Sophos Fusion Intercept X installeren (Windows)

Sophos Fusion (voorheen Sophos Central) installeert op Windows niet langer een geïsoleerd onderdeel met de naam “Intercept X” volgens het oude componentenmodel. De gekozen Agent Mode is doorslaggevend: Endpoint, XDR of XDR Sensor. Deze keuze bepaalt of de computer volledige Sophos-bescherming krijgt of alleen telemetrie voor XDR levert.

Volg voor het volledige platformoverstijgende traject, inclusief planning, vereisten en uitrolvolgorde, het onboardingstraject voor Sophos Endpoint.

Voor de meeste productieve Windows-clients waarop Sophos de primaire bescherming biedt, past Endpoint of XDR. XDR Sensor is een bijzonder geval voor apparaten waarop een product van een derde partij de eigenlijke bescherming verzorgt.

⚠️ XDR Sensor is geen antivirus: Sophos documenteert uitdrukkelijk dat xdrsensor bedreigingen detecteert en gegevens levert, maar zelf niet tegen bedreigingen beschermt. Op dit apparaat moet een geschikt beveiligingsproduct van een derde partij actief zijn. Deze modus mag niet per ongeluk als volledige Endpoint Protection worden uitgerold.

Korte route voor een veilige pilotinstallatie

1. Licentie, gewenste functies en doelgroep in Sophos Fusion controleren.
2. Beslissen of Endpoint, XDR of XDR Sensor moet worden geïnstalleerd.
3. Een volledig bijgewerkte, ondersteunde Windows-pilot met lokale beheerderstoegang kiezen.
4. Bestaande beveiligingssoftware en de geplande co-existentie of migratie bepalen.
5. Onder My Environment > Installers de juiste Windows-installer downloaden.
6. De installer alleen intern en gecontroleerd op het pilotapparaat uitvoeren.
7. Lokale beveiligingsstatus, geïnstalleerde componenten en updatestatus controleren.
8. Apparaat, Agent Mode, groep, policy en Health in Sophos Fusion controleren.

Pas wanneer de positieve test, policytoewijzing en Agent Mode correct zijn, volgt de bredere rollout.

Endpoint, XDR en XDR Sensor onderscheiden

De huidige Sophos-installerlogica gebruikt deze productwaarden:

• endpoint: installeert antimalwarebescherming, maar geen XDR-functies.
• xdr: installeert de XDR-functies en de volledige bescherming van endpoint.
• xdrsensor: installeert XDR-detectie zonder antimalwarebescherming. Een product van een derde partij moet het apparaat beschermen.

Voor xdr is geen extra keuze voor endpoint nodig. De XDR-variant bevat de Endpoint-bescherming al. Welke opties in Central zichtbaar zijn, hangt af van licentie en tenant.

De Download Complete Windows Installer bevat alle Endpoint-producten die door de bestaande licentie worden gedekt. Bij een passende licentie kan dit ook Device Encryption omvatten. Wie de omvang moet beperken, gebruikt Choose Components en controleert vóór het downloaden de werkelijk weergegeven productkeuze.

De actuele Sophos-documentatie over Endpoint-installers is leidend voor de opties die in de eigen tenant zichtbaar zijn. Reeds geïnstalleerde functies worden niet onderhouden door herhaald een willekeurige oude component-installer uit te voeren. De gecontroleerde procedure voor toevoegen of verwijderen staat in Sophos Fusion Endpoint-functies beheren.

Vereisten vóór het downloaden

Vóór de installatie moeten deze punten zijn vervuld:

• Het Windows-besturingssysteem wordt momenteel ondersteund en is volledig bijgewerkt.
• Er is een lokaal of beheerd beheerderaccount beschikbaar voor de installatie.
• De vereiste Endpoint-, XDR- of MDR-licentie is in de tenant aanwezig.
• Het apparaat bereikt Sophos Fusion via DNS en HTTPS of via een gedocumenteerde proxy.
• Een bestaand antivirusproduct van een derde partij en het migratie- of co-existentiepad zijn bepaald.
• Doelgroep, policies en verantwoordelijke persoon voor de pilot zijn vastgelegd.
• Een herstart en korte onderbreking passen binnen het afgesproken onderhoudsvenster.

