Sophos Endpoint diagnosticeren met Self Help en SDU

Een Endpoint-probleem wordt niet opgelost door willekeurig opnieuw te installeren. Eerst wordt afgebakend of beveiligingscomponenten, Central-communicatie, updates, beleid, besturingssysteem of netwerk betrokken zijn. Endpoint Self Help geeft lokale status en eerste oorzaken. Sophos Diagnostic Utility, kort SDU, verzamelt daarna technische Logs.

Het Endpoint-onboardingstraject beschrijft het volledige implementatietraject, van planning tot overdracht aan beheer.

Snelle workflow voor een betrouwbare diagnose

1. Noteer symptoom, impact, fouttijdstip met tijdzone en een reproduceerbare test.
2. Open Endpoint Self Help en controleer het betrokken onderdeel en Network Test.
3. Activeer alleen de aanvullende diagnose die bij de fout past en reproduceer deze binnen het afgesproken tijdvenster.
4. Draai Debug Logging of Packet Capture daarna terug of stop deze en verzamel een SDU uit hetzelfde tijdvenster.
5. Draag het pakket beveiligd over en koppel het met de eigen loganalyse en getoonde SDU-bestandsnaam aan de supportcase.

Zo blijven statuscontrole, reproductie en bewijsverzameling qua tijd op elkaar afgestemd. Begin pas met herstel of brede uitsluitingen nadat de observatie is vastgelegd.

Vóór Log Collection

Vóór elke diagnose worden zichtbare symptomen gedocumenteerd:

• betrokken computer, OS en tijdstip,
• lokale foutmelding of screenshot,
• Central Health, Last Active, Agent Mode en het effectieve beleid,
• laatste installatie, update of beleidswijziging,
• reproduceerbare test en verwacht gedrag.

Deze informatie is vaak belangrijker dan een zeer groot logarchief zonder tijdsreferentie.

Endpoint Self Help openen

In de lokale Sophos Endpoint-interface wordt rechtsonder About en daarna Open Endpoint Self Help Tool gekozen. De tool toont de status van belangrijke Components, Communication en Protection Services. ESH ondersteunt Sophos Fusion (voorheen Sophos Central) Windows Endpoint en Windows Server en kan ook rechtstreeks vanuit C:\Program Files\Sophos\Endpoint Self Help worden geopend. Zichtbare pagina’s hangen af van licentie, geïnstalleerde componenten en agent-/platformgeneratie; oudere Windows-versies tonen minder statusinformatie en functies.

Met Core Agent 2026.3.0.2090 worden Endpoint UI en Self Help op Windows 10 64-bit en nieuwer samengevoegd tot één component Sophos Endpoint UI. De release notes vermelden deze versie voor oktober 2026 en wijzen op een gefaseerde uitrol. Controleer daarom vóór een componentreparatie de daadwerkelijk geïnstalleerde agent- en componentversies: het ontbreken van een afzonderlijk Self Help-pakket bewijst vanaf deze generatie op zichzelf geen installatiefout. De samenvoeging bewijst niet dat het hierboven beschreven startpad is veranderd; controleer het beschikbare startpunt in het geïnstalleerde pakket in plaats van een nieuw menupad te veronderstellen. Gecontroleerd op 24 oktober 2026.

Op moderne platforms sluit ESH vanaf Core Agent 2024.2 na twee uur zonder interactie en waarschuwt het vijf minuten daarvoor. Vanaf 2024.3 controleert het bij het starten automatisch Known Issues. Huidige agents onderscheiden System, Services en Update; oudere versies kunnen weergaven groeperen of weglaten. Noteer daarom de agentversie bij elke screenshot.

Self Help is geschikt voor vragen als:

• Draait de verwachte component?
• Is een service gestopt of defect?
• Bereikt de agent Central en de update-infrastructuur?
• Is er een bekende lokale configuratie- of machtigingsfout?

Een rode Check wordt met naam, status, detailtekst en tijdstip gedocumenteerd. Vóór reparatie wordt gecontroleerd of een Central-beleidsregel of netwerkblokkade de oorzaak opnieuw zou creëren.

