Sophos Endpoint Windows-logs en services correct analyseren

Een Sophos Endpoint bestaat onder Windows uit meerdere beveiligings-, update- en communicatiecomponenten. Een rode Health State betekent daarom niet automatisch dat de volledige agent is uitgevallen. Voor een betrouwbare diagnose wordt het symptoom eerst aan een component toegewezen en vervolgens alleen het bijbehorende log in het juiste tijdvenster onderzocht.

De meeste operationele logs staan onder C:\ProgramData\Sophos. Installatielogs bevinden zich daarentegen doorgaans onder C:\Windows\Temp, C:\Windows\SystemTemp of in %TEMP% van het account dat het installatieprogramma startte. Sommige UI-logs staan sinds recentere Core Agent-versies onder %LOCALAPPDATA%.

Snelle werkwijze:

1. Noteer tijdstip, tijdzone en zichtbaar symptoom.
2. Controleer in Sophos Endpoint Agent > About > Open Endpoint Self Help Tool eerst Services en Components.
3. Noteer platform, Core Agent-versie en geïnstalleerde componenten; licentie en Agent Mode bepalen de verwachte toestand.
4. Kies hieronder het relevante log en lees vanaf de eerste relevante fout vooruit.
5. Vernieuw na een correctie Self Help en herhaal dezelfde test. Bewaar voor escalatie ook een SDU uit hetzelfde tijdvenster.

Onder Computer details > Status verdeelt Central de algemene status over Communication, Operations, Services, System, Threat en Update. De details Good, Warning, Bad en Info kunnen per besturingssysteem en agentversie verschillen. Koppel de afwijkende categorie daarom altijd aan de exacte component in Endpoint Self Help, in plaats van alleen uit de algemene kleur af te leiden dat een service is uitgevallen.

Van symptoom naar het juiste log

Bestandsnamen en servicetoewijzingen kunnen met een Core Agent-versie veranderen. Vergelijk vóór de beoordeling de geïnstalleerde pakketversie met het overzicht van Sophos Endpoint-updates en componentwijzigingen; baseer de diagnose zelf op de componenten die bij de geïnstalleerde versie horen en de bestanden die werkelijk op het betrokken apparaat aanwezig zijn.

Updates en AutoUpdate

SophosUpdate.log is het belangrijkste log voor het eigenlijke updateproces. Op actuele ondersteunde Windows-versies toont sau-service.log wanneer Central of een gewijzigde update- of communicatiepolicy een update heeft gestart. SophosLaunchUpdate.log documenteert de start van het updateproces.

Een updatefout wordt niet alleen aan de hand van de laatste Error-regel beoordeeld. Controleer eerst:

1. welk updatedoel werkelijk werd gebruikt,
2. of directe toegang, proxy of Update Cache betrokken was,
3. welke HTTP- of TLS-fout als eerste optrad,
4. of hetzelfde tijdstip in het firewall- of proxylog zichtbaar is.

Ongeldige vermeldingen in het Windows hosts-bestand kunnen Sophos-doelen naar een verkeerd adres sturen. Bij reproduceerbare fouten worden SophosUpdate.log, DNS, proxy en een gelijktijdige packet capture met elkaar vergeleken.

De klassieke Sophos AutoUpdate Service bestaat niet meer op modern Windows. Ontbreekt deze op een expliciet ondersteund legacyplatform, herstel dan met beheerdersrechten de gecachte AutoUpdate-MSI en start About > Update Now opnieuw. Gebruik deze oude MSI-procedure niet op Windows 10 x64, Windows Server 2016 of nieuwer.

Central-communicatie en beleidsregels

De Sophos MCS Client onderhoudt de verbinding met Sophos Fusion (voorheen Sophos Central). McsClient.log toont of het endpoint Central bereikt. McsAgent.log toont vervolgens welke beleidsregels en opdrachten zijn verwerkt. Een actueel Last Active-tijdstip in Central is een goede aanwijzing voor werkend MCS, maar wordt hoogstens ongeveer elk uur bijgewerkt.

