Sophos Endpoint lokaal bedienen en beveiligingsstatus controleren
Sophos Fusion (voorheen Sophos Central) toont de centrale gewenste toestand. De lokale Sophos Endpoint-interface toont wat op een concrete computer werkelijk is geïnstalleerd, of componenten werken en welke Events direct op dit apparaat zijn opgetreden. Een goede diagnose vereist beide perspectieven.
Dit artikel behandelt de lokale Agent op Windows en macOS. Sophos Firewall, Sophos Mobile en Server Protection zijn afzonderlijke producten.
Interface en beveiligingsstatus openen
Onder Windows wordt Sophos Endpoint via het Sophos-icoon in het systeemvak of Start Menu geopend. Op een Mac wordt het Sophos-icoon in de Menu Bar gebruikt.
De startpagina toont Security Status. Groen betekent geen Alerts of alleen Alerts met lage prioriteit, geel ten minste één Alert met gemiddelde prioriteit, rood ten minste één Alert met hoge prioriteit en grijs een onbekende status. Ook groen bewijst niet dat het apparaat de juiste Sophos Fusion Policy of actuele Software Level heeft ontvangen. Dit wordt ook onder My Environment > Computers & Servers gecontroleerd.
Geïnstalleerde functies controleren
Via About of Product Details zijn geïnstalleerde Components en Versions zichtbaar. Dit is belangrijk wanneer Sophos Fusion een Agent Mode als Endpoint, XDR of XDR Sensor toont, maar lokaal verwachte Modules ontbreken.
Open in Windows het Sophos-pictogram in het systeemvak en kies rechtsonder About. Gebruik in macOS het Sophos-pictogram in de menubalk en kies Sophos Endpoint > About. Componenten kunnen verschillende versienummers hebben; noteer voor een vergelijking met support daarom de relevante componentversies en niet slechts één veronderstelde totaalversie.
XDR Sensor levert telemetrie, maar bevat geen volledige malwarebescherming. In deze modus moet een apart beveiligingsproduct aanwezig en gezond zijn.
Lokale instellingen begrijpen
De pagina Settings toont de gebruikte beveiligingsonderdelen. Afhankelijk van platform en licentie zijn dat onder meer:
- Deep Learning en Real-time Scanning,
- Web, Application en Peripheral Control,
- Runtime Protection en Exploit Prevention,
- Adaptive Attack Protection,
- lokale Computer Controls.
Normaal worden deze waarden door Sophos Fusion bepaald. Klik voor lokale diagnose in Windows op Admin sign-in of op Mac op Admin login, voer het Tamper Protection-wachtwoord in en schakel onder Settings Override Sophos Central Policy for up to 4 hours to troubleshoot in. Lokale wijzigingen overschrijven de Sophos Fusion Policy maximaal vier uur en worden daarna automatisch teruggezet. De volledige Override kan eerder worden beëindigd, maar afzonderlijke schuifregelaars kunnen niet apart worden hersteld.
Operationele regel: de Override is een tijdelijke test. De duurzame correctie gebeurt in de effectieve Policy en wordt daarna op het apparaat geverifieerd.
Events en Detections
Onder Events toont de Agent lokale beveiligings- en beheergebeurtenissen. De lijst kan op Event Type en periode worden gefilterd. Dit helpt wanneer Sophos Fusion slechts een samengevatte Alert toont of een gebruiker het exacte blokkeertijdstip meldt.
Detections toont gedetecteerde verdachte activiteiten en verloop. Niet elke Detection is bevestigde malware. Proces, pad, gebruiker, tijdstip, Parent Process en mogelijke vervolgactiviteit worden beoordeeld. Uitgebreid XDR-onderzoek gebeurt daarna in Threat Analysis Center.
Lokaal beschikbare acties
Een actielink verschijnt alleen bij een Event dat een actie vereist en na lokale Admin-aanmelding. Sophos beschrijft dit als dezelfde acties die in Sophos Fusion Admin beschikbaar zijn. Ontbreekt de link, controleer dan eerst Event-status, Admin-aanmelding, platform, licentie en geïnstalleerd component. Lokale opschoning vervangt geen Incident Investigation of duurzame correctie van Policy of toepassing.
Sophos Fusion toont Events maar lokale Agent niet
Ontbreekt lokaal een verwacht Event, zet dan eerst het filter terug op All Events en zoek op bron of Detection Type. Vergelijk daarna tijdstip en apparaat met Sophos Fusion. Verwijder lokale gegevensopslag of beschermde Agent-bestanden niet op goed geluk. Verzamel een SDU en analyseer de Windows-logs met de gekoppelde diagnosehandleiding als het verschil blijft bestaan.
Update handmatig starten
Onder About > Update Now vraagt de Agent actuele Threat Data aan. Dit helpt bij tijdelijk verouderde apparaten, maar omzeilt geen geblokkeerde verbinding, verkeerde Proxy of verlopen licentie. Omdat de detectie signatureless is, bevestigt de lokale weergave alleen niet de nieuwste productversie; de Admin controleert die in Sophos Fusion.
Na de Update worden drie niveaus apart gecontroleerd:
- Lokale Agent meldt geen Update Error meer.
- Components onder About tonen plausibele Versions.
- Sophos Fusion actualiseert Last Active, Health en Software Status.
Blijft alleen de lokale weergave groen terwijl Sophos Fusion een fout meldt, dan worden communicatie, Policy Assignment en Agent Mode gecontroleerd.
