Planowanie i rozwiązywanie problemów ze skanami Sophos Endpoint
Real-time Scanning pozostaje podstawową kontrolą ciągłą: sprawdza pliki podczas ich otwierania lub modyfikowania. Skan zaplanowany albo uruchomiony ręcznie bada dane już zapisane. Jest szczególnie przydatny do starszych, rzadko używanych plików oraz w ukierunkowanym dochodzeniu bezpieczeństwa. Codzienne pełne skanowanie wszystkich urządzeń nie zastępuje ochrony w czasie rzeczywistym i może niepotrzebnie obciążać systemy.
Należy rozróżnić dwa procesy. Scheduled Scanning konfiguruje się na stałe w Threat Protection Policy, natomiast Scan wysyła jednorazowe żądanie do jednego komputera. Akcja w Fusion nie udostępnia wyboru Quick Scan, Full Scan, folderu ani dysku. Jeśli w systemie Windows potrzebny jest precyzyjny zakres lub wyniki do automatycznego przetwarzania, użyj Sophos Endpoint Scan CLI, zamiast powielać tutaj szczegóły poleceń.
Sprawdź wymagania wstępne
- Komputer jest widoczny w My Environment > Computers & Servers, a agent Sophos Endpoint komunikuje się z Fusion. Stara wartość Last active oznacza przede wszystkim problem z komunikacją, a nie błąd skanowania.
- Harmonogram wymaga włączonej Threat Protection Policy, która obejmuje właściwą grupę komputerów. W razie potrzeby sprawdź przypisanie i priorytet w przewodniku po policy Sophos Fusion Endpoint.
- Harmonogram używa czasu lokalnego komputera endpoint, a nie UTC ani strefy czasowej administratora.
- Scheduled Scanning działa tylko wtedy, gdy komputer jest online o zaplanowanej porze. Pominięty skan nie jest nadrabiany. Natomiast skan on-demand zlecony w Fusion, gdy komputer jest offline, uruchamia się po jego ponownym połączeniu.
- Akcja Scan w Fusion jest niedostępna na urządzeniach korzystających z Sophos XDR Sensor.
Skonfiguruj Scheduled Scanning w policy
Dokładna aktualna angielska ścieżka w Fusion to My Products > Endpoint > Policies.
- Utwórz policy Threat Protection albo otwórz istniejącą policy dla grupy pilotażowej.
- Otwórz Settings i upewnij się, że policy jest włączona.
- Znajdź Scheduled Scanning i włącz Enable scheduled scan.
- Wybierz godzinę oraz co najmniej jeden dzień. Ustal porę, w której urządzenia pilotażowe będą prawdopodobnie włączone, ale nie będą intensywnie używane.
- Włącz Enable deep scanning tylko w konkretnym celu. Opcja obejmuje archiwa skanami zaplanowanymi i może znacznie wydłużyć skan oraz zwiększyć obciążenie systemu.
- Zapisz policy i potwierdź jej przypisanie do właściwej grupy pilotażowej.
Sophos wskazuje, że Scheduled Scanning może nie być potrzebny przy włączonym Real-time Scanning. Zacznij więc od celu, a nie od najbardziej agresywnego harmonogramu: kontroli rzadko używanych starszych danych, wsparcia dochodzenia albo spełnienia wymogu wewnętrznego. Background scanning jest dostępny wyłącznie na komputerach Windows; nie planuj komputerów Mac na podstawie funkcji przeznaczonej dla Windows.
Przeskanuj jeden komputer z Fusion
Aktualna ścieżka dla jednorazowego zlecenia administracyjnego wygląda tak:
- Otwórz My Environment > Computers & Servers.
- Kliknij nazwę komputera i otwórz Summary.
- U góry kliknij bezpośrednio Scan.
Do komputera można też przejść przez My Products > Endpoint > Computers. Jeśli urządzenie jest offline, żądanie czeka, aż ponownie nawiąże połączenie. Jeśli skan już trwa, endpoint ignoruje nowe żądanie i kontynuuje wcześniejszy skan. Wielokrotne kliknięcie nie tworzy więc kolejki dodatkowych skanów.
Ta akcja nadaje się do szybkiej centralnej kontroli konkretnego urządzenia. Dla określonego folderu lub dysku, automatyzacji bądź strukturalnych kodów wyjścia użyj osobnego przewodnika CLI.
Przeprowadź pilotaż przed szerokim wdrożeniem
Przydatna grupa pilotażowa nie powinna obejmować wyłącznie szybkich standardowych laptopów. Dodaj urządzenie często pracujące offline, komputer z dużą ilością danych oraz — jeśli ma to zastosowanie — stację deweloperską lub build. Dzięki temu pominięte terminy i zauważalne obciążenie wyjdą na jaw przed szerokim przypisaniem policy.
