Naar de inhoud
Avanet

Sophos Central Endpoint installeren (macOS)

Sophos Endpoint

Sophos Central Endpoint beschermt een Mac pas volledig wanneer niet alleen de agent is geïnstalleerd, maar ook de door macOS vereiste extensies en privacymachtigingen zijn verleend. Deze handleiding behandelt de handmatige installatie, legt de keuze van de juiste installer uit en laat zien hoe de beveiliging daarna kan worden gecontroleerd.

Belangrijk: Een volledige Sophos Endpoint-installatie mag niet naast een ander antivirusproduct worden gebruikt. De afzonderlijke XDR Sensor vormt de uitzondering: deze is bedoeld voor gebruik naast bestaande antivirussoftware van derden, maar biedt zelf geen malwarebescherming.

Voor de installatie

Voor de download moeten de volgende voorwaarden zijn gecontroleerd:

Bij een overstap vanaf een andere endpointoplossing is het verstandig om de verwijdering daarvan eerst op enkele Macs te testen. Zo kan worden gecontroleerd of oude systeem- of netwerkextensies achterblijven en de nieuwe agent hinderen.

De juiste macOS-installer downloaden

  1. Aanmelden bij Sophos Central Admin via central.sophos.com.
  2. My Environment > Installers openen.
  3. Onder Endpoint de juiste macOS-installer selecteren.
  4. SophosInstall.zip downloaden.

Sophos Central biedt verschillende varianten:

  • Download Complete macOS Installer: Installeert de endpointproducten die door de licenties van het Central-account worden gedekt.
  • Choose Components: Maakt een installer met uitsluitend de geselecteerde onderdelen. Dit is nuttig wanneer bijvoorbeeld Device Encryption of ZTNA niet op deze Mac moet worden geïnstalleerd.
  • XDR Sensor Installers: Installeert alleen de XDR Sensor voor detectie en onderzoek naast bestaande antivirussoftware van derden. Hiervoor zijn een licentie met XDR-functionaliteit en minimaal macOS 13 Ventura vereist. Deze sensor vervangt geen antivirussoftware.

Voor een normale werkplek die volledig door Sophos wordt beveiligd, is de complete installer doorgaans de juiste keuze. Choose Components is bedoeld voor situaties waarin de gewenste productcombinatie bewust afwijkt van de beschikbare licenties.

Sophos Endpoint handmatig installeren

Vanaf macOS Monterey 12.4 moet SophosInstall.zip vóór het uitpakken vanuit Downloads, Documents of het bureaublad naar de persoonlijke thuismap worden verplaatst. Anders kan de installer de werkbestanden niet correct aanmaken en mislukt de installatie.

Een mogelijke doelmap is:

~/SophosInstall

Daarna:

  1. Het ZIP-bestand uitpakken in de doelmap.
  2. Sophos Installer.app starten.
  3. De beheerdersaanmelding bevestigen.
  4. De installatie volledig afronden.
  5. De door macOS gevraagde Sophos-extensies en -machtigingen verlenen.

De installer downloadt aanvullende onderdelen uit Sophos Central. Alleen een succesvol gestarte installatiewizard bewijst daarom nog niet dat de Mac volledig is beveiligd.

Installatie via Terminal

Voor een installatie zonder gebruikersinteractie van Sophos Anti-Virus en Intercept X kan de uitgepakte installer via Terminal worden uitgevoerd:

cd ~/SophosInstall
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --quiet

--products antivirus intercept bepaalt welke beveiligingsonderdelen worden geïnstalleerd. --quiet verbergt het installatiedialoogvenster, maar vervangt de vereiste macOS-machtigingen niet. Voor een uitrol moeten productnamen en opties eerst met een actuele installer op een testapparaat worden gecontroleerd.

Wanneer de Mac tijdens de installatie direct aan een Central-apparaatgroep moet worden toegewezen, kan die groep worden meegegeven:

sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --devicegroup Firma\\Macs \
  --quiet

In dit voorbeeld is Firma\Macs een bestaande Central-subgroep. De dubbele backslash zorgt ervoor dat de shell het groepspad correct aan de installer doorgeeft.

Wanneer macOS de installer blokkeert

Eerst kan worden gecontroleerd of macOS de installer van een quarantaineattribuut heeft voorzien:

xattr ~/SophosInstall/Sophos\ Installer.app

Wanneer com.apple.quarantine wordt weergegeven en het bestand aantoonbaar rechtstreeks uit het eigen Sophos Central-account komt, kan dit attribuut uitsluitend voor de Sophos-installer worden verwijderd:

sudo xattr -r -d com.apple.quarantine \
  ~/SophosInstall/Sophos\ Installer.app

Hiermee wordt Gatekeeper niet globaal uitgeschakeld. Bij een installer uit een onbekende bron mag het attribuut niet zomaar worden verwijderd.

macOS-machtigingen verlenen

Afhankelijk van de productomvang heeft Sophos een Security Extension, een Network Extension, toestemming voor de proxy en Full Disk Access nodig. Als een van deze machtigingen ontbreekt, kan de agent geïnstalleerd en zichtbaar zijn in Central terwijl afzonderlijke beveiligingsfuncties toch niet werken.

