Sophos Fusion Admin: overstappen van Sophos Central

Sophos Fusion is de huidige naam van het platform dat voorheen Sophos Central heette. Maak daarbij onderscheid tussen twee wijzigingen: de aanpassing van portaalnaam en toegang, en de stapsgewijze upgrade van de EDR-, XDR- en MDR-oplossingen. Een Fusion-logo alleen bevestigt niet dat een bepaalde tenant de productupgrade al heeft ontvangen. Voor alleen de toegangsaanpassing worden geen tenants, apparaten, policies, rollen of technische eindpunten opnieuw aangemaakt. Na de productupgrade kunnen daarentegen gerichte integratiewerkzaamheden nodig zijn.

Dit runbook begeleidt de lokale toegangsaanpassing en de operationele controle per tenant. De concrete stappen voor nieuwe of opnieuw geautoriseerde verbindingen staan in MDR- en XDR-integraties instellen.

Productupgrade: tenant en operationele gevolgen controleren

Gecontroleerd op 11 oktober 2026: de uitrolstatus van september beschrijft een al lopende overstap van meerdere maanden, niet een afgeronde migratie van alle klanten. Sophos bepaalt de upgrade; klanten kunnen niet zelf een datum kiezen. Ongeveer een week vooraf verschijnt een melding in de console. Na afronding volgt een tweede melding met een korte rondleiding. Documenteer voor de betrokken tenant de aankondiging, afronding en daadwerkelijk toegankelijke functies. Leid de status niet af uit een nieuwsbrief of de portaalnaam.

Voor door een MSP beheerde tenants noemt Sophos een latere start vanaf het vierde kalenderkwartaal van 2026. De tenants van dezelfde MSP moeten gezamenlijk worden overgezet, zodat de partner op één operationeel platform werkt. Ook op 11 oktober betekent deze planning niet dat alle MSP-tenants al gemigreerd zijn. Tot de daadwerkelijke upgrade blijft de bestaande versie van de oplossing bepalend; bespreek bij een onduidelijke aankondiging de klantstatus met het partnerteam.

De productupgrade verloopt automatisch. Daarvoor zijn geen nieuwe agentuitrol of licentiewijziging nodig. Dit vervangt echter niet de volgende beheerwerkzaamheden:

1. Controleer na afronding bestaande Microsoft 365 Response Actions. De verbinding of de bijbehorende credentials moeten in het nieuwe Security Operations opnieuw worden ingesteld of geautoriseerd. Een werkende gegevensintegratie bewijst niet dat alle response-acties werken.
2. Open bij gebruik van Sophos Firewall een case en controleer of de firewall-response-acties beschikbaar zijn. Alleen als ze ontbreken, moet je een Sophos Firewall (Actions)-verbinding aanmaken. Beide integratietaken staan in het hierboven gelinkte runbook.
3. Inventariseer voor XDR-automatiseringen afzonderlijk leesqueries en schrijfworkflows, plus de API’s die ze gebruiken. De API-aanvulling van 9 oktober 2026 is een latere wijziging en geen onderdeel waarvan de beschikbaarheid al bij de introductie in september mag worden verondersteld. Het integratierunbook legt de grens tussen Classic en GraphQL uit.
4. Inventariseer bestaande SVA-syslogcollectors en eventuele NDR-workloads. Een automatisch vooraf geprovisioneerde XDR Data Collector is nog niet uitgerold. Volg voor adreskeuze, deployment, omschakeling en terugschakelen SVA-logcollectors migreren naar XDR Data Collectors.

MDR-namen en rapportage aanpassen

De bestaande niveaus Sophos MDR Essentials en Sophos MDR Complete heten nu respectievelijk Sophos MDR en Sophos MDR Plus. Het product blijft Sophos XDR; Sophos XDR Powered by Secureworks duidt tijdens de overgang de uitgebreide oplossing aan. Een nieuwe naam is geen aanleiding om zelfstandig het contract of serviceniveau te wijzigen.

Bij de upgrade van het MDR-account stopt de bestaande automatische verzending van wekelijkse en maandelijkse MDR-rapporten. Stem daarom met de ontvangers af wie tijdens de overgang het MDR Dashboard gebruikt, de benodigde periode selecteert en een PDF-export voor de bestaande rapportageverplichtingen maakt. Het dashboard biedt flexibele perioden en aanpasbare weergaven. Controleer de export voor een bekende periode en documenteer waar deze wordt opgeslagen; ontbrekende automatische rapporten na de upgrade bewijzen op zichzelf geen uitgevallen bescherming.

