Planowanie wymagań systemowych i cyklu życia Sophos Endpoint

Zainstalowany agent nie pozostaje automatycznie obsługiwany w długim okresie. System operacyjny, architektura, komponenty Sophos, certyfikaty i model licencji rozwijają się niezależnie. Stabilne środowisko Endpoint sprawdza więc nie tylko, czy instalacja działa dziś, ale też kiedy platforma traci wsparcie i jak wprowadzać nowe wersje agenta.

Zakres: Endpoint to nie Server ani Linux

Ten przewodnik dotyczy Sophos Endpoint dla stacji Windows i macOS. Windows Server jest zarządzany w Server Protection, a Linux używa Sophos Protection for Linux z własnymi wymaganiami, Release Notes i terminami. Wiersz Server lub Linux we wspólnym Retirement Calendar nie zatwierdza Endpoint i wymaga osobnego Runbooka.

Zweryfikowany stan planowania z 29 października 2026 r.

W planowaniu należy osobno uwzględnić wymagania zasobowe, wersję systemu operacyjnego i cykl wsparcia. Kluczowe jest rozróżnienie granic wersji produktu, systemu operacyjnego i umowy wsparcia:

Podane wersje Windows Core Agent i macOS są wersjami udokumentowanymi, nie gwarancją ich dostępności już dla każdego tenanta. Zaktualizowany komponent Sophos nie zmienia też końca wsparcia systemu operacyjnego. Microsoft ESU dotyczy systemu operacyjnego; Sophos Endpoint for Legacy Platforms dotyczy ochrony Sophos. Żadne z tych rozwiązań nie obejmuje automatycznie drugiego. Dla starszego urządzenia oba uprawnienia i ich terminy muszą być możliwe do udokumentowania.

Przykład: Aktualny stan Health Sophos na urządzeniu Windows 10 Pro nie przywraca regularnego wsparcia Microsoft. Przed kolejnym zatwierdzeniem do eksploatacji osobno rejestruje się build i edycję OS, ewentualne uprawnienie ESU, konkretny status wsparcia Sophos oraz wiążący termin migracji. Urządzenie LTSC ocenia się według jego własnego wpisu produktu, nie według terminu Home/Pro.

Granica zakresu: Poniższe wymagania sprawdzono 29 października 2026 r. na podstawie KBA dla Windows z 18 września, KBA dla macOS z 28 września i Retirement Calendar z 9 października 2026 r. Wartości zasobów, dopuszczenie systemu operacyjnego i koniec wsparcia ocenia się łącznie. Nadal wymieniona wersja systemu może już zbliżać się do terminu Retirement.

Snapshot zatwierdzenia i decyzja dotycząca cyklu życia

Konkretne numery wersji i granice wsparcia szybko się dezaktualizują. Dlatego osoba odpowiedzialna za cykl życia przeprowadza ten sam kontrolowany przegląd przed pierwszą instalacją, aktualizacją systemu operacyjnego, zmianą pakietu oraz co najmniej raz w miesiącu. Punktem wyjścia jest snapshot inwentarza obejmujący typ urządzenia, edycję i pełny build systemu operacyjnego, architekturę, CPU, pamięć RAM, wolne miejsce na dysku systemowym, szyfrowanie, wymagany zakres ochrony oraz zainstalowane komponenty Sophos i ich wersje.

Przy każdym nowym zatwierdzeniu otworzyć aktualizowane na bieżąco wymagania dla Windows, wymagania dla macOS oraz Retirement Calendar dla platform i systemów operacyjnych i porównać je ze sobą. Rejestr zatwierdzenia zawiera datę kontroli, sprawdzany wpis, platformę i architekturę, możliwość instalacji i aktualizacji, wymagania minimalne, wykluczenia, Maintenance, Retirement, warunki licencji lub Extended Support oraz każdą uwagę. Zachowany snapshot jest dowodem decyzji, ale nie stanowi stale obowiązującej listy wsparcia; przy kolejnej zmianie zostaje zastąpiony, a różnica jest dokumentowana.

Decyzja ma status zatwierdzona, tylko pilotaż, wymagana migracja albo niezatwierdzona. Określa osobę odpowiedzialną, zakres, wymagane funkcje, znane ograniczenia, terminy producenta i Sophos, cel migracji oraz datę następnego przeglądu. Jeśli brakuje dokładnego wpisu OS/architektury, dane są sprzeczne albo matryca jest niedostępna, nie wydaje się nowego zatwierdzenia: ostatni zatwierdzony stan pozostaje bez zmian, osoba odpowiedzialna zapisuje czas zapytania i niejasność oraz wyjaśnia ją z Sophos Support przed pilotażem.

