Instalacja Sophos Fusion Intercept X w Windows

Sophos Fusion (dawniej Sophos Central) nie instaluje już w Windows odizolowanego składnika o nazwie „Intercept X” według starego modelu komponentów. Decydujący jest wybrany Agent Mode: Endpoint, XDR albo XDR Sensor. Ten wybór określa, czy komputer otrzyma pełną ochronę Sophos, czy tylko telemetrię dla XDR.

Pełną sekwencję wdrożenia na różnych platformach, obejmującą planowanie, wymagania wstępne i kolejność etapów, opisuje ścieżka wdrażania Sophos Endpoint.

Dla większości produkcyjnych klientów Windows, na których Sophos ma być głównym zabezpieczeniem, odpowiedni jest Endpoint albo XDR. XDR Sensor to szczególny wariant dla urządzeń, na których właściwą ochronę zapewnia produkt innego dostawcy.

⚠️ XDR Sensor nie jest antywirusem: Sophos wyraźnie dokumentuje, że xdrsensor wykrywa zagrożenia i dostarcza dane, ale sam nie chroni przed zagrożeniami. Na urządzeniu musi działać odpowiedni produkt ochronny innego dostawcy. Tego trybu nie wolno omyłkowo wdrożyć jako pełnej Endpoint Protection.

Skrócona procedura bezpiecznej instalacji pilotażowej

1. Sprawdzić w Sophos Fusion licencję, wymagane funkcje i grupę docelową.
2. Zdecydować, czy ma zostać zainstalowany Endpoint, XDR, czy XDR Sensor.
3. Wybrać w pełni zaktualizowany, obsługiwany komputer pilotażowy z Windows i lokalnym dostępem administracyjnym.
4. Wyjaśnić sposób współdziałania z istniejącym oprogramowaniem zabezpieczającym albo jego zastąpienia.
5. W sekcji My Environment > Installers pobrać odpowiedni instalator Windows.
6. Uruchomić instalator na urządzeniu pilotażowym wyłącznie wewnętrznie i w kontrolowany sposób.
7. Sprawdzić lokalny stan ochrony, zainstalowane komponenty i stan aktualizacji.
8. W Sophos Fusion skontrolować urządzenie, Agent Mode, grupę, policy i Health.

Szersze wdrożenie następuje dopiero wtedy, gdy test pozytywny, przypisanie polityk i Agent Mode są prawidłowe.

Różnice między Endpoint, XDR i XDR Sensor

Aktualna logika instalatora Sophos używa następujących wartości produktów:

• endpoint: instaluje ochronę przed złośliwym oprogramowaniem bez funkcji XDR.
• xdr: instaluje funkcje XDR oraz pełną ochronę z endpoint.
• xdrsensor: instaluje wykrywanie XDR bez ochrony przed złośliwym oprogramowaniem. Urządzenie musi być chronione przez produkt innego dostawcy.

Dla xdr nie trzeba dodatkowo wybierać endpoint. Wariant XDR zawiera już ochronę Endpoint. Dostępne w Central opcje zależą od licencji i tenanta.

Download Complete Windows Installer zawiera wszystkie produkty Endpoint objęte posiadaną licencją. Przy odpowiedniej licencji może to także obejmować Device Encryption. Jeśli zakres trzeba ograniczyć, należy użyć Choose Components i przed pobraniem sprawdzić faktycznie wyświetlany wybór produktów.

Aktualna dokumentacja Sophos dotycząca instalatorów Endpoint jest miarodajna dla opcji widocznych we własnym tenancie. Już zainstalowanych funkcji nie utrzymuje się przez wielokrotne uruchamianie dowolnego starego instalatora komponentów. Kontrolowaną procedurę dodawania lub usuwania opisano w artykule Zarządzanie funkcjami Sophos Fusion Endpoint.

Wymagania przed pobraniem

Przed instalacją powinny być spełnione następujące warunki:

• System Windows jest aktualnie obsługiwany i w pełni zaktualizowany.
• Do instalacji jest dostępne lokalne lub zarządzane konto administracyjne.
• W tenancie znajduje się wymagana licencja Endpoint, XDR albo MDR.
• Urządzenie łączy się z Sophos Fusion przez DNS i HTTPS albo przez udokumentowany serwer proxy.
• Ustalono sposób zastąpienia istniejącego antywirusa innego dostawcy lub współdziałania z nim.
• Określono grupę docelową, polityki i osobę odpowiedzialną za pilota.
• Restart i krótka przerwa mieszczą się w uzgodnionym oknie serwisowym.