Een nieuwe selfservicerapportagefunctie was gepland voor later in 2026. Dit bevestigt geen huidige beschikbaarheid of al werkende automatische verzending. Alleen een functie die in de eigen tenant beschikbaar en gecontroleerd is, mag de afgesproken overgangsprocedure vervangen.

Wie daarnaast Sophos Managed Risk gebruikt, krijgt door deze upgrade geen gewijzigde Managed Risk-service. Wel veranderen het caseformaat en de toegang: Managed Risk-cases zijn bereikbaar onder Security Operations > Cases. Open na de upgrade een verwachte Managed Risk-case en controleer of deze in de juiste tenant toegankelijk is. Dit geldt alleen voor klanten met een bestaande Managed Risk-service en geeft geen recht op een nieuwe service.

Optionele uitbreidingen niet gelijkstellen aan de upgrade

Sophos AI Defense is sinds 13 oktober 2026 algemeen beschikbaar en is een betaalde add-on voor in aanmerking komende EDR-, XDR- en MDR-klanten. Sophos noemt daarnaast Sophos EDR Endpoint Protection als vereiste. De eerdere EAP-fase en de toenmalige Q4-doelstelling zijn daarmee historische context, geen actuele beschikbaarheidsstatus. De algemene release bewijst echter geen contractueel recht of activering in de eigen tenant. In aanmerking komende Taegis-klanten kunnen al bij GA kopen zonder hun Fusion-migratie af te wachten; deze uitzondering voor aanschaf heft de gedocumenteerde technische setupvereiste niet op. AI Defense is niet de AI Assistant of AI Search voor XDR-onderzoeken. Maak de reguliere werking niet afhankelijk van deze add-on.

De gedocumenteerde setup vereist nog steeds een Fusion-account dat is geüpgraded naar het nieuwe platform met Security Operations. In de assistent zijn Sophos Endpoint, Sophos Firewall en Sophos Linux Server te selecteren. De bredere opsomming van DNS Protection, Protected Browser en Sophos Data Lake in het productoverzicht is niet dezelfde sensorkeuzelijst. Endpoint vereist gegevensuploads, TLS-ontsleuteling, QUIC-blokkering en instellingen voor Web Control en Application Control. Voor Firewall zijn groepsbeheer en logging in de webpolicies vereist; firewalls buiten het groepsbeheer ontvangen geen AI Defense-handhavingsregels. Linux Server vereist de upload van Network Data naar het Data Lake. Alleen een sensor selecteren bevestigt geen effectieve bescherming.

AI Defense biedt zichtbaarheid, toegangspolicies voor apps en rapportage. De Base Policy geldt voor iedereen in de organisatie; een bestaande Base Policy blijft bij de onboarding ongewijzigd. Bij aanvullende policies slaat Save op zonder activering, terwijl Save & Enable onmiddellijk met de hoogste prioriteit activeert. Reikwijdte, regels en volgorde moeten vóór goedkeuring worden gecontroleerd. Promptinspectie en -bescherming worden ondanks verdergaande formuleringen in de GA-perscommunicatie in de latere partnerinformatie als roadmap aangemerkt en mogen niet als gegarandeerde huidige bescherming worden ingepland. De volledige procedure met sensorvereisten, een beperkte pilot, validatie en terugvalprocedure staat in Sophos AI Defense: AI-gebruik herkennen en beheersen.

Controleer bij eerder gebruik van Cloud Optix ook een afzonderlijke lacune: het End of Life op 30 september 2026 ligt al in het verleden. Nieuwe cloudtelemetrieverbindingen worden niet automatisch door de productupgrade ingericht en vervangen geen CSPM-functies. Het integratierunbook beschrijft deze afbakening en de nu benodigde inventarisatie.

Zichtbare namen en portaaltypen onderscheiden

Afhankelijk van de rol en het accounttype verschijnt een andere interface:

De drie namen verwijzen naar verschillende beheercontexten en zijn niet onderling uitwisselbaar. Welke klanten, sub-estates of producten zichtbaar zijn, blijft afhankelijk van account, rol en rechten. Gedetailleerde uitleg over de klanttenant staat in Sophos Fusion Tenant veilig in gebruik nemen; de verschillende portaaltypen worden toegelicht in Overzicht van Sophos-portalen.

