Sophos Central Endpoint-policies correct opbouwen

Sophos Central combineert instellingen van verschillende policytypen niet willekeurig. Voor elk type, zoals Threat Protection, Web Control of Update Management, zoekt Central van boven naar beneden en gebruikt de eerste actieve policy waarvan de doelgroep bij gebruiker of apparaat past.

Deze regel verklaart veel vermeende agentproblemen: de gewenste policy bestaat, maar een algemenere policy hoger in de lijst heeft voorrang.

Het policymodel

Voor elke functie bestaat een Base Policy. Deze staat altijd onderaan, kan niet worden verwijderd of uitgeschakeld en geldt wanneer geen specifiekere policy past.

Aanvullende policies kunnen wel worden verwijderd, maar Sophos Central kan ze niet herstellen. Exporteer of documenteer daarom vooraf de instellingen, doelgroep, prioriteit en motivering van uitzonderingen.

Aanvullende policies overschrijven voor hun doelgroep de volledige Base Policy binnen dit policytype. Instellingen uit meerdere Threat Protection-policies worden niet samengevoegd. Er geldt steeds precies de eerste passende policy van elk type.

Vuistregel: Specifieke policies bovenaan, algemene policies onderaan.

Gebruiker- of computerpolicy?

Een gebruikerspolicy volgt de gebruiker op beheerde apparaten. Een computerpolicy geldt voor het apparaat, ongeacht de aangemelde gebruiker. Niet elk policytype ondersteunt beide doeltypen.

Wanneer een gebruiker- en computerpolicy van hetzelfde type passen, bepaalt eveneens de lijstvolgorde. Het doeltype heeft geen automatische prioriteit.

Een onderhoudbare baseline

Een goed model heeft alleen operationeel gerechtvaardigde afwijkingen:

1. Base Policy: veilige standaardwaarden voor alle apparaten.
2. Pilot: kleine beheerde groep voor nieuwe instellingen en softwarefasen.
3. Production: alleen als de Base Policy niet al de productiestandaard vormt.
4. Critical systems: duidelijk gedocumenteerde uitzondering voor incompatibele of gevoelige systemen.
5. Temporary exception: tijdelijke probleemoplossing met eigenaar en einddatum.

Een policy per afdeling of apparaat veroorzaakt snel overlap. Een klein aantal begrijpelijke doelgroepen met een gedocumenteerde reden per afwijking is beter.

Nieuwe policy veilig invoeren

Kies onder My Products > Endpoint > Policies het gewenste policytype en volg daarna:

1. Doel en meetbaar resultaat bepalen.
2. Bestaande Base Policy en hogere policies vergelijken.
3. Nieuwe policy met duidelijke naam maken.
4. Alleen aan pilotgroep toewijzen.
5. Policy activeren en op juiste positie zetten.
6. Op een pilotapparaat het tabblad Policies controleren.
7. Events, alerts, gebruikerseffect en prestaties volgen.
8. Pas daarna doelgroep uitbreiden.

Een naam als TP-Pilot-HTTPS-Decrypt-2026Q3 is nuttiger dan Nieuwe Policy 2, omdat functie, doel en context zichtbaar zijn.

Volgorde met een voorbeeld

Stel dat drie Threat Protection-policies actief zijn:

Een Finance-notebook krijgt positie 1. Een ander werkplekapparaat krijgt positie 2. De Base Policy geldt alleen voor apparaten die door geen van beide policies worden geraakt.

Staat TP-All-Workstations op positie 1, dan komt de Finance-uitzondering nooit aan bod.

Effectieve policy op het apparaat controleren

Controleer de configuratie niet alleen in de policylijst:

1. Open My Environment > Computers & Servers.
2. Selecteer het apparaat.
3. Open Policies.
4. Controleer per policytype de toegepaste naam.
5. Let op het tijdstip van de laatste activiteit.

Een offline apparaat verwerkt een nieuwe toewijzing pas bij het volgende contact. Bij gebruikerspolicies moet ook de laatst aangemelde gebruiker kloppen.

Ontvangst van de policy controleren, niet alleen toewijzing

De toewijzing in Central beschrijft de gewenste toestand. Om een policy effectief te maken, moet het Management Communication System, kort MCS, op het endpoint zijn geïnstalleerd en werken. Last Active is daarvoor een nuttige indicator, maar wordt volgens Sophos hoogstens eenmaal per uur bijgewerkt.