Als SophosDiag.exe direct bij het openen crasht en het Windows Application Event Log een beschadigde gebruikersspecifieke user.config noemt, verwijder dan alleen het bestand dat in de fout onder het betreffende gebruikersprofiel staat. Automatiseer niet het verwijderen van de versieafhankelijke bovenliggende map als vast pad. Open Self Help daarna opnieuw. Blijft de fout bestaan, verzamel dan een SDU of herstel het geïnstalleerde component.

Self Help-pagina’s gericht gebruiken

De afzonderlijke pagina’s beantwoorden verschillende vragen. Ze worden niet als algemene verkeerslichtstatus gelezen:

Een policy-update kan maximaal vijf minuten nodig hebben. Als Override Sophos Central Policy for up to 4 hours lokaal actief is, worden nieuwe Central-policies in de cache geplaatst en pas na afloop van de override toegepast. Een oude policytijd bewijst dan geen communicatieprobleem.

Vergelijk onder Components de geïnstalleerde, gedownloade en verwachte moduleversies. Controleer Not installed, afwijkende download- en installatiestanden of meerdere versies eerst tegen de updatestatus, een openstaande herstart en concurrerende beveiligingssoftware. Verwijder het lokale repository niet uit voorzorg. Onder System kan een blijvende Pending Restart uit Windows Update komen. Laat na wijzigingen aan hardware of beveiligingssoftware de softwarestatus opnieuw inlezen via de Endpoint CLI voordat een reparatie wordt gestart.

Normaal komen Central-acties binnen enkele seconden tot minuten aan. Last Active wordt daarentegen hoogstens ongeveer elk uur bijgewerkt. Bij een gebruikerspolicy kan de wissel langer duren, omdat Central-gebruiker, lokaal aangemeld account en de door MCS Client herkende interactieve sessie eerst overeen moeten komen.

Network Test correct interpreteren

De Network Test controleert de kanalen Updating, Management Communication en Sophos Extensible List (SXL). Per doel probeert het hulpmiddel eerst HTTPS en daarna, afhankelijk van het resultaat, ICMP en DNS-resolutie. Voor de werking is een geslaagde HTTPS-verbinding bepalend. Alleen ping of nslookup bewijst daarom geen werkende Central-communicatie.

Network Test is de eerste controle bij een slechte Update- of Communication-status, offline lijkende Live Discover/Response en problemen met Real-Time Scanning, Web Control of SXL. Het toont de falende stap, maar bepaalt niet zelf de oorzaak in firewall, proxy of DNS. Op Windows 7/8/8.1 en Server 2008 R2/2012 kan de HTTPS-test naar sdds3.sophosupd.net mislukken door ontbrekende cipher suites van het besturingssysteem.

Bij een Update Cache of Message Relay controleert Self Help alleen de DNS-resolutie van de toegewezen server. Een groene DNS-test bevestigt noch servicestatus, noch poort, noch doorsturen. De eigenlijke cache- of relayfunctie wordt afzonderlijk gecontroleerd.

Twee beperkingen zijn bijzonder belangrijk:

• Na een gewijzigde cache- of relaytoewijzing moet Endpoint Self Help worden gesloten en opnieuw geopend, anders kan Network Test nog het oude doel gebruiken.
• Network Test ondersteunt geen geauthenticeerde proxy’s en kan daardoor misleidende resultaten geven.

SXL-tests vereisen administratieve UAC-elevatie. Gebruikt het apparaat een Message Relay, dan voert Self Help de SXL-test niet rechtstreeks uit, omdat dit verkeer via het Relay loopt.

Blijft de communicatie defect, vergelijk dan de in Self Help getoonde brokeradressen met de lokale MCS-configuratie. Controleer daarnaast routing, het Windows hosts-bestand, proxy en firewalllog. Na een correctie kan de Sophos MCS Client opnieuw worden gestart en Self Help worden vernieuwd. Browsertoegang tot Central vervangt deze controle niet.