Een vaste lijst met Windows-versies in het installatie-runbook veroudert snel. Controleer daarom vóór elke nieuwe rollout het actuele ondersteunde platform in de Sophos-vereisten. Een historische vermelding zoals Windows 7+ is geen geldig vrijgavecriterium meer.

Bestaande antivirussoftware correct behandelen

Alleen voor XDR Sensor bevestigt Sophos uitdrukkelijk gebruik naast bescherming van een derde partij. Voor een volledige installatie met endpoint of xdr bestaat geen algemene toezegging voor co-existentie met willekeurige beveiligingsproducten.

De Windows-installer kan gedetecteerde concurrerende producten verwijderen. De optie --nocompetitorremoval schakelt deze poging uit, maar maakt een onbekende productcombinatie niet automatisch compatibel. Gebruik deze optie daarom niet als algemene workaround. Documenteer vóór de rollout product, versie, zelfbescherming, herstartvereisten en terugvalpad van de bestaande antivirussoftware.

Netwerk en proxy voorbereiden

De netwerkfirewall, proxies en beperkende egressregels moeten voldoen aan de netwerk- en proxyvereisten voor Sophos Endpoint, waaronder uitgaand TCP 443 en DNS 53. Controleer de vereisten vóór elke uitrol opnieuw; een vaste beperkte domeinlijst uit een oud firewallobject is niet voldoende.

Brede land- of regioblokkades kunnen cloud-endpoints onverwacht raken. Een geslaagde download van het kleine setupbestand bewijst bovendien nog niet dat registratie, componentdownload en latere updates werken.

Installer in Sophos Fusion downloaden

Na aanmelding bij Sophos Fusion Admin bevindt de huidige ingang zich onder:

My Environment > Installers

Onder Endpoint zijn er twee gebruikelijke opties:

1. Download Complete Windows Installer downloadt de volledige, licentieafhankelijke installer.
2. Choose Components maakt een installer voor een bewust beperkte productkeuze.

Voor XDR Sensor gebruikt men de daarvoor aangewezen installer of de gedocumenteerde productwaarde xdrsensor. De modus wordt niet alleen uit de marketingnaam van de licentie afgeleid, maar gecontroleerd aan de hand van de keuze die de tenant aanbiedt.

De installer is aan de tenant gekoppeld en wordt vertrouwelijk behandeld. Wie hem ontvangt, krijgt geen toegang tot Sophos Fusion, maar kan wel nieuwe apparaten in de tenant registreren. Verwijder kopieën na de rollout uit algemeen toegankelijke shares, tickets en downloadmappen.

Als een installer ongecontroleerd is verspreid, kan men onder My Environment > Installers met Expire Previously Downloaded Installers oude installers ongeldig maken. Deze actie kan niet ongedaan worden gemaakt en hoort daarom in een gedocumenteerde change.

Handmatig op het pilotapparaat installeren

Deze handleiding is de leidende procedure voor een handmatige, interactieve Windows-installatie. Wie via een oudere handleiding met de namen Endpoint Standard of Endpoint Advanced hier terechtkomt, kan eerst de koppeling van de vroegere productnamen raadplegen en daarna terugkeren naar deze actuele installatieprocedure.

Sophos schrijft in de actuele handmatige procedure uitdrukkelijk voor User Account Control (UAC) tijdelijk uit te schakelen. Noteer vóór de wijziging de bedrijfsinstelling. Schakel UAC alleen tijdens het onderhoudsvenster op het pilotapparaat uit en verlaag de instelling niet via een brede Group Policy. Als het beveiligingsbeleid deze wijziging verbiedt, stop dan de installatie en spreek met het beveiligingsteam een goedgekeurde uitrolmethode af.

1. De installer uit de juiste Sophos Fusion-tenant naar het pilotapparaat kopiëren.
2. Het bestand met beheerdersrechten starten.
3. Precheck-waarschuwingen lezen en niet blind negeren.
4. De weergegeven producten vergelijken met de geplande Agent Mode.
5. De installatie voltooien en een vereiste herstart uitvoeren.
6. User Account Control (UAC) onmiddellijk terugzetten naar de genoteerde bedrijfsinstelling.
7. Na de herstart wachten tot registratie, componenten en eerste updates zijn voltooid.

