Sophos Endpoint onder Windows via CLI scannen

Voor één verdacht geval volstaat vaak de Scan in de lokale interface. In een RMM Runbook, Incident Response of voor een bepaald pad is Windows CLI nauwkeuriger. Deze wordt met Sophos Endpoint geïnstalleerd en meldt Detections ook aan Sophos Fusion (voorheen Sophos Central).

Sophos Endpoint-scans plannen en problemen oplossen behandelt planning, geplande scans, looptijdanalyse en de status van File Scanner. Dit artikel richt zich op de Windows-CLI en betrouwbare automatisering.

Pad en Help

De tool staat standaard onder:

C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe

Open PowerShell met het account waarvan de rechten voor de gerichte scan moeten gelden. De operator & start het aangehaalde programmapad en help scan toont de opties van de geïnstalleerde versie:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" help scan

De Help van de lokaal geïnstalleerde versie is bepalend. De tool hoort bij Windows Agent; dit pad geldt niet voor macOS.

Uitvoeringsmodel vóór de start

• Shell: Alle voorbeelden gebruiken PowerShell. Laat in cmd.exe de operator & weg; combineer beide syntaxisvormen niet.
• Rechten: Een scan van een bestand, map of station erft de rechten van het aanroepende account. Een scan met --system gebruikt de rechten van het lokale systeemproces.
• Plaatshouders: Vervang C:\Users\Public\Downloads, C:\IR\Evidence en D:\ door het goedgekeurde doelpad. Typ geen plaatshouders tussen punthaken letterlijk in.
• Effect: scan start de scan onmiddellijk. Zonder --noui verschijnt een voortgangsvenster; resultaten staan in Sophos Endpoint en gedetecteerde bedreigingen worden aan Sophos Fusion gemeld.
• Uitvoer: Met --noui verschijnt geen interface, worden detecties naar stdout geschreven en wacht het proces tot de scan klaar is. Bij een niet-fatale uitvoering laat --json één JSON-object op stdout achter.

System Scan uitvoeren

Een Full System Scan draait met de rechten van Local System:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --system --full --noui

Een Quick System Scan richt zich op veelgebruikte bestanden, actieve en recent uitgevoerde processen, autostarts, MBR en geheugen:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --system --quick --noui

Bij --system worden geen extra Targets opgegeven. Bestanden waarvoor Local System geen toegang heeft, zoals aan de gebruiker gebonden EFS-inhoud, kunnen ongescand blijven.

Bestand, map of drive scannen

Een gerichte scan draait met rechten van de aanroepende gebruiker:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui "C:\Users\Public\Downloads"

Een volledige drive vereist de afsluitende backslash:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui "D:\"

D: zonder backslash betekent normaal alleen de huidige map van die drive. UNC-paden worden ondersteund wanneer het account toegang heeft.

Jokertekens zijn toegestaan in map- en bestandsnamen, maar niet in stationsnamen. Vooraf uitwerken werkt alleen in het laatste padelement: C:/Test/Folder/F*le wordt uitgewerkt; C:/Test/F*lder/File niet.

Archives en uitgebreide output

Met --expand_archives worden ondersteunde archieven geopend en de inhoud gecontroleerd. Dit verhoogt runtime en I/O en wordt gericht gebruikt.

--noui onderdrukt de interface en wacht tot einde van Scan. --verbose is alleen daarmee geldig:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui --verbose --expand_archives "C:\IR\Evidence"

Zeer grote Verbose Output wordt niet ongecontroleerd in RMM Logs geschreven. Paden kunnen gebruikersnamen en gevoelige projectinformatie bevatten.

Exit Codes correct behandelen

Bij meerdere fouten retourneert het hulpmiddel de hoogste toepasselijke code. Ook bij codes 4 tot en met 7 kunnen dus bedreigingen zijn gevonden. Controleer daarnaast summary.detections en de gebeurtenissen in Sophos Fusion. Code 0 betekent een geslaagde scan zonder malware binnen het gescande bereik; uitgesloten bestanden en een niet-beschikbare Live Protection-controle vallen daar niet onder.

JSON voor automatisering

--json schrijft aan het einde een gestructureerd resultaat naar stdout. Behalve bij fatale fouten code 1 of 2 kan een script de samenvatting en, bij een gebruikersscan, de betrokken bestanden direct analyseren:

$cli = "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe"
$json = & $cli scan --noui --json "C:\Users\Public\Downloads"
$exitCode = $LASTEXITCODE

if ($json) {
    $result = $json | ConvertFrom-Json
    $result.summary
}

exit $exitCode

Bij een User Scan bevat de output onder meer doelen, detecties, scanfouten en niet-ondersteunde, ontoegankelijke, versleutelde en beschadigde bestanden. Het JSON-object van een System Scan bevat alleen type en summary; het bevat geen bestandslijsten.

Live Protection en uitzonderingen

Scans gebruiken Live Protection voor actuele informatie van SophosLabs. Zonder netwerk of met uitgeschakelde Live Protection is beoordeling minder volledig.

Een Targeted User Scan respecteert globale uitsluitingen en beleidsuitsluitingen. Een uitgesloten bestand wordt door handmatige CLI niet ineens volledig gecontroleerd. Vóór het onderzoeken van een incident worden effectieve uitzonderingen gecontroleerd. De handleiding voor Endpoint-uitzonderingen legt uit hoe u het effectieve bereik controleert.

Validatie en escalatie

Een productie-Runbook moet:

1. Controleren dat de CLI op het gedocumenteerde pad staat en met help scan de lokale opties bevestigen.
2. Bereik en maximale looptijd beperken.
3. stdout, stderr en Exit Code apart opslaan.
4. Code 3 als Detection behandelen, andere codes gedifferentieerd beoordelen.
5. Resultaat met Central Events en Health correleren.
6. Geen automatische uitzondering of verwijdering alleen op Exit Code maken.

De uitvoering is gevalideerd wanneer het proces klaar is, de afsluitcode apart is vastgelegd en de verwachte uitvoer beschikbaar is. Correleer code 3 met Sophos Fusion-gebeurtenissen en volg het runbook voor het opruimen van bedreigingen. Controleer bij codes 4 tot en met 7 de bestanden die een User Scan vermeldt. Een System Scan retourneert geen bestandslijst; bewaar en escaleer daarom de JSON- en console-uitvoer. Onderzoek codes 1 of 2 en terugkerende agentproblemen met Endpoint Self Help en SDU. Deze toestanden zijn niet allemaal malwaredetecties.

Veelgestelde vragen