Sophos Fusion Endpoint gestructureerd in gebruik nemen

De ingebruikname van Sophos Fusion Endpoint omvat meer dan het uitvoeren van een installatieprogramma. Een betrouwbare implementatie combineert beheerderstoegang, apparaat- en gebruikersidentiteiten, de juiste softwarescope, policies, netwerktoegang, een representatieve pilot en duidelijke verantwoordelijkheden voor monitoring en response.

Dit artikel biedt houvast voor het volledige project. De concrete stappen voor installatie, policyconfiguratie en troubleshooting staan in de gekoppelde runbooks.

Het proces in één oogopslag

1. Leg scope, verantwoordelijken en succescriteria vast.
2. Beveilig de toegang tot Sophos Fusion en de beheerdersrollen.
3. Controleer de licentie, Agentmodus en ondersteunde platforms.
4. Ontwerp identiteiten, groepen en het policymodel.
5. Bereid netwerkpaden en de levering van updates voor.
6. Test Windows en macOS op representatieve apparaten en test Linux in het afzonderlijke Server Protection-traject.
7. Valideer bescherming, communicatie, gebeurtenissen en terugdraaien.
8. Breid pas daarna in gecontroleerde golven uit en neem de omgeving in beheer.

Ga alleen verder als de voorgaande fase een gedocumenteerd resultaat heeft. Dat het installatieprogramma zonder fouten is afgerond, is nog geen operationele acceptatie.

Directe routes door de ingebruikname

Wie eerst alleen wil installeren, kan direct naar het passende platformtraject gaan. Voor een volledige implementatie begint het traject bij de systeemvereisten en lifecyclegrenzen en de netwerk- en proxyvereisten. Valt macOS binnen de scope, voeg dan ook de macOS-machtigingen toe. Voor gebruikers en groepen kan Microsoft Entra ID als bron dienen; Active Directory kan daarnaast apparaten en apparaatgroepen leveren.

Beheerderstoegang vóór de uitrol beveiligen

De beveiliging van beheerderstoegang begint met MFA, Passkeys en federatieve aanmelding. Afhankelijk van de Identity Provider configureer je de concrete federatie met Microsoft Entra ID, OpenID Connect of Okta of AD FS. Voor RBAC beperk je eerst de tenantbrede beheerdersrollen en daarna de Endpoint-specifieke rollen en machtigingen tot de betreffende taak.

Installatie per platform en distributiemethode

Voor een kleine pilot of afzonderlijke apparaten begeleiden de handmatige handleidingen je door de installatie op Windows en macOS. Een geautomatiseerde Windows-uitrol bereid je voor met het deploymentrunbook voor de opdrachtregel en softwaredistributie; vooraf ingerichte virtuele machines vereisen daarnaast de procedure voor VDI-Gold-Images. Voor Macs beschrijft het Jamf Pro- en MDM-traject de centrale distributie, inclusief de vereiste profielen.

Linux is geen extra variant van het Windows-/macOS-Endpoint-installatieprogramma. Sophos Fusion behandelt installatie, scriptdistributie en Gold Images als Sophos Protection for Linux of Server Protection; het afzonderlijke traject staat in Sophos Protection for Linux installeren en uitrollen.

Beveiligingsfuncties gericht configureren

De baseline wordt niet beter door alle schakelaars zonder onderscheid in te schakelen. De Threat Protection-instellingen behandelen onder meer HTTPS-decryptie, de privacygevolgen daarvan en de bijbehorende uitzonderingen. Stel product- of applicatiespecifieke scanuitsluitingen zo beperkt en controleerbaar mogelijk in. Het runbook over Scheduled Scans legt uit of aanvullende geplande controles nodig zijn en hoe je ze plant.

Voor gebruikers- en apparaatcontroles bestaan afzonderlijke beslissings- en configuratietrajecten: Web Control voor websites en categorieën, Application Control voor applicaties, Peripheral Control voor aangesloten Windows- en macOS-apparaten en Data Loss Prevention voor regels voor gegevenscontrole. Onderhoudsvensters, softwareversies en distributie-infrastructuur leg je afzonderlijk vast onder Updates, Update Cache en Message Relay.