Updatefouten zonder overhaast cache wissen

Een mislukte update binnen de Sophos Grace Period kan tijdelijk zijn. Controleer eerst Update Now, netwerk, proxy, updatebron en tijdstip van de laatste geslaagde update. Als deze controles geen oorzaak tonen, stel dan eerst de volgende diagnosegegevens voor Sophos Support veilig.

Bij een reproduceerbare fout wordt SophosUpdate.log gecorreleerd met een gelijktijdige packet capture en firewall- of proxylogs. Bepalend zijn het DNS-antwoord, de werkelijk benaderde updateserver, het directe of proxied pad en de eerste HTTP- of TLS-fout. De belangrijkste Windows-logpaden staan in Sophos Endpoint Windows-logs en services correct analyseren.

Hier eindigt de diagnose; wijzig cache- en repositorymappen niet op basis van een vermoeden. Een cachereset vereist een volledige instructie van Sophos Support die past bij de agentversie en de symptomen, met exacte paden, volgorde en herstelprocedure.

Voor zo’n ingreep zijn beheerdersrechten en tijdelijk uitgeschakelde Tamper Protection nodig; er ontstaat een Pending Restart-alert. Stel de betrokken mappen volgens die instructie veilig of hernoem ze; verwijder ze niet ongecontroleerd. Na de ingreep moet een volledige update slagen en Self Help na Refresh weer een gezonde toestand tonen.

Schakel ten slotte Tamper Protection weer in en controleer de actieve beveiligingsstatus zowel lokaal als in Sophos Fusion. Zolang de procedure of het herstelpad ontbreekt, blijft het bij de diagnosebevindingen.

Performance Analysis

Sinds Core Agent 2024.3 kan Endpoint Self Help op Windows 10 x64 of nieuwer en Windows Server 2016 of nieuwer scannersamenvattingen laden. Als invoer dienen resultaten van een Product Analysis-procedure of bestanden die via SFS > Scan Summaries in Product Logging zijn aangemaakt; deze mogen van dit apparaat of van een ander apparaat met Endpoint Self Help afkomstig zijn. De CSV-bestanden staan standaard onder:

C:\ProgramData\Sophos\Sophos File Scanner\Logs\summary.<TIMESTAMP>.csv

Ze kunnen op een ander apparaat met Endpoint Self Help worden geanalyseerd. Het bestand toont welke processen en paden tijdens het geregistreerde tijdvenster scanbelasting veroorzaakten. Daaruit volgt nog geen algemene uitzondering. Eerst worden toepassing, toegangspatroon en de technisch kleinst mogelijke uitsluiting onderzocht.

Vergelijk bij de analyse eerst mappen met een lange cumulatieve scantijd, daarna zeer vaak gecontroleerde paden en ten slotte grote datavolumes. Een vaak gescand pad hoeft niet het pad met de hoogste totale duur te zijn. Als Self Help waarschuwt voor een te brede uitsluiting, gebruik die dan hoogstens kort om de oorzaak te bevestigen. Beperk een blijvende oplossing tot de submap of het proces dat de belasting werkelijk veroorzaakt.

Product Analysis gaat verder en schakelt beveiligingsfuncties begeleid uit en weer in om het betrokken component af te bakenen. Hiervoor zijn beheerdersrechten en bij actieve Tamper Protection het wachtwoord nodig. Voer dit alleen uit op een gecontroleerd testapparaat of in een onderhoudsvenster. Leg eerst beveiligings- en updatestatus vast, bewaar het resultaat en herstel daarna alle functies en updates. Het hulpmiddel levert een hypothese, geen automatische toestemming voor een uitsluiting.

File Info in plaats van aannames

Onder Tools > File Info kan een Windows PE-bestand lokaal worden beoordeeld. Self Help toont SHA-256, grootte, Application Control-categorie, product en Policy Decision. Local Reputation bevat Sophos-data en eigen Allowed Applications of Blocked Items, en kan daarom afwijken van Global Reputation en deze voor de lokale beslissing overrulen.