Computer of afzonderlijk bestand scannen
Onder Status of Detections controleert Scan > Quick scan geheugen, Master Boot Record, actieve processen en opstartbestanden. Scan > Full scan controleert alle bestanden en mappen plus geheugen en MBR en duurt daardoor langer. Een in Sophos Fusion gestarte of via Policy geplande Scan is een Full Scan.
Afzonderlijke bestanden kunnen in Windows Explorer en macOS Finder worden gecontroleerd met Scan with Sophos Endpoint. In Windows 11 staat de optie mogelijk pas onder Show more options. Ontbreekt ze op Mac, schakel haar dan in via Services > Services Settings of System Settings > Keyboard > Keyboard Shortcuts > Services > Files and Folders.
Bij een scan via het contextmenu telt een archief als één bestand. Versleutelde archieven kunnen niet worden gescand; versleutelde bestanden in een archief tellen niet mee in het aantal gescande bestanden, maar verschijnen wel in het scanlogboek.
Een Scan vult Real-time Protection aan, maar vervangt deze niet. Hij is zinvol bij concreet vermoeden, na Cleanup of als acceptatietest van een nieuw apparaat. Vóór een grote Full Scan worden CPU-, I/O- en werktijdeffecten meegenomen.
Voor geautomatiseerde Windows Scans met Exit Codes en JSON Output staat Sophos Endpoint via CLI scannen.
Gedetecteerde bedreiging opruimen
Bij een bedreiging wordt eerst gecontroleerd of die automatisch is opgeruimd of alleen gedetecteerd. Een nieuwe Scan is pas na beoordeling zinvol. Terugkerende Detections, Running Malware, ransomware of schadelijk netwerkverkeer vereisen isolatie en Incident Triage.
Een uitzondering wordt niet uit gemak gemaakt. De volledige route staat in Sophos Endpoint Threat Cleanup en malwareverwijdering.
Geblokkeerde bestandsoverdracht
Deze gebruikersfunctie is alleen beschikbaar op Windows. File transfer blocked komt meestal van Data Loss Prevention of een andere Control-functie. Bij meerdere bestanden kan de melding slechts een deel betreffen terwijl andere bestanden succesvol zijn overgedragen.
Alleen een toastmelding betekent dat de Policy geen goedkeuring door de gebruiker toestaat. Een dialoogvenster met Allow en Block laat daarentegen een beslissing voor die overdracht toe. Zonder keuze verloopt het venster na vijf minuten en worden geen verdere bestanden overgedragen. Bij meerdere bestanden draagt Sophos over tot het eerste geblokkeerde bestand. Block beëindigt de overdracht en blokkeert alle resterende bestanden; Allow gaat door tot de volgende treffer. Eerder overgedragen bestanden worden niet teruggehaald.
Bestandsnaam, doel, toepassing, tijdstip en gebruiker worden genoteerd. Daarna wordt het passende Event in DLP Event Log gezocht en de werkelijk effectieve DLP Policy gecontroleerd. De doeltoepassing algemeen toestaan zou de oorzaak verbergen.
Toegang tot de computer herstellen
Na verkeerde configuratie kunnen Web, Network of Peripheral Rules toegang bemoeilijken. Zolang het apparaat Sophos Fusion bereikt, wordt eerst de verkeerde Policy gecorrigeerd en synchronisatie afgewacht.
Zonder communicatie zijn lokale Administrator Access en mogelijk het Device-specific Tamper Protection Password nodig. Bij geblokkeerde Network Adapters kan fysieke toegang vereist zijn. Het herstel wordt gedocumenteerd zodat dezelfde Policy niet opnieuw wordt uitgerold.
Netwerkverkeer direct op Endpoint vastleggen
Open bij reproduceerbare fouten zoals ZTNA About > Endpoint Self Help als Admin en start Tools > Packet Capture. Schakel Tamper Protection tijdelijk uit, reproduceer alleen de fout en stop direct.
Self Help bewaart ETL en PCAPNG onder C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture. Ze kunnen adressen, DNS en Payload Data bevatten en moeten worden beschermd. Zie Sophos Endpoint diagnosticeren met Self Help en SDU.
Beveiligingsstatus via CLI opvragen
Op actuele Windows Endpoints staat sophosinterceptxcli.exe onder C:\Program Files\Sophos\Endpoint Defense. Het biedt ondersteunde Machine Readable-status, beter dan eigen Registry-parsing.
cd "C:\Program Files\Sophos\Endpoint Defense"
sophosinterceptxcli.exe query softwaremonitor all --json
sophosinterceptxcli.exe query configuration on_access_scan_enabled --json
Sophos Software Monitor levert Status en met --json componenten en versies. Na installatie werkt het na eerste Product Update, normaal vijf minuten. Houd een seconde tussen Query’s en beoordeel Status, Exit Code en data age.
query configuration geeft alleen blootgestelde Policy Values terug, momenteel on_access_scan_enabled. Het vereist Admin Prompt, wijzigt geen Policy en vervangt vergelijking met Sophos Fusion niet.
Lokale controle als Runbook
Bij een storing levert deze volgorde snel betrouwbare feiten:
- Lokale Security Status en tijdstip van laatste wijziging controleren.
- Onder About Components en Versions controleren.
- Events en Detections op het fouttijdstip filteren.
- Update handmatig starten en resultaat bekijken.
- In Sophos Fusion Health, Last Active, Agent Mode en Effective Policies vergelijken.
- Pas daarna Self Help of SDU voor diepere diagnose gebruiken.
De tools voor de laatste stap staan in Sophos Endpoint met Self Help en SDU diagnosticeren. Voor een symptoomgerichte toewijzing van Update, MCS, Health, webbeveiliging, Cleanup en Live Response dient Sophos Endpoint Windows-logs en services correct analyseren.