Bij een communicatiefout worden brokeradres, DNS, routing, proxy en firewall gecontroleerd. Na een correctie kan de service Sophos MCS Client opnieuw worden gestart en Endpoint Self Help worden vernieuwd. Tamper Protection wordt hiervoor alleen uitgeschakeld als de concrete ingreep dat vereist.

Beveiliging, blokkeringen en Cleanup

sed.log is het centrale operationele log van Sophos Endpoint Defense. Het bevat onder meer toegang tot beschermde registersleutels, processen en bestanden en geblokkeerde acties. seds.log helpt vaststellen of driver en service zijn geladen.

Voor opschoning zijn SophosCleanup.log en de bijbehorende Scan_*.log relevant. Ze tonen gedetecteerde dreiging, uitgevoerde actie, Safestore-controle en duur. Voor herstel uit Safestore wordt vastgesteld of het bestand veilig is en waarom het werd gedetecteerd.

Eén logvermelding is nog geen reden voor vrijgave. Een uitzondering wordt pas gemaakt nadat bestand, uitgever, hash, reputatie en zakelijke noodzaak zijn gecontroleerd.

Bij Splashtop Streamer 3.5.6.0 kunnen veel snel roterende en hernoemde logbestanden de Sophos-scanwachtrij vullen en CPU en RAM verhogen. Werk bij voorkeur bij naar 3.5.8.0 of nieuwer en herstart. Beoordeel alleen wanneer dat niet kan het werkelijk gebruikte logpad als nauwe uitzondering voor de getroffen groep; heel Splashtop uitsluiten is te breed.

Een andere oorzaak van hoge CPU door SEDService.exe is een Sysmon File Delete-regel die .bin-bestanden onder C:\ProgramData\Sophos archiveert. sed.log verwijst dan herhaaldelijk naar het Sysmon-archief. Sluit die structuur uit van Sysmon-archivering met FileDelete, niet van Sophos-scanning. Na het opnieuw laden van de Sysmon-configuratie zou SEDService.exe de open journalbestanden binnen enkele minuten moeten verwerken en zou de belasting moeten dalen.

Windows Security Audit Logging: volume en herstel

Enable additional audit policy logging is met Sophos Endpoint Core Agent 2026.1 en Sophos Server Core Agent 2026.1 standaard ingeschakeld. De niet afzonderlijk configureerbare lijst met aanvullende Windows-auditevents verbetert de gegevens voor detectie en Threat Hunting. Deze events staan in het Windows Security Event Log, niet in een Sophos-tekstlog onder C:\ProgramData\Sophos. De koppeling en het herstel die hier worden beschreven, gelden voor Windows-endpoints en Windows Server; ze beschrijven geen Linux-functie.

De effectief toegepaste policy wordt voor het Endpoint in Threat Protection en voor de server in Server Threat Protection beheerd. Een hoger eventvolume alleen is geen beveiligingsfout. Controleer vóór uitschakeling de logbewaring en SIEM-verwerking, want minder auditgegevens beperken het onderzoek naar latere aanvallen.

Events aan auditsubcategorieën koppelen

De tabel vermeldt de Engelse Windows-subcategorieën. Op een Duitstalige Windows-installatie kunnen de namen anders luiden; gebruik voor lokale opdrachten de hieronder vastgestelde GUID. De ID’s vormen een koppeling, geen testplan: niet elke serverrol of activiteit genereert elk event. Gebruik voor de controle bestaande, geautoriseerde operationele activiteit; voer geen account-, taak- of servicewijzigingen uit uitsluitend voor een test.

Eerdere toestand, bewaring en veiligstellen van bewijsmateriaal

Documenteer vóór een geplande wijziging per apparaat de policynaam en toewijzing, Core Agent-versie, serverrol, het wijzigingstijdstip met tijdzone en de verantwoordelijken. Leg voor elke betrokken subcategorie de controle op geslaagde en mislukte acties afzonderlijk vast en bepaal of GPO’s, een beveiligingsbaseline of een ander product deze vereist. Als de functie al actief is, documenteert een nieuwe back-up alleen de huidige toestand, niet automatisch de toestand vóór de wijziging door Sophos. Schakel zonder een oudere, betrouwbare configuratie en goedkeuring van de eigenaar geen subcategorie op goed geluk uit.

