Instalacja Sophos NDR na certyfikowanym sprzęcie

Sophos NDR można zainstalować na systemach Dell, Intel NUC 13 i OnLogic przetestowanych i certyfikowanych przez Sophos. Nie oznacza to, że obsługiwany jest każdy komputer x86 tych producentów. Przed wprowadzeniem zmiany należy porównać producenta, model i konfigurację z aktualną specyfikacją certyfikowanego sprzętu.

Procedury mają wspólny punkt początkowy: utworzenie sprzętowej appliance w Sophos Fusion i pobranie jej obrazu ISO. Dalszy przebieg instalacji znacznie się różni:

Dell: instalacja przez iDRAC i wirtualny obraz ISO; instalator przypisuje role Management, Syslog, span lub unused.
NUC: instalacja z nośnika USB w instalatorze tekstowym; początkowo konfigurowana jest tylko rola Management, a wszystkie pozostałe interfejsy pozostają wyłączone. SPAN konfiguruje się po instalacji w Appliance Manager.
OnLogic: instalacja z nośnika USB; instalator graficzny udostępnia role Management, span i unused, ale nie rolę Syslog.

Przed oknem serwisowym

Instalacja formatuje wewnętrzne dyski systemu docelowego. Zapisanie obrazu ISO powoduje również całkowite wymazanie pamięci USB używanej z systemem NUC lub OnLogic. Należy zatem zaplanować okno serwisowe, podczas którego przechwytywanie ruchu przez NDR może być niedostępne, i wcześniej potwierdzić następujące kwestie:

Konkretne urządzenie wraz z konfiguracją znajduje się w aktualnej specyfikacji Sophos. Oddzielny przewodnik wyjaśnia, jak wybrać platformę NDR i określić jej rozmiar. Starszy model NUC, serwer Dell o podobnej konfiguracji ani inny komputer OnLogic nie są automatycznie obsługiwane.
Jeśli dane są nadal potrzebne, istnieje zweryfikowana, niezależna kopia zapasowa dotychczasowej zawartości systemu docelowego i instalacyjnej pamięci USB. Obraz ISO NDR nie jest narzędziem do tworzenia kopii zapasowej ani migracji.
Dla interfejsu Management określono wolny statyczny adres IP w notacji CIDR, bramę domyślną i serwery DNS. Użycie DHCP jest możliwe, ale niepraktyczne w przypadku appliance, ponieważ adres może się zmienić po ponownym uruchomieniu.
Interfejs zarządzania ma dostęp do wszystkich miejsc docelowych wymaganych dla appliance zgodnie z aktualnymi wymaganiami Sophos Appliance: zależnie od miejsca docelowego przez TCP 443, TCP 22 i UDP 123. Należy sprawdzić podaną tam aktualną listę dozwolonych adresów z symbolami wieloznacznymi lub bez nich. Obejmuje ona nie tylko Sophos Fusion, ale także miejsca docelowe Sophos, AWS/S3, repozytoriów i NTP. Tej długiej, zależnej od regionu listy nie należy kopiować do stałej dokumentacji reguł zapory. Jeśli wymagany jest serwer proxy, trzeba przygotować jego adres URL, port oraz — w stosownych przypadkach — dane logowania.
Zaplanowano port lustrzany, okablowanie i konfigurację przełącznika. Port SPAN zwykle nie otrzymuje adresu IP do zarządzania. Dublowanie ruchu należy skonfigurować oddzielnie i w pełni zweryfikować zgodnie z przewodnikiem Konfiguracja i weryfikacja dublowania ruchu dla Sophos NDR.
Dostępne są monitor, klawiatura i odpowiednie przewody. Systemy Dell wymagają również dostępu do iDRAC i adresu iDRAC.
Dostępne jest autoryzowane konto Sophos Fusion (dawniej Sophos Central). Na appliance nie należy instalować dodatkowego agenta Sophos ani programu antymalware; aktualizacjami systemu operacyjnego i zabezpieczeń zarządza Sophos.