De overstap voorbereiden

1. Documenteer het betrokken accounttype, de tenant, de dataregio en de gebruikte beheerdersrol.
2. Bevestig een werkende aanmelding in een ondersteunde, actuele desktopbrowser. Wijzig niet tegelijkertijd de authenticatie, rol of Identity Provider.
3. Inventariseer lokale verwijzingen naar de bestaande portaaltoegang: browserbladwijzers, de vermelding in de wachtwoordmanager, interne documentatie en startpagina’s, evenals, indien gebruikt, proxy- of webfilterregels en Conditional Access-doeldefinities.
4. Inventariseer gebruikte technische verwijzingen afzonderlijk: API-hosts, Redirect URIs, OIDC-callbacks, webhooks, Self-Service-links, scripts en vast geconfigureerde producteindpunten.
5. Houd voor de acceptatietest een testaccount beschikbaar met de beheerdersrol die voor productie is bedoeld. Als daarnaast het Enterprise- of Partner-portaal wordt gebruikt, is voor elk gebruikt portaaltype een passend testaccount nodig. Houd bovendien een tweede bevoegde beheerder en een privébrowservenster beschikbaar.

MFA, passkeys en herstel worden in dit runbook niet gewijzigd. Gebruik daarvoor Aanmelding bij Sophos Fusion beveiligen met MFA, passkeys en IdP. Volg voor wijzigingen aan Entra ID, Conditional Access of OIDC de afzonderlijke handleidingen voor Microsoft Entra ID respectievelijk OpenID Connect en Okta.

Login en lokale verwijzingen aanpassen

De huidige toegang voor gebruikers is:

➜ Sophos Fusion openen

1. Open https://fusion.sophos.com rechtstreeks in een privébrowservenster.
2. Doorloop de normale aanmelding volledig en controleer de tenant, het accounttype en de rol.
3. Pas pas na een geslaagde test de browserbladwijzer en de portaallink in de interne beheerdersdocumentatie aan naar https://fusion.sophos.com.
4. Voeg in de wachtwoordmanager alleen de login-URI of de toewijzing voor deze portaaltoegang toe of werk deze bij. Verplaats inloggegevens, passkeys en opgeslagen technische URL’s niet allemaal tegelijk.
5. Als een gebruikte proxy, DNS-beveiligingsdienst of webfilter de nieuwe host blokkeert, sta dan de daadwerkelijk vastgelegde doelhost met de kleinst mogelijke reikwijdte toe en test opnieuw. Maak geen ongefundeerde wildcard-uitzonderingen voor *.sophos.com of volledige categorieën en schakel TLS-inspectie niet zonder meer uit.
6. Als Conditional Access voor het aanmeldtraject is geconfigureerd, controleer dan de daadwerkelijke aanmeldingsgebeurtenissen. Een nieuwe hostnaam rechtvaardigt geen brede uitzondering of wijziging van gebruikers-, apparaat-, locatie- of MFA-voorwaarden.

Bij het openen van fusion.sophos.com kan de browser via bestaande, voor compatibiliteit behouden Central-infrastructuur worden omgeleid. Waargenomen hosts of paden met central.sophos.com wijzen daarbij niet op een rollback en bewijzen niet dat het om de verkeerde tenant gaat. Doorslaggevend zijn een vertrouwde Sophos-bestemming, de verwachte aanmelding en de juiste beheercontext.

Technische Central-aanduidingen ongewijzigd laten

De zichtbare naamswijziging is geen technische zoek-en-vervangactie. De volgende waarden blijven exact behouden zolang de betreffende integratie of documentatie niet uitdrukkelijk een nieuwe waarde voorschrijft:

• Sophos-documentatiepaden met /central/;
• bestaande Sophos Central-API-namen, API-hosts en basis-URL’s;
• geconfigureerde Redirect URIs en callbackwaarden, bijvoorbeeld https://federation.sophos.com/login/callback;
• de technisch vereiste en voor compatibiliteit behouden Self-Service-toegang https://central.sophos.com/manage/self-service;
• webhooks, scriptvariabelen, secrets, certificaatverwijzingen en andere technische eindpunten met central in de naam;
• stabiele interne slugs, zoektermen en historische registraties.

Dergelijke waarden kunnen protocolafspraken zijn of waarden die exact worden vergeleken. Een redactionele naamswijziging kan SSO, API-clients of gebruikerstoegang verstoren. Licentiewerkzaamheden horen in plaats daarvan thuis in Sophos Fusion-licenties activeren, controleren en verlengen.