De volledige installer downloadt actuele componenten uit Sophos Fusion. Een oud lokaal opgeslagen setupbestand is daarom geen vervanging voor werkende cloudcommunicatie.

Door Sophos aangemaakte lokale Windows-groepen niet verwijderen

De Windows-agent maakt de lokale groepen SophosUser, SophosPowerUser en Sophos Administrator aan. Sophos Anti-Virus gebruikt deze groepen voor de lokale rechtentoewijzing. Verwijder ze daarom niet via hardening, een cleanupscript of groepsbeleid.

Wanneer een van deze groepen ontbreekt, mag deze niet haastig met willekeurige leden handmatig worden herbouwd. Controleer eerst installer- en Endpoint-logs, agentstatus en het tijdstip van verwijdering. Voer daarna een gecontroleerde reparatie of herinstallatie uit volgens de gedocumenteerde Sophos-procedure. Zo wordt voorkomen dat een vermeende opschoning de lokale Sophos-rechten verder wijzigt.

Pilot via de commandoregel installeren

Voor een beheerde pilotgroep kan de huidige Windows-installer ook onbeheerd worden gestart. Dit voorbeeld installeert Endpoint-bescherming plus XDR en wijst het apparaat toe aan een pilotgroep:

SophosSetup.exe --products=xdr --devicegroup="Windows Clients\Pilot" --quiet

De waarden zijn omgevingsafhankelijk:

• xdr wordt vervangen door endpoint wanneer alleen Endpoint Protection is gepland.
• xdrsensor wordt uitsluitend gebruikt wanneer een product van een derde partij de bescherming verzorgt.
• Windows Clients\Pilot wordt vervangen door de werkelijke apparaat- en subgroep.
• --quiet verbergt de interface, maar is geen bewijs van succes.

De officiële opties voor de Windows-installer documenteren ook proxy, Message Relay, tags en andere deploymentwaarden. Opdrachten met tenanttoken, proxywachtwoord of interne servernamen horen niet in tickets of algemeen leesbare scriptrepositories.

Het bovenstaande voorbeeld volstaat om de modus op een pilot te kiezen. Gebruik voor softwaredistributie, parametercombinaties, processtatus, proxy, Message Relay en rolloutgolven Sophos Endpoint automatisch op Windows uitrollen.

--registeronly is geen normale installatieschakelaar. Hij is bedoeld voor de gecontroleerde herregistratie van een reeds beschermd apparaat, bijvoorbeeld bij een tenantwissel, en vereist onder meer uitgeschakelde Tamper Protection. Dit bijzondere geval wordt niet als standaardinstallatie gebruikt.

Installatie correct accepteren

Een voltooide setup-interface is niet voldoende. Lokale en Central-succescriteria worden afzonderlijk gecontroleerd.

Op het Windows-apparaat

1. Sophos Endpoint openen via het schildpictogram.
2. Op de statuspagina de groene status Your device is protected controleren.
3. Onder About controleren welke componenten zijn geïnstalleerd en of ze actueel zijn.
4. Bij ontbrekende of foutieve componenten Open Endpoint Self-Help Tool gebruiken voor de eerste diagnose.
5. Controleren dat de geplande bescherming van een derde partij alleen in de modus XDR Sensor actief blijft.

In Sophos Fusion

1. Onder My Environment > Computers & Servers controleren of het apparaat verschijnt.
2. Agent Mode, status, Tamper Protection en laatste activiteit controleren.
3. Verwachte groep en policytoewijzing controleren.
4. Controleren dat Endpoint, XDR of XDR Sensor overeenkomt met het plan.
5. Alerts en openstaande herstartvereisten controleren.

Een groene lokale status bewijst nog niet dat de juiste groep of policy is toegewezen. Omgekeerd bewijst een apparaatrecord in Central niet dat alle componenten zijn geïnstalleerd, actueel en foutvrij zijn.

