Lokalna obsługa Sophos Endpoint i kontrola stanu ochrony
Sophos Fusion (dawniej Sophos Central) pokazuje centralny stan docelowy. Lokalny interfejs Sophos Endpoint pokazuje natomiast, co faktycznie jest zainstalowane na konkretnym komputerze, czy komponenty działają i jakie zdarzenia wystąpiły na tym urządzeniu. Rzetelna diagnoza wymaga obu perspektyw.
Ten artykuł dotyczy lokalnego agenta Windows i macOS. Sophos Firewall, Sophos Mobile i Server Protection są odrębnymi produktami.
Otwieranie interfejsu i statusu ochrony
W Windows Sophos Endpoint otwiera się przez ikonę Sophos w obszarze powiadomień lub menu Start. Na Macu używa się ikony Sophos na pasku menu.
Strona startowa pokazuje Security Status. Zielony oznacza brak Alertów lub tylko Alerty o niskim priorytecie, żółty co najmniej jeden Alert o średnim priorytecie, czerwony co najmniej jeden Alert o wysokim priorytecie, a szary stan nieznany. Nawet zielony status nie dowodzi, że urządzenie otrzymało właściwą politykę Sophos Fusion lub aktualny Software Stage. Te punkty należy dodatkowo sprawdzić w My Environment > Computers & Servers.
Kontrola zainstalowanych funkcji
W About lub Product Details widać zainstalowane komponenty i wersje. Jest to szczególnie ważne, gdy Sophos Fusion pokazuje Agent Mode Endpoint, XDR lub XDR Sensor, ale lokalnie brakuje oczekiwanych modułów.
W systemie Windows otwiera się ikonę Sophos w obszarze powiadomień i wybiera About w prawym dolnym rogu. W macOS należy użyć ikony Sophos na pasku menu i wybrać Sophos Endpoint > About. Komponenty mogą mieć różne numery wersji, dlatego do porównania przez pomoc techniczną zapisuje się wszystkie istotne wersje, a nie jedną domniemaną wersję całego produktu.
XDR Sensor dostarcza telemetrię, ale nie zawiera pełnej ochrony przed malware. W tym trybie musi działać osobny produkt ochronny.
Zrozumienie ustawień lokalnych
Strona Settings pokazuje obszary ochrony używane przez agenta. Zależnie od platformy i licencji obejmują one między innymi:
- Deep Learning i Real-time Scanning,
- Web, Application i Peripheral Control,
- Runtime Protection i ochronę przed exploitami,
- Adaptive Attack Protection,
- lokalne Computer Controls.
Zwykle wartości te ustala Sophos Fusion. Do lokalnej diagnostyki należy kliknąć Admin sign-in w Windows lub Admin login na Macu, podać hasło Tamper Protection i w Settings włączyć Override Sophos Central Policy for up to 4 hours to troubleshoot. Zmiany zastępują politykę Sophos Fusion najwyżej przez cztery godziny, po czym są automatycznie wycofywane. Cały Override można zakończyć wcześniej, lecz nie można osobno przywracać poszczególnych przełączników.
Reguła operacyjna: Override jest testem ograniczonym czasowo. Trwałą korektę wykonuje się w skutecznej polityce i następnie weryfikuje na urządzeniu.
Events i Detections
W Events agent pokazuje lokalne zdarzenia ochrony i zarządzania. Listę można filtrować według typu i czasu. Pomaga to szczególnie, gdy Sophos Fusion pokazuje tylko zbiorczy Alert lub użytkownik zgłasza dokładny czas blokady.
Detections pokazuje wykryte podejrzane aktywności i ich przebieg. Nie każda Detection jest potwierdzonym malware. Ocena uwzględnia proces, ścieżkę, użytkownika, czas, Parent Process i możliwe dalsze działania. Rozbudowane dochodzenia XDR są następnie wykonywane w Threat Analysis Center.