Przed rozpoczęciem należy udokumentować model i, jeśli dotyczy, numer seryjny, bieżący układ dysków, używane porty przełącznika, planowane role interfejsów oraz ustawienia IP. Jeśli oznaczenia portów są niejednoznaczne, należy sfotografować okablowanie. Pozwoli to po instalacji potwierdzić, że aktywne jest właściwe łącze, a nie tylko dowolne łącze.

Destrukcyjny punkt kontrolny Go/No-Go
Nie wolno rozpoczynać zapisywania pamięci USB ani wykonywać żadnych operacji RAID czy kroków instalacyjnych, dopóki osoba odpowiedzialna za zmianę jednoznacznie nie potwierdzi wszystkich poniższych punktów:
dokładny, obecnie certyfikowany model i certyfikowana konfiguracja;
jednoznacznie zidentyfikowany docelowy dysk USB oraz docelowe wewnętrzne nośniki lub macierz;
w przypadku Dell: kontroler, dyski składowe oraz liczba i przeznaczenie istniejących dysków wirtualnych;
zweryfikowana, niezależna kopia zapasowa wszystkich nadal potrzebnych danych;
działający dostęp do konsoli lokalnej lub iDRAC;
udokumentowane przypisanie portów fizycznych do ról Management, Capture/SPAN i, jeśli dotyczy, Syslog;
wskazana osoba odpowiedzialna za odzyskanie systemu, dysponująca nośnikami odzyskiwania producenta i zweryfikowanym planem odzyskiwania.
Jeśli brakuje któregokolwiek potwierdzenia lub wykryty sprzęt różni się od dokumentacji, decyzja brzmi No-Go: nie wolno wykonywać żadnej operacji zapisu.

Przygotowanie sprzętowej appliance i obrazu ISO

W Sophos Fusion przejść do Threat Analysis Center > Integrations.
Otworzyć Sophos Network Detection and Response (NDR).
W sekcji Data Ingest (Security Alerts) kliknąć Add Configuration.
W Step 1 wprowadzić unikatową nazwę i opis.
W Step 2 kliknąć Create new appliance. Appliance również nadać unikatową nazwę i opis, a w polu Virtual platform wybrać Hardware.
W Step 3 wprowadzić co najmniej jedną nazwę w polu Exclusion list name. Wykluczenia domen lub protokołów można dodać teraz albo później. Nie należy ogólnie wykluczać protokołu nadrzędnego, takiego jak TCP czy UDP; takie wykluczenie usuwa z inspekcji dużą część ruchu i jest właściwe tylko jako uzasadniony, udokumentowany wyjątek.
Kliknąć Save. Wyświetlone dane logowania do Sophos Appliance Manager zapisać w menedżerze haseł. Są potrzebne do obsługi i rozwiązywania problemów.
Sprawdzić, czy nowa konfiguracja pojawiła się w sekcji Configured NDR integrations.
W kolumnie Actions otworzyć menu z trzema kropkami i wybrać Download image. Poczekać na przygotowanie obrazu, a następnie pobrać plik ISO do katalogu serwisowego.

Obecność konfiguracji dowodzi jedynie, że została zapisana w Fusion. Nie dowodzi jeszcze zainstalowania appliance na sprzęcie, jej łączności z Fusion ani odbierania dublowanego ruchu.

Tworzenie nośnika USB dla NUC i OnLogic

W przypadku Dell obraz ISO jest używany jako nośnik wirtualny w iDRAC. Dla systemów NUC i OnLogic należy zapisać go na pamięci USB jako obraz rozruchowy. Sophos wskazuje do tego celu program balenaEtcher; dla OnLogic można alternatywnie użyć programu Rufus.