Fouten systematisch afbakenen

De onderstaande controles helpen bij de eerste afbakening. Ga voor logfasen, foutmeldingen, een veilige nieuwe poging en supportgegevens verder met Een mislukte Sophos Endpoint-installatie systematisch oplossen, in plaats van hier parallelle reparatierecepten te gebruiken.

Apparaat verschijnt niet in Sophos Fusion

Controleer eerst of de installer werkelijk uit de juiste tenant komt. Daarna volgen DNS, HTTPS, proxy, systeemtijd en de benodigde Sophos-domeinen.

Het belangrijkste installerpad is:

C:\ProgramData\Sophos\CloudInstaller\Logs\SophosCloudInstaller.log

In het log tonen regels met Opening connection to welke registratie- en beheerdoelen de installer daadwerkelijk gebruikt. Vergelijk deze doelen met de egressregel en proxy. Eén bereikbare host bewijst niet dat het hele installatiepad werkt.

Verkeerde Agent Mode of ontbrekende functies

Onder My Environment > Computers & Servers kan men filteren op Agent mode status. Als Central Product unassigned of Upgrade available toont, worden de betrokken apparaten via Manage Software gecontroleerd naar de bedoelde modus gebracht.

Een wijziging wordt niet onmiddellijk afgedwongen door het apparaat te verwijderen en opnieuw te installeren. Nadat Sophos Fusion de wijziging op het online apparaat heeft toegepast, worden de lokale componentstatus en Central opnieuw gecontroleerd.

Installatie stopt bij bestaande beveiligingssoftware

Schakel dan niet algemeen de zelfbescherming van beide producten uit. Eerst moet duidelijk zijn of volledige Sophos-bescherming of alleen XDR Sensor gewenst is. Voor de volledige modus worden de officieel ondersteunde migratie, noodzakelijke herstarts en achtergebleven drivers van het vorige product gecontroleerd.

Installatie is lokaal groen, maar Central blijft rood

In dat geval kloppen vaak policytoewijzing, openstaande updates, herstart, Health-gegevens of Agent Mode nog niet. Beoordeel lokale status, laatste activiteit, alerttekst en de Agent Mode-kolom samen. De installer opnieuw starten zonder deze afbakening kan extra symptomen veroorzaken.

Veilige werking na de rollout

• Installer alleen voor de vereiste periode en ontvangers beschikbaar stellen.
• Pilotgroep volledig accepteren vóór brede distributie.
• Agent Mode en licentie na productwijzigingen opnieuw controleren.
• Policies niet alleen via de Default Policy beheren wanneer verschillende apparaatgroepen andere vereisten hebben.
• Tamper Protection en de-installatie als afzonderlijke lifecycle-stap documenteren.
• Oude of verloren installers indien nodig gericht ongeldig maken.
• Apparaten pas na gecontroleerde de-installatie en inventariscontrole uit Central verwijderen.

Voor de normale installatie van Windows Endpoint zonder de specifieke XDR-vraag past ook Sophos Fusion Endpoint op Windows installeren. Het achteraf installeren of verwijderen van gelicentieerde componenten wordt uitgelegd in Sophos Fusion Endpoint-functies beheren. Voor een geplande verwijdering zijn Endpoint op Windows verwijderen en het bijzondere geval verwijderen met Tamper Protection beschikbaar.

Checklist

• Agent Mode Endpoint, XDR of XDR Sensor bewust gekozen.
• Bescherming van een derde partij en co-existentie of migratie bepaald.
• Ondersteunde, bijgewerkte Windows-versie en beheerderstoegang bevestigd.
• Tenant, licentie, pilotgroep en policies gedocumenteerd.
• Netwerk, proxy, DNS en HTTPS-pad gecontroleerd.
• Tenantgebonden installer vertrouwelijk verspreid.
• Lokale beveiligingsstatus, componenten en updates gecontroleerd.
• Apparaat, groep, policy, Agent Mode en Health in Central gecontroleerd.
• Herstart en alerts afgerond.
• Installer-kopieën opgeruimd of bij verlies ongeldig gemaakt.

Veelgestelde vragen