Akcje dostępne lokalnie
Łącze akcji pojawia się tylko przy Event wymagającym działania i po lokalnym zalogowaniu jako Admin. Sophos opisuje je jako te same akcje, które są dostępne w Sophos Fusion Admin. Jeśli łącza nie ma, najpierw sprawdza się stan Event, logowanie Admin, platformę, licencję i zainstalowany komponent. Lokalne czyszczenie nie zastępuje Incident Investigation ani trwałej poprawy Policy lub aplikacji.
Sophos Fusion pokazuje Events, a lokalny Agent nie
Jeśli oczekiwanego Event nie ma lokalnie, najpierw ustawia się filtr na All Events i wyszukuje według źródła lub Detection Type. Następnie porównuje się czas i urządzenie z Sophos Fusion. Nie należy próbnie usuwać lokalnych baz ani chronionych plików Agenta. Jeśli rozbieżność pozostaje, zbiera się SDU i analizuje logi Windows według podlinkowanej instrukcji.
Ręczne uruchomienie Update
W About > Update Now Agent żąda aktualnych Threat Data. Pomaga to przy przejściowo nieaktualnym urządzeniu, ale nie omija zablokowanego połączenia, błędnego Proxy ani wygasłej licencji. Ponieważ wykrywanie jest bezsygnaturowe, sam widok lokalny nie potwierdza najnowszej wersji produktu; Admin sprawdza ją w Sophos Fusion.
Po aktualizacji należy oddzielnie sprawdzić trzy poziomy:
- Lokalny agent nie zgłasza już błędu Update.
- Komponenty w About pokazują wiarygodne wersje.
- Sophos Fusion aktualizuje Last Active, Health i Software Status.
Jeżeli lokalny widok jest zielony, a Sophos Fusion nadal zgłasza błąd, należy sprawdzić komunikację, przypisanie polityki i Agent Mode.
Skanowanie komputera lub pojedynczego pliku
W Status lub Detections opcja Scan > Quick scan sprawdza pamięć, Master Boot Record, uruchomione procesy i pliki startowe. Scan > Full scan sprawdza wszystkie pliki i foldery oraz pamięć i MBR, więc trwa dłużej. Scan uruchomiony w Sophos Fusion lub zaplanowany przez Policy jest Full Scan.
Pojedyncze pliki można sprawdzać w Windows Explorer i macOS Finder przez Scan with Sophos Endpoint. W Windows 11 pozycja może być widoczna dopiero pod Show more options. Jeśli brakuje jej na Macu, należy ją włączyć przez Services > Services Settings albo System Settings > Keyboard > Keyboard Shortcuts > Services > Files and Folders.
Podczas skanowania uruchomionego z menu kontekstowego archiwum jest liczone jako jeden plik. Zaszyfrowanych archiwów nie można skanować; zaszyfrowane pliki wewnątrz archiwum są pomijane w liczbie przeskanowanych plików, ale pojawiają się w dzienniku skanowania.
Scan uzupełnia ochronę czasu rzeczywistego, ale jej nie zastępuje. Jest przydatny przy konkretnym podejrzeniu, po czyszczeniu lub podczas odbioru nowego urządzenia. Przed dużym Full Scan należy uwzględnić wpływ na CPU, I/O i czas pracy.
Automatyczne skany Windows z Exit Codes i wynikiem JSON opisuje Skanowanie Sophos Endpoint przez CLI.
Usuwanie wykrytego zagrożenia
Gdy agent zgłasza zagrożenie, najpierw należy ustalić, czy zostało automatycznie usunięte, czy tylko wykryte. Ponowny Scan ma sens dopiero po ocenie. Powtarzające się wykrycia, działające malware, ransomware lub złośliwy ruch sieciowy wymagają izolacji i Incident Triage zamiast wielokrotnego zamykania komunikatów.
Wyjątku nie należy tworzyć dla wygody. Pełny proces opisuje Sophos Endpoint Threat Cleanup i usuwanie złośliwego oprogramowania.