XDR- en MDR-integraties optioneel uitbreiden

Met een passende XDR- of MDR-licentie kan de tenant gegevens uit andere Sophos- en externe producten samenbrengen. Het Central-brede runbook XDR-integraties instellen en controleren begeleidt je bij de selectie, licentiegrenzen, koppeling en functietest; het is geen Endpoint-beveiligingspolicy.

Openstaande MDR-vragen vóór de uitrol verduidelijken

Het recht op de MDR-sensor en de Windows-installerproductwaarde mdr blijven onopgehelderd. De officiële MDR-installatiehulp noemt voor XDR Sensor nog MDR Essentials, terwijl het serviceoverzicht MDR en MDR Plus noemt. Daaruit volgt geen sensorrecht voor ieder huidig niveau. De MDR-instructies voor Windows gebruiken ook mdr, maar de productlijst van de Windows-CLI bevat deze waarde niet. Dit bewijst niet dat de waarde ongeldig is of dat xdr of xdrsensor gelijkwaardig is; vervang de waarde niet op eigen initiatief.

Vóór een MDR-sensoruitrol worden het gecontracteerde niveau/SKU, de actieve licentie in de juiste tenant, het platform en het beoogde installatiepad met Sophos of de verantwoordelijke partner bevestigd. Bij onduidelijkheid blijft die uitrolstap gepauzeerd; vraag schriftelijke bevestiging van de Windows-productwaarde voor de gebruikte installerversie en de resulterende softwareomvang. Een zichtbare optie bewijst geen gebruiksrecht. Controleer al beheerde apparaten via Agent Mode en software valideren; alleen een Endpoint-installatie en groene gezondheidsstatus bevestigen geen operationele MDR-service.

Status en rapporten

Na de uitrol laat het Protection Overview met Events en Reports zien of de beveiligingsstatus en gebeurtenisstroom plausibel zijn. De Account Health Check vult dit beeld aan met afwijkingen van Sophos-aanbevelingen, maar vervangt noch de pilotacceptatie noch functionele tests. Terugkerende ontvangers, planningen en mislukte leveringen worden ingesteld en bewaakt via geplande Reports.

Als installatie of beheer mislukt, levert Endpoint Self Help en SDU lokale diagnose en de vereiste logs. Vervolgens kun je een Sophos-supportticket met bruikbare gegevens openen. Improviseer partnertoegang niet, maar verleen deze via Partner Assistance en tijdgebonden Remote Assistance en trek de toegang daarna weer in.

1. Scope en verantwoordelijkheden vastleggen

Leg vóór de eerste installatie vast welke apparaten en besturingssystemen binnen de scope vallen, wat uitdrukkelijk is uitgesloten en wie wijzigingen goedkeurt. Wijs minimaal de volgende verantwoordelijkheden toe:

• tenant en rollen;
• Endpoint en policies;
• netwerk en proxy;
• Alerts en beveiligingsincidenten;
• applicaties voor de pilot en acceptatie;
• plaatsvervanging voor kritieke toegang en beslissingen.

Definieer ook meetbare acceptatiecriteria: het apparaat verschijnt in de juiste tenant en groep, ontvangt de beoogde Agent Mode en policies, meldt een gezonde status en levert de geplande testgebeurtenissen. Leg de terugvalroute, supportroute en beslissingsbevoegdheid vooraf vast.

2. Tenant en beheerderstoegang beveiligen

Configureer MFA voor alle beheerders. Gebruik geen verregaande rechten voor routinewerk; wijs rollen per taak toe en controleer ze regelmatig. Test accountherstel en toegang voor plaatsvervangers, in plaats van pas te improviseren als een authenticatieapparaat verloren is gegaan.

Zie Beveiligde Sophos Fusion-aanmelding met MFA en een IdP en Plan Sophos Fusion Endpoint-rollen en -machtigingen voor de gedetailleerde beslissingen.

