Bezpieczne wdrażanie polityk kontroli Sophos Endpoint
Application Control, Peripheral Control, Web Control i Data Loss Prevention (DLP) uzupełniają ochronę przed malware o reguły operacyjne. Kontrolują jednak różne działania i nie są zamiennymi przełącznikami.
Bezpieczna metoda to: wybrać jedną kontrolę, zinwentaryzować użycie, przypisać osobną Policy pilotażową, przetestować przypadki dozwolone i zabronione, a dopiero potem rozszerzyć zakres. W razie zakłócenia jego przyczyna pozostaje jasna.
Która Policy pasuje do zadania?
| Policy | Kontroluje | Typowa decyzja |
|---|---|---|
| Application Control | znane, niekoniecznie szkodliwe aplikacje | zezwolić na narzędzie zdalne na urządzeniach IT, zablokować gdzie indziej |
| Peripheral Control | typy urządzeń i nośniki wymienne | ustawić USB tylko do odczytu i wykluczyć jedno zatwierdzone urządzenie |
| Web Control | kategorie, Site Lists i dostęp Web | ostrzegać przy streamingu i blokować kategorię ryzyka |
| Data Loss Prevention | treść, nazwę lub typ pliku podczas transferu | rejestrować, wymagać potwierdzenia lub blokować dane wrażliwe |
Żadna nie zastępuje Threat Protection. Aplikacja dozwolona przez Application Control nadal jest sprawdzana przez inne zabezpieczenia. DLP ocenia transfer, a nie obecność malware w pliku.
Przed pilotażem: określić zakres i wycofanie
Wszystkie cztery typy są zarządzane w My Products > Endpoint > Policies. Dla każdej funkcji Sophos Fusion (dawniej Sophos Central) stosuje pierwszą aktywną Policy, której zakres użytkownika lub komputera pasuje. Policies tego samego typu nie są łączone. Policy pilotażową należy umieścić nad ogólniejszą i przypisać tylko małej, jednoznacznie nazwanej grupie.
Przed egzekwowaniem zapisać:
- Cel biznesowy: co uniemożliwić i który legalny proces musi nadal działać.
- Cele: system, wersja agenta, grupa użytkowników lub komputerów i faktycznie skuteczna Policy.
- Testy: co najmniej jeden przypadek dozwolony i zabroniony dla każdej reguły lub kategorii.
- Sukces: oczekiwana akcja, zdarzenie w Sophos Fusion, komunikat i nieprzerwany dostęp do potrzebnych usług.
- Wycofanie: wyłączyć Policy lub usunąć przypisanie; dla urządzeń sieciowych zachować też dostęp lokalny lub alternatywny.
Skuteczną Policy sprawdza się na karcie Policies komputera. Sam widok konfiguracji na liście nie dowodzi, że dotarła do urządzenia.
Prawidłowo pilotować cztery kontrole
Application Control: wykrywać przed blokowaniem
Application Control używa katalogu Sophos. Do inwentaryzacji wybrać odpowiednie kategorie i aplikacje oraz początkowo włączyć tylko Detect controlled applications during scheduled and on-demand scans. Po co najmniej jednym planowanym skanie na każdym urządzeniu przejrzeć zdarzenia w Reports > Logs > Events.
Usunąć potrzebne aplikacje z kontrolowanego wyboru. Dopiero wtedy włączyć Detect controlled applications when users access them i Block the detected application dla pilota. New applications added to this category by Sophos automatycznie rozszerza zakres: nowy program w zablokowanej kategorii może zostać zablokowany bez kolejnej zmiany.
Peripheral Control: chronić dostęp sieciowy
Zacząć od Monitor but do not block (all peripherals will be allowed). Tylko wykryte tak urządzenia są dostępne dla wyjątków. Następnie wybrać Control access by peripheral type and add exemptions oraz Allow, Read Only, Block albo dla Wireless Block Bridged, jeśli kategoria obsługuje akcję.
Wyjątki są egzekwowane przez Model ID lub Instance ID. Model ID obejmuje wszystkie urządzenia modelu; Instance ID jest zwykle węższy i lepszy dla pojedynczego zatwierdzonego urządzenia.