Zablokowany transfer pliku
Ta funkcja przeznaczona dla użytkowników jest dostępna wyłącznie w systemie Windows. Komunikat File transfer blocked pochodzi zwykle z Data Loss Prevention lub innej funkcji kontrolnej. Przy przesyłaniu wielu plików powiadomienie może dotyczyć tylko części, podczas gdy pozostałe zostały przesłane.
Samo powiadomienie typu toast oznacza, że Policy nie zezwala użytkownikowi na zatwierdzenie transferu. Okno z Allow i Block pozwala natomiast zdecydować o tym transferze. Bez wyboru wygasa po pięciu minutach i kolejne pliki nie są przesyłane. Przy wielu plikach Sophos przesyła je do pierwszego zablokowanego. Block kończy transfer i blokuje wszystkie pozostałe pliki; Allow kontynuuje do następnego dopasowania. Wcześniej przesłane pliki nie są wycofywane.
Do analizy należy zapisać nazwę pliku, cel, aplikację, czas i użytkownika. Następnie odszukać właściwe zdarzenie w DLP Event Log i sprawdzić skuteczną DLP Policy. Ogólne zezwolenie programu docelowego ukryłoby przyczynę.
Przywracanie dostępu do komputera
Po błędnej konfiguracji Web, Network lub Peripheral Rules mogą utrudnić dostęp. Dopóki urządzenie łączy się z Sophos Fusion, najpierw należy poprawić wadliwą politykę i poczekać na synchronizację.
Gdy komunikacja nie jest możliwa, potrzebny jest lokalny dostęp administratora i ewentualnie hasło Tamper Protection właściwe dla urządzenia. Przy zablokowanych kartach sieciowych może być wymagany dostęp fizyczny. Odzyskanie należy udokumentować, aby ta sama polityka nie została wdrożona ponownie.
Rejestrowanie ruchu bezpośrednio na Endpoint
Przy odtwarzalnych błędach jak ZTNA otwiera się About > Endpoint Self Help jako Admin i uruchamia Tools > Packet Capture. Tamper Protection wyłącza się czasowo, odtwarza tylko błąd i zatrzymuje zapis.
Self Help zapisuje ETL i PCAPNG w C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture. Mogą zawierać adresy, DNS i Payload Data. Zobacz Diagnostyka Sophos Endpoint przez Self Help i SDU.
Odczyt stanu ochrony przez CLI
W Windows sophosinterceptxcli.exe znajduje się w C:\Program Files\Sophos\Endpoint Defense i daje wspierany Machine Readable-status.
cd "C:\Program Files\Sophos\Endpoint Defense"
sophosinterceptxcli.exe query softwaremonitor all --json
sophosinterceptxcli.exe query configuration on_access_scan_enabled --json
Sophos Software Monitor zwraca Status i przez --json komponenty oraz wersje. Po instalacji działa po pierwszym Product Update, zwykle pięć minut. Zachowuje się sekundę między Query i ocenia Status, Exit Code oraz wiek danych.
query configuration zwraca tylko udostępnione Policy Values, obecnie on_access_scan_enabled. Wymaga Admin Prompt, nie zmienia Policy i nie zastępuje porównania z Sophos Fusion.
Lokalna kontrola jako runbook
Przy problemie poniższa kolejność szybko dostarcza wiarygodnych faktów:
- Sprawdzić lokalny Security Status i czas ostatniej zmiany.
- W About sprawdzić komponenty i wersje.
- Przefiltrować Events i Detections według czasu problemu.
- Ręcznie uruchomić Update i obserwować wynik.
- W Sophos Fusion porównać Health, Last Active, Agent Mode i skuteczne Policies.
- Dopiero potem użyć Self Help lub SDU do głębszej diagnostyki.
Narzędzia ostatniego kroku opisuje Diagnozowanie Sophos Endpoint za pomocą Self Help i SDU. Do przypisywania objawów związanych z Update, MCS, Health, ochroną Web, Cleanup i Live Response do właściwych logów służy artykuł Prawidłowa analiza logów i usług Sophos Endpoint w Windows.