Deep Learning vereist een passende Intercept X-licentie. Een groen resultaat bewijst niet dat al gedetecteerde malware onschadelijk is; gedetecteerde Malware- of PUA-bestanden kunnen normaal niet in de pagina worden gesleept. Bewaar bij misclassificatie Hash, Signature, lokale en globale Lookup Type en concrete Policy Decision, en gebruik daarna Sample Submission.

Voor Windows PE-bestanden levert File Info de volledigste gegevens; andere bestandstypen geven slechts beperkte informatie. Na Run as administrator kan Windows slepen vanuit een proces met lagere rechten blokkeren; gebruik dan browse for a file. Reputatie en het beleidsresultaat bieden geen integriteitsgarantie. Waar vertrouwen doorslaggevend is, volgt de goedgekeurde sampleanalyse.

Policy-, Service- en Operations-status verdiepen

Als Policy verouderde timestamps toont, onderscheid dan ontvangst en lokale verwerking. Controleer McsClient.log op Connection en Backoff en McsAgent.log op Policy-, Namespace- en Status Errors. In MCS Cache tonen Active.policy en Latest.policy of een nieuwe Policy aankwam maar lokaal niet actief werd. Herstart services pas na vastlegging en bevestig daarna de overgang in het log.

Niet elk blauw of leeg symbool in Operations is een fout. Onderscheid uitgeschakelde Data Lake, bewust uitgesloten apparaat of bereikte daglimiet van een defecte Live Query Service. Controleer bij slechte Data Lake Status eerst SophosLiveQueryService.log, SophosOsquery.log en Service State.

Heartbeat toont Readiness, Certificate State en verbinding met Sophos Firewall. configured, no connection currently available bewijst op zichzelf geen Endpoint-fout en Heartbeat telt niet mee in algemene Device Health. Bij verwachte verbinding worden logs op tijd en Device ID gecorreleerd. Registry- of Certificate Repairs uit Advanced Self Help vereisen Backup, uitgeschakelde Tamper Protection en gedocumenteerde rollback.

SDU via interface starten

Vanuit Endpoint Self Help wordt Launch SDU geopend, de EULA geaccepteerd en Start gekozen. De tool verzamelt System Information en Sophos Product Logs. Daarna toont View log de verzameling, opent Open folder sdu.log en de archieven en biedt Submit upload of handmatige overdracht voor de case. Onder Windows schrijft sducli.exe zonder verzamelopties normaal naar C:\WINDOWS\Temp\sdu-YYYYMMDD_xxxxxx_xxxxxx. Voor Upload to Sophos moet sdu-feedback.sophos.com via TCP 443 bereikbaar zijn. Kopieer de opzettelijk niet-navigeerbare upload-URL naar de case; deze is onderaan sdu.log terug te vinden.

Het archief kan hostnamen, gebruikersnamen, paden, IP-adressen, proceslijsten, configuraties en gebeurtenissen bevatten. Het hoort niet in openbare tickets, onbeveiligde gedeelde mappen of chats.

Een Windows-, macOS- of Linux-apparaat kan ook vanuit Central worden gediagnosticeerd. Selecteer onder My Environment > Computers & Servers het apparaat en kies daarna Summary > More actions > Diagnose > Run. Het archief gaat rechtstreeks naar Sophos. Het SDU-veld toont Status, Last Run en File Name; noteer de bestandsnaam voor de supportcase. De upload gebruikt HTTPS 443 via de normale toegestane Sophos-domeinen. De uitvoering en de startende beheerder staan onder Reports > General Logs > Audit Logs.

Als het apparaat offline is, bewaart Central de opdracht maximaal 14 dagen. Daarna wordt deze verworpen en moet hij opnieuw worden gestart. De opdracht begint bij de volgende Central-communicatie; stem daarom vooraf tijdstip, privacygoedkeuring en verwachte apparaatconnectiviteit af.