⚠️ Nie blokować Wireless ani Modem bez przygotowania: można przerwać połączenie z Sophos Fusion. Najpierw wykluczyć potrzebne adaptery i przetestować alternatywny dostęp. Inaczej może być potrzebny dostęp fizyczny.
Windows i macOS nie obsługują tych samych typów. Peripheral Control nie blokuje Bluetooth w macOS, a Camera jest niedostępna. Odbiór Windows nie obejmuje automatycznie Maców.
Web Control: rozdzielić nowy model od Classic
Sophos Fusion oferuje Web Filtering Profiles i Classic Web Control. Profile są przeznaczone dla obsługiwanych endpointów Windows od Sophos Endpoint 2026.1. Starsze agenty Windows i macOS nadal używają Classic. Środowisko mieszane wymaga urządzeń testowych dla każdej używanej wersji.
Web Filtering Profile łączy kategorie i priorytetowe Site Lists. Classic używa między innymi własnych Tags z Website Management. Globalna Website Exclusion omija Web Control szerzej i nie zastępuje wąskiej decyzji Policy.
Przetestować kategorię dozwoloną, ostrzeganą i blokowaną oraz wyjątek Site List lub Tag. Strony ostrzegawcze nowego modelu wymagają HTTPS Decryption w skutecznej Policy Threat Protection. Jeśli ich brakuje, sprawdzić również zaufanie certyfikatów i HTTPS Decryption.
Data Loss Prevention: ocenić wykrywanie przed blokowaniem
Endpoint DLP składa się z Content Control Lists (CCLs), wielokrotnie używanych reguł DLP i przypisanej Policy. Content Rule sprawdza treść, File Rule nazwę lub typ. CCL SophosLabs i szablony regionalne są początkiem, nie gotową zgodnością.
W pierwszym pilocie użyć Allow file transfer. Trafienia są w Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Na Allow transfer if user confirms lub Block transfer przejść dopiero po dobrych testach pozytywnych i negatywnych. Przy wielu trafieniach Sophos stosuje najsurowszą akcję.
Content Rules czytają zawartość. Duże pliki i wiele kolejnych reguł mogą wydłużać transfer; File Rules po nazwie lub typie nie działają tak samo. Odbiór obejmuje typowe rozmiary, rzeczywiste aplikacje i odczuwalny czas transferu.
Rollout i odbiór
Funkcje wdrażać pojedynczo:
- Ustalić baseline: aplikacje i urządzenia, wymagania Web i wrażliwe przepływy.
- Zaprojektować: tylko uzasadnione kategorie, reguły i wyjątki; właściciel i termin przeglądu.
- Przypisać pilot: reprezentatywne osoby i urządzenia, ale mały odwracalny zakres.
- Test pozytywny i negatywny: dozwolony proces działa; zabroniony daje właściwe zdarzenie i akcję.
- Korygować pojedynczo: zmienić jedną regułę lub wyjątek, sprawdzić odbiór i powtórzyć test.
- Rozszerzać etapami: grupy dodawać po udokumentowanym odbiorze i okresowo przeglądać wyjątki.
Komunikaty krótko wyjaśniają kontrolę i proces wyjątku, bez ujawniania wrażliwych wzorców DLP lub mechanizmów wewnętrznych.
Gdy efekt nie pasuje do Policy
Sprawdzić kolejno:
- Czy właściwa Policy jest aktywna, przypisana i pierwsza pasująca?
- Czy karta Policies komputera pokazuje ją jako skuteczną?
- Czy system i agent obsługują funkcję lub model?
- Czy test dokładnie pasuje do aplikacji, identyfikatora, reguły Web, warunku DLP i transferu?
- Czy istnieje szerszy wyjątek lub w DLP inna, surowsza reguła?
- Czy pojawia się oczekiwane zdarzenie? Jeśli nie, poprawić zakres i warunki zamiast globalnie wyłączać ochronę.
Nie egzekwować funkcji równocześnie z kilkoma dużymi zmianami. Wtedy wpływu, wydajności i fałszywych alarmów nie da się przypisać jednej przyczynie.
Instrukcje szczegółowe
- Zrozumieć kolejność i zakres Endpoint Policies
- Konfiguracja Application Control
- Konfiguracja Peripheral Control
- Konfiguracja Web Control
- Konfiguracja Data Loss Prevention
- Zarządzanie Windows Firewall przez Sophos Fusion Endpoint