De volgende opdrachten zijn bedoeld voor een als administrator geopende Windows-opdrachtprompt. Ze lezen configuraties of schrijven een back-upbestand; ze wijzigen geen auditinstellingen. C:\Audit-Sicherung is een voorbeeld van een vooraf aan te maken map met beperkte toegang en voldoende vrije opslagruimte. Gebruik voor elke vastlegging een nieuwe bestandsnaam, zodat de eerdere toestand behouden blijft.

auditpol /get /category:* /r
auditpol /list /subcategory:* /v
auditpol /backup /file:"C:\Audit-Sicherung\audit-vorher.csv"
wevtutil gl Security
wevtutil gli Security

De CSV-back-up bevat systeem- en gebruikersgebonden auditinstellingen en auditopties; deze vervangt geen GPO-back-up. Bewaar de uitvoer van de query’s samen met de wijzigingsregistratie. Leg voor een latere vergelijking de GUID van de specifieke subcategorie uit de lijst vast, samen met de lokaal weergegeven naam.

wevtutil gl Security toont onder meer de maximale grootte, het logpad en de bewaarmodus; wevtutil gli Security toont de logstatus. Controleer in Windows Logboeken het Security-log: leg het oudste nog aanwezige tijdstempel, de events in het vastgestelde vergelijkingsvenster en de meest voorkomende ID’s vast. Vergelijk vóór en na de wijziging onder vergelijkbare belasting het aantal events per tijdvenster, de lokaal beschikbare periode, de vrije opslagruimte en de SIEM-instroom, vertraging en verworpen events. Alleen de bestandsgrootte laat bij een circulair log niet zien hoeveel historie nog aanwezig is.

Bij retention:false overschrijven nieuwe events de oudste zodra de maximale grootte is bereikt. Bij retention:true zonder automatische back-up worden dan nieuwe events verworpen. autoBackup:true vereist retention:true; archieven blijven opslagruimte en gecontroleerde bewaring vereisen. Verklein de loggrootte daarom niet zonder meer en verwar ‘niet overschrijven’ niet met onbeperkte bewaring. Stem wijzigingen aan de maximale grootte, bewaarmodus of archivering af met de Windows-/SIEM-verantwoordelijken en documenteer vooraf alle drie de oorspronkelijke waarden. Herstel bij het terugdraaien precies deze waarden via de verantwoordelijke lokale configuratie of GPO en controleer ze met wevtutil gl Security. Reeds overschreven of verworpen events worden hierdoor niet teruggehaald.

Exporteer vóór een ingreep relevante events; wis het Security-log niet. Gebruik ook hiervoor een nieuwe bestandsnaam en een beveiligde bestemming met voldoende opslagruimte:

wevtutil epl Security "C:\Audit-Sicherung\Security-vorher.evtx"

Open het geëxporteerde bestand in Windows Logboeken en controleer de benodigde periode. Auditgegevens kunnen gebruikers-, account- en activiteitsinformatie bevatten; beperk toegang, overdracht en bewaring dienovereenkomstig.

Selectief herstel na uitschakeling van de policy

Schakel eerst Enable additional audit policy logging uit in de daadwerkelijk toegepaste Endpoint- of Server Threat Protection-policy, sla op en controleer of de policy op het apparaat is ontvangen. Reeds ingeschakelde Windows-auditinstellingen blijven bestaan en moeten zo nodig handmatig worden teruggezet. Verwijder geen volledig auditbeleid: dat zou ook instellingen beïnvloeden die onafhankelijk van Sophos nodig zijn. Herstel evenmin blind een volledige CSV-back-up, omdat sinds de vastlegging ervan legitieme wijzigingen kunnen zijn doorgevoerd.