Podłączyć pamięć USB, której zawartość można usunąć, i sprawdzić jej pojemność oraz nazwę urządzenia.
W programie balenaEtcher wybrać Flash from file, a następnie obraz ISO pobrany z Fusion. Ostrzeżenie o braku tablicy partycji potwierdzić przyciskiem Continue.
Kliknąć Select target i wybrać wyłącznie zamierzoną pamięć USB.
Ponownie sprawdzić urządzenie docelowe. Operacja Flash wymazuje wszystkie dane na tym dysku.
Kliknąć Select 1, a następnie Flash. Potwierdzić monit systemu operacyjnego i poczekać na zakończenie zapisu.

Instalacja na sprzęcie Dell

Ta część jest oparta wyłącznie na aktualnej procedurze Sophos Sophos NDR on Dell hardware i ma zastosowanie tylko wtedy, gdy dokładny model Dell i jego konfiguracja są również zatwierdzone w aktualnej specyfikacji certyfikowanego sprzętu. Sama strona procedury nie stanowi zatwierdzenia modelu. Zarządzanie przez iDRAC, opcjonalne przygotowanie macierzy RAID 5 w dwuprocesorowym modelu R660 oraz dodatkowa rola Syslog nie należą do procedur dla NUC ani OnLogic.

Przygotowanie okablowania i iDRAC

Zamontować system na odpowiednich szynach i podłączyć oba zasilacze.
Lokalnie podłączyć monitor VGA i klawiaturę USB.
Łącze zarządzania podłączyć do portu 1, łącze Syslog do portu 2, oddzielne połączenie zarządzania sprzętem do portu iDRAC, a łącza lustrzane do wyznaczonych portów SPAN.
Uruchomić serwer i podczas rozruchu nacisnąć F2, aby otworzyć System Setup.
Otworzyć iDRAC settings > Network i skonfigurować udokumentowany adres iDRAC.
Otworzyć iDRAC settings > User Configuration. Domyślnym użytkownikiem jest root. Należy co najmniej zmienić domyślne hasło, potwierdzić przyciskiem Finish i zapisać zmianę, wybierając Yes.
Zamknąć System Setup i otworzyć iDRAC w przeglądarce pod skonfigurowanym adresem. Nie odłączać monitora ani klawiatury, dopóki logowanie nie zakończy się powodzeniem.

Jeśli to możliwe, do połączenia z iDRAC należy używać protokołu HTTPS zgodnie z własnymi zasadami zarządzania. Adres iDRAC jest niezależny od adresu zarządzania NDR konfigurowanego później.

Sprawdzenie RAID wyłącznie w dwuprocesorowym Dell R660

Ten krok jest przeznaczony wyłącznie dla certyfikowanego systemu Dell R660 2 socket system z trzema dyskami w przedniej zatoce.

W iDRAC otworzyć Storage > Summary.
Jeśli w sekcji Summary of Disks są już widoczne dwa dyski wirtualne, niczego nie zmieniać i przejść do obrazu ISO.
Zatrzymać się przed pierwszą operacją zapisu w pamięci masowej: ponownie potwierdzić model R660 2 socket system, kontroler PERC, trzy oczekiwane dyski w przedniej zatoce, istniejące dyski wirtualne, kopię zapasową oraz osobę odpowiedzialną za odzyskanie systemu. Każda niezgodność oznacza No-Go; nie wolno tworzyć macierzy na podstawie przypuszczeń.
Tylko jeśli po tym jednoznacznym potwierdzeniu brakuje partycji danych, otworzyć Virtual Disks > Create Virtual Disk > Basic Configuration.
Wybrać kontroler PERC, a w sekcji Layout — RAID 5.
Kliknąć Add to Pending, następnie Apply Now, po czym sprawdzić zadanie w sekcji Job Queue lub Tasks > Pending Operations.
Kontynuować dopiero wtedy, gdy kolejka jest pusta, a w sekcji Summary of Disks widoczne są dwa dyski wirtualne.

Należy zatrzymać procedurę, jeśli liczba lub przeznaczenie istniejących dysków różnią się od tego opisu. Nie wolno odtwarzać istniejącej macierzy na podstawie przypuszczeń; nieprawidłowa operacja na pamięci masowej może zniszczyć dane.

