB-opslag alleen-lezen maken en één goedgekeurd apparaat uitzonderen |
| Web Control | websitecategorieën, Site Lists en webtoegang | waarschuwen voor streaming en een risicocategorie blokkeren |
| Data Loss Prevention | bestandsinhoud, naam of type tijdens overdracht | gevoelige overdracht loggen, bevestiging vragen of blokkeren |
Geen van deze policies vervangt Threat Protection. Een door Application Control toegestane applicatie wordt nog door andere beveiliging gecontroleerd. DLP beoordeelt gegevensoverdracht, niet of een bestand malware bevat.
Voor de pilot: scope en terugweg bepalen
Alle vier worden beheerd onder My Products > Endpoint > Policies. Per functie past Sophos Fusion (voorheen Sophos Central) de eerste actieve policy toe waarvan de gebruikers- of computerscope overeenkomt. Policies van hetzelfde type worden niet samengevoegd. Plaats de pilotpolicy boven een algemenere policy en wijs haar alleen aan een kleine, duidelijk benoemde groep toe.
Leg vooraf vast:
- Bedrijfsdoel: wat moet worden voorkomen en welk legitiem proces moet blijven werken?
- Doelen: besturingssysteem, agentversie, gebruikers- of computergroep en werkelijk effectieve policy.
- Tests: minstens één toegestaan en één verboden geval per regel of categorie.
- Succes: verwachte actie, Sophos Fusion-event, gebruikersmelding en ongewijzigde toegang tot nodige diensten.
- Terugweg: policy uitschakelen of toewijzing verwijderen; voor netwerkapparaten ook lokale of alternatieve toegang behouden.
Controleer de effectieve policy op het tabblad Policies van de computer. De gewenste configuratie in de policylijst zien, bewijst niet dat zij het apparaat bereikt heeft.
De vier controles correct piloteren
Application Control: eerst detecteren, dan blokkeren
Application Control gebruikt de Sophos-catalogus met controleerbare applicaties. Selecteer voor inventarisatie relevante categorieën en applicaties en activeer eerst alleen Detect controlled applications during scheduled and on-demand scans. Nadat elk pilotapparaat minstens één geplande scan heeft uitgevoerd, beoordeelt u events onder Reports > Logs > Events.
Verwijder noodzakelijke applicaties uit de gecontroleerde selectie. Activeer pas daarna Detect controlled applications when users access them en Block the detected application voor de pilot. New applications added to this category by Sophos vergroot de scope automatisch; een nieuw programma in een geblokkeerde categorie kan zonder verdere wijziging worden geblokkeerd.
Peripheral Control: netwerktoegang beschermen
Start met Monitor but do not block (all peripherals will be allowed). Alleen zo ontdekte apparaten zijn beschikbaar voor gerichte uitzonderingen. Schakel daarna over op Control access by peripheral type and add exemptions en kies Allow, Read Only, Block of voor Wireless Block Bridged, waar de categorie dit ondersteunt.
Uitzonderingen worden afgedwongen met Model ID of Instance ID. Model ID geldt voor alle apparaten van hetzelfde model; Instance ID is meestal smaller en geschikter voor één goedgekeurd apparaat.
⚠️ Blokkeer Wireless of Modem nooit onvoorbereid: de verbinding met Sophos Fusion kan wegvallen. Sluit eerst de noodzakelijke adapters uit en test een alternatieve toegangsroute. Anders kan fysieke toegang nodig zijn.
Windows en macOS ondersteunen niet dezelfde typen. Peripheral Control blokkeert Bluetooth niet op macOS en Camera is daar niet beschikbaar. Een geslaagde Windows-acceptatie dekt Macs dus niet automatisch.
Web Control: nieuw profielmodel en Classic scheiden
Sophos Fusion biedt Web Filtering Profiles en Classic Web Control. Profiles zijn bedoeld voor ondersteunde Windows-endpoints vanaf Sophos Endpoint 2026.1. Oudere Windows-agents en macOS blijven Classic gebruiken. Een gemengde omgeving vereist testapparaten voor elke gebruikte variant.
Een Web Filtering Profile combineert categorieën en geprioriteerde Site Lists. Classic gebruikt onder meer aangepaste tags uit Website Management. Een globale Website Exclusion omzeilt Web Control breder en vervangt geen nauw begrensde policybeslissing.
Test een toegestane, gewaarschuwde en geblokkeerde categorie plus een gerichte Site List- of taguitzondering. Waarschuwingspagina’s in het nieuwe model vereisen HTTPS Decryption in de effectieve Threat Protection-policy. Ontbreekt de pagina, controleer dan ook certificaatvertrouwen en HTTPS Decryption.
Data Loss Prevention: detectie beoordelen vóór blokkering
Endpoint DLP bestaat uit Content Control Lists (CCLs), herbruikbare DLP-regels en de toegewezen policy. Een Content Rule inspecteert inhoud; een File Rule naam of type. SophosLabs-CCLs en regionale templates zijn een startpunt, geen afgeronde compliancegoedkeuring.
Gebruik in de eerste pilot Allow file transfer. Matches staan onder Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Ga pas na goede positieve en negatieve tests over op Allow transfer if user confirms of Block transfer. Bij meerdere matches past Sophos de strengste actie toe.
Content Rules lezen inhoud. Grote bestanden en veel opeenvolgende regels kunnen overdracht verlengen; File Rules op naam of type worden niet op dezelfde manier beïnvloed. Test typische groottes, echte doelapplicaties en ervaren overdrachtsduur.
Uitrol en acceptatie
Voer de functies één voor één in:
- Baseline vastleggen: applicaties en apparaten inventariseren; webbehoeften en gevoelige stromen documenteren.
- Ontwerpen: alleen gemotiveerde categorieën, regels en uitzonderingen; eigenaar en controledatum vastleggen.
- Pilot toewijzen: representatieve gebruikers en apparaten, maar kleine herstelbare scope.
- Positief en negatief testen: toegestane processen werken; verboden processen leveren verwacht event en actie.
- Afzonderlijk corrigeren: één regel of uitzondering wijzigen, ontvangst controleren en dezelfde test herhalen.
- Gefaseerd uitbreiden: pas na gedocumenteerde acceptatie groepen toevoegen en uitzonderingen periodiek beoordelen.
Gebruikersmeldingen leggen kort uit wat is gecontroleerd en hoe intern een uitzondering wordt aangevraagd, zonder gevoelige DLP-patronen of interne mechanismen te onthullen.
Als de werking niet bij de policy past
Controleer in deze volgorde:
- Is de juiste policy actief, toegewezen en de eerste passende policy?
- Toont Policies op de computer haar als effectief?
- Ondersteunen besturingssysteem en agentversie de functie of variant?
- Past de test exact bij applicatie, apparaat-ID, webregel, DLP-voorwaarde en overdrachtsroute?
- Is er een bredere uitzondering of bij DLP een andere strengere regel?
- Verschijnt het verwachte event? Zo niet, corrigeer scope en voorwaarden in plaats van bescherming globaal uit te schakelen.
Handhaaf een functie niet tegelijk met meerdere grote policywijzigingen. Anders zijn gebruikerseffect, prestaties en false positives niet betrouwbaar aan één oorzaak toe te schrijven.
Detailhandleidingen
- Volgorde en scope van Endpoint-policies begrijpen
- Application Control configureren
- Peripheral Control configureren
- Web Control configureren
- Data Loss Prevention configureren
- Windows Firewall beheren met Sophos Fusion Endpoint