Zarządzanie urządzeniami i grupami Sophos Endpoint

Grupy komputerów zapewniają politykom Endpoint stabilny cel. Nie rozwiązują jednak wszystkich kwestii spisu ani tożsamości: tagi i ogólne działania należą do wspólnej platformy Central, a grupy użytkowników mają odrębny model tożsamości.

Szybki przebieg: zdefiniować model, utworzyć grupę w My Products > Endpoint > Computers > Computer Groups, przypisać komputery, a następnie sprawdzić faktycznie stosowane polityki na grupie i urządzeniach pilotażowych. Przed usuwaniem, porządkowaniem lub migracją osobno ustalić lifecycle.

Ważne: komputer może należeć tylko do jednej grupy. Tagi dodają elastyczne cechy, a Agent Mode opisuje zakres oprogramowania. Poziomy te nie są zamienne.

Oddzielenie grup Endpoint od funkcji platformy

Wspólny widok My Environment > Computers & Servers jest podstawą filtrów, kolumn, tagów, Tamper Protection, oprogramowania, Health Reset i ogólnego usuwania. Zarządzanie spisem urządzeń Sophos Fusion opisuje ten proces bez powielania go tutaj.

Sophos zastępuje starszą stronę My Products > Endpoint > Computers tym wspólnym widokiem. W okresie przejściowym tenant może nadal wyświetlać starszą stronę, która pozostaje też ścieżką do Computer Groups; dlatego poniższe procedury dotyczące grup używają tej ścieżki.

Użytkownicy, loginy i grupy użytkowników są osobnymi obiektami. Prawidłowe przypisywanie użytkowników i grup Sophos Fusion Endpoint wyjaśnia, czy polityka ma podążać za osobą czy urządzeniem oraz jak działa kolejność. Ten artykuł dotyczy grup komputerów i ich lifecycle Endpoint.

Model grup przed wdrożeniem

Grupy komputerów powinny odzwierciedlać rzeczywiście różne wymagania: urządzenia pilotażowe, stanowiska standardowe lub krytyczne, kiosk/produkcję i pulpity nieutrwalane. Działy mają sens tylko, gdy wymagają innych polityk.

1. Otworzyć My Products > Endpoint > Computers i wybrać Computer Groups.
2. Kliknąć Add Computer Group.
3. Wpisać jednoznaczną nazwę i krótki opis.
4. Przypisać tylko zamierzone komputery i zapisać.

Ponowne przypisanie usuwa komputer z poprzedniej grupy. Aby edytować, otworzyć nazwę grupy, wybrać Edit, zmienić Assigned Computers i zapisać. Delete usuwa grupę, nie komputery. Przed zmianą masową udokumentować stare i nowe przypisania oraz rozpocząć od pilotów.

Tagi dla elastycznych cech

Tagi dodają cechy takie jak owner=finance, site=zuerich, criticality=high czy lifecycle=pilot. Urządzenie może mieć najwyżej 15 tagów, a do pięciu można przypiąć na wspólnej liście. Pomagają filtrować, lecz nie sterują członkostwem grupy. Spis urządzeń Central opisuje ich tworzenie, kontrolę i usuwanie.

Kontrola przypisania polityk

1. Otworzyć grupę w My Products > Endpoint > Computers > Computer Groups.
2. Wybrać Policies i sprawdzić włączone, stosowane polityki.
3. W razie potrzeby otworzyć politykę. Edycja wpływa na wszystkich przypisanych użytkowników i grupy, więc przed zapisem sprawdzić zakres i kolejność.
4. Otworzyć urządzenie pilotażowe w My Environment > Computers & Servers i porównać w Policies politykę efektywną każdego typu.
5. Skorygować cel lub kolejność i sprawdzić po kolejnym kontakcie z Central.

Typ celu nie ma automatycznego priorytetu: przy pasujących politykach użytkownika i komputera tego samego typu decyduje kolejność. Zobacz Prawidłowe tworzenie polityk Sophos Fusion Endpoint.

Interpretacja Agent Mode i stanu urządzenia

Endpoint, XDR i XDR Sensor oznaczają różny zakres; XDR Sensor nie zawiera ochrony Sophos przed malware. Summary pokazuje zakres i grupę, Status oceny Health, a Policies polityki efektywne. Spis urządzeń Central opisuje kolumny, filtry i działania programowe.

Analiza nieaktywnych urządzeń

Nieaktywny rekord jest sygnałem, a nie poleceniem usunięcia. Najpierw trzeba ustalić przyczynę:

• urządzenie wycofano lub wymieniono,
• użytkownik jest długo nieobecny,
• agent, proxy lub sieć nie działa,
• komputer sklonowano ze starego obrazu,
• urządzenie należy do laboratorium, VDI lub jest Update Cache.

