Instalacja Sophos Fusion Endpoint na macOS

Sophos Fusion Endpoint zapewnia pełną ochronę Maca dopiero wtedy, gdy zainstalowano nie tylko agenta, lecz także zatwierdzono wymagane przez macOS rozszerzenia i uprawnienia prywatności. Ta instrukcja opisuje instalację ręczną, wyjaśnia wybór właściwego instalatora i pokazuje, jak następnie sprawdzić ochronę.

Pełną sekwencję wdrożenia na różnych platformach, obejmującą planowanie, wymagania wstępne i kolejność etapów, opisuje ścieżka wdrażania Sophos Endpoint.

Ważne: Pełnego Sophos Endpoint nie należy używać równolegle z innym programem antywirusowym. Wyjątkiem jest oddzielny XDR Sensor: jest przeznaczony do pracy obok istniejącego programu antywirusowego innej firmy, ale sam nie zapewnia ochrony przed złośliwym oprogramowaniem.

Przed instalacją

Przed pobraniem należy sprawdzić następujące wymagania:

wersja macOS zatwierdzona zgodnie z aktualnymi wymaganiami systemowymi i ograniczeniami cyklu życia
konto administratora Sophos Fusion (dawniej Sophos Central) z dostępem do instalatorów
lokalne uprawnienia administratora na Macu
dostęp do Internetu zgodny z wymaganiami sieciowymi i dotyczącymi serwera proxy dla Sophos Endpoint
brak innego aktywnego programu antywirusowego, jeśli ma zostać zainstalowany pełny Sophos Endpoint

Podczas migracji z innego rozwiązania endpoint jego usunięcie warto najpierw przetestować na kilku Macach. Pozwala to sprawdzić, czy nie pozostały stare rozszerzenia systemowe lub sieciowe, które mogłyby zakłócać działanie nowego agenta.

Przed instalacją należy sprawdzić aktualnie obsługiwane wersje macOS i agenta w macierzy zgodności aktualizowanej przez Sophos. Podlinkowany artykuł o cyklu życia wyjaśnia, jak interpretować te zmienne wymagania; ten poradnik celowo nie powiela stałej macierzy, ponieważ zmienia się ona niezależnie od procedury instalacji.

Pobieranie właściwego instalatora macOS

Zalogować się do Sophos Fusion Admin pod adresem fusion.sophos.com.
Otworzyć My Environment > Installers.
W sekcji Endpoint wybrać właściwy instalator macOS.
Pobrać SophosInstall.zip.

Sophos Fusion udostępnia kilka wariantów:

Download Complete macOS Installer: Instaluje produkty endpoint objęte licencjami na koncie Central.
Choose Components: Tworzy instalator zawierający tylko wybrane komponenty. Jest to przydatne, gdy na danym Macu nie ma być instalowany na przykład Device Encryption lub ZTNA.
XDR Sensor Installers: Instaluje wyłącznie XDR Sensor do wykrywania i analizy obok istniejącego programu antywirusowego innej firmy. Wymaga licencji obsługującej XDR; aktualnie obsługiwaną wersję macOS należy sprawdzić w wymaganiach systemowych. Ten sensor nie zastępuje programu antywirusowego.

W przypadku standardowego stanowiska w pełni chronionego przez Sophos odpowiedni jest zazwyczaj kompletny instalator. Opcję Choose Components należy wybrać, gdy planowana kombinacja produktów świadomie odbiega od zakresu licencji.

Ręczna instalacja Sophos Endpoint

Od macOS Monterey 12.4 plik SophosInstall.zip należy przed rozpakowaniem przenieść z folderu Downloads, Documents lub pulpitu do osobistego katalogu domowego. W przeciwnym razie instalator nie może prawidłowo utworzyć plików roboczych i instalacja kończy się niepowodzeniem.

Przykładowy katalog docelowy:

~/SophosInstall

Następnie:

Rozpakować plik ZIP w katalogu docelowym.
Uruchomić Sophos Installer.app.
Potwierdzić uwierzytelnienie administratora.
Dokończyć całą instalację.
Zatwierdzić rozszerzenia i uprawnienia Sophos wymagane przez macOS.

Instalator pobiera dodatkowe komponenty z Sophos Fusion. Samo pomyślne uruchomienie kreatora nie potwierdza więc jeszcze pełnej ochrony Maca.

