Tryb agenta Sophos Endpoint i zarządzanie oprogramowaniem
Sophos Fusion (dawniej Sophos Central) zarządza zakresem produktów na już zarejestrowanym komputerze za pomocą Manage device software. Najpierw trzeba wybrać tryb agenta. Określa on, czy Sophos sam zapewnia ochronę, czy jedynie dostarcza dane Detection and Response równolegle z produktem innej firmy.
Dawny dialog z osobnymi kolumnami „Endpoint Protection” i „Intercept X” nie odpowiada już obecnemu modelowi. Obecnie tryb agenta i dodatkowe licencjonowane produkty są zarządzane bezpośrednio we wspólnym widoku urządzenia. Szybka ścieżka to: My Environment > Computers & Servers, wybór urządzeń docelowych, otwarcie Manage software, wybór stanu docelowego i potwierdzenie przyciskiem Save.
Tryby agenta
| Tryb agenta | Ochrona Sophos | Detection and Response | Wymagany antywirus innej firmy |
|---|---|---|---|
| Endpoint | tak | nie | nie |
| XDR | tak | tak | nie |
| XDR Sensor | nie | tak | tak |
⚠️ XDR Sensor nie chroni przed złośliwym oprogramowaniem. Wolno go używać tylko wtedy, gdy działa osobny produkt ochronny. Przejście z XDR Sensor na Endpoint lub XDR może usunąć istniejącą ochronę innego producenta.
Dostępne tryby zależą od licencji, systemu operacyjnego i typu urządzenia. Sophos podaje, że funkcje Detection and Response wymagają licencji XDR lub MDR; zgodnie z aktualną pomocą osobny instalator XDR Sensor wymaga licencji obejmującej XDR.
Nierozstrzygnięty konflikt MDR: Pomoc instalacyjna MDR nadal wymienia MDR Essentials dla XDR Sensor, podczas gdy przegląd usług wskazuje MDR i MDR Plus. Nie potwierdza to uprawnienia do sensora w każdym obecnym poziomie. Instrukcja MDR dla Windows używa też mdr, ale lista produktów CLI Windows nie zawiera tej wartości. Nie należy uznawać jej za nieprawidłową ani zastępować przez xdr lub xdrsensor.
Przed przypisaniem sensora MDR potwierdza się z Sophos lub odpowiedzialnym partnerem poziom/SKU objęty umową, aktywną licencję tenantu, platformę i ścieżkę instalacji; w razie wątpliwości należy wstrzymać zmianę. Wartość produktu Windows wymaga pisemnego potwierdzenia dla wersji instalatora i zakresu oprogramowania. Sama widoczna opcja nie potwierdza uprawnienia. Po zatwierdzonej zmianie pilotażowej sprawdza się Agent mode, Agent mode status (Installed), lokalne komponenty i dalsze działanie ochrony innego producenta; kontrole te nie zastępują odbioru usługi MDR. Przewodnik wdrożeniowy wyjaśnia ten punkt weryfikacji wstępnej.
Endpoint obejmuje ochronę Sophos. XDR łączy tę ochronę z Detection and Response. XDR Sensor zapewnia wyłącznie Detection and Response i nie zastępuje ani ochrony przed złośliwym oprogramowaniem, ani produktu innej firmy. Ogólne wzajemne wyjątki konfiguruje się tylko w przypadku konkretnie potwierdzonego problemu zgodności.
Sprawdzanie zakresu oprogramowania
W obszarze My Environment > Computers & Servers kolumny i filtry Agent mode oraz Agent mode status pokazują aktualny stan.
Szczególnie istotne są:
Product unassigned: licencjonowane oprogramowanie nie zostało jeszcze przypisane do urządzenia.Upgrade available: można zainstalować dodatkowe licencjonowane funkcje.Installed: przewidziany tryb agenta jest zainstalowany.Not Supported: produkt lub tryb nie jest obsługiwany na tym urządzeniu.
Account Health Check zgłasza urządzenia, które nie odpowiadają dostępnym licencjom. Automatyczna korekta może rozesłać całe licencjonowane oprogramowanie na wiele urządzeń, dlatego najpierw trzeba ją porównać z przyjętym modelem działania. Sophos zapisuje te zmiany w Audit Log.
Zmiana oprogramowania na urządzeniu
- Otworzyć My Environment > Computers & Servers.
- Wybrać jedno lub kilka podobnych urządzeń.
- Wybrać Manage software.
- W sekcji Agent mode ustawić wymagany tryb.
- Inne widoczne wiersze produktów, takie jak Encryption, ZTNA lub DNS & ZTNA, zmieniać wyłącznie po sprawdzeniu licencji, platformy i bieżącego użycia.
- Potwierdzić zmianę przyciskiem Save.
- Poczekać, aż urządzenia będą online i wykonają aktualizację.
Sophos podaje, że instalacja podczas następnego cyklu online i aktualizacji trwa zwykle około jednej godziny. Nie jest to gwarantowany termin. Urządzenia offline zastosują zmianę dopiero przy następnym połączeniu.
Kontrola przed zmianą
Zmiana produktu jest zmianą oprogramowania i wymaga takiej samej staranności jak wdrożenie:
- docelowy tryb i licencja są udokumentowane,
- grupa pilotażowa zawiera reprezentatywne urządzenia,
- uwzględniono istniejącą ochronę innego producenta,
- zaplanowano okno serwisowe i ewentualny restart,
- sprawdzono szyfrowanie dysków i klucze odzyskiwania,
- proxy, Update Cache i ścieżka pobierania działają,
- aplikacje biznesowe są testowane po zmianie.