Montowanie obrazu ISO i instalacja

Na pulpicie iDRAC otworzyć Virtual Console. Jeśli okno się nie otwiera, zezwolić na wyskakujące okna z iDRAC.
Wybrać Virtual Media > Connect Virtual Media.
W sekcji Map CD/DVD kliknąć Choose File, wybrać obraz ISO NDR i kliknąć Map Device.
Wybrać Boot > Virtual CD/DVD/ISO i potwierdzić przyciskiem Yes.
Wybrać Power > Reset System (warm boot) i ponownie potwierdzić. Poczekać na uruchomienie instalatora, a następnie kliknąć Next.
W sekcji Interface Info sprawdzić stan łącza, szybkość i wykryte interfejsy. Po zmianie okablowania użyć opcji Refresh interfaces, aby zaktualizować informacje.
W sekcji Interface Roles przypisać role zgodnie z udokumentowanym przypisaniem portów fizycznych:
- Management — połączenie z Fusion,
- Syslog — komunikaty Syslog z lokalnych integracji innych firm,
- span — dublowany ruch sieciowy,
- unused — nieużywane porty.
Role Management i Syslog są automatycznie włączone i nie można ich wyłączyć. Rola unused pozostaje wyłączona. Porty z przypisaną rolą SPAN można włączać i wyłączać.
W sekcji Interface Addresses wyłączyć DHCP dla interfejsu Management, a następnie wprowadzić adres IP z podsiecią w notacji CIDR, bramę domyślną i serwery DNS. Dla interfejsu Syslog wprowadzić tylko adres IP i podsieć.
Jeśli wymagany jest serwer proxy, w sekcji Net Proxy włączyć Use Proxy, a następnie wprowadzić adres URL, port, nazwę użytkownika i hasło.
Na stronie Configuration Review sprawdzić każdą rolę i każdy adres. Kliknąć Check Settings. Wybrać Apply tylko wtedy, gdy sprawdzenie zakończy się powodzeniem.
Kliknąć Install. Następne okno dialogowe ostrzega, że dyski zostaną sformatowane i nie będzie można wrócić do poprzednich stron. Po raz ostatni sprawdzić urządzenie, kopię zapasową i zatwierdzenie prac serwisowych, a dopiero potem kliknąć Continue.
Poczekać na komunikat Installation Complete, kliknąć Continue, następnie Reboot i potwierdzić przyciskiem Yes. Po wyświetleniu monitu odłączyć lub odmontować nośnik instalacyjny, a następnie nacisnąć Enter.

Instalacja na sprzęcie NUC

Ta część jest oparta wyłącznie na aktualnej procedurze Sophos Sophos NDR on NUC hardware. Ma zastosowanie do systemu Intel NUC 13 tylko wtedy, gdy jego dokładny model i konfiguracja są zatwierdzone w aktualnej specyfikacji certyfikowanego sprzętu; ani sama generacja, ani ten przewodnik nie oznaczają obsługi. W przeciwieństwie do Dell i OnLogic podczas tej instalacji interfejsom przechwytywania nie przypisuje się jeszcze roli SPAN.

Przygotowanie sprzętu i systemu BIOS

Podłączyć zasilanie, monitor HDMI i klawiaturę USB. Monitor VGA wymaga adaptera USB-C–VGA, którego nie ma w zestawie.
Sieć zarządzania podłączyć do górnego portu sieciowego, a łącze przechwytywania — do dolnego portu sieciowego.
Włączyć NUC i natychmiast zacząć wielokrotnie naciskać F2.
Otworzyć Power, Performance and Cooling > Secondary Power Settings.
Zmienić ustawienie After Power Failure z Power Off na Last State.
Wyłączyć PCIE ASPM Support.
Zapisać ustawienia klawiszem F10, wybrać OK i zamknąć BIOS.