- Zapisz cel, grupę docelową, dni oraz lokalną godzinę rozpoczęcia.
- Zacznij bez Enable deep scanning, chyba że archiwa wyraźnie należą do zakresu.
- Obserwuj co najmniej jeden pełny zaplanowany skan oraz jeden celowo pominięty termin.
- Porównaj wpływ na użytkowników, czas trwania i eventy. Zmieniaj tylko jedną zmienną naraz.
- Rozszerz przypisanie dopiero po spełnieniu kryteriów akceptacji.
Pominięty Scheduled Scan nie jest powodem do globalnego wyłączania opcji ochrony. Dla urządzeń mobilnych zwykle lepsza jest bardziej realistyczna pora albo dodatkowy dzień tygodnia. Sophos zaleca godziny mniejszego obciążenia, aby ograniczyć wpływ na system.
Zweryfikuj wynik w Fusion
Otwórz Reports > Logs > General logs > Events. Po skanie zleconym centralnie powinien pojawić się event Scan completed. Udane operacje cleanup również są widoczne w logu eventów; alerty o nieudanym cleanup znajdują się w My Environment > Alerts.
Dla zaplanowanego skanu sprawdź w tym samym okresie:
- czy urządzenie było online o swojej lokalnej zaplanowanej porze;
- czy obowiązywała oczekiwana Threat Protection Policy;
- czy istnieje event zakończenia, wykrycia, cleanup albo pominiętego skanu;
- czy endpoint nadal zgłasza prawidłowy stan ochrony i niedawny kontakt z Fusion.
Zakończenie bez wykrycia oznacza, że ten skan dobiegł końca. Nie dowodzi, że przeskanowano niedostępne lub zaszyfrowane treści, i samo nie zamyka incydentu. Obowiązujące Scanning Exclusions nadal działają i podczas dochodzenia trzeba ocenić je osobno.
Rozwiązuj problemy według objawu
Zaplanowany skan nie został wykonany
Najpierw sprawdź Last active i porównaj czas lokalny komputera z godziną ustawioną w Scheduled Scanning. Jeśli urządzenie było offline, oczekiwanym wyjaśnieniem jest event o pominiętym skanie; skan nie rozpocznie się po późniejszym włączeniu urządzenia. Jeśli było online, potwierdź następnie, że policy była włączona, przypisana do urządzenia i już odebrana przez endpoint. Dopiero wtedy zmieniaj harmonogram lub policy.
Scan nie daje widocznego efektu
Komputer offline czeka do następnego połączenia. Jeśli skan już trwa, nowe żądanie zostaje zignorowane. Przed ponownym wysłaniem sprawdź Last active, znacznik czasu eventu i ewentualny wcześniejszy skan. Jeśli opcja Scan w ogóle nie występuje, sprawdź, czy komputer korzysta z Sophos XDR Sensor.
Skan trwa wyjątkowo długo
Sprawdź, czy włączono Enable deep scanning i czy dane zawierają duże archiwa. Porównaj wykonanie z obciążeniem systemu i aktywnością pamięci masowej w tym samym okresie, a w razie potrzeby przenieś je na spokojniejszą lokalną porę. Zmieniaj jednorazowo tylko jedno ustawienie pilotażowe. Wyjątek obejmujący całą organizację ani słabsza ochrona nie są właściwą odpowiedzią na jedno wolne urządzenie.
Wykryto zagrożenie lub cleanup się nie powiódł
Otwórz event i alert, zanim wykluczysz wykryty plik. Po wykryciu postępuj według runbooka Threat Cleanup. Wyjątek jest uzasadniony dopiero po potwierdzeniu false positive i powinien mieć możliwie wąski zakres.
Fusion jest aktualny, ale lokalny skan nie startuje
Jeśli policy, łączność i żądanie są prawidłowe, lecz nie pojawia się zakończenie, sprawdź lokalny Health State i zainstalowaną wersję Core Agent. Zbierz logi przez Summary > More actions > Diagnose, co uruchamia Sophos Diagnostic Utility, i skoreluj pierwszy błąd z żądaną godziną rozpoczęcia. Historyczne problemy File Scanner obejmowały przyczyny zależne od wersji i uprawnień Windows. Nie nadawaj ogólnego Full Control do rejestru lub GPO jako uniwersalnej naprawy. Najpierw zaktualizuj agenta do bieżącej wspieranej wersji, a ACL zmieniaj wyłącznie według aktualnego KBA Sophos odpowiadającego sygnaturze logu albo z Sophos Support.