Wymagania Windows i granice wsparcia

Tabela wymagań Windows wyraźnie rozróżnia zakres ochrony. Wartości dotyczą stacji roboczych, a nie Windows Server:

Sophos zdecydowanie zaleca SSD jako dysk rozruchowy. Wymagania dotyczące zasobów obowiązują również w trybie Sensor; tryb ten nie jest obsługiwany na platformach Legacy. Same parametry sprzętu nie przywracają staremu systemowi statusu w pełni obsługiwanej platformy.

KBA wymienia 64-bitowy Windows 10 i Windows 11 jako w pełni obsługiwane platformy. Uzupełniająca KBA dotycząca ARM64 z 27 października 2026 r. wyraźnie potwierdza Windows 10 i Windows 11 na ARM64; Insider Preview nie jest obsługiwany. Windows 7 i 8.1 wymagają Extended Support do obsługi Legacy; Windows 10 32-bit również jest klasyfikowany jako Legacy. Nadal obowiązują dodatkowo terminy Microsoft i konkretny wpis Retirement Sophos. Zwłaszcza przy Windows 10 nie należy mylić określenia „w pełni obsługiwany” w tabeli Sophos z regularnym wsparciem Microsoft.

Dla Windows osobno porównuje się z aktualnym wpisem edycję i pełny build, x64 lub ARM64, CPU i RAM, wolne miejsce i dysk systemowy, wymagane aktualizacje i certyfikaty Microsoft oraz żądany tryb ochrony. Wartości minimalne są wyłącznie warunkami wejściowymi, a nie zaleceniami dotyczącymi wydajności. Wolne miejsce na dysku potrzebne do instalacji i aktualizacji należy odróżnić od RAM. Zaleceń dla obciążeń EDR, XDR lub MDR nie traktuje się jako minimum innego poziomu produktu; kolumna i licencjonowany zakres muszą odpowiadać urządzeniu. Buildy Insider, Preview i inne wersje wstępne nie są zatwierdzone, chyba że dokładny wpis wyraźnie je obejmuje.

Dodatkowo rejestruje się datę końca wsparcia Microsoft dokładnie dla tej edycji i tej gałęzi wydań. Powodzenie instalacji, prawidłowy stan Health i aktualne wsparcie platformy to trzy odrębne stwierdzenia. Windows Server nie jest Endpointem Windows nawet przy podobnym buildzie i nie jest objęty tym zatwierdzeniem.

Wymagania macOS i granice wsparcia

Dla macOS sprawdza się pełną wersję systemu operacyjnego, Intel lub Apple Silicon, wolne miejsce, sposób instalacji i wymagany zakres ochrony. Pakiet zatwierdzenia zawiera również używane profile MDM dla System Extensions, Network Extensions, filtrowania web/treści, Full Disk Access i powiadomień. Sama zgodna pozycja OS nie dowodzi więc jeszcze skutecznej ochrony.

Wymagania i terminy, sprawdzone 29 października 2026 r.: KBA dla macOS z 28 września 2026 r. wymienia macOS 14, 15, 26 i 27, 64-bitowe Maki Intel oraz Apple Silicon M Series. Dla Endpoint Protection i Intercept X Advanced (MDR Included) podaje w obu przypadkach 2 GB RAM i 2 GB wolnego miejsca na dysku. Informacje o wydaniu podają dla macOS 27 Golden Gate agenta 2026.2.0.

Listę systemów należy czytać wraz z nowszym Retirement Calendar z 9 października 2026 r.: macOS 14 Sonoma osiąga Retirement pod koniec października 2026 r., a macOS 15 Sequoia pod koniec października 2027 r. Dla macOS 26 i 27 sprawdzony kalendarz nie podaje jeszcze planowanego terminu Retirement. Nie oznacza to bezterminowej gwarancji wsparcia. Według kalendarza dla macOS nie ma Extended Support. Nadal używany Mac z Sonoma potrzebuje więc już teraz sprawdzonej ścieżki aktualizacji; istniejący wiersz w tabeli wymagań nie przedłuża jego terminu.

Wspólna tabela Sophos nie gwarantuje, że każda wymieniona architektura może uruchomić każdą wersję macOS: Apple wymaga Apple Silicon dla macOS 27; Maki Intel nie są do niego dopuszczone. Apple uwzględnia Maki M-Series i A-Series, natomiast Sophos wymienia w swojej macierzy wprost M Series. Samo dopuszczenie przez Apple nie potwierdza więc obsługi Sophos na Macu A-Series. Przed nowym zatwierdzeniem należy wyjaśnić tę kombinację z Sophos, zamiast wywodzić z samego sformułowania obsługę lub jej brak. Artykuł Instalacja Sophos Endpoint na macOS opisuje konkretną procedurę instalacji i odbioru.