Nowy widok pokazuje też urządzenia nieaktywne ponad 30 dni. W starszych listach Endpoint może być potrzebny filtr Not online recently.

Last Active jest aktualizowane średnio tylko raz na godzinę. Event może więc mieć nowszy znacznik czasu niż widoczna wartość Last Active. Nie oznacza to automatycznie błędu danych.

Ten sam opóźniony model aktualizacji dotyczy Online i Last Activity. Po zalogowaniu nowego użytkownika Central może już przypisać urządzenie do niego, podczas gdy znaczniki czasu przez około godzinę nadal pokazują poprzedni stan. Jeśli urządzenie następnie przejdzie offline, korekta trwa odpowiednio dłużej.

W Computer Report Online i Last User nie oznaczają tego samego: Online bazuje na ostatnim przetworzonym komunikacie stanu. Last User zmienia się dopiero, gdy inne unikalne konto użytkownika po raz pierwszy zaloguje się do urządzenia. Bardzo stara wartość Last User nie dowodzi więc, że Endpoint jest offline od tej daty.

Automatyczne porządkowanie

W Global Settings > Products and Services > Endpoint and Server > Removal of Inactive Devices można tworzyć oddzielne reguły dla Endpoints i serwerów.

Sophos rozróżnia Targeted rules dla grup oraz Global rule dla pozostałych. Termin globalny musi być dłuższy od terminów reguł celowanych. Update Caches, Message Relays i rzadko uruchamiane systemy należy umieścić w wyłączonych grupach.

Można utworzyć dwie Targeted Rules. Z Global Rule można wykluczyć najwyżej cztery grupy; Subgroups liczą się osobno i nie są automatycznie wykluczane. Sophos sprawdza reguły codziennie o północy w regionie danych tenant.

Klienci MSP i Marketplace muszą ustawić co najmniej 31 dni nieaktywności. Dla klonów VDI utworzonych z --nonpersistent można włączyć Permanently remove VDI desktops; późniejsze Restore nie jest możliwe. Gold Image Master nie jest usuwany przez te reguły.

Usunięte urządzenia pozostają 120 dni w Recovery Report. Przez pierwsze 30 dni można je przywrócić. Update Cache i Message Relay nie są przywracane.

Usunięcie nie jest lokalną deinstalacją: Reguła usuwa rekord z Central. Wcześniej trzeba ustalić sposób obsługi oprogramowania Sophos na urządzeniu.

Rozróżnienie automatycznego porządkowania i Delete

Reguła automatyczna usuwa nieaktywne urządzenia z zarządzania, lecz nie odinstalowuje lokalnego oprogramowania Sophos. Na wspieranych aktualnych systemach Windows z Core Agent 2023.2 lub nowszym Delete i wygaśnięcie licencji uruchamiają udokumentowany back-off: Tamper Protection i komponenty ochrony są usuwane, ale Sophos Endpoint Agent nadal wymaga lokalnej deinstalacji.

Recovery Report i hasło Tamper Protection są dostępne 120 dni; przywrócenie jest możliwe przez pierwsze 30. Update Cache i Message Relay nie są przywracane. Zobacz Odinstalowanie Sophos Fusion Endpoint w Windows oraz spis urządzeń Central.

Nie mylić migracji ze zmianą grupy

Change group przenosi obiekt w tym samym tenant. Przeniesienie do innego tenant to Device Migration przez API z osobnymi jobs odbiorczym i wysyłającym. Urządzenia czekają do 14 dni; stale offline trzeba potem ponownie umieścić w kolejce. Zobacz Migracja urządzeń Sophos Endpoint między tenantami Central.

Prawidłowa obsługa zduplikowanych urządzeń

Każda instalacja Sophos otrzymuje podczas rejestracji unikalny Device ID. Jeśli już zarejestrowany system zostanie sklonowany bez przygotowania, wiele Endpointów może używać tego samego ID. Central początkowo pokazuje tylko jeden obiekt urządzenia, który jest przez nie naprzemiennie nadpisywany. Automatic Duplicate Detection rozpoznaje ten wzorzec w Windows, macOS i Linux, ponownie rejestruje objęte urządzenia i tworzy dodatkowe obiekty.

Ponownie zarejestrowane urządzenie dziedziczy grupę, Policies i przypisanie produktów obiektu pierwotnego. Po Deduplication wartości te należy sprawdzić, ponieważ odziedziczone przypisanie może nie pasować do każdego klonu.