Instalacja z pamięci USB

Podłączyć przygotowaną instalacyjną pamięć USB i uruchomić NUC. Jeśli urządzenie już działa, można uruchomić je ponownie za pomocą Ctrl+Alt+Delete.
W menu rozruchowym wybrać Install Sophos NDR – NUC/OnLogic Models i nacisnąć Enter.
Poczekać na ekran Network connections. Zaznaczyć interfejs zarządzania i otworzyć Edit IPv4.
Dla opcji IPv4 method wybrać Manual, a następnie wprowadzić Subnet w notacji CIDR, Address, Gateway oraz Name servers. Pole Search domains jest opcjonalne. Zapisać ustawienia przyciskiem Save.
Otwierać kolejno każdy z pozostałych interfejsów, wybrać Edit IPv4 > Disabled i zapisać ustawienie. Appliance nie używa interfejsu bezprzewodowego wlo1, który również musi pozostać wyłączony.
Ponownie sprawdzić, czy tylko podłączony górny port zarządzania ma adres. Interfejs przechwytywania należy skonfigurować w ustawieniach SPAN w Appliance Manager dopiero po pierwszym uruchomieniu.
Wybrać Continue. Powoduje to zatwierdzenie partycjonowania i instalacji oraz nadpisanie wewnętrznych dysków.
Poczekać na zakończenie obu etapów: komunikat Install complete! pojawia się najpierw po instalacji Ubuntu; proces kończy się dopiero po ukończeniu instalacji NDR i zatrzymaniu obracającego się wskaźnika postępu.
Wybrać Reboot Now. Po wyświetleniu monitu wyjąć pamięć USB i nacisnąć Enter.

Instalacja na sprzęcie OnLogic

Ta część jest oparta wyłącznie na aktualnej procedurze Sophos Sophos NDR on OnLogic hardware. Ma zastosowanie tylko do dokładnego modelu OnLogic i konfiguracji zatwierdzonych w aktualnej specyfikacji certyfikowanego sprzętu; sama rodzina produktów producenta ani ten przewodnik nie są wystarczające. Instalator udostępnia role Management, span i unused. Rola Syslog nie jest dostępna w tej procedurze instalacji.

Przygotowanie sprzętu i ustawień rozruchu

Podłączyć zasilanie, monitor HDMI i klawiaturę USB. Połączenie VGA wymaga adaptera USB-C–VGA, którego nie ma w zestawie.
Interfejs Management podłączyć do górnego portu sieciowego, a interfejs Capture — do dolnego portu sieciowego.
Podłączyć przygotowaną instalacyjną pamięć USB, uruchomić urządzenie i wielokrotnie naciskać F2.
W systemie BIOS otworzyć Boot. Jeśli dostępnych jest kilka opcji, jako Boot Option #1 wybrać instalacyjną pamięć USB.
Otworzyć Exit, wybrać Save Changes and Exit i potwierdzić.
Wybrać Run live NDR ISO installer i nacisnąć Enter. Poczekać na instalator, a następnie kliknąć Next.

Przypisanie ról i instalacja

W sekcji Interface Info sprawdzić wykryte interfejsy, łącza i szybkości. Opcja Refresh Interfaces odświeża widok po zmianie okablowania.
W sekcji Interface Roles przypisać:
- Management — połączenie z Fusion i administracja,
- span — łącze lustrzane,
- unused — nieużywane porty.
Rola Management jest automatycznie włączona, a unused — automatycznie wyłączona. Porty SPAN można włączać i wyłączać. Nie należy przypisywać tutaj domniemanej roli Syslog; nie jest ona jedną z opcji OnLogic w tym instalatorze.
W sekcji Interface Addresses wyłączyć DHCP dla interfejsu Management. Wprowadzić adres IP i podsieć w notacji CIDR, bramę domyślną oraz serwery DNS.
Jeśli wymagany jest serwer proxy, w sekcji Net Proxy włączyć Use Proxy, a następnie wprowadzić adres URL, port i dane logowania.
Na stronie Configuration Review sprawdzić role i adresy. Kliknąć Check Settings, a jeśli sprawdzenie zakończy się powodzeniem — Apply.
Kliknąć Install. Od tego okna dialogowego dyski są formatowane i nie można wrócić do poprzednich stron. Przycisk Continue kliknąć dopiero po ostatecznym sprawdzeniu urządzenia i kopii zapasowej.
Poczekać na komunikat Installation Complete, kliknąć Reboot i potwierdzić przyciskiem Yes. Po wyświetleniu monitu wyjąć pamięć USB i nacisnąć Enter.