Każdą nową główną lub punktową wersję macOS testuje się na reprezentatywnym Macu pilotażowym wraz z aktualną możliwością instalacji i aktualizacji. Różnice między nową instalacją a już zainstalowanym agentem zapisuje się wyraźnie; z określenia „macOS jest obsługiwany” nie wynika, że obsługiwane są obie ścieżki lub wszystkie funkcje. Extended Support uwzględnia się tylko wtedy, gdy wskazuje go dokładny wpis macOS.

Komponenty zamiast jednej wersji agenta

Sophos Endpoint składa się z wielu niezależnie aktualizowanych komponentów, między innymi AutoUpdate, Endpoint Defense, Health Service, Management Communication, Network Threat Protection, Endpoint UI oraz modułów zależnych od licencji.

Poziom w Central i jeden lokalny numer nie opisują całego stanu. Na tym etapie odpowiedzialny otwiera aktualny strumień Sophos Core Agent dla Windows albo Sophos Anti-Virus dla macOS. Przy każdym przeglądzie na żywo zapisuje docelowy build, stan wdrożenia, poprawki i znane ograniczenia; rejestr wydania dokumentuje ten moment i nie zastępuje kolejnej kontroli. Rejestr obejmuje czas, platformę, węzeł produktu/wersji, komunikat o publikacji i wdrożeniu, buildy komponentów, poprawki, problemy i różnice. Każdy punkt przypisz do używanych funkcji i urządzeń pilotażowych, po czym wybierz zatwierdź, odłóż lub odrzuć. Pusty, niedostępny lub sprzeczny strumień nie oznacza zatwierdzenia: zachowaj zrzut lub błąd, sprawdź parametry i sieć, ponów próbę i eskaluj do Sophos Support. Do wyjaśnienia sytuacji przypisywanie pakietu i kolejny etap wdrożenia pozostają wstrzymane.

Test zasobów i oprogramowania zewnętrznego w pilotażu

Oficjalne minimum jest tylko progiem wejścia. Reprezentatywny pilotaż mierzy start i logowanie, CPU, pamięć, miejsce i I/O z rzeczywistymi aplikacjami. SSD/HDD, szyfrowanie, DLP, backup, VPN, zdalne sterowanie i allowlisting są jawnymi cechami próby.

Przy regresji użyj Sophos Performance Analysis i logów. Nie wyłączaj globalnie ochrony ani Event Journals. Działanie przejściowe o ściśle ograniczonym zakresie wymaga osoby odpowiedzialnej, daty zakończenia, akceptacji ryzyka i ponownego testu; rozwiązaniem może być poprawka producenta, upgrade lub wymiana sprzętu.

Zrozumienie etapowej publikacji

Sophos publikuje Release Notes częściowo pierwszego dnia wielotygodniowego wdrażania. Udokumentowana nowa wersja nie musi więc być natychmiast dostępna na każdym tenancie lub endpointcie.

Zapobiega to dwóm błędnym interpretacjom:

• Urządzenie nie jest automatycznie nieaktualne tylko dlatego, że w dniu publikacji nie otrzymało nowej wersji.
• Ręczna reinstalacja nie wymusza niezawodnie jeszcze nieudostępnionej wersji oprogramowania.

Etapy pilotażowe i produkcyjne

Software Packages i Update Management Policies umożliwiają kontrolowane etapy:

1. Pilotaż: IT oraz reprezentatywne kombinacje sprzętu, OS i oprogramowania.
2. Wczesna produkcja: mała próba po spełnieniu kryteriów.
3. Produkcja: szerokie przypisanie po zatwierdzeniu zmiany.
4. Pakiet stały: tylko z uzasadnieniem, właścicielem i monitorowaną datą wygaśnięcia.

Nazwy, dostępność, typ wsparcia, wygaśnięcie i nakładanie sprawdzaj w Sophos Fusion (dawniej Sophos Central) i na aktualnej stronie Software packages. Artykuł nie utrwala okresów. Aktualizacje treści bezpieczeństwa są odrębne od wersji produktu.

Określ zdrowe urządzenia, oczekiwane komponenty, brak nowego wzrostu liczby alertów i wydajność jako kryteria. Przygotuj rollback: wstrzymaj przypisanie, odizoluj grupę, zachowaj przypisania polityk i pakietów, przypisz aktualny oferowany i przetestowany pakiet Sophos i sprawdź stan. Ręczny downgrade ani stary instalator nie są niezawodne.

Extended Support jest przejściowy

Rozpoznać nazwę licencji: Sophos nazywa odpowiedni dodatek Sophos Endpoint for Legacy Platforms; wcześniejsza nazwa to Central Extended Support for Server 2012/2012 R2. Uzupełnia on ważne uprawnienia Endpoint lub Workload Protection, a nie zastępuje ich. Zapowiedź z 28 sierpnia 2025 r. opisuje platformy legacy Windows i Linux, nie wiecznie aktualną listę dopuszczonych OS. Przy zamówieniu porównać dokładną platformę, okres i potwierdzony zakres dodatku z ofertą. Nie wnioskować o ochronie wszystkich starych Windows/Linux ani macOS legacy.