Zwłaszcza przejście z XDR Sensor na Endpoint lub XDR może usunąć konkurencyjną ochronę. Bez pilotażu może to czasowo spowodować podwójną ochronę albo jej brak.
Dodatkowe komponenty i wspólne wiersze produktów
Dodatkowe produkty pojawiają się tylko wtedy, gdy pasują licencja i platforma. Dla wybranych komputerów widoczne komponenty, takie jak Encryption i ZTNA, można ustawić na Install lub Uninstall; nieobsługiwane kombinacje Sophos Fusion oznacza jako Not Supported. Dla wybranych serwerów Manage software oferuje tylko Agent mode.
Przed wdrożeniem Device Encryption należy co najmniej sprawdzić wymagania TPM lub FileVault, przypisanie użytkowników, proces obsługi kluczy odzyskiwania oraz istniejącą konfigurację BitLocker lub FileVault. Widoczny przycisk z plusem nie zastępuje planu wdrożenia.
Szczególnej ostrożności wymaga DNS & ZTNA. Ta wspólna etykieta nie oznacza, że komponent DNS można osobno usunąć lub naprawić. Oficjalnie udokumentowana integracja DNS obsługuje wyłącznie endpointy Windows oraz wymaga zainstalowanego Endpoint Agent i pakietu Windows > Recommended. Artykuł Konfiguracja Sophos DNS Protection dla endpointów opisuje instalację, politykę i kontrolę działania.
Jeśli ma zostać wyłączony wyłącznie DNS Protection, należy najpierw wyłączyć DNS Endpoint policy lub usunąć jej przypisanie do urządzeń, a następnie sprawdzić zwykłe rozwiązywanie nazw. Nie wolno zmieniać DNS & ZTNA, dopóki nie zostanie wykluczone, że urządzenie potrzebuje ZTNA. Sophos nie dokumentuje publicznie deinstalacji ani naprawy samego DNS, ani lokalnej wersji komponentu DNS, więc nie można wyprowadzać takich procedur ze wspólnego wiersza.
Usuwanie oprogramowania
Manage device software może usuwać widoczne komponenty produktów lub zmieniać tryb agenta. Operacja na komponencie nie usuwa automatycznie całego lokalnego agenta Sophos. Dla trybu agenta dostępna jest opcja Uninstall (Remove any current protection). Sophos Core Agent pozostaje zainstalowany, aby Sophos Fusion nadal mógł zarządzać urządzeniem i później ponownie przypisać oprogramowanie. Przed zmianą trybu agenta należy zapoznać się z procesem aktualizacji i zarządzania zmianami Sophos Endpoint oraz ocenić zmiany w agencie.
Nie jest to pełna deinstalacja. Przy ostatecznym wycofaniu urządzenia z systemem Windows należy skorzystać z artykułu Odinstalowanie Sophos Endpoint w Windows; inne systemy operacyjne wymagają właściwej dla danej platformy procedury usuwania.
Odbiór zmiany
Po przypisaniu należy sprawdzić Sophos Fusion oraz urządzenie:
- Agent mode status pokazuje
Installed. - Każdy zmieniony wiersz produktu pokazuje zamierzone przypisanie i brak oczekującego stanu instalacji.
- Na karcie Policies obowiązują oczekiwane polityki.
- Lokalna sekcja About pokazuje oczekiwane komponenty i wersje.
- Health State i ostatnia aktywność są wiarygodne.
- Ochrona innego producenta jest prawidłowo obecna lub usunięta, zależnie od trybu docelowego.
- Nie ma otwartych alertów dotyczących instalacji, aktualizacji ani restartu.
Sam zielony Health State nie potwierdza prawidłowego trybu agenta.
Typowe problemy
Zmiana pozostaje w stanie „pending”
Należy sprawdzić ostatnią aktywność, sieć, proxy, Update Cache, wolne miejsce i oczekujący restart. Urządzenie offline nie może zastosować przypisania oprogramowania.
Brakuje funkcji XDR
Licencję, tryb agenta i platformę należy sprawdzać łącznie. Endpoint zapewnia ochronę, ale nie pełne funkcje XDR. Dla XDR odpowiedni tryb musi być przypisany i zainstalowany.
Antywirus innej firmy został usunięty
Może się to zdarzyć przy przejściu na ochronę Sophos. Tylko XDR Sensor jest przeznaczony do Detection równolegle z osobnym produktem ochronnym. Przed zmianą masową tryb docelowy musi być jednoznaczny.
Manage software nie usuwa wszystkiego
Jest to oczekiwane. Opcja Uninstall w Sophos Fusion usuwa komponenty ochronne, lecz pozostawia Core Agent do komunikacji i zarządzania politykami. Pełne usunięcie wykonuje się zgodnie z podlinkowaną procedurą deinstalacji.
DNS i ZTNA widnieją we wspólnym wierszu
Nie należy testowo ustawiać tego wiersza na Uninstall. Najpierw trzeba sprawdzić, czy używany jest ZTNA. Aby wycofać tylko DNS, należy usunąć DNS Endpoint policy i zweryfikować wynik; dalsze czyszczenie komponentów wykonuje się zgodnie z procesem Sophos potwierdzonym dla danego tenanta.