Konfiguracja Sophos Endpoint Application Control

Application Control ma zatrzymywać niepożądane lub ryzykowne oprogramowanie bez pochopnego uznawania każdej nieznanej aplikacji za malware. Sophos przypisuje znane programy do kategorii aplikacji. Polityka określa następnie, które z nich są dozwolone lub blokowane.

Bezpieczny początek to nie „blokować wszystko, co zbędne”, lecz wykrywać, analizować, pilotować i dopiero potem blokować. Dzięki temu narzędzia zdalnego wsparcia, administracji lub współpracy są widoczne, zanim blokada przerwie procesy biznesowe.

Application Control nie jest ochroną przed malware

Threat Protection wykrywa szkodliwe pliki i zachowania. Application Control egzekwuje decyzję operacyjną dotyczącą zasadniczo znanych aplikacji. Narzędzie Remote Administration może być uzasadnione dla wsparcia, a niepożądane na zwykłej stacji. Ogólny przełącznik nie zastąpi tej oceny.

Zezwolenie w Application Control nie oznacza również, że Sophos przestaje sprawdzać aplikację pod kątem malware, exploitów, ransomware lub szkodliwych zachowań. Prawdziwego False Positive nie należy maskować szerokim wyjątkiem Application Control.

Najpierw wykrywanie

Należy zalogować się do Sophos Fusion. W My Products > Endpoint > Policies utworzyć lub otworzyć politykę Application Control. Polityka musi być włączona na karcie Settings. Dla wiarygodnej inwentaryzacji Sophos zaleca następującą procedurę:

1. W Controlled Applications kliknąć Add/Edit List.
2. Otworzyć właściwą kategorię, najpierw wybrać Select all applications, a następnie zatwierdzić przez Save to List. Powtórzyć dla wszystkich kategorii objętych inwentaryzacją.
3. W Detection Options włączyć tylko Detect controlled applications during scheduled and on-demand scans. Application Control używa zaplanowanych skanów i typów plików z ustawień Threat Protection.
4. Poczekać, aż wszystkie komputery wykonają co najmniej jeden zaplanowany skan.
5. W Reports > Logs > Events odznaczyć wszystkie typy zdarzeń poza Application Control i ocenić wykryte aplikacje.

Znaczenie ma nie tylko nazwa aplikacji, lecz także urządzenie, użytkownik, czas i cel biznesowy. Aplikacja uzasadniona na urządzeniu administracji IT może być niepożądana na wszystkich innych endpointach.

Kategorie i pojedyncze aplikacje

Sophos zarządza programami w kategoriach. Blokowanie całej kategorii jest wygodne, ale ma szerszy zakres. Gdy produkty w tej samej kategorii wymagają różnych decyzji, kategorię otwiera się i doprecyzowuje ustawienia na poziomie aplikacji.

Utrzymywalny model zwykle opiera się na niewielkiej liczbie decyzji:

Polityki nie wypełnia się wieloma prewencyjnymi wyjątkami dla pojedynczych aplikacji. Każde odstępstwo otrzymuje odpowiedzialną osobę i zrozumiałe uzasadnienie.

Nie traktować oddzielnie Protected Browser i Island Browser

Sophos Protected Browser i Island Enterprise Browser współdzielą podstawowe pliki binarne, dlatego Sophos Endpoint może wykrywać oba tą samą sygnaturą. Decyzja Application Control dla Island Browser może objąć także Sophos Protected Browser; niezawodne oddzielne dopuszczenie nie jest gwarantowane. Nakładanie dotyczy też wykrywania przeglądarek przez DLP. Przy Workspace Protection testuje się razem Application Control i Endpoint DLP, dokumentując granicę produktów.

Blokowanie w grupie pilotażowej

Po analizie ponownie otwiera się Add/Edit List i odznacza aplikacje, które mają pozostać dozwolone. Pozostałe wpisy nadal podlegają kontroli. W Detection Options włącza się Detect controlled applications when users access them oraz Block the detected application, po czym zapisuje politykę.