3. Bepaal de reikwijdte van de software en de platformgrenzen

Controleer licentie, apparaattype, besturingssysteem en beoogde Agent-modus samen. Wat er in een tenant verschijnt, is afhankelijk van het daadwerkelijke abonnement en platform. Leid de beschikbaarheid dus niet af op basis van een screenshot of algemene productpagina.

Endpoint biedt Sophos Endpoint-bescherming, XDR voegt de beoogde detectie- en responsefuncties toe en XDR Sensor biedt op zichzelf geen malwarebescherming. Een sensoropzet vereist dus nog steeds een afzonderlijk beheerd beveiligingsproduct. Sophos Endpoint Agent Mode en software beheren legt selectie en wijzigingen uit; Sophos Fusion Endpoint-licenties begrijpen behandelt de licentiegrenzen.

Gebruik afzonderlijke pilottrajecten voor Windows en macOS. Controleer de actuele systeemvereisten en Retirement-meldingen voordat je een platform goedkeurt. Volg daarvoor Sophos Endpoint-systeemvereisten en lifecycle plannen.

Linux Runtime Detection Profiles beschermen Linux-workloads en cloud-native omgevingen. Plan de policyselectie en sensorimplementatie als een afzonderlijk workloadtraject volgens de actuele Sophos-vereisten, niet als bijzaak van een Windows- of macOS-Endpoint-uitrol.

De lifecycle begint onder My Products > Global Settings > Protection and Remediation > Linux Profiles. Create Profile maakt versie 1; Profile Name, Content Version en de optionele Change Description documenteren de status. Schakel daarna afzonderlijke regels naar behoefte in of uit op Detection Analytics, Smart Policy en BETA Ransomware. Wijs elk nieuw of gewijzigd profiel eerst toe aan een Linux Runtime Detection Policy voor pilotservers en verifieer een verwachte test-Alert. Create New Version bewaart de historie. Duplicate kloont de nieuwste versie als zelfstandig profiel; wijzigingen en toewijzingen van de kopie hebben geen invloed op het bronprofiel. Een actief profiel kan pas worden verwijderd nadat het uit alle policies is gehaald.

Gebruik voor geavanceerde afstemming Category, Enabled, Modified en Configurable. Hide filters verbergt filters alleen; Clear All verwijdert ze. Allow/Block Lists gelden per geselecteerde regel. Sophos Protection for Linux neemt bijgewerkte SophosLabs-content automatisch over; Sophos Linux Sensor moet handmatig worden bijgewerkt. De YAML van Export Latest Version bevat alleen eigen afwijkingen en is geen volledige runtimedetections.yaml. Voeg voor Sophos Linux Sensor alleen deze afwijkingen samen met het bestaande bestand en bewerk uitsluitend velden en gegevenstypen die het schema van de geïmplementeerde contentversie ondersteunt. Stop vóór de pilot bij concrete fouten: ongeldige YAML-syntaxis of inspringing, onbekende sleutels, verkeerde gegevenstypen, ontbrekende verplichte velden of ongeldige regelwaarden. Versioneer en valideer het bestand; test het pas na geslaagde parser- en schemavalidatie op pilotservers en controleer Alerts en Runtime. Wijs bij problemen de vorige profielversie opnieuw toe of herstel de vorige gevalideerde sensorconfiguratie.

4. Identiteiten, groepen en policies ontwerpen

Gebruikerspolicies volgen een persoon, terwijl computerpolicies een apparaat volgen. Bepaal daarom eerst de gezaghebbende bron voor gebruikers en groepen en voorkom dubbele of verouderde identiteiten. Sophos Fusion Endpoint-gebruikers en -groepen beheren legt de implementatie uit.

Een onderhoudbaar apparaatmodel begint normaal gesproken met een paar duidelijke groepen:

• pilot-apparaten met actief ondersteunde gebruikers;
• standaardproductieapparaten;
• kritieke of technisch verschillende apparaten;
• in de tijd beperkte uitzonderingen;
• testapparaten voor nieuwe softwareversies.