Weryfikacja instalatora przed zastosowaniem wyjątku

Przed usunięciem atrybutu kwarantanny albo przyjęciem instalatora do dystrybucji oprogramowania należy sprawdzić jego notaryzację Apple i podpis:

spctl -a -t exec -vv ~/SophosInstall/Sophos\ Installer.app
codesign -vvvd ~/SophosInstall/Sophos\ Installer.app

Polecenie spctl musi zgłosić instalator jako zaakceptowany Notarized Developer ID. codesign musi potwierdzić, że bundle na dysku jest prawidłowy i spełnia Designated Requirement. W szczegółowym wyniku łańcuch podpisu powinien obejmować Developer ID Application: Sophos (2H5GFH3774), Apple Developer ID Certification Authority i Apple Root CA. Odmiennego lub odrzuconego wyniku nie wolno omijać przez Gatekeeper Bypass; należy pobrać nowy instalator bezpośrednio z własnego tenantu Central.

Instalacja w Terminalu

W celu nienadzorowanej instalacji Sophos Anti-Virus i Intercept X rozpakowany instalator można uruchomić w Terminalu:

cd ~/SophosInstall
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --quiet

Opcja --products antivirus intercept określa instalowane komponenty ochrony. --quiet ukrywa okno dialogowe instalacji, ale nie zastępuje wymaganych uprawnień macOS. Przed wdrożeniem należy sprawdzić nazwy produktów i opcje przy użyciu aktualnego instalatora na urządzeniu testowym.

Jeśli Mac ma zostać podczas instalacji bezpośrednio przypisany do grupy urządzeń Central, można podać tę grupę:

sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --devicegroup Firma\\Macs \
  --quiet

W przykładzie Firma\Macs jest istniejącą podgrupą Central. Podwójny ukośnik odwrotny sprawia, że powłoka prawidłowo przekazuje instalatorowi ścieżkę grupy.

Gdy macOS blokuje instalator

Kwarantanna, App Translocation i Folder Insecurity wymagają wyraźnych granic bezpieczeństwa. Runbook rozwiązywania problemów macOS prowadzi diagnostykę i wskazuje, kiedy przerwać i eskalować bez ogólnych zmian uprawnień.

Jeżeli Installer zgłasza inny ogólnosystemowy umask, nie należy w ciemno ustawiać dowolnej wartości. Systemowy umask wpływa na wszystkie pliki tworzone przez konta systemowe i może zaszkodzić bezpieczeństwu oraz aplikacjom. Po wykonaniu kopii zapasowej należy porównać odpowiedzialną konfigurację LaunchDaemon z obowiązującą baseline macOS; usunąć lub poprawić ją może tylko administrator, który ocenił wpływ na całe urządzenie.

Nadawanie uprawnień macOS

W zależności od zakresu produktu Sophos wymaga Security Extension, Network Extension, zgody na serwer proxy lub Web Content Filter, Full Disk Access oraz powiadomień. Jeśli brakuje jednej zgody, agent może być zainstalowany i widoczny w Central, lecz część ochrony może nie działać albo ostrzeżenia pozostaną niezauważone.

Sophos wyświetla powiadomienie, gdy brakuje uprawnienia. Open System Settings otwiera odpowiednie ustawienie macOS; komunikat należy zamknąć dopiero po nadaniu uprawnienia i sprawdzeniu go w Self Help.

Dokładny wygląd ustawień zależy od wersji macOS:

macOS 14 i starszy: Rozszerzenia systemowe Sophos są zatwierdzane w Privacy & Security.
macOS 15: Otworzyć System Settings > General > Login Items & Extensions. W sekcji Endpoint Security Extensions aktywować Sophos Detection.app, a w sekcji Network Extensions aktywować Sophos Network Extension.app.
macOS 26: W tym samym miejscu w sekcji By App aktywuj Security Extension aplikacji Sophos Detection i Network Extension aplikacji Sophos Network Extension.

Po aktywowaniu Network Extension macOS pyta, czy zezwolić aplikacji Sophos Network Extension na działanie jako sieciowy serwer proxy. Ten komunikat należy potwierdzić przyciskiem Allow, aby funkcje skanowania i ochrony WWW działały w pełnym zakresie.

Należy również zatwierdzić żądanie Web Content Filter i zezwolić na powiadomienia Sophos. Filtr jest częścią ochrony WWW, a powiadomienia pokazują ostrzeżenia o ochronie i uprawnieniach. Jeśli żądanie się nie pojawi, nie należy tworzyć ogólnego wyjątku macOS; brakujący wpis trzeba ustalić w Self Help.