De precieze weergave verschilt per macOS-versie:

  • macOS 14 en ouder: De Sophos-systeemextensies worden toegestaan onder Privacy & Security.
  • macOS 15: System Settings > General > Login Items & Extensions openen. Onder Endpoint Security Extensions de Sophos Detection.app en onder Network Extensions de Sophos Network Extension.app activeren.
  • macOS 26: Activeer op dezelfde plaats onder By App de Security Extension van Sophos Detection en de Network Extension van Sophos Network Extension.

Nadat de Network Extension is geactiveerd, vraagt macOS of Sophos Network Extension als netwerkproxy mag worden toegestaan. Dit dialoogvenster moet met Allow worden bevestigd, zodat scan- en webbeveiliging volledig werken.

Full Disk Access kan het betrouwbaarst via Sophos Endpoint worden gecontroleerd en verleend:

Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites

Onder Prerequisites toont Sophos welke machtiging ontbreekt en opent de juiste macOS-instelling. De vereiste vermeldingen kunnen veranderen met de agent en het licentieniveau. Daarom is deze controle betrouwbaarder dan een statische lijst.

Installatie en beveiliging controleren

Na de installatie moeten drie niveaus worden gecontroleerd:

  1. Lokaal: Onder Endpoint Self Help > Prerequisites ontbreken geen machtigingen.
  2. Sophos Central: Onder My Environment > Computers & Servers wordt de Mac weergegeven met actuele Central-communicatie en zonder rode Health-status.
  3. Beveiligingsomvang: Op de detailpagina van het apparaat zijn de verwachte producten en beleidsregels actief.

Een apparaat mag niet voortijdig uit Sophos Central worden verwijderd. Het verwijderen van het Central-object verwijdert de agent niet, maar kan de normale toegang tot het apparaatspecifieke wachtwoord voor Tamper Protection bemoeilijken. Schakel daarom eerst Tamper Protection gecontroleerd uit en verwijder daarna de agent.

Sophos Central registreert aangemelde gebruikers doorgaans automatisch. Een handmatige gebruikers- of licentietoewijzing is vooral nodig wanneer verschillende lokale aanmeldnamen dubbele gebruikersobjecten hebben gemaakt.

Functies die later worden geïnstalleerd, kunnen afzonderlijk worden beheerd. Het artikel Sophos Endpoint-functies installeren of verwijderen legt dit proces uit.

Meerdere Macs via MDM uitrollen

Bij meerdere Macs mogen de machtigingen niet op elk apparaat handmatig hoeven te worden bevestigd. Onder My Environment > Installers is bij Deployment Tools het pakket SophosMacDeploymentTools.zip beschikbaar. Het bevat MDM-profielen en installatiescripts voor Sophos Endpoint en voor Sophos Endpoint met ZTNA.

De volgorde is belangrijk:

  1. Het juiste profiel voor de productcombinatie en macOS-versie selecteren.
  2. Het MDM-profiel eerst naar de testapparaten distribueren.
  3. Controleren of het profiel is geïnstalleerd.
  4. Daarna de installer of het meegeleverde installatiescript uitvoeren.
  5. Het MDM-beleid en Endpoint Self Help > Prerequisites controleren.

Sophos beschrijft deze procedure voor Jamf Pro. De profielen en scripts kunnen in principe ook met andere MDM-oplossingen worden gebruikt, maar moeten daar binnen het eigen test- en goedkeuringsproces worden gecontroleerd.

Typische installatieproblemen

De Mac verschijnt niet in Sophos Central

Controleer de internetverbinding, DNS, systeemtijd en proxy. Bij beperkt uitgaand verkeer moeten de actuele Sophos-domeinen bereikbaar zijn. Controleer ook of de installer daadwerkelijk uit het juiste Central-account komt.

De agent is geïnstalleerd, maar de status blijft rood

Controleer onder Endpoint Self Help > Prerequisites of systeem-, netwerk- of privacymachtigingen ontbreken. Op macOS 14 en 15 kan met name ontbrekende Full Disk Access voor SophosUpdater updatefouten veroorzaken.

Het relevante log kan als volgt worden doorzocht:

sudo log show \
  --predicate "subsystem == 'com.sophos.macendpoint'" \
  --last 1d |
grep -i 'Error renaming Installer directory'

Een treffer betekent dat SophosUpdater de installermap niet kon hernoemen. Distribueer in dat geval het actuele MDM-profiel of geef /Library/Sophos Anti-Virus/SophosUpdater.app Full Disk Access.

Er is al andere antivirussoftware geïnstalleerd

Voor volledige Sophos-beveiliging moet de bestaande antivirussoftware gecontroleerd worden gemigreerd en verwijderd. Als de bestaande beveiliging bewust behouden blijft, is alleen de afzonderlijke XDR Sensor voor deze combinatie bedoeld. Omdat deze geen eigen malwarebescherming biedt, moet de antivirussoftware van derden actief en gezond blijven.