Central zgłasza ten wzorzec w trzech miejscach: na Dashboard pojawia się Alert Duplicate device detection; w zakładce Events urządzenia widnieją Device has been detected as a duplicate device oraz, po ponownej rejestracji, Device has been de-duplicated from: <DEVICENAME>. Administratorzy otrzymują też e-mail z tematem [Medium] Alert for Sophos Central: We’ve detected a cloned device.

Alert Device has been detected as a duplicate device nie nakazuje natychmiastowego usunięcia oznaczonego rekordu. Inne klony z tym samym ID mogą nadal potrzebować obiektu pierwotnego. Jeśli zostanie usunięty za wcześnie, przestaną komunikować się z Central i będą wymagały ponownej instalacji. Sophos zaleca zachować oznaczony obiekt pierwotny przez co najmniej dwa tygodnie, chyba że wszystkie objęte systemy ustalono bez wątpliwości.

Dlatego przy usuwaniu tego rekordu pierwotnego Central wyświetla dodatkowe pole potwierdzenia. Należy je zaznaczyć i kontynuować dopiero po upewnieniu się, że żadne inne urządzenie nie próbuje komunikować się za pomocą ID oznaczonego do Deduplication.

Bezpieczny przebieg:

1. Sprawdzić Alert i Events objętego urządzenia.
2. Wyszukać nazwę i porównać aktywne oraz starsze rekordy według Last Active.
3. Sprawdzić grupę, Policies i przypisanie produktów nowego obiektu.
4. Usunąć przyczynę w Deployment, Gold Image lub Snapshot.
5. Usunąć dopiero, gdy wszystkie systemy ze starym ID są znane i żaden nie komunikuje się już za jego pomocą.

W niepersistentnych środowiskach VDI każdy nowy klon lub powrót do Snapshot może spowodować kolejną rejestrację. Dodatkowe obiekty nie muszą więc oznaczać nowego błędu Deduplication. Gold Image przygotowuje się wspieraną metodą opisaną w Wdrażanie Sophos Fusion Endpoint dla VDI i Gold Images.

Nawet przy prawidłowo przygotowanym obrazie każda nowo utworzona VM zgodnie z oczekiwaniem tworzy nowy obiekt urządzenia w Central; przywrócenie istniejącej VM do Snapshot nie powinno natomiast wywołać Deduplication po zastosowaniu wspieranej procedury. Procedurę tę trzeba wykonać przed każdym nowym lub zaktualizowanym Gold Image. W przeciwnym razie obraz może zarejestrować się ponownie, otrzymać ID i przekazać ten wspólny ID wszystkim późniejszym klonom.

Instancje AWS i maszyny wirtualne Azure również przechodzą tę detekcję. Rekord instancji lub VM może tymczasowo pozostawać niepołączony z rekordem serwera; Central traktuje wtedy urządzenie jak zwykły serwer. Późniejsza rejestracja łączy je z nowym rekordem serwera. Windows Server z aktywnym Server Lockdown jest wyłączony z Deduplication. Urządzenia o tym samym ID, ale różnych systemach operacyjnych są wykrywane jako duplikaty, lecz nie są automatycznie rejestrowane ponownie. Powtarzające się Alerts rozwiązuje się w źródle obrazu i rejestracji, zamiast ukrywać je ciągłym usuwaniem.

Ważne: Central nie naprawi przypadkowego usunięcia współdzielonego obiektu pierwotnego dla klonów, które już nie komunikują się. Pozostaje wtedy ponowna instalacja Sophos Agent.

Prawidłowa interpretacja restartów

Pierwsza instalacja lub usunięcie konkurencyjnego produktu może wymagać restartu. Product Updates często nie wymagają go natychmiast. Jeśli urządzenie nie było restartowane przez miesiące, dwa kolejne stany Update mogą wymagać po jednym restarcie. Sophos zaleca wtedy około 20 minut między cyklami, aby pierwszy Update został ukończony.

Stare Windows i macOS Alerts są po 90 dniach usuwane z widoku szczegółowego. Czerwony Health State może pozostać do usunięcia przyczyny i resetu. Brak starego Alert nie dowodzi naprawy.

Miesięczna kontrola operacyjna

Krótka comiesięczna kontrola zapobiega gromadzeniu się martwych pól:

1. Filtrować nieaktywne urządzenia i ustalić właściciela.
2. Obsługiwać problemy Health według przyczyny, nie koloru.
3. Sprawdzać Product unassigned, Upgrade available i urządzenia nieobsługiwane.
4. Uzasadniać i korygować Tamper Protection Off.
5. Porządkować komputery bez grupy lub ze złymi tagami.
6. Wyłączać Update Caches, Message Relays i Golden Images VDI z reguł usuwania.
7. Kontrolowanie odinstalowywać, a potem usuwać zbędne urządzenia.

Często zadawane pytania