Voor elk policytype geldt de eerste overeenkomende actieve policy. Controleer de baseline, volgorde en effectieve toewijzing vóór de grootschalige uitrol. Het verwijderen van een policy in Central kan niet ongedaan worden gemaakt: exporteer of documenteer instellingen en toewijzingen en bepaal eerst welke apparaten worden geraakt. Sophos Fusion Endpoint-policies correct opbouwen beschrijft het volledige model.

Schakel beveiligings- en controlefuncties niet zonder afweging in of uit. Beoordeel Threat Protection, Web, Applications, Peripherals, DLP, DNS Protection, Updates, Tamper Protection, Data Collection en Response op basis van licentie, platform en bedrijfsbehoefte. Introduceer nieuwe controles waar mogelijk eerst in een kleine pilotgroep. Elke uitzondering vereist een reden, verantwoordelijke, beperkte scope en controledatum.

5. Controleer het netwerk en de updates vóór de installatie

Het Endpoint moet de vereiste Sophos-services bereiken in de daadwerkelijk gebruikte apparaat- en servicecontext. Een succesvol browserverzoek door een beheerder bewijst niet dat installatie, agentcommunicatie en updates via een proxy, TLS-inspectie of een gesegmenteerd netwerk werken.

Test vóór de pilot DNS, HTTPS, proxy-authenticatie, certificaatvalidatie en beoogde fallback-paden. De huidige verbindingsprioriteit en dynamische Sophos-bestemmingen worden behandeld in Sophos Endpoint-netwerk- en proxyvereisten.

Updatebandbreedte, softwarepakketten, implementatiefasen, Update Cache en Message Relay vereisen een afzonderlijke operationele beslissing. Een globale bandbreedte-instelling is geen vervanging voor capaciteitsplanning of een pilot. Zie Sophos Endpoint-updates, cache en berichtdoorgifte.

6. Rol een representatieve pilot uit

Download onder My Environment > Installers het installatieprogramma voor de beoogde tenant en toepassing. Behandel installatieprogramma’s als toegangsmateriaal en verspreid ze alleen via gecontroleerde kanalen.

Onder Endpoint zijn installatieprogramma’s beschikbaar voor Protection, ZTNA en Device Encryption. De volledige installatieprogramma’s voor Windows en macOS bevatten de Endpoint-producten die onder de licentie van de tenant vallen; met Choose Components selecteer je vóór het downloaden gericht de benodigde onderdelen. Dit Endpoint-installatieprogramma geldt niet voor Linux, dat zoals hierboven beschreven tot het afzonderlijke Server Protection-traject behoort.

Als DNS Protection for endpoints als onderdeel van Workspace Protection wordt gebruikt, geldt deze overdracht uitsluitend voor ondersteunde Windows-endpoints; macOS en Windows Server zijn niet inbegrepen. Op deze Windows-endpoints is de geïnstalleerde Endpoint-agent alleen de gezamenlijke voorwaarde. Configureer en controleer daarna de DNS-component en de bijbehorende eigen policy volgens het afzonderlijke runbook Sophos DNS Protection voor endpoints configureren; neem ze niet als algemene Endpoint-beveiligingspolicy in dit proces op.

Houd platformworkflows gescheiden:

• Windows: Sophos Fusion Intercept X installeren
• macOS: Sophos Fusion Endpoint installeren
• geautomatiseerde Windows-uitrol: Automatiseer de uitrol van Sophos Endpoint op Windows

De pilot moet meer omvatten dan ongecompliceerde IT-laptops. Bestrijk relevante OS-versies, netwerksegmenten, thuiskantoor of VPN, bedrijfskritische applicaties en bestaande beveiligings-, back-up-, DLP- en encryptiesoftware. Bekijk eerst de wijzigingen op een paar apparaten; een vertraging tussen golven vervangt de technische acceptatie niet.

7. Valideer de pilot technisch

Keur een pilotapparaat alleen goed als alle geplande controles zijn geslaagd:

1. De lokale agent meldt zich gezond.
2. Het apparaat verschijnt in de juiste tenant en geplande groep.
3. Agentmodus en geïnstalleerde componenten komen overeen met het goedgekeurde ontwerp.
4. De apparaatpagina toont de verwachte effectieve policies.
5. Last Active, gebeurtenissen en updates verlopen plausibel.
6. Een goedgekeurde beveiligingstest levert het verwachte Event of Alert op.
7. Bedrijfsapplicaties, netwerkwijzigingen en eventuele benodigde herstarts zijn getest.
8. De ontvangst van Alerts, triage en escalatie werken.
9. De verwijdering of een andere gedefinieerde terugdraaiing is geverifieerd op een testapparaat.