Stała lista wersji Windows w instrukcji instalacji szybko się starzeje. Przed każdym nowym wdrożeniem należy więc sprawdzić aktualnie obsługiwaną platformę w wymaganiach Sophos. Historyczna informacja taka jak Windows 7+ nie jest już prawidłowym kryterium dopuszczenia.

Prawidłowe postępowanie z istniejącym antywirusem

Tylko dla XDR Sensor Sophos wyraźnie potwierdza działanie obok ochrony innego dostawcy. Dla pełnej instalacji endpoint lub xdr nie ma ogólnej deklaracji zgodności z dowolnymi produktami zabezpieczającymi.

Instalator Windows może usuwać wykryte produkty konkurencyjne. Opcja --nocompetitorremoval wyłącza tę próbę, ale nie zapewnia automatycznie zgodności nieznanej kombinacji produktów. Dlatego nie należy jej używać jako ogólnego obejścia. Przed wdrożeniem dokumentuje się produkt, wersję, samoobronę, wymagania dotyczące restartu i drogę powrotu dotychczasowego antywirusa.

Przygotowanie sieci i proxy

Zapora sieciowa, serwery proxy i restrykcyjne reguły ruchu wychodzącego muszą spełniać wymagania sieciowe i dotyczące serwera proxy dla Sophos Endpoint, w tym zezwalać na wychodzący TCP 443 i DNS 53. Wymagania należy sprawdzić ponownie przed każdym wdrożeniem; stała, skrócona lista domen skopiowana ze starego obiektu zapory nie wystarczy.

Szerokie blokady krajów lub regionów mogą nieoczekiwanie objąć punkty końcowe chmury. Pomyślne pobranie małego pliku konfiguracyjnego nie dowodzi także, że rejestracja, pobieranie komponentów i późniejsze aktualizacje działają.

Pobieranie instalatora w Sophos Fusion

Po zalogowaniu do Sophos Fusion Admin aktualny punkt wejścia znajduje się tutaj:

My Environment > Installers

W obszarze Endpoint dostępne są dwie typowe opcje:

1. Download Complete Windows Installer pobiera pełny instalator zależny od licencji.
2. Choose Components tworzy instalator dla świadomie ograniczonego wyboru produktów.

Dla XDR Sensor używa się przeznaczonego do tego instalatora albo udokumentowanej wartości produktu xdrsensor. Trybu nie określa się wyłącznie na podstawie marketingowej nazwy licencji, lecz kontroluje według wyboru oferowanego w tenancie.

Instalator jest powiązany z tenantem i musi być traktowany poufnie. Osoba, która go otrzyma, nie uzyskuje dostępu do Sophos Fusion, ale może rejestrować nowe urządzenia w tenancie. Po wdrożeniu należy usunąć kopie z ogólnie dostępnych udziałów, zgłoszeń i folderów pobierania.

Jeżeli instalator został rozpowszechniony bez kontroli, można unieważnić stare instalatory w My Environment > Installers za pomocą Expire Previously Downloaded Installers. Tej operacji nie można cofnąć, dlatego powinna być częścią udokumentowanej zmiany.

Ręczna instalacja na urządzeniu pilotażowym

Ten artykuł jest instrukcją referencyjną dla ręcznej, interaktywnej instalacji w Windows. Jeśli starsza instrukcja używa nazw Endpoint Standard lub Endpoint Advanced, należy osobno sprawdzić przyporządkowanie dawnych nazw produktów, a następnie wrócić do tej aktualnej procedury.

W aktualnej procedurze ręcznej Sophos wyraźnie nakazuje tymczasowo wyłączyć User Account Control (UAC). Przed zmianą należy zapisać firmową wartość. UAC wyłącza się wyłącznie na czas okna serwisowego na urządzeniu pilotażowym, bez obniżania ustawienia przez szeroką Group Policy. Jeśli polityka bezpieczeństwa zabrania tej zmiany, należy przerwać instalację i uzgodnić z zespołem bezpieczeństwa zatwierdzoną metodę wdrożenia.

1. Skopiować na pilota instalator z właściwego tenanta Sophos Fusion.
2. Uruchomić plik z uprawnieniami administratora.
3. Przeczytać ostrzeżenia Precheck i nie ignorować ich bez analizy.
4. Porównać wyświetlane produkty z planowanym Agent Mode.
5. Dokończyć instalację i wykonać wymagany restart.
6. Natychmiast przywrócić User Account Control (UAC) do zapisanej wartości firmowej.
7. Po restarcie poczekać na zakończenie rejestracji, instalacji komponentów i pierwszych aktualizacji.