Validatie

De overstap is voltooid wanneer de volgende toepasselijke punten met een testaccount in de voor productie bedoelde beheerdersrol zijn gecontroleerd. Voor elk aanvullend gebruikt portaaltype wordt de test herhaald met het daarvoor bestemde testaccount:

• https://fusion.sophos.com opent de verwachte Sophos-aanmelding zonder certificaat- of filterwaarschuwing.
• Een geconfigureerde MFA en, indien gebruikt, het federatieve aanmeldtraject werken ongewijzigd; de verwachte rol en de juiste tenant zijn zichtbaar.
• De klant-, Enterprise- of Partner-context heeft de passende zichtbare naam.
• My Environment, Global Settings, het profiel en Sophos Help zijn toegankelijk voor de betreffende rol.
• Een bestaande API- of automatiserings-smoketest wordt zonder gewijzigde host of secret succesvol uitgevoerd.
• Indien geconfigureerd of gebruikt, werken de SSO-callback, Self-Service-link en overige technische Central-eindpunten ongewijzigd.
• Als een proxy, DNS-beveiligingsdienst, webfilter, IdP of Conditional Access wordt gebruikt, tonen de bijbehorende logs geen nieuwe blokkering of onverwachte uitzondering.
• Oude interne handleidingen verwijzen voor beheerderstoegang naar de Fusion-URL, maar behouden exacte technische Central-waarden.

Problemen oplossen

Omleiding naar een Central-host

Schakel niet terug naar een vermeende oude toestand. Controleer eerst het certificaat, de volledige redirectketen, de doeltenant en de geslaagde aanmelding. Verouderde namen in de runtime-infrastructuur kunnen nog steeds correct zijn.

Geblokkeerde of lege pagina

Test de browser zonder extensies of in een privébrowservenster en leg tijdstip, oorspronkelijke URL, uiteindelijke host en fouttekst vast. Controleer daarna de logs van de gebruikte proxy-, DNS-, webfilter- en TLS-inspectiesystemen op de concreet geblokkeerde host. Voer alleen de aantoonbaar benodigde wijziging uit en sta niet preventief wildcards toe.

Als meerdere onafhankelijke aanmeldingen of tenants tegelijkertijd zijn getroffen, gebruikt u Sophos Status om een mogelijke algemene servicestoring te controleren. De statuspagina is een diagnostische aanwijzing; lokale wijzigingen worden nog steeds alleen op basis van aangetoonde oorzaken uitgevoerd.

Fout bij aanmelding of Conditional Access

Vergelijk de Sophos-aanmelding en, als een IdP wordt gebruikt, de gebeurtenissen daarvan in de tijd. Maak geen IdP-app, callback-URL of Conditional Access-policy opnieuw aan alleen vanwege de nieuwe zichtbare naam. Volg voor diagnose en terugdraaien uitsluitend het SSO-runbook waarnaar hierboven voor het betreffende aanmeldtraject wordt verwezen; houd de geteste reservebeheerder beschikbaar.

Ontbrekende menuoptie

Controleer eerst het accounttype en de rol. Zoek daarna onder My Environment, via het tandwiel voor Global Settings, via het profiel en via Sophos Help. Een ontbrekende menuoptie kan het gevolg zijn van een rol- of licentiebeperking; dit bewijst niet dat de naamswijziging is mislukt.

Ontbrekende tenants, producten of klanten

Meld u af, start opnieuw in een privébrowservenster met de bedoelde identiteit en controleer het accounttype en de tenant. Maak geen vervangende tenants, trials of nieuwe partnertoewijzingen aan als reparatie.

Als de toegang na deze controles verstoord blijft, verzamel dan het tijdvenster met tijdzone, de betrokken identiteit, tenant of Customer ID, browser, oorspronkelijke en doelhost, fouttekst en opgeschoonde screenshots. Escaleer vervolgens via Een Sophos-supportticket openen met Support Assistant.

Lokale rollback

De naamswijziging door de leverancier van Sophos Central naar Sophos Fusion kan de klant niet terugdraaien. Alleen de lokale aanpassingen die in deze change zijn uitgevoerd, mogen worden teruggedraaid:

• bladwijzers en links in interne documentatie;
• login-URI-koppelingen in de wachtwoordmanager;
• specifieke proxy-, DNS- of webfilterregels.

Bepaal vóór het terugdraaien aan de hand van de wijzigingsdocumentatie wat de vorige waarde was en test na het herstel de toegang opnieuw. Aanpassingen aan IdP of Conditional Access vallen niet onder deze lokale rollback; deze worden alleen teruggedraaid volgens het hierboven gelinkte SSO-runbook voor het betreffende aanmeldtraject en de daarin gedocumenteerde rollback. De oude Central-hostnaam is geen gegarandeerd rollbackpad. API-hosts, callbacks, Self-Service-URL’s en andere technische waarden die voor deze overstap bewust ongewijzigd zijn gebleven, worden niet aangepast.