Sophos Endpoint-beveiligingsfuncties veilig testen omvat veilige tests. Als een apparaat niet goed functioneert, installeer het dan niet blindelings opnieuw: gebruik Sophos Endpoint-waarschuwingen en Account Health afhandelen en Sophos Endpoint-installatiefouten systematisch oplossen.

De Account Health Check is een extra controleweergave. Het identificeert geselecteerde afwijkingen van de Sophos-aanbevelingen, maar bewijst geen applicatiefunctionaliteit of volledige tenantbeveiliging. Automatische correcties kunnen van invloed zijn op veel apparaten of beleid en moeten als wijziging worden behandeld. Zie Sophos Fusion Account Health Check correct gebruiken.

8. Beslis bewust over de respons en de forensische paraatheid

Bepaal vóór de brede uitrol wie de waarschuwingen afhandelt, wanneer een apparaat wordt geïsoleerd en welke gegevens mogen worden verzameld voor onderzoek en ondersteuning. Forensische momentopnamen leggen apparaatactiviteit vast. De opslag, conversie, optionele upload naar een S3-bucket van de organisatie en de toegang vereisen daarom weloverwogen beslissingen op het gebied van beveiliging en privacy.

Forensic Snapshots maken, bewaren en converteren

Maak een snapshot via My Environment > Computers & Servers > apparaat > Summary > More actions > Create forensic snapshot > Create now of met Create forensic snapshot in een Threat Graph. Handmatige snapshots staan standaard in %PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\, detectiegegevens in %PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\. Met Tamper Protection is een verhoogde opdrachtprompt nodig. De standaardperiode is twee weken; wijzig deze of kies All log data onder Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots. Leg vooraf vrije ruimte, toegang, bewaartermijn en veilige verwijdering vast.

Bewaar voor analyse een forensische kopie van de .tgz. Kies op 64-bits Windows de 64-bits exporter; alleen 32-bits Windows vereist de andere versie. Controleer vóór het downloaden de architectuur in PowerShell met (Get-CimInstance Win32_OperatingSystem).OSArchitecture.

Start het ophalen pas bij deze handeling via HTTPS bij Sophos: 64-bits SDR Exporter ophalen of 32-bits SDR Exporter ophalen. Vul het Sophos-formulier in en accepteer uitsluitend het bestand dat Sophos daarna aanbiedt. Plaats het in een nieuwe werkmap waarin alleen de verantwoordelijke onderzoekers mogen schrijven; gebruik geen e-mailbijlage of mirror van derden. Controleer vóór uitvoering de Authenticode-handtekening en bereken een bewijshash. Die hash legt exact de verkregen versie vast, maar is zonder een afzonderlijk gepubliceerde Sophos-referentiewaarde geen onafhankelijk bewijs van herkomst:

$tool = '.\SDRExporterx64.exe'
$expectedSubject = $env:SDR_EXPORTER_EXPECTED_SUBJECT
$expectedThumbprint = $env:SDR_EXPORTER_EXPECTED_THUMBPRINT
if ([string]::IsNullOrWhiteSpace($expectedSubject) -or
    [string]::IsNullOrWhiteSpace($expectedThumbprint)) {
    throw 'Set the approved signer subject and thumbprint before validation.'
}
$expectedThumbprint = ($expectedThumbprint -replace '\s', '').ToUpperInvariant()
if ($expectedThumbprint -notmatch '\A[0-9A-F]+\z') {
    throw 'The approved signer thumbprint is not hexadecimal.'
}

