Sophos Endpoint-scans plannen en problemen oplossen

Real-time Scanning blijft de belangrijkste doorlopende controle: bestanden worden gecontroleerd wanneer ze worden geopend of gewijzigd. Een geplande of handmatig gestarte scan onderzoekt gegevens die al aanwezig zijn. Dit is vooral nuttig voor oude, zelden gebruikte bestanden en voor gericht beveiligingsonderzoek. Elke dag alle apparaten volledig scannen vervangt realtimebeveiliging niet en kan onnodige belasting veroorzaken.

Er zijn twee verschillende werkwijzen. Scheduled Scanning configureer je blijvend in een Threat Protection Policy; Scan stuurt een eenmalige opdracht naar één computer. Bij de actie in Fusion kun je niet kiezen uit Quick Scan, Full Scan, map of station. Heb je in Windows een exact bereik of machineleesbare resultaten nodig, gebruik dan de Sophos Endpoint Scan CLI zonder de CLI-details hier te herhalen.

Controleer de vereisten

• De computer is zichtbaar onder My Environment > Computers & Servers en de Sophos Endpoint-agent communiceert met Fusion. Een oude waarde bij Last active wijst eerst op een communicatieprobleem, niet op een scanprobleem.
• Voor een planning is een ingeschakelde Threat Protection Policy nodig die op de bedoelde computergroep van toepassing is. Controleer zo nodig toewijzing en prioriteit met de handleiding voor Sophos Fusion Endpoint-policies.
• De planning gebruikt de lokale tijd van de endpointcomputer, niet UTC of de tijdzone van de beheerder.
• Scheduled Scanning wordt alleen uitgevoerd als de computer op het geplande tijdstip online is. Een gemiste uitvoering wordt niet ingehaald. Een on-demand scan die in Fusion wordt aangevraagd terwijl de computer offline is, start daarentegen zodra deze weer online komt.
• De centrale actie Scan is niet beschikbaar op apparaten met Sophos XDR Sensor.

Scheduled Scanning in de policy configureren

Het exacte huidige Engelstalige pad in Fusion is My Products > Endpoint > Policies.

1. Maak een Threat Protection policy of open een bestaande policy voor de pilotgroep.
2. Open Settings en controleer of de policy is ingeschakeld.
3. Zoek Scheduled Scanning en schakel Enable scheduled scan in.
4. Selecteer de tijd en één of meer dagen. Kies een moment waarop de pilotapparaten waarschijnlijk aanstaan maar niet zwaar worden gebruikt.
5. Schakel Enable deep scanning alleen in voor een duidelijk doel. Deze optie neemt archieven mee in geplande scans en kan scans aanzienlijk vertragen en de systeembelasting verhogen.
6. Sla de policy op en bevestig dat deze aan de bedoelde pilotgroep is toegewezen.

Sophos geeft aan dat Scheduled Scanning mogelijk niet nodig is als Real-time Scanning is ingeschakeld. Begin daarom bij het doel, niet bij het agressiefste schema: zelden gebruikte oude gegevens controleren, een onderzoek ondersteunen of voldoen aan een interne controle-eis. Background scanning is alleen beschikbaar op Windows-computers; baseer een planning voor Macs niet op deze Windows-functie.

Eén computer vanuit Fusion scannen

Voor een eenmalige beheeropdracht is het huidige pad:

1. Open My Environment > Computers & Servers.
2. Klik op de computernaam en open Summary.
3. Klik bovenaan direct op Scan.

Je kunt de computer ook bereiken via My Products > Endpoint > Computers. Als het apparaat offline is, blijft de opdracht wachten totdat het weer online is. Als er al een scan loopt, negeert de endpoint de nieuwe opdracht en gaat de eerdere scan door. Herhaald klikken bouwt dus geen wachtrij met extra scans op.

Deze actie is geschikt voor een snelle centrale controle van een bepaald apparaat. Gebruik voor een specifieke map of schijf, automatisering of gestructureerde exitcodes de afzonderlijke CLI-handleiding.

Voer eerst een pilot uit

Een bruikbare pilotgroep bevat niet alleen snelle standaardlaptops. Neem ook een apparaat op dat vaak offline is, een computer met veel gegevens en waar relevant een ontwikkel- of buildwerkstation. Zo worden gemiste momenten en merkbare belasting zichtbaar voordat de policy breed wordt toegewezen.