Zet alleen na goedkeuring van de Windows-/securityverantwoordelijken de aantoonbaar betrokken subcategorieën afzonderlijk terug naar hun aangetoonde eerdere waarden. Het volgende voorbeeld dat instellingen wijzigt, geldt uitsluitend als de controle op geslaagde acties eerder ingeschakeld en de controle op mislukte acties uitgeschakeld was. Vervang <GUID> volledig door de vastgestelde subcategorie-GUID, inclusief {...}; de placeholder is niet uitvoerbaar. Lees de instellingen vóór het instellen nogmaals lokaal uit:

auditpol /get /subcategory:"<GUID>"
auditpol /set /subcategory:"<GUID>" /success:enable /failure:disable
auditpol /get /subcategory:"<GUID>"

Kies voor andere aangetoonde eerdere toestanden beide waarden onafhankelijk: enable behoudt of activeert de betreffende controle, disable schakelt deze uit. Alleen als beide controles eerder uitgeschakeld waren en geen andere geldende vereiste ze nodig heeft, mogen beide voor precies deze subcategorie worden uitgeschakeld. Een subcategorie kan meer events regelen dan de hier vermelde ID’s; de wijziging is geen filter voor afzonderlijke Event IDs.

Vergelijk na elke wijziging de verwachte en werkelijke waarden, lees ze later na de reguliere GPO-/productvernieuwing opnieuw uit en controleer de benodigde eventstroom en het log-/SIEM-volume. Als waarden opnieuw worden ingeschakeld, onderzoek dan eerst de sturende GPO of het andere securityproduct; werk deze niet herhaaldelijk lokaal tegen. Als de eerdere toestand, verantwoordelijkheid of ontvangst van de Sophos-policy onduidelijk blijft, stop dan het herstel en escaleer de bevindingen over policy, agent, audit en volume. Als de aanvullende zichtbaarheid moet worden hersteld, schakel dan de Sophos-optie opnieuw in en controleer na ontvangst de auditstatus en eventstroom; een tussentijds ontstaan gegevenshiaat wordt hierdoor niet opgevuld.

Services correct beoordelen

Self Help maakt onderscheid tussen Windows SCM Services en Sophos SCM Services. Alleen de eerste groep is bij Windows Service Control Manager geregistreerd en zichtbaar in services.msc. Sophos SCM Services draaien als processen, maar verschijnen daar niet. Op moderne platforms zijn Sophos Live Query, Sophos Health Service en Sophos System Protection Service vanaf Core Agent 2025.2 naar deze tweede groep verplaatst. Een ontbrekende vermelding in services.msc bewijst daarom op zichzelf geen installatiefout.

Sophos beschrijft deze consolidatie in 2025.2.1 als een prestatieoptimalisatie. Gebruik voor de diagnose toch de geïnstalleerde Core Agent-versie en het bijbehorende Self Help-artikel: het actuele Services-artikel is uitdrukkelijk voor Core Agent 2026.1 en andere pakketten kunnen een andere werkwijze vereisen. Controleer eerst de status in Self Help. Daar staat ook of Windows SCM of Sophos SCM de betrokken service beheert. De herstelprocedures vereisen beheerdersrechten en uitgeschakelde Tamper Protection; voer ze niet alleen uit omdat een oude servicelijst afwijkt.

Bij Core Agent 2025.x kan dit zeldzame geval optreden na een mislukte Windows 11 feature-update van 23H2 naar 24H2 of 25H2 met rollback. Als de rollback precies samenvalt met een DecisionCache-update, kunnen de versies in het register en het bestandssysteem uiteenlopen. Endpoint wordt rood, System Protection start niet en C:\ProgramData\Sophos\Endpoint Defense\Logs\SSP.log meldt een ontbrekende Rules-Version.

Wacht niet tot 96 uur zonder System Protection. Wijs tijdelijk een Update Management Policy met een ondersteund FTS- of LTS-pakket toe. De daardoor gestarte herinstallatie brengt de verwijzingen weer met elkaar in overeenstemming. Verwijder het apparaat pas uit deze herstelpolicy bij groene Health, een actieve component en actueel SSP-log. Handmatige registercorrectie vereist Tamper Protection Override, backup en exact overeenkomende rulesmap.