$sig = Get-AuthenticodeSignature -FilePath $tool
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
    throw "SDR Exporter: Authenticode status is $($sig.Status)."
}
$actualThumbprint = ($sig.SignerCertificate.Thumbprint -replace '\s', '').ToUpperInvariant()
if (-not [string]::Equals($sig.SignerCertificate.Subject, $expectedSubject,
        [StringComparison]::Ordinal) -or
    -not [string]::Equals($actualThumbprint, $expectedThumbprint,
        [StringComparison]::Ordinal)) {
    throw 'SDR Exporter: signer does not exactly match the approved acquisition record.'
}

$chain = [Security.Cryptography.X509Certificates.X509Chain]::new()
$chainBuilt = $chain.Build($sig.SignerCertificate)
[pscustomobject]@{
    Status              = $sig.Status
    StatusMessage       = $sig.StatusMessage
    SignerSubject       = $sig.SignerCertificate.Subject
    SignerThumbprint    = $actualThumbprint
    SignerIssuer        = $sig.SignerCertificate.Issuer
    SignerNotBefore     = $sig.SignerCertificate.NotBefore
    SignerNotAfter      = $sig.SignerCertificate.NotAfter
    ChainBuilt          = $chainBuilt
    ChainStatus         = ($chain.ChainStatus.Status -join ', ')
    TimestampSubject    = $sig.TimeStamperCertificate.Subject
    TimestampThumbprint = $sig.TimeStamperCertificate.Thumbprint
}
$chain.ChainElements | ForEach-Object {
    [pscustomobject]@{
        ChainSubject    = $_.Certificate.Subject
        ChainThumbprint = $_.Certificate.Thumbprint
        ChainStatus     = ($_.ChainElementStatus.Status -join ', ')
    }
}
Get-FileHash -Algorithm SHA256 -Path $tool

Stel vóór uitvoering van het blok SDR_EXPORTER_EXPECTED_SUBJECT en SDR_EXPORTER_EXPECTED_THUMBPRINT in op de exacte waarden uit een intern goedgekeurd acquisitieregister dat via een afzonderlijk vertrouwd proces is verkregen; neem deze nooit over uit het bestand dat wordt gecontroleerd. Status Valid en een exacte overeenkomst van beide waarden zijn vrijgavecriteria. Bewaar de weergegeven gegevens van de ondertekenaarsketen en het tijdstempel samen met de SHA-256-uitvoer als bewijs. De hash identificeert het verkregen bestand, maar stelt zonder een afzonderlijk vertrouwde referentiewaarde de herkomst niet vast. Ontbreekt een goedgekeurde waarde, mislukt een controle of wijkt de hash later af, voer het bestand dan niet uit: verwijder en onderzoek het of haal het opnieuw op via de Sophos-link hierboven. Verwerk daarna tool en invoer alleen vanuit de beschermde locatie in een verhoogde opdrachtprompt, met verschillende invoer- en uitvoerpaden:

SDRExporterx64.exe -i <snapshot.tgz> -o <snapshot.sqlite> -f sqlite

Gebruik voor JSON -f json en een geschikte uitvoernaam; het 32-bits programma heet SDRExporterx86.exe. Zet paden met spaties tussen aanhalingstekens. Controleer na een foutloze afsluiting dat de uitvoer niet leeg is en als SQLite kan worden geopend en bevraagd of als JSON kan worden geparseerd. Noteer invoerhash, exporterhash, opdracht, tijdstip en uitvoerpad in het incidentlogboek; bescherm en bewaar het geconverteerde bestand zoals de snapshot.

Experimenteer bij een mislukte conversie niet met het origineel. Controleer architectuur en bestandsnaam, handtekening, aanhalingstekens, lees- en schrijfrechten, vrije ruimte en integriteit van de .tgz-werkkopie en gebruik daarna een nieuw uitvoerpad. Gedeeltelijke uitvoer is geen resultaat. De exporter installeert niets: rollback betekent het proces stoppen en onvolledige uitvoer en na afloop de exporter veilig uit de werkmap verwijderen. Verwijder een .tgz-werkkopie alleen na geverifieerde conversie en volgens het incidentproces. Bewaar het forensische origineel en vereiste logboeken ongewijzigd tot het einde van hun bewaartermijn.