Full Disk Access najpewniej można sprawdzić i przyznać za pośrednictwem Sophos Endpoint:

Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites

W sekcji Prerequisites Sophos pokazuje, którego uprawnienia brakuje, i prowadzi do odpowiedniego ustawienia macOS. Wymagane pozycje mogą się zmieniać wraz z agentem i zakresem licencji, dlatego ta kontrola jest bardziej wiarygodna niż statyczna lista.

Sophos Service Manager automatycznie sprawdza te uprawnienia mniej więcej co 30 minut. Po ręcznym nadaniu uprawnienia można go uruchomić ponownie, aby przyspieszyć kontrolę; nowy stan pojawia się po około 30 sekundach.

Sprawdzanie instalacji i ochrony

Po instalacji należy skontrolować trzy poziomy:

Lokalnie: W Endpoint Self Help > Prerequisites nie brakuje żadnych uprawnień.
Sophos Fusion: W My Environment > Computers & Servers Mac jest widoczny, ma aktualną komunikację z Central i nie ma czerwonego statusu Health.
Zakres ochrony: Na stronie szczegółów urządzenia aktywne są oczekiwane produkty i zasady.

Odbiór kończy się dopiero wtedy, gdy wszystkie trzy poziomy są poprawne. Zielony status Central sam nie dowodzi nadania wszystkich lokalnych zgód macOS, a bezbłędny lokalny Self Help nie potwierdza aktualnej komunikacji z Central. Na urządzeniu pilotażowym należy zapisać wariant instalatora, wersję agenta i czas udanej kontroli przed szerszym wdrożeniem.

Urządzenia nie należy przedwcześnie usuwać z Sophos Fusion. Usunięcie obiektu Central nie odinstalowuje agenta, ale może utrudnić standardowy dostęp do przypisanego do urządzenia hasła Tamper Protection. Dlatego najpierw należy kontrolowanie wyłączyć Tamper Protection, a następnie odinstalować agenta.

Jeśli Mac został już usunięty z Central, ponowne uruchomienie Installer nie rejestruje istniejącej instalacji. Traktuje ją jako Upgrade i zachowuje starą tożsamość urządzenia. Dla Endpoint 2024.1 i nowszych Sophos zaleca pełne odinstalowanie i ponowną instalację. Starsze instrukcje usuwające tylko do odczytu wpis Sophos z Keychain i używające wewnętrznych komend rejestracji nie dotyczą tych wersji.

Pełny obsługiwany proces wycofania opisuje artykuł Odinstalowanie Sophos Fusion Endpoint w macOS.

Sophos Fusion zwykle automatycznie rejestruje zalogowanych użytkowników. Ręczne przypisanie użytkownika lub licencji jest potrzebne przede wszystkim wtedy, gdy różne lokalne nazwy logowania utworzyły zduplikowane obiekty użytkowników.

Funkcjami doinstalowanymi później można zarządzać oddzielnie. Artykuł Instalowanie lub odinstalowywanie funkcji Sophos Endpoint opisuje ten proces.

Wdrażanie wielu Maców przez MDM

W przypadku wielu Maców nie należy zatwierdzać uprawnień, Web Content Filter i powiadomień osobno na każdym urządzeniu. Dedykowany przewodnik MDM opisuje aktualne profile Sophos, kolejność wdrażania profilu i instalatora oraz odbiór grupy pilotażowej.

Typowe problemy z instalacją

Jeśli instalacja, rejestracja Central, konfiguracja, uprawnienia lub aktualizacje nie kończą się powodzeniem, należy przejść do runbooka rozwiązywania problemów Sophos Endpoint w macOS. Obejmuje on zablokowane instalatory, błędy sieci i proxy, niepełne uprawnienia, decyzje o ponownej instalacji oraz eskalację. Dzięki temu naprawy pozostają oddzielone od zwykłej instalacji i odbioru.

Interpretacja Timestamp policy, strony System i ról procesów

Strona Policy pokazuje ostatnie odebranie policy Central i aktualizuje się automatycznie. W kontrolowanym teście należy minimalnie zmienić faktycznie przypisane ustawienie, zapisać je i sprawdzić ponownie po około 30 sekundach. Jeśli Timestamp się nie zmienia, najpierw zbadać Management Communication. Nieznany trzyliterowy skrót policy oznacza, że Self Help nie rozpoznaje odebranego typu; nie jest powodem do losowej zmiany innych policy.

