Konfiguracja Sophos Endpoint Peripheral Control
Peripheral Control zarządza dostępem do urządzeń peryferyjnych i nośników wymiennych na urządzeniach Windows i macOS. Zacznij od monitorowania i włącz egzekwowanie ograniczeń po pilotażu, aby nie zablokować potrzebnego nośnika lub karty sieciowej.
Szybka ścieżka
Zaloguj się do Sophos Fusion i aktywuj zasadę w My Products > Endpoint > Policies. Najpierw wybierz Settings > Manage peripherals > Monitor but do not block (all peripherals will be allowed), zinwentaryzuj urządzenia i przygotuj wyjątki. Następnie wybierz Control access by peripheral type and add exemptions, skonfiguruj każdy typ i sprawdź zasadę w grupie pilotażowej.
Trzy tryby pracy
Zasada Peripheral Control ma trzy podstawowe stany:
| Tryb | Działanie |
|---|---|
| Disable peripheral control | urządzenia nie są monitorowane ani blokowane |
| Monitor but do not block (all peripherals will be allowed) | zezwolenie na wszystkie urządzenia i rejestrowanie wykrytych urządzeń |
| Control access by peripheral type and add exemptions | akcje według typu i mniej restrykcyjny dostęp dla wybranych urządzeń |
Typy urządzeń i akcje
Nie każda kategoria obsługuje Read Only. Bieżąca zasada oferuje:
- Bluetooth: Allow lub Block, tylko w Windows; w macOS Peripheral Control nie blokuje ani nie kontroluje Bluetooth.
- Camera: Allow lub Block; ta kategoria nie jest dostępna w macOS.
- Secure removable storage, Floppy Drive, Optical Drive i Removable storage: Allow, Read Only lub Block.
- Infrared, Modem i MTP/PTP: Allow lub Block. MTP/PTP obejmuje telefony, tablety, kamery i odtwarzacze multimedialne połączone przez Media Transfer Protocol lub Picture Transfer Protocol.
- Wireless: Allow, Block Bridged lub Block. Block Bridged zapobiega mostkowaniu dwóch sieci i nie generuje alertów ani zdarzeń blokady.
Zasada przetestowana w Windows nie stanowi automatycznie dowodu ochrony w macOS. Bluetooth i Camera wymagają osobnej walidacji w macOS.
⚠️ Najpierw zabezpieczyć dostęp sieciowy: przed blokowaniem Wireless lub Modem tworzy się wymagane wyjątki, testuje je na urządzeniu pilotażowym i zapewnia alternatywną ścieżkę dostępu. Zasada nie może usunąć jedynego połączenia potrzebnego do dostarczenia jej korekty.
Konfiguracja zasady
Otwórz My Products > Endpoint > Policies, utwórz lub edytuj zasadę, sprawdź jej aktywność i otwórz Settings. Podczas inwentaryzacji używaj trybu Monitor; tylko urządzenia wykryte na zarządzanych Endpointach lub serwerach przez zasadę w trybie monitorowania pojawią się przy tworzeniu wyjątków. Następnie włącz kontrolę według typu, zapisz i przetestuj. Zablokowana opcja pochodzi z ustawienia globalnego administratora Partner lub Enterprise i nie może zostać zastąpiona w tej zasadzie tenanta.
Prawidłowa identyfikacja wyjątków
Wyjątek można utworzyć za pomocą Model ID lub Instance ID. Wybór określa zakres działania:
- Model ID stosuje wyjątek do wszystkich urządzeń z tym samym identyfikatorem modelu;
- Instance ID dotyczy urządzeń z tym samym identyfikatorem instancji i zwykle ma węższy zakres.
Dla wrażliwych nośników Instance ID jest węższe i zwykle lepsze. Dla zatwierdzonej, standaryzowanej floty Model ID może być praktyczniejsze administracyjnie.
Dokładna ścieżka to Peripheral Exemptions > Add Exemptions: wybierz wykryte urządzenia, dostęp w kolumnie Policy, Model ID lub Instance ID w Enforce By, a następnie Add Exemption(s).
Jeśli wyjątek jest bardziej restrykcyjny niż ogólna reguła typu, Sophos go ignoruje i wyświetla obok ikonę ostrzeżenia. Wyjątki łagodzą regułę dla konkretnych urządzeń.
Przydatny pilotaż obejmuje jeden dozwolony i jeden zablokowany nośnik wymienny, urządzenie MTP/PTP oraz faktycznie używane urządzenia Bluetooth, Camera i sieciowe. Każdą skonfigurowaną kategorię należy sprawdzić dla oczekiwanego dostępu i oczekiwanej odmowy.
Desktop Messaging w Windows
Desktop Messaging jest domyślnie włączone i można je zmienić lub wyłączyć tylko dla Windows. Własny tekst uzupełnia komunikat standardowy; puste pole zachowuje komunikat standardowy. Wyłączenie usuwa wszystkie powiadomienia Peripheral Control z Endpointa.
Przydatne uzupełnienie komunikatu wskazuje sposób uzyskania zgody, na przykład: To urządzenie nie jest zatwierdzone. Utwórz zgłoszenie z nazwą urządzenia i celem jego użycia. Jest to zalecenie organizacyjne; tekst należy dostosować do własnego procesu wsparcia.
Walidacja i eksploatacja
Sprawdź urządzenie dozwolone, typ Read Only przez odczyt i kontrolowaną próbę zapisu, typ zablokowany oraz każdy wyjątek. Block Bridged sprawdź praktycznie, ponieważ nie generuje Block Alerts ani Events, i potwierdź dostępność Endpointa w Sophos Fusion.
Sprawdź także oczekiwany komunikat w Windows, gdy Desktop Messaging jest włączone.
W bieżącej eksploatacji wyjątki są regularnie porządkowane. Zgubione urządzenia USB, wycofane modele i tymczasowe zgody projektowe nie mogą pozostać bezterminowo. Dlatego zaleca się dokumentowanie celu, właściciela i terminu przeglądu każdego wyjątku w systemie zarządzania zmianami, zgodnie z procesem wewnętrznym. Te metadane są zaleceniem operacyjnym, a nie polami opisanej tutaj zasady Sophos.
Troubleshooting
Jeśli zatwierdzone urządzenie jest blokowane, porównaj wykryte Model ID lub Instance ID, akcję w Policy, Enforce By, ogólną akcję typu i obowiązującą zasadę.
Jeśli urządzenie niezatwierdzone nie jest blokowane, sprawdź, czy tryb Monitor jest nadal aktywny i czy nie obowiązuje zbyt szeroki wyjątek Model ID.
Jeśli opcja jest zablokowana, poproś administratora Partner lub Enterprise o sprawdzenie ustawienia globalnego. Jeśli Endpoint jest offline po blokadzie sieci, może być potrzebny fizyczny dostęp, aby lokalnie zastąpić zasadę i przywrócić połączenie.
Powiązane artykuły
Strategię pilotażową opisuje Praktyczne wdrażanie Sophos Endpoint Control Policies. Priorytet zasad opisuje Prawidłowe tworzenie polityk Sophos Fusion Endpoint.