Pierwsza blokująca polityka trafia do małej grupy komputerów z typowymi użytkownikami, ważnymi aplikacjami i co najmniej jedną stacją IT. Na urządzeniu w Policies sprawdza się, czy faktycznie obowiązuje właściwa polityka Application Control.

Podczas pilotażu sprawdza się:

• oczekiwana aplikacja jest blokowana i tworzy zdarzenie;
• dozwolone aplikacje nadal się uruchamiają;
• użytkownik Windows otrzymuje skonfigurowany komunikat Desktop;
• Helpdesk zna aplikację, regułę i proces zatwierdzania;
• wykrywane są próby obejścia przez programy Portable lub o zmienionej nazwie.

Desktop Messaging jest domyślnie włączony. Własny tekst uzupełnia komunikat standardowy; puste pole pozostawia tylko komunikat standardowy. Według Sophos funkcję można zmienić lub wyłączyć tylko w Windows. Na innych platformach proces nie może zależeć od identycznego okna.

Blokowanie hostów skryptów dopiero po inwentaryzacji

W Programming / Scripting tool Application Control może kontrolować na przykład Microsoft WSH WScript. Tworzy to barierę dla złośliwych JavaScript, ale blokuje też prawidłowe skrypty logowania, administracji lub aplikacji. Najpierw inwentaryzuje się host skryptów w trybie wykrywania, a blokuje tylko dla właściwych grup urządzeń. Nie zastępuje to AMSI ani Threat Protection. Nie jest to również ogólna procedura usuwania malware.

Automatyczna obsługa nowych aplikacji

Sophos może automatycznie obejmować nowe aplikacje w kontrolowanej kategorii. Utrzymuje to aktualność, ale poszerza automatyczny zakres. W przypadku zablokowanej kategorii nowo sklasyfikowany produkt potrzebny do pracy może zostać w ten sposób zablokowany bez osobnego zatwierdzenia.

Sophos oznacza New applications added to this category by Sophos jako opcję i ostrzega, aby nie włączać jej bez starannego rozważenia. Należy jej używać tylko wtedy, gdy nowe pozycje katalogu w tej kategorii mają być świadomie obejmowane automatyczną kontrolą. Wygoda aktualnej listy nie zastępuje kontroli zmian; przy zablokowanych kategoriach okresowy przegląd i następnie pilotaż są zwykle łatwiejsze do kontrolowania.

Nowa kategoria GenAI

Sophos umieszcza obecnie aplikacje z generatywną AI w kategorii GenAI. Zależnie od platformy obejmuje ona między innymi klienty komputerowe, modele lokalne, asystentów programowania i narzędzia do tworzenia treści. Istniejące programy, takie jak Cursor, Microsoft Copilot, Ollama, Perplexity lub Windsurf, zostały przeniesione do niej z wcześniejszych kategorii.

Według Sophos reklasyfikacja nie zmienia dotychczasowego stanu Allow lub Block. Zmienia jednak miejsce, w którym aplikacja będzie w przyszłości widoczna w raportach i podczas obsługi polityk. Dlatego po aktualizacji katalogu należy ponownie zinwentaryzować kategorię GenAI. Ogólna blokada nie zastępuje zasad dotyczących usług przeglądarkowych, klasyfikacji danych i dozwolonych biznesowych aplikacji AI.

Stan katalogu z 18 sierpnia 2026: Application Control 6.27

Aktualizację danych 6.27 wdrożono 18 sierpnia 2026; powiązany komunikat opublikowano 19 sierpnia 2026. Ten stan uzupełnia powyższą ocenę GenAI, ale nie jest pełną listą aplikacji ani potwierdzeniem dla późniejszych wydań. Przy utrzymaniu polityk istotne są na przykład następujące wpisy:

• Weryfikacja w Windows: GitHub Copilot, Zed AI i Warp Terminal figurują jako GenAI na pierwszej liście katalogu w komunikacie. Lista nie ma własnego nagłówka wskazującego platformę; wpisy są więc kandydatami do weryfikacji w pilotażu Windows, a nie ogólnym potwierdzeniem dla każdej wersji Windows lub wariantu programu.
• macOS: GitHub Copilot, Zed AI i Warp Terminal są też wyraźnie wymienione jako GenAI w oddzielnej sekcji macOS. Przypisanie do macOS weryfikuje się niezależnie od pierwszej listy; wpis na jednej platformie nie oznacza identycznego wykrywania na drugiej.