De officiële lijst met componenten en services bevat onder meer de volgende koppelingen. De tabel is een hulpmiddel voor diagnose, geen volledige lijst van de verwachte toestand op elk apparaat:

Welke componenten aanwezig moeten zijn, hangt af van platform, Agent Mode en licentie. Een XDR Sensor installeert bijvoorbeeld telemetriecomponenten, maar geen volledige Sophos-malwarebeveiliging. De verwachte toestand wordt daarom eerst in Central bepaald en pas daarna met services en processen vergeleken.

Netwerk- en webbeveiliging

SophosNetFilter.log bevat websiteverbindingen en acties van Web Control en de internetrealtimecontrole. SophosIPS.log toont configuratie en detectie-inhoud van de netwerkdreigingsbeveiliging. SntpService.log bevat onder meer informatie over isolatie en andere netwerkfuncties.

Bij een geblokkeerde website worden tijdstip, URL, proces en effectieve policy vergeleken. Uit het log alleen blijkt niet altijd of Endpoint Web Control, DNS Protection of een upstreamfirewall als eerste blokkeerde. Deze controlepunten worden afzonderlijk onderzocht.

Gebruikersinterface en Self Help

Bij actuele Core Agent-versies staan SophosUI.Net.log en SophosUITray.log onder:

%LOCALAPPDATA%\Sophos\Sophos UI\Logs

Ze documenteren acties in de lokale interface respectievelijk bij het taakbalkpictogram. Sinds Core Agent 2026.1 kunnen ook Self Help-logs aanvullend per gebruiker onder %LOCALAPPDATA%\Sophos\Endpoint Self Help\Logs staan. De systeembrede map onder C:\ProgramData\Sophos\Endpoint Self Help\Logs blijft afhankelijk van de component eveneens relevant.

Een log correct analyseren

Voor het openen wordt een nauw fouttijdvenster met tijdzone vastgesteld. Daarna wordt vanaf de eerste relevante fout vooruit gelezen. Latere gevolgmeldingen zoals service unavailable, timeout of component unhealthy zijn vaak slechts consequenties.

Een betrouwbare notitie bevat:

• zichtbaar symptoom en reproduceerbare test,
• lognaam, tijdstempel en eerste relevante melding,
• betrokken Endpoint-, proxy-, cache- of relaypad,
• vergelijking met een werkend apparaat,
• geteste wijziging en meetbaar resultaat.

Loglevels worden niet preventief permanent verhoogd. Gedetailleerde MCS-logging kan gevoelige communicatiedata bevatten en extra opslag gebruiken. Ze wordt alleen voor een vastgesteld tijdvenster volgens de actuele Sophos-instructie geactiveerd en daarna teruggezet.

Sophos Support kan voor MCS een diagnostic message trail vragen. Op Windows 10 x64 of Server 2016 en nieuwer is dit sinds Core Agent 2023.2 standaard actief; de XML-stappen om het te activeren en daarna uit te schakelen gelden alleen voor Legacy-platforms. Trailbestanden kunnen policy- en communicatiegegevens bevatten en worden beschermd met de SDU overgedragen. Schakel een Legacy-opname na het verzamelen uit, omdat deze anders de schijf kan vullen.

Logs voor Support veiligstellen

Afzonderlijke logs helpen bij lokale afbakening. Voor escalatie wordt daarnaast een SDU-verzameling uit hetzelfde fouttijdvenster gemaakt. Het pakket kan hostnamen, gebruikers, paden, IP-adressen en configuratiedata bevatten en wordt dienovereenkomstig beschermd overgedragen.

De volledige verzameling wordt uitgelegd in Sophos Endpoint met Self Help en SDU diagnosticeren. Installatiefouten worden afzonderlijk behandeld onder Sophos Endpoint-installatie onder Windows systematisch oplossen.

Veelgestelde vragen