Strona System zawiera wyłącznie informacje inwentaryzacyjne i nie wpływa na Health State. Domyślnie Central pobiera nazwę macOS z Sharing; bez powiązania z katalogiem lokalna nazwa komputera może pojawić się jako domena użytkownika. Inne nazwy ustawia się tylko przez udokumentowane overrides Installera, po czym sprawdza nowe lub zduplikowane obiekty.

W diagnostyce procesów należy oceniać role, nie tylko nazwy: SophosServiceManager monitoruje komponenty Agent, SophosMcsAgentD komunikuje się z Central, SophosUpdater aktualizuje, Sophos Network Extension przechwytuje sieć, SophosCryptoGuard chroni przed Ransomware, SophosOSQuery i SophosLiveQuery dostarczają dane zapytań, a SophosLiveResponse sesję uprzywilejowaną. Szyfrowanie używa osobnych procesów zalogowanego użytkownika i _sophosencryption. Brak procesu jest błędem tylko wtedy, gdy jego licencjonowana funkcja powinna być zainstalowana i aktywna.

Captive Portal w publicznej sieci Wi-Fi

Jeśli nie pojawia się logowanie hotelowej, pokładowej lub gościnnej sieci Wi-Fi, Endpoint Self Help > Captive Portal Mode może wstrzymać przechwytywanie sieci na najwyżej pięć minut. Tryb kończy się wcześniej po ręcznym wyłączeniu i nie wymaga hasła Tamper Protection. Służy tylko do logowania w portalu; potem ponownie sprawdza się ochronę i połączenie. Sophos od początku 2024 nie zgłasza kolejnych przypadków historycznego problemu Apple, ale zachowuje ten ograniczony tryb pomocniczy.

Pliki na udziałach SMB pozostają zablokowane

Jeśli pliki otwarte przez Mac pozostają chwilowo zablokowane na udziale SMB, zapisuje się wersję Agent, ścieżkę, aplikację i czas. Sama On-Access Exclusion nie musi zmienić zachowania. Sophos dokumentuje ograniczone obejście z tą samą ścieżką w wykluczeniach On-Access oraz CryptoGuard lub Ransomware. Usuwa to dwie warstwy ochrony, dlatego ocenia się udział, prawa zapisu i ochronę serwera. Globalne wyłączenie Real-time Scanning - Network jest szersze i nie jest zalecane.

Reset summary zeruje lokalny licznik wykryć. Nie usuwa Malware, Central Events ani Incident History. Należy użyć go dopiero po technicznym usunięciu problemu, aby pustego widoku lokalnego nie pomylić z rozwiązanym incydentem.

Inny program antywirusowy jest już zainstalowany

Aby uzyskać pełną ochronę Sophos, dotychczasowy program antywirusowy należy w kontrolowany sposób zmigrować i usunąć. Jeśli istniejąca ochrona ma pozostać, do takiej koegzystencji przeznaczony jest wyłącznie oddzielny XDR Sensor. Ponieważ nie zapewnia on własnej ochrony przed złośliwym oprogramowaniem, program antywirusowy innej firmy musi pozostać aktywny i działać prawidłowo.

Pojawia się lokalne konto `_Sophos`

Installer tworzy ograniczone konto usługi _Sophos. Nie ma interaktywnej Login Shell, nie należy do zwykłej grupy użytkowników i uruchamia procesy Sophos z mniejszymi uprawnieniami niż root. Nie jest więc obcym użytkownikiem i nie wolno go usuwać. Agent nie przechowuje ani nie używa automatycznie utworzonego hasła do logowania.

Często zadawane pytania

Dlaczego Mac jest widoczny w Central, ale status ochrony jest czerwony?

Instalacja i zgody bezpieczeństwa Apple to oddzielne kroki. W Endpoint Self Help należy sprawdzić brakujące System Extensions, Network Extensions i Full Disk Access.

Czy Sophos Endpoint może działać obok innego programu antywirusowego?

Do takiej koegzystencji przeznaczony jest XDR Sensor. Nie oferuje on własnej ochrony przed malware, dlatego produkt innego dostawcy musi pozostać aktywny i zdrowy.