Odbiór instalacji: ukierunkowany test dymny wdrożenia

Kontrole odbiorcze w tej sekcji ograniczają się do testu dymnego instalacji. Nie potwierdzają ani kompletności dublowania, ani poprawnego działania detekcji. Na tym etapie należy sprawdzić wyłącznie następujące kwestie:

Rozruch lokalny: po usunięciu nośnika instalacyjnego system uruchamia się z dysku wewnętrznego i nie wraca do instalatora.
Zarządzanie: udokumentowany adres IP zarządzania jest osiągalny z zamierzonej sieci zarządzającej; brama, DNS i serwer proxy są zgodne z zatwierdzonym planem.
Role i stan łączy interfejsów: oznaczenia portów fizycznych, wykryte łącza oraz role są zgodne z wcześniejszą dokumentacją. W systemie Dell roli Syslog nie wolno przypisywać do portu SPAN; OnLogic nie ma roli Syslog; w systemie NUC interfejs wlo1 pozostaje wyłączony.
Appliance Manager: można zalogować się za pomocą danych zapisanych podczas tworzenia appliance. W systemie NUC należy teraz skonfigurować wyznaczony port przechwytywania w ustawieniach SPAN.
Fusion: właściwa konfiguracja NDR zostaje zainicjowana. Kolor czerwony oznacza, że integracja nie działa, żółty wskazuje działanie z błędami, a zielony — prawidłowy stan bez widocznych błędów. Sam zapisany wpis nie jest dowodem instalacji ani odbierania ruchu.
Aktywność przechwytywania: Appliance Manager pokazuje aktywność na wyznaczonym porcie przechwytywania. Jest to tylko test dymny, a nie dowód pełnego pokrycia dublowaniem.

Pełny odbiór ścieżki danych i pokrycia należy przeprowadzić zgodnie z przewodnikiem Konfiguracja i weryfikacja dublowania ruchu dla Sophos NDR. Dopiero potem należy wykonać nieszkodliwy test kompleksowy według instrukcji Generowanie i weryfikacja bezpiecznej detekcji testowej Sophos NDR. W dzienniku zmian zapisać model, czas utworzenia obrazu ISO, przypisanie interfejsów, konfigurację IP, wynik instalacji i czas weryfikacji. Nie zapisywać w nim haseł.

Metodyczne izolowanie błędów instalacji

Urządzenie nie uruchamia się z nośnika instalacyjnego

Dell: w sekcji Virtual Media sprawdzić, czy obraz ISO jest nadal zamontowany jako CD/DVD. Następnie ponownie ustawić Boot > Virtual CD/DVD/ISO przed wykonaniem Reset System (warm boot). Zablokowane wyskakujące okno może uniemożliwić dostęp do Virtual Console.
NUC: sprawdzić, czy faktycznie wybrano Install Sophos NDR – NUC/OnLogic Models i czy zapis pamięci USB zakończył się powodzeniem.
OnLogic: sprawdzić Boot Option #1 w systemie BIOS i uruchomić Run live NDR ISO installer. Jeśli nośnik nadal jest nieczytelny, ponownie zapisać pamięć USB lub użyć innego zweryfikowanego nośnika.

Niepowodzenie funkcji `Check Settings`

To sprawdzenie dotyczy ścieżki zarządzania, a nie jakości dublowanego ruchu. Należy sprawdzić stan łącza i sieć VLAN portu zarządzania, prefiks CIDR, bramę, DNS oraz serwer proxy. Następnie porównać reguły ruchu wychodzącego z tego interfejsu z aktualną listą adresów z symbolami wieloznacznymi lub bez nich w wymaganiach Sophos Appliance. Nie należy jednocześnie zmieniać okablowania zarządzania i przechwytywania, ponieważ przyczyna przestanie być jednoznaczna.