„Legacy” lub „Extended Support” to okres przejściowy, nie ogólna akceptacja. Sprawdź dokładny wpis client OS, daty Maintenance i Retirement, funkcje i licencję w aktualnym Retirement Calendar. Każdemu urządzeniu nadaj termin migracji.

Wiersze Windows Server i Linux nie należą do grupy Endpoint. Planuj je zgodnie z wymaganiami i licencjami właściwymi dla Server Protection lub Sophos Protection for Linux. Nie zakładaj Extended Support dla macOS bez wyraźnej deklaracji Sophos dla danej wersji.

Planowanie restartów

Sophos nie zawsze natychmiast wymusza wymagany restart. Aktualizacje ochrony i mechanizmów wykrywania mogą nadal działać, podczas gdy komponent czeka na następny restart serwisowy.

Na długo nierestartowanych urządzeniach kilka stanów aktualizacji może kolejno wymagać osobnych restartów. Między cyklami należy pozostawić dość czasu na pełne przetworzenie pierwszej aktualizacji. Po każdym restarcie trzeba ponownie sprawdzić alerty w Central i lokalny status oprogramowania.

Early Access Programs

Early Access Program nie jest zwykłym kanałem produkcyjnym. Przed dołączeniem należy określić cel, urządzenia, oczekiwane zmiany, ścieżkę wsparcia, plan wyjścia i skutki dla ochrony danych.

Urządzenia EAP należą do jednoznacznie nazwanej grupy pilotażowej. Po wyjściu należy sprawdzić, kiedy powrócą do regularnej wersji. EAP nie należy włączać na urządzeniach krytycznych tylko po to, aby obejść pojedynczy problem bez analizy przyczyny.

Zastosowanie, walidacja i diagnostyka

Wykonawca stosuje do ustalonej grupy pilotażowej wyłącznie pakiet zatwierdzony w rejestrze zatwierdzenia; wykluczone są doraźne zmiany instalatora, ręczne obniżanie wersji i stare pakiety instalacyjne. Najpierw zabezpiecza grupę urządzeń, przypisania polityk i pakietu, wersje komponentów, Health, otwarte alerty oraz powtarzalny test funkcjonalny. Grupa docelowa i kryteria sukcesu pozostają niezmienione podczas obserwacji.

Po instalacji, aktualizacji i każdym wymaganym restarcie sprawdza się w Central Last active, Health i alerty, a lokalnie stan usług i oczekiwane wersje komponentów. Następnie powtarza się identyczne testy przed/po: logowanie i czas startu, odbiór polityk, możliwość aktualizacji, test malware zgodnie z procedurą wewnętrzną, ochronę sieci/web i wszystkie funkcje zależne od licencji. W macOS trzeba dodatkowo potwierdzić aktywność rozszerzeń i uprawnień prywatności. Osoba odpowiedzialna uzgadnia wynik z rejestrem wydania i zatwierdzenia oraz zapisuje odchylenia w obu; dopiero całkowicie zaliczony pilotaż otwiera kolejny etap wdrożenia.

Najpierw klasyfikuje się błąd: niezatwierdzona platforma, zablokowany instalator, nieaktualny komponent, rollout jeszcze niezaoferowany, oczekujący restart, brak uprawnienia MDM albo konflikt z oprogramowaniem zewnętrznym. Łącznie zbiera się czas, urządzenie, build OS, architekturę, pakiet i politykę Central, wersje wszystkich komponentów, Health/alerty, status restartu, kroki reprodukcji i odpowiednie logi. Następnie zatrzymuje się przypisywanie pakietu kolejnym urządzeniom i w izolacji cofa ostatnią zmianę, o ile Central udostępnia do tego aktualny, wcześniej przetestowany pakiet. Nie wolno globalnie wyłączać ochrony ani wymuszać starego instalatora. Jeśli przyczyna lub bezpieczna droga powrotna pozostaje niejasna, należy odizolować pilotaż, ustawić rejestr wydania na odłożony i przekazać ten pakiet diagnostyczny do Sophos Support.

Miesięczna kontrola cyklu życia

Praktyczny rytm operacyjny obejmuje:

• przegląd nowych Endpoint i Central Release Notes,
• porównanie Retirement Calendar z własnymi platformami,
• eksport urządzeń według systemu, architektury i Agent Mode,
• przypisanie właściciela do Legacy i nieaktywnych urządzeń,
• kontrolę wygasających pakietów o określonym terminie ważności lub LTS,
• obsługę alertów dotyczących ponownego uruchomienia i aktualizacji,
• dokumentowanie wyników pilotażu.

Architekturę aktualizacji opisuje Sophos Endpoint Updates, Cache i Message Relay.

Często zadawane pytania