Ponadto zmieniono nazwę Notion Desktop App na Notion AI i przeniesiono aplikację z BusinessIntelligenceTool do GenAI. Podczas inwentaryzacji należy więc szukać także poprzedniej nazwy i porównać dotychczasową decyzję o zezwoleniu lub blokadzie z nowym wpisem. Sama reklasyfikacja nie uzasadnia zastąpienia istniejącego zezwolenia blokadą kategorii bez wcześniejszej weryfikacji.

Publikacja przebiega w dwóch etapach: nowe wpisy mogą być widoczne w interfejsie zarządzania już 24 do 48 godzin przed wydaniem danych identyfikacyjnych do wykrywania. Dopiero to wydanie dostarcza dane wykrywania aplikacji. W przypadku właśnie opublikowanych wpisów należy zatem odczekać ten okres przed oceną działania Allow/Block. Widoczny wpis lub zapisane ustawienie nie dowodzi jeszcze skutecznej kontroli na endpoincie; ten okres nie gwarantuje też, że po jego zakończeniu każde urządzenie będzie już zaktualizowane.

Dla tej zmiany katalogu należy przeprowadzić istniejący pilotaż oddzielnie na urządzeniu Windows i urządzeniu macOS, z rzeczywiście używaną wersją aplikacji:

1. Przed zmianą udokumentować efektywną politykę Application Control, poprzedni wpis i jego stan kontroli oraz New applications added to this category by Sophos. Jeśli ta opcja jest aktywna dla kategorii i włączono Block the detected application, nowo dodane aplikacje są automatycznie blokowane. Jeśli nie jest to zamierzone, wyłączyć opcję kategorii przed wdrożeniem; nie spowoduje to automatycznego zezwolenia na już kontrolowane wpisy.
2. Po upływie okresu publikacji i pomyślnej aktualizacji endpointa sprawdzić w Policies efektywną politykę pilotażową. Najpierw przeskanować aplikację w dotychczasowym trybie wykrywania i poszukać oczekiwanego wpisu w Reports > Logs > Events, używając filtra Application Control. W przypadku Notion porównać nazwę Notion AI z poprzednią decyzją. W dokumentacji weryfikacji zapisać nazwę urządzenia, system operacyjny, wersję aplikacji i czas.
3. Włączyć zamierzoną blokadę tylko w grupie pilotażowej, sprawdzić dostarczenie polityki i ponownie otworzyć aplikację. Test jest udany, gdy wybrana aplikacja jest blokowana, istnieje odpowiednie zdarzenie, a celowo dozwolona aplikacja porównawcza nadal działa. W macOS nie należy zakładać takiego samego komunikatu na pulpicie jak w Windows.
4. Jeśli brakuje wykrywania lub blokady, najpierw sprawdzić przypisanie polityki, aktualizację endpointa, wersję aplikacji i rzeczywisty proces. Nie blokować zamiast tego całej kategorii GenAI bez rozróżnienia na wszystkich urządzeniach. Aby wycofać zmianę, przywrócić udokumentowany stan kontroli danej aplikacji w polityce pilotażowej, zapisać ją, poczekać na jej dostarczenie i ponownie przetestować uruchomienie. Przywrócić poprzednią wartość opcji kategorii tylko wtedy, gdy ponownie pożądana jest także automatyczna obsługa nowych wpisów.