Product Logging en Packet Capture

Product Logging vereist UAC-elevatie en verhoogt het logniveau van geselecteerde componenten. Activeer het alleen voor de verdachte component en een reproduceerbaar tijdvenster; bewaar de logs met begin, einde en stappen. Een Parent-instelling geldt voor alle Children; een ster bij de Parent geeft waarden aan die alleen op Child-niveau afwijken. Save past nog niet opgeslagen niveaus toe; Revert… verwerpt wijzigingen alleen vóór het opslaan. Een reeds toegepast niveau wordt teruggezet met Default op de gewijzigde Parent/Child en vervolgens Save. Bij het sluiten zet Revert to Default de niveaus terug; Just Close laat Debug Logging actief. Alleen ESH sluiten stopt het dus niet. Permanent Debug Logging kan gevoelige inhoud en veel gegevens opleveren.

Packet Capture gebruikt Windows pktmon, vereist UAC-elevatie en ontbreekt vóór Windows 10 1809 en op Windows Server 2016 of ouder. De limiet is standaard 512 MB en instelbaar van 1 tot 9999 MB; Windows 10-builds vóór 2004 blijven op 512 MB. Een passende limiet voorkomt een volle schijf. Elke uitvoering maakt capture-<date><time>.etl en capture-<date><time>.pcapng onder C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture; verstuur beide bestanden. Sluiten van ESH stopt de opname. Bestanden worden niet automatisch opgeruimd en moeten na de goedgekeurde bewaartermijn handmatig worden verwijderd.

Als Self Help Logging, Packet Capture of SDU niet kan elevaten, controleer eerst UAC. Volledig uitgeschakelde UAC of onderdrukte prompts kunnen blokkeren. Microsoft-standaardwaarden herstellen is beter dan Sophos-tools permanent via het ingebouwde Administrator-account uitvoeren.

SDU onder Windows via command line

De Windows-versie staat normaal onder:

C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe

Een PowerShell met beheerdersrechten toont de ingebouwde hulp met:

& "C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe" -help

Belangrijke parameters:

De lokaal geïnstalleerde -help-output is bepalend voor de geïnstalleerde agentversie. Leg voor geautomatiseerde verzamelingen een opslaglimiet, beveiligd doel en verwijdertermijn vast.

SDU onder macOS via command line

Op een Mac wordt SDU vanuit het programmapakket gestart:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --help

--help toont alleen de beschikbare opdrachten en verzamelt geen diagnostiek. De uitvoerbare verzamelopdracht is:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --cli

Met --output_path="<path>" wordt de uitvoermap ingesteld; anders geldt de huidige directory. Deze opties gelden voor macOS Agent 2026.1 en nieuwer. Het proces heeft de vereiste machtigingen voor de te verzamelen gegevens nodig. Ontbrekende Full Disk Access- of System Extension-goedkeuringen worden ook via macOS Permission Diagnostics gecontroleerd.

SDU onder Linux via command line

Op een apparaat met Sophos Protection for Linux wordt het geïnstalleerde diagnoseprogramma als volgt uitgevoerd:

/opt/sophos-spl/bin/sophos_diagnose

Het maakt een tar.gz-archief in de huidige werkdirectory en verzamelt logs van de SPL-agent, alle plugins en het auditlog. Maak voor een gecontroleerd doel een privédirectory en geef die als eerste positionele argument mee:

mkdir -p "$HOME/sophos-sdu"
chmod 700 "$HOME/sophos-sdu"
/opt/sophos-spl/bin/sophos_diagnose "$HOME/sophos-sdu"

Het laatste argument is een directory, geen archiefnaam; de resulterende tar.gz wordt daarin gemaakt. Zo blijft de leverancierssyntaxis behouden zonder een gedeelde tijdelijke map te gebruiken.

Forensic Mode correct beoordelen

SDU kan speciale Forensic Logs maken. Deze modus is bedoeld voor Sophos Incident Response of gericht forensisch onderzoek. Hij vervangt geen volledig forensisch onderzoeksproces binnen de organisatie en wordt niet zonder opdracht permanent geactiveerd.

Bij mogelijke compromittering gelden extra regels:

• apparaat niet te vroeg herstarten of opruimen,
• tijdbron en tijdzone documenteren,
• bewijsmateriaal uitsluitend naar een gecontroleerd doel schrijven,
• hash, overdracht en toegang tot het archief vastleggen,
• verantwoordelijken voor incidentrespons betrekken.