Pełny instalator pobiera aktualne komponenty z Sophos Fusion. Stary lokalnie zapisany plik konfiguracyjny nie zastępuje więc działającej komunikacji z chmurą.

Nie usuwać lokalnych grup Windows utworzonych przez Sophos

Agent Windows tworzy lokalne grupy SophosUser, SophosPowerUser i Sophos Administrator. Sophos Anti-Virus używa ich do lokalnego przypisywania uprawnień. Nie wolno ich usuwać ani w ramach Hardening, ani przez skrypt Cleanup, ani przez Group Policy.

Jeżeli brakuje jednej z tych grup, nie należy pochopnie odtwarzać jej ręcznie z dowolnym członkostwem. Najpierw sprawdza się logi instalatora i Endpoint, stan agenta oraz moment usunięcia. Następnie wykonuje się kontrolowaną naprawę lub ponowną instalację zgodnie z udokumentowaną procedurą Sophos. Pozwala to uniknąć dalszej zmiany lokalnych uprawnień Sophos przez pozorne porządkowanie.

Instalacja pilota z wiersza poleceń

Aktualny instalator Windows można także uruchomić bez nadzoru dla zarządzanej grupy pilotażowej. Poniższy przykład instaluje ochronę Endpoint wraz z XDR i przypisuje urządzenie do grupy pilotażowej:

SophosSetup.exe --products=xdr --devicegroup="Windows Clients\Pilot" --quiet

Wartości zależą od środowiska:

• xdr zastępuje się przez endpoint, jeśli przewidziano wyłącznie Endpoint Protection.
• xdrsensor stosuje się wyłącznie wtedy, gdy ochronę zapewnia produkt innego dostawcy.
• Windows Clients\Pilot zastępuje się rzeczywistą grupą urządzeń i podgrupą.
• --quiet ukrywa interfejs, ale nie stanowi dowodu powodzenia.

Oficjalne opcje instalatora Windows dokumentują również proxy, Message Relay, tagi i inne wartości wdrożeniowe. Polecenia zawierające token tenanta, hasło proxy lub wewnętrzne nazwy serwerów nie powinny trafiać do zgłoszeń ani ogólnodostępnych repozytoriów skryptów.

Powyższy przykład wystarcza do wyboru trybu na urządzeniu pilotażowym. Dystrybucję oprogramowania, kombinacje parametrów, stan procesu, proxy, Message Relay i fale wdrożenia opisuje artykuł Automatyczne wdrażanie Sophos Endpoint w Windows.

--registeronly nie jest zwykłym przełącznikiem instalacji. Służy do kontrolowanej ponownej rejestracji już chronionego urządzenia, na przykład przy zmianie tenanta, i wymaga między innymi wyłączenia Tamper Protection. Tego szczególnego przypadku nie stosuje się jako instalacji standardowej.

Prawidłowy odbiór instalacji

Zakończony interfejs instalatora nie wystarcza. Kryteria powodzenia lokalnie i w Central sprawdza się oddzielnie.

Na urządzeniu z Windows

1. Otworzyć Sophos Endpoint za pomocą ikony tarczy.
2. Na stronie statusu sprawdzić zielony stan Your device is protected.
3. W sekcji About skontrolować, które komponenty są zainstalowane i czy są aktualne.
4. Przy brakujących lub uszkodzonych komponentach użyć Open Endpoint Self-Help Tool do pierwszej diagnozy.
5. Upewnić się, że planowana ochrona innego dostawcy pozostaje aktywna wyłącznie w trybie XDR Sensor.

W Sophos Fusion

1. W sekcji My Environment > Computers & Servers sprawdzić, czy urządzenie jest widoczne.
2. W My Environment > Computers & Servers skontrolować Agent Mode, stan, Tamper Protection i ostatnią aktywność.
3. Sprawdzić oczekiwaną grupę i przypisanie polityk.
4. Upewnić się, że Endpoint, XDR albo XDR Sensor odpowiada planowi.
5. Sprawdzić alerty i oczekujące restarty.

Zielony stan lokalny nie potwierdza jeszcze właściwej grupy lub polityki. I odwrotnie, rekord urządzenia w Central nie dowodzi, że wszystkie komponenty są zainstalowane, aktualne i wolne od błędów.