1. Leg doel, doelgroep, dagen en lokale starttijd vast.
2. Begin zonder Enable deep scanning, tenzij archieven expliciet binnen het bereik vallen.
3. Observeer ten minste één volledige geplande uitvoering en één bewust gemist tijdstip.
4. Vergelijk gebruikersimpact, duur en events. Wijzig steeds maar één variabele.
5. Breid de toewijzing pas uit wanneer aan de acceptatiecriteria is voldaan.

Een gemiste Scheduled Scan is geen reden om beveiligingsopties wereldwijd uit te schakelen. Voor mobiele apparaten is een realistischer tijdstip of extra weekdag meestal beter. Sophos adviseert daluren om de impact op de systeembelasting te beperken.

Valideer het resultaat in Fusion

Open Reports > Logs > General logs > Events. Na een vanuit Fusion aangevraagde scan hoort daar een event Scan completed te verschijnen. Geslaagde cleanup-events staan eveneens in het eventlog; alerts voor mislukte cleanup vind je onder My Environment > Alerts.

Controleer voor een geplande scan binnen dezelfde periode:

• of het apparaat op de lokale geplande tijd online was;
• of de verwachte Threat Protection Policy effectief was;
• of er een voltooiings-, detectie-, cleanup- of gemiste-scan-event is;
• of de endpoint daarna nog gezonde beveiliging en recent contact met Fusion meldt.

Een voltooiing zonder detectie betekent dat deze scan is afgerond. Dit bewijst niet dat ontoegankelijke of versleutelde inhoud is gescand en sluit op zichzelf geen incident af. Effectieve Scanning Exclusions blijven van toepassing en moeten tijdens een onderzoek afzonderlijk worden beoordeeld.

Problemen per symptoom oplossen

De geplande scan is niet uitgevoerd

Controleer eerst Last active en vergelijk de lokale tijd van de computer met de tijd onder Scheduled Scanning. Was het apparaat offline, dan is een event voor een gemiste scan de verwachte verklaring; de scan start niet alsnog wanneer het apparaat later aangaat. Was het apparaat online, controleer dan of de policy was ingeschakeld, aan het apparaat was toegewezen en al door de endpoint was ontvangen. Pas daarna wijzig je de planning of policy.

Scan lijkt niets te doen

Een offline computer wacht op de volgende verbinding. Als er al een scan loopt, wordt de nieuwe opdracht genegeerd. Controleer Last active, het tijdstip van het event en een eventueel eerder gestarte scan voordat je de opdracht opnieuw verstuurt. Ontbreekt Scan volledig, controleer dan of de computer Sophos XDR Sensor gebruikt.

De scan duurt ongewoon lang

Controleer of Enable deep scanning aanstaat en of de gegevens grote archieven bevatten. Vergelijk de uitvoering met systeembelasting en opslagactiviteit in dezelfde periode en verplaats deze zo nodig naar een rustiger lokaal tijdstip. Wijzig per keer één pilotinstelling. Een organisatiebrede uitzondering of zwakkere beveiliging is geen goede reactie op één traag apparaat.

Er wordt een dreiging gevonden of cleanup mislukt

Open het event en de alert voordat je het gedetecteerde bestand uitsluit. Volg bij een detectie het Threat Cleanup-runbook. Een uitzondering is alleen passend na bevestiging van een false positive en met een zo klein mogelijk bereik.

Fusion is actueel, maar lokaal start geen scan

Als policy, verbinding en opdracht kloppen maar geen voltooiing verschijnt, controleer dan de lokale Health State en geïnstalleerde Core Agent-versie. Verzamel logs via Summary > More actions > Diagnose, waarmee Sophos Diagnostic Utility wordt uitgevoerd, en relateer de eerste fout aan de gevraagde starttijd. Historische File Scanner-problemen hadden onder meer versie- en Windows-machtigingsgerelateerde oorzaken. Ken daarom niet algemeen Full Control toe aan register- of GPO-ACL’s. Werk eerst de agent bij naar een actuele ondersteunde versie en wijzig ACL’s alleen volgens een actuele Sophos-KBA die bij de logsignatuur past of samen met Sophos Support.

Veelgestelde vragen