Stan katalogu na 6 października 2026 r.: Application Control 6.28

Aktualizację danych 6.28 wdrożono 6 października 2026 r.; potwierdza to komunikat końcowy z 7 października 2026 r. Zapowiedź z 25 września opisywała jedynie planowany stan. Przy przeglądzie inwentarza liczy się lista końcowa, a nie zapowiedź:

• Pierwsza lista, bez własnego nagłówka platformy, obejmuje na przykład ToDesk, Gorelo i TiFlux Agent jako RemMan oraz Google Antigravity IDE i Google Antigravity CLI jako GenAI. W porównaniu z zapowiedzią dodano tam Claude Science i Taskade Agent, oba jako GenAI. Lista ta nie jest macierzą wyraźnie oznaczoną jako zgodność z Windows; należy sprawdzać tylko rzeczywiście używane programy i warianty.
• Wyraźnie oddzielona sekcja macOS obejmuje między innymi Claude Science, Taskade Agent i Google Antigravity IDE jako GenAI. Wpisy te były tam już w zapowiedzi. Dodatki do pierwszej listy nie są więc zarazem nowymi dodatkami macOS; wykrywanie i działanie polityki sprawdza się dla każdej platformy osobno.

Ponadto Google Antigravity przechodzi z ProgrammingScriptTool do GenAI. Otter AI Assistant nazywa się teraz Otter i przechodzi z SystemTool do GenAI. Dynalist Obsidian staje się Obsidian, nadal w DocumentViewer. W raportach i podczas utrzymania polityk trzeba zatem szukać zarówno starych, jak i nowych nazw. Wcześniejsze stwierdzenie o zachowaniu stanu kontroli przy wprowadzeniu GenAI nie jest wyraźną gwarancją dla tych październikowych zmian: rzeczywisty stan Allow/Block każdego objętego wpisu należy porównać z poprzednim zapisem.

Dla objętych zmianą, już obecnych aplikacji także w wersji 6.28 obowiązuje opisana wyżej procedura z wykrywaniem, pilotażem dla danej platformy i ograniczonym wycofaniem zmiany. Przed zmianą polityki należy sprawdzić zwłaszcza automatykę kategorii i Block the detected application: jeśli oba ustawienia są aktywne, nowe wpisy mogą być automatycznie blokowane. 24 do 48 godzin między wpisem w konsoli a wydaniem danych identyfikacyjnych pozostaje oknem publikacji, a nie gwarancją aktualizacji każdego urządzenia. Dodanie do katalogu nie jest ani oceną programu jako malware, ani zaleceniem zablokowania wszystkich wymienionych aplikacji.

Gdy brakuje aplikacji

Nie każde oprogramowanie jest od razu w katalogu Sophos. Na dole Settings opcja Application Control Request otwiera oficjalny wniosek. Przed klasyfikacją Sophos nie należy wymyślać kategorii ani sygnatury imitującej katalog.

⚠️ Ogólny wyjątek Threat Protection nie zastępuje brakującego wpisu Application Control. Mechanizmy rozwiązują inne zadania.

Rozwiązywanie problemów

Jeśli aplikacja nie jest blokowana, sprawdza się faktycznie obowiązującą politykę, grupę docelową i kolejność, a następnie wersję, faktyczny proces i czas ostatniej aktualizacji agenta. Wpis w katalogu nie oznacza identycznego wykrywania każdej wersji lub launchera.

Jeśli blokowana jest potrzebna aplikacja, politykę koryguje się na poziomie aplikacji i zapisuje ponownie. Nie trzeba globalnie wyłączać Application Control. Potem sprawdza się dostarczenie zaktualizowanej polityki.

Powiązane artykuły

Kolejność polityk i ich rzeczywiste przypisanie opisuje Prawidłowe tworzenie polityk Sophos Fusion Endpoint. Bezpieczny rollout funkcji kontrolnych opisuje Praktyczne wdrażanie Sophos Endpoint Control Policies.

Częste pytania

Aktualny katalog aplikacji

Przed zmianą polityki sprawdź w aktualnym katalogu kontrolowanych aplikacji Sophos, czy daną aplikację można obecnie kontrolować i do jakiej kategorii przypisuje ją Sophos. Producent stale dodaje do katalogu aplikacje i nowe klasyfikacje.