Nieuwe policies en opdrachten zoals Update, Scan of Cleanup worden normaal binnen enkele seconden tot minuten opgehaald. In zeldzame gevallen kan dit langer dan 15 minuten duren. Een gebruikerspolicy wordt bovendien pas na de juiste koppeling van het interactief aangemelde account bijgewerkt. Tot dan kan nog de policy van de vorige gebruiker gelden.

Bij een gebruikerspolicy worden daarom drie identiteiten vergeleken:

1. het lokaal aangemelde account, bijvoorbeeld domain1\user1,
2. de koppeling van dit account aan de juiste Central-gebruiker,
3. de gebruiker die MCS Client als interactief aangemeld heeft herkend.

Endpoint Self Help toont onder Policy of de afzonderlijke componenten hun policy hebben ontvangen. Onder Windows plaatsen McsClient.log en McsAgent.log communicatie- en verwerkingsfouten in de tijd. De logpaden worden beschreven in Sophos Endpoint Windows-logs en services correct analyseren.

Policy non-compliance is componentspecifiek

Een waarschuwing voor Policy non-compliance betekent niet automatisch dat de volledige Endpoint-policy ontbreekt. De waarschuwing noemt de component die de beoogde status niet heeft bereikt. Onderzoek precies die component in Endpoint Self Help, de lokale status en het bijbehorende componentlogboek. Start het apparaat pas daarna opnieuw op en controleer opnieuw. Keert de waarschuwing terug, voer dan de componentspecifieke reparatie uit in plaats van herhaalde herstarts of een algemene herinstallatie.

Afhankelijk van de meldingsconfiguratie ontvangen beheerders dezelfde gebeurtenis ook per e-mail. Breng meerdere berichten voor hetzelfde apparaat eerst op basis van tijd, policytype en component met elkaar in verband voordat u ze als onafhankelijke incidenten behandelt.

Base Policy en Sophos-aanbevelingen

Sophos levert vooral voor Threat Protection aanbevolen basisinstellingen. De Account Health Check vergelijkt policies en apparaten met deze aanbevelingen.

Fix automatically kan aanbevolen waarden toepassen. Behandel dit als een bulkwijziging: controleer betrokken policies, volg de wijziging in Audit Log en documenteer bedrijfskritieke uitzonderingen vooraf. Een groene score is nuttig, maar niet belangrijker dan een bewust gemotiveerde en gecompenseerde uitzondering.

Tijdelijke uitzonderingen

Elke uitzondering heeft minimaal een verantwoordelijke, betrokken apparaten, technische reden, beveiligingseffect, compenserende maatregel en einddatum nodig.

Voer een uitzondering waar mogelijk in een specifieke policy uit, niet globaal. Sophos Central Endpoint-uitzonderingen veilig configureren behandelt scanuitzonderingen.

Instellingen van een policy in bypass mode bekijken

In Policy bypass mode verbergt Sophos Central de policy-instellingen. Dat is normaal. Controleer voor een zuivere inspectie eerst dat er geen apparaten of gebruikers aan de policy zijn toegewezen. Schakel daarna Policy is Active in zonder de wijziging op te slaan. De velden worden zichtbaar terwijl de opgeslagen bypassstatus behouden blijft.

Verlaat de pagina vervolgens zonder op te slaan. Activeer een toegewezen bypasspolicy voor deze inspectie niet tijdelijk, want bij per ongeluk opslaan kunnen de instellingen opnieuw worden afgedwongen.

Typische fouten

Juiste policy bestaat, maar wordt niet toegepast

Controleer volgorde, doelgroep, actieve status en einddatum, gevolgd door de effectieve policy in het apparaatobject. Een handmatige agentupdate corrigeert geen verkeerde prioriteit.

Eén schakelaar lijkt te worden genegeerd

Een policy wordt als geheel gekozen. De schakelaar kan uit een andere, hoger geplaatste policy komen. Ook Partner- of Enterprise-instellingen kunnen opties vergrendelen.

Gebruikers krijgen op dezelfde computer verschillende regels

Dit kan bij gebruikerspolicies bedoeld zijn. Voor gedeelde of onbeheerde systemen is een computerpolicy meestal voorspelbaarder.

Na een wijziging ontstaan veel alerts

Stop de uitrol, herstel de pilotomvang en controleer alerttype en platform. Verzwak de policy niet globaal voordat de werkelijke incompatibiliteit bekend is.

Veelgestelde vragen