Configuratie en softwarestatus via de CLI weergeven

De lokale Endpoint CLI kan de beleids- en softwarestatus weergeven. Output configuration toont welke instellingen op het apparaat zijn aangekomen. Software Monitor geeft de status van geïnstalleerde componenten en kan die actualiseren.

Deze output helpt bij drie typische tegenstrijdigheden:

1. Central toont het beleid als toegewezen, maar lokaal ontbreekt de instelling.
2. Agent Mode klopt, maar een component is niet geïnstalleerd of werkt niet correct.
3. Update is aangekondigd, Software Monitor blijft foutief.

De lokaal beschikbare Help wordt vóór gebruik gecontroleerd omdat opdrachten en parameters van de geïnstalleerde agentversie kunnen afhangen.

Logs gericht analyseren

Niet elk log wordt volledig gelezen. Begin met een beperkt tijdvenster en zoek de eerste fout, niet alleen de vervolgmeldingen. Vooral nuttig zijn:

• installatie- en updatelogs bij uitrolproblemen,
• MCS of Management Communication bij ontbrekend contact met Central,
• Health- en componentlogs bij rode status,
• Web-, DLP-, Application- of Peripheral-gebeurtenissen bij beleidsproblemen,
• OS-gebeurtenislogs rond servicestarts, stuurprogramma’s en certificaten.

Eén error is nog geen oorzaak. Tijdscorrelatie, component en reproduceerbaar gedrag bepalen de analyse.

Support Package voorbereiden

Een goed supportpakket bevat:

1. korte probleembeschrijving en impact,
2. exact tijdstip met tijdzone,
3. betrokken en niet-betrokken vergelijkingsapparaten,
4. stappen voor reproductie,
5. relevante Central-screenshots zonder geheimen,
6. SDU-archief en eventueel installatielogs,
7. reeds geteste maatregelen en resultaat.

Tamper Protection-wachtwoorden, API-secrets, proxywachtwoorden en installatietokens worden nooit in leesbare tekst bijgevoegd.

Minimum Escalation Requirements vervullen

Sophos heeft de Windows Endpoint-eisen voor supportescalaties per foutklasse opgesplitst. Een SDU zonder eigen analyse voldoet niet aan deze Minimum Escalation Requirements, kort MER.

Voor elke case worden eerst platform en productversie, betrokken component, omvang, frequentie, reproduceerbaarheid, wijzigingen vóór het optreden en exacte foutmeldingen vastgelegd. De logs moeten volledig zijn, het fouttijdstip bevatten en bij client-serverproblemen qua tijd overeenkomen.

Daarna volgen scenariospecifieke gegevens:

Bij een performancecase wordt eerst onderscheiden of SophosFileScanner.exe, SEDService.exe, SSPService.exe, een ander Sophos-proces of de algemene systeembelasting opvallend is. Globaal uitgeschakelde beveiliging levert zonder gelijktijdige meting en exacte componenttoewijzing geen betrouwbare oorzaak.

Een supportcase bevat niet alleen de verzamelde bestanden, maar ook het resultaat van de eigen controle: welk log toont de eerste relevante fout, op welk tijdstip en welke hypothese werd daarmee bevestigd of verworpen?

Controleer daarnaast onder Account Preferences > Evaluation Modes of Aggressive threat detection actief is. Deze diagnoseoptie voor Sophos Support en SophosLabs verhoogt de systeembelasting aanzienlijk en is geen productie-baseline. Documenteer bij gebruik het doel en schakel de optie na de geplande meting weer uit. Blijft het probleem bestaan, behandel het dan als afzonderlijke performancecase met een nieuw tijdvenster.

Controleer bij Exploit-, Ransomware- of HitmanPro.Alert-cases ook of Sophos een Endpoint Maintenance Release met een passende bugfix aanbiedt. Maak een Crash Dump of volledige Memory Dump na reproductie en vóór de SDU, zodat de artefacten uit hetzelfde tijdvenster komen. Hernoem geen beveiligings-DLL’s of Drivers zonder actueel Sophos Runbook.

Veelgestelde vragen