Sophos Endpoint onder Windows via CLI scannen

Voor één verdacht geval volstaat vaak de Scan in de lokale interface. In een RMM Runbook, Incident Response of voor een bepaald pad is Windows CLI nauwkeuriger. Deze wordt met Sophos Endpoint geïnstalleerd en meldt Detections ook aan Sophos Fusion (voorheen Sophos Central).

Sophos Endpoint-scans plannen en problemen oplossen behandelt planning, geplande scans, looptijdanalyse en de status van File Scanner. Dit artikel richt zich op de Windows-CLI en betrouwbare automatisering.

Pad en Help

De tool staat standaard onder:

C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe

Open PowerShell met het account waarvan de rechten voor de gerichte scan moeten gelden. De operator & start het aangehaalde programmapad en help scan toont de opties van de geïnstalleerde versie:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" help scan

De Help van de lokaal geïnstalleerde versie is bepalend. De tool hoort bij Windows Agent; dit pad geldt niet voor macOS.

Uitvoeringsmodel vóór de start

Shell: Alle voorbeelden gebruiken PowerShell. Laat in cmd.exe de operator & weg; combineer beide syntaxisvormen niet.
Rechten: Een scan van een bestand, map of station erft de rechten van het aanroepende account. Een scan met --system gebruikt de rechten van het lokale systeemproces. Een verhoogde shell is geen algemene vereiste en verruimt de werkelijke accountrechten van een gebruikersscan niet.
Plaatshouders: Vervang C:\Users\Public\Downloads, C:\IR\Evidence en D:\ door het goedgekeurde doelpad. Typ geen plaatshouders tussen punthaken letterlijk in.
Effect: scan start de scan onmiddellijk. Zonder --noui verschijnt een voortgangsvenster; resultaten staan in Sophos Endpoint en gedetecteerde bedreigingen worden aan Sophos Fusion gemeld.
Uitvoer: Met --noui verschijnt geen interface, worden detecties naar stdout geschreven en wacht het proces tot de scan klaar is. Bij een niet-fatale uitvoering laat --json één JSON-object op stdout achter.

System Scan uitvoeren

Een Full System Scan draait met de rechten van Local System:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --system --full --noui

Een Quick System Scan richt zich op veelgebruikte bestanden, actieve en recent uitgevoerde processen, autostarts, MBR en geheugen:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --system --quick --noui

Bij --system worden geen extra Targets opgegeven. Bestanden waarvoor Local System geen toegang heeft, zoals User-bound EFS Content, kunnen ongescand blijven.

Bestand, map of drive scannen

Een Targeted Scan draait met rechten van de aanroepende User:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui "C:\Users\Public\Downloads"

Een volledige drive vereist de afsluitende backslash:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui "D:\"

D: zonder backslash betekent normaal alleen Current Directory van die drive. UNC Paths worden ondersteund wanneer het account toegang heeft.

Wildcards zijn mogelijk in Folder- en File Names, niet in Drive Names. Expansion in het laatste Path Element is betrouwbaarder dan een Wildcard in een Parent Folder.

Archives en uitgebreide output

Met --expand_archives worden ondersteunde Archives geopend en de inhoud gecontroleerd. Dit verhoogt runtime en I/O en wordt gericht gebruikt.

--noui onderdrukt de interface en wacht tot einde van Scan. --verbose is alleen daarmee geldig:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui --verbose --expand_archives "C:\IR\Evidence"

Zeer grote Verbose Output wordt niet ongecontroleerd in RMM Logs geschreven. Paden kunnen User Names en gevoelige Project Information bevatten.

Exit Codes correct behandelen

Code	Betekenis
`0`	Scan succesvol, geen malware gevonden
`1`	fout bij Command Processing
`2`	onverwachte fout bij starten tool
`3`	minstens één bedreiging gedetecteerd
`4`	minstens één bestand met Scan Error
`5`	minstens één encrypted file
`6`	minstens één unsupported format
`7`	minstens één inaccessible file

Bij meerdere states levert de tool de zwaarste code. Non-zero betekent dus niet automatisch malware. Omgekeerd bewijst code 0 niet dat elk bestand bereikbaar en elke Cloud Query mogelijk was.

JSON voor automatisering

--json schrijft aan het einde Structured Result naar stdout. Behalve bij Fatal Errors code 1 of 2 kan een script Summary en, bij een User Scan, de betrokken files direct analyseren:

$cli = "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe"
$json = & $cli scan --noui --json "C:\Users\Public\Downloads"
$exitCode = $LASTEXITCODE

if ($json) {
    $result = $json | ConvertFrom-Json
    $result.summary
}

exit $exitCode

Bij een User Scan bevat de output onder meer Targets, Detections, Scan Errors, unsupported, inaccessible, encrypted en damaged files. Het JSON-object van een System Scan bevat alleen type en summary; het bevat geen bestandslijsten.

Live Protection en uitzonderingen

Scans gebruiken Live Protection voor actuele SophosLabs Information. Zonder netwerk of met disabled Live Protection is beoordeling minder volledig.

Een Targeted User Scan respecteert Global en Policy Exceptions. Een excluded file wordt door handmatige CLI niet ineens volledig gecontroleerd. Vóór Incident Investigation worden effectieve uitzonderingen gecontroleerd.

Validatie en escalatie

Een productie-Runbook moet:

Controleren dat de CLI op het gedocumenteerde pad staat en met help scan de lokale opties bevestigen.
Scope en maximum runtime beperken.
stdout, stderr en Exit Code apart opslaan.
Code 3 als Detection behandelen, andere codes gedifferentieerd beoordelen.
Resultaat met Central Events en Health correleren.
Geen automatische uitzondering of verwijdering alleen op Exit Code maken.

De uitvoering is gevalideerd wanneer het proces klaar is, de afsluitcode apart is vastgelegd en de verwachte uitvoer beschikbaar is. Correleer code 3 met Sophos Fusion-gebeurtenissen en volg het runbook voor het opruimen van bedreigingen. Controleer bij codes 4 tot en met 7 de bestanden die een User Scan vermeldt. Een System Scan retourneert geen bestandslijst; bewaar en escaleer daarom de JSON- en console-uitvoer. Onderzoek codes 1 of 2 en terugkerende agentproblemen met Endpoint Self Help en SDU. Deze toestanden zijn niet allemaal malwaredetecties.

Veelgestelde vragen

Waarom vindt System Scan geen EFS-encrypted User File?

System Scan draait als Local System en heeft niet automatisch de private EFS Keys van de gebruiker. Targeted User Scan kan alleen toegankelijke bestanden controleren.

Is Exit Code 7 een Malware Detection?

Nee. Code 7 betekent dat minstens één bestand niet toegankelijk was. Oorzaak kan Permission, Lock of unreachable path zijn en moet apart worden gecontroleerd.