Optioneel uploaden naar uw eigen S3-bucket

Direct uploaden vereist Windows en een XDR- of MDR-licentie. Beperk in AWS een Managed Policy tot s3:ListBucket op arn:aws:s3:::<bucketName> en s3:PutObject op arn:aws:s3:::<bucketName>/*. Schakel Upload forensic snapshot to an AWS S3 bucket in onder Global Settings > Products and Services > Endpoint and Server > Forensic Snapshots. Gebruik AWS Account ID en AWS External ID in de Trust Policy van een aparte IAM Role voor sts:AssumeRole; sla na propagatie S3 bucket name, de optionele map en Role ARN op.

Kies de AWS-regio met aandacht voor gegevensresidentie, overdrachtslatentie en -kosten en herstelvereisten. Laat de IAM-rol vóór het opslaan in Central naar alle AWS-regio’s propageren; dit kan tot vijf minuten duren.

Een Bucket Policy en IAM Permissions Boundary beperken toegang tot de rol en bevoegde onderzoekers. Een Lifecycle-regel verwijdert onvolledige multipart-uploads en verlopen data. KMS-versleutelde buckets worden niet ondersteund; AES-256 wel en Sophos vraagt dit bij upload. Vermijd niet-ondersteunde speciale tekens en sta S3 toe in de firewall. Valideer een volledige pilotsnapshot die een bevoegde onderzoeker kan lezen en converteren, terwijl onbevoegde toegang wordt geweigerd. Verwijder daarna verouderde rollen, policies en toewijzingen.

Sophos Endpoint-detecties en Threat Graphs onderzoeken beschrijft de rest van het onderzoek.

Bestanden tenantbreed toestaan of blokkeren

Onder Global Settings > Protection and Remediation > Allow and Block > Files toont Allowed Applications de oorsprong van een uitzondering. Afhankelijk van het platform kan deze op certificaat, SHA-256 of pad berusten; certificaten en paden kunnen meerdere versies omvatten. De toepassing mag tenantbreed voor alle gebruikers draaien en wordt uitgesloten van verdere Threat Detections, maar exploit-, ransomware- en gedragcontroles blijven actief. Controleer vóór Allow leverancier, handtekening of hash, eigenaar, reden, scope en vervaldatum. Remove trekt de toestemming in; controleer daarna op een pilot dat detectie weer werkt.

Blocked Items vereist XDR en blokkeert verdachte applicaties via SHA-256 op Windows, maar geen bestanden met trusted reputation of andere objecten. Kies Add, vul SHA-256 en Reason in en kies Save. Toegestane en geblokkeerde bestandsvermeldingen delen één tenantbrede limiet van 5.000 vermeldingen; controleer vóór bulktoevoegingen de gecombineerde capaciteit van beide lijsten. Verifieer op een pilot dat de toepassing niet start en het verwachte Event verschijnt. Remove is de rollback en moet ook worden getest. Zie Sophos Fusion Endpoint-uitsluitingen veilig configureren voor andere uitzonderingen.

9. Golven vrijgeven en in beheer nemen

Leg voor elke golf vast welke apparaten deze omvat, wie de voortgang bewaakt en bij welke signalen de uitrol stopt. Geschikte stopsignalen zijn onder meer veelvuldige installatiefouten, ontbrekende agentcommunicatie, onverwachte policytoewijzingen, applicatiestoringen of een niet te verwerken aantal Alerts.

Tot het reguliere beheer behoren minimaal:

• dagelijkse verantwoordelijkheid voor kritieke Alerts en uitbraken;
• regelmatige controle van inactieve of ongezonde apparaten;
• reviews van licenties, Agent Modes en platformlifecycle;
• gecontroleerde software- en policypilots;
• controle van de vervaldatum van uitzonderingen;
• controles van proxy, Update Cache en Message Relay;
• gedocumenteerde response-, privacy- en supportroutes.

Een golf is pas compleet als de apparaten niet alleen maar zijn geïnstalleerd, maar ook technisch zijn geaccepteerd en in deze operationele processen zijn opgenomen.

Veelgestelde vragen