Stan pozostaje nieprawidłowy lub brak aktywności przechwytywania

W ramach testu dymnego instalacji należy sprawdzić wyłącznie udokumentowane przypisanie fizyczne i stan łącza:

Dell: Management na porcie 1, opcjonalny Syslog na porcie 2, a przewody lustrzane na wyznaczonych portach SPAN.
NUC: Management na górnym porcie, a Capture na dolnym; po instalacji port przechwytywania jest skonfigurowany jako SPAN w Appliance Manager.
OnLogic: Management na górnym porcie, a Capture na dolnym; w instalatorze port przechwytywania ma rolę span.

Ponowna instalacja nie naprawia nieprawidłowego dublowania na przełączniku. Konfigurację i projekt, źródło dublowania oraz pełne pokrycie należy sprawdzić zgodnie z przewodnikiem Konfiguracja i weryfikacja dublowania ruchu dla Sophos NDR. Jeśli sensor nadal ma stan czerwony lub żółty albo nie przekazuje danych, należy dalej izolować problem według instrukcji „Diagnostyka NDR Integration Appliance i sensora”, zebrać dane diagnostyczne i w razie potrzeby eskalować do supportu. Nie należy wykonywać nieudokumentowanych napraw w powłoce.

Ograniczone działania lokalne po niepowodzeniu instalacji

Ta sekcja nie jest kompletną procedurą odzyskiwania, wymiany, usuwania ani wycofywania z eksploatacji opublikowaną przez Sophos. Przewodniki instalacyjne Sophos nie opisują takiej procedury. Poniższe punkty jedynie ograniczają działania lokalne podejmowane po nieudanej instalacji.

Do chwili bezpośrednio poprzedzającej wybranie Install lub Continue można zamknąć instalator i poprawić plan. Po potwierdzeniu partycjonowania nie ma możliwości wycofania zmian w miejscu: wewnętrzne dyski są formatowane, a instalator Dell nie pozwala wrócić do poprzednich stron.

Później dozwolone są wyłącznie oddzielnie zaplanowane działania:

Powtórzenie instalacji NDR: usunąć przyczynę i powtórzyć opisaną powyżej procedurę instalacji dla tego konkretnego certyfikowanego modelu. Dane logowania do Appliance Manager pozostają przydatne do uzyskiwania dostępu i diagnostyki; nie oznacza to żadnej procedury odzyskiwania ani kolejności przypisywania.
Przywrócenie poprzedniego stanu lokalnego zgodnie z własnym planem odzyskiwania: wskazana osoba odpowiedzialna odbudowuje urządzenie za pomocą zweryfikowanych przed zmianą nośników producenta i niezależnej kopii zapasowej. Obraz ISO Sophos NDR nie przywraca poprzedniego systemu operacyjnego, partycji ani danych lokalnych.
Niejasny stan dysków, RAID lub sprzętu: nie wykonywać żadnych dalszych operacji zapisu. Jeśli macierz Dell jest inna niż oczekiwano, dysk docelowy jest niejednoznaczny albo certyfikowany model się różni, przed kolejną próbą należy skonsultować się z dostawcą sprzętu i pomocą techniczną Sophos.

Usunięcie konfiguracji NDR w Fusion nie powoduje wycofania zmian w pamięci masowej. Pełna wymiana, usunięcie z Fusion, retencja, bezpieczne kasowanie i wycofanie z eksploatacji wykraczają poza zakres tego artykułu. Nie należy wykonywać tych czynności na podstawie przewodnika instalacyjnego ani własnych założeń; trzeba stosować wyłącznie oddzielną, zatwierdzoną i praktycznie przetestowaną procedurę przeznaczoną do tych zadań.