Systematyczne rozgraniczanie błędów

Poniższe kontrole pomagają we wstępnym rozpoznaniu. Analizę etapów dziennika i komunikatów, bezpieczne ponowienie oraz zebranie danych dla pomocy technicznej opisuje artykuł Systematyczne rozwiązywanie problemu nieudanej instalacji Sophos Endpoint; nie należy stosować tutaj równoległych procedur naprawczych.

Urządzenie nie pojawia się w Sophos Fusion

Najpierw należy sprawdzić, czy instalator naprawdę pochodzi z właściwego tenanta. Następnie sprawdza się DNS, HTTPS, proxy, czas systemowy i wymagane domeny Sophos.

Najważniejsza ścieżka instalatora to:

C:\ProgramData\Sophos\CloudInstaller\Logs\SophosCloudInstaller.log

W dzienniku wiersze z Opening connection to pokazują cele rejestracji i zarządzania faktycznie używane przez instalator. Należy je porównać z regułą ruchu wychodzącego i proxy. Pojedynczy dostępny host nie jest dowodem na działanie całej ścieżki instalacji.

Niewłaściwy Agent Mode albo brakujące funkcje

W sekcji My Environment > Computers & Servers można filtrować według Agent mode status. Jeśli Central pokazuje Product unassigned albo Upgrade available, odpowiednie urządzenia należy kontrolowanie przestawić na planowany tryb za pomocą Manage Software.

Zmiany nie wymusza się natychmiast przez usunięcie i ponowną instalację. Po zastosowaniu zmiany przez Sophos Fusion na urządzeniu online ponownie sprawdza się lokalny stan komponentów i Central.

Instalacja zatrzymuje się na istniejącym oprogramowaniu zabezpieczającym

Nie należy wtedy ogólnie wyłączać samoobrony obu produktów. Najpierw trzeba wyjaśnić, czy oczekiwana jest pełna ochrona Sophos, czy tylko XDR Sensor. Dla pełnego trybu sprawdza się oficjalnie obsługiwane zastąpienie, wymagane restarty oraz pozostałe sterowniki poprzedniego produktu.

Instalacja lokalnie jest zielona, ale Central pozostaje czerwone

W takim przypadku często nie zgadzają się przypisanie polityk, oczekujące aktualizacje, restart, dane Health albo Agent Mode. Lokalny stan, ostatnią aktywność, tekst alertu i kolumnę Agent Mode ocenia się łącznie. Ponowne uruchomienie instalatora bez tego rozgraniczenia może spowodować dodatkowe objawy.

Bezpieczna eksploatacja po wdrożeniu

• Udostępniać instalator tylko przez wymagany czas i ograniczonemu gronu odbiorców.
• Przed szeroką dystrybucją w pełni odebrać grupę pilotażową.
• Po zmianach produktu ponownie sprawdzić Agent Mode i licencję.
• Nie sterować politykami wyłącznie przez Default Policy, jeśli różne grupy urządzeń mają różne wymagania.
• Udokumentować Tamper Protection i deinstalację jako osobne kroki cyklu życia.
• W razie potrzeby celowo unieważniać stare lub utracone instalatory.
• Usuwać urządzenia z Central dopiero po kontrolowanej deinstalacji i sprawdzeniu inwentarza.

Do zwykłej instalacji Windows Endpoint bez szczególnego pytania o XDR służy również artykuł Instalacja Sophos Fusion Endpoint w Windows. Późniejszą instalację lub usuwanie licencjonowanych komponentów opisuje Zarządzanie funkcjami Sophos Fusion Endpoint. Do planowanego wycofania służą Odinstalowanie Endpoint w Windows oraz szczególny przypadek odinstalowania z Tamper Protection.

Lista kontrolna

• Świadomie wybrano Agent Mode Endpoint, XDR albo XDR Sensor.
• Wyjaśniono ochronę innego dostawcy oraz współdziałanie albo zastąpienie.
• Potwierdzono obsługiwaną, zaktualizowaną wersję Windows i dostęp administracyjny.
• Udokumentowano tenant, licencję, grupę pilotażową i polityki.
• Sprawdzono sieć, proxy, DNS i ścieżkę HTTPS.
• Instalator powiązany z tenantem rozpowszechniono w sposób poufny.
• Skontrolowano lokalny stan ochrony, komponenty i aktualizacje.
• W Central sprawdzono urządzenie, grupę, policy, Agent Mode i Health.
• Wykonano restart i zamknięto alerty.
• Usunięto kopie instalatora albo unieważniono je w przypadku utraty.

Często zadawane pytania