Instalar Sophos Fusion Endpoint (macOS)

O Sophos Fusion Endpoint só protege totalmente um Mac depois de instalar o agente e conceder as extensões e permissões de privacidade exigidas pelo macOS. Este guia explica a instalação manual, a escolha do instalador adequado e a verificação posterior da proteção.

Para consultar a sequência completa do rollout multiplataforma, incluindo o planeamento, os pré-requisitos e a ordem das etapas, siga o percurso de onboarding do Sophos Endpoint.

Importante: Uma instalação completa do Sophos Endpoint não deve funcionar em paralelo com outro antivírus. A exceção é o XDR Sensor separado: foi concebido para funcionar ao lado de um antivírus de terceiros existente, mas não oferece proteção contra malware por si só.

Antes da instalação

Antes do download, devem verificar-se os seguintes requisitos:

• uma versão do macOS aprovada de acordo com os requisitos atuais do sistema e os limites do ciclo de vida
• uma conta de administrador do Sophos Fusion (anteriormente Sophos Central) com acesso aos instaladores
• direitos de administrador local no Mac
• acesso à Internet em conformidade com os requisitos de rede e proxy do Sophos Endpoint
• nenhum outro antivírus ativo, caso se pretenda instalar o Sophos Endpoint completo

Ao migrar de outra solução de endpoint, a sua remoção deve ser testada primeiro num pequeno grupo de Macs. Assim é possível verificar se permanecem extensões de sistema ou de rede antigas que interfiram com o novo agente.

Antes da instalação, consulte as versões do macOS e do agente atualmente suportadas na matriz de compatibilidade mantida pela Sophos. O artigo associado sobre o ciclo de vida explica como interpretar estes requisitos dinâmicos; este guia não copia uma matriz fixa, porque esta muda independentemente do procedimento de instalação.

macOS 27 Golden Gate – situação em 16 de outubro de 2026: O Sophos Endpoint para macOS 2026.2 suporta esta versão do macOS e está disponível no canal Recommended; as notas de versão indicam 2026.2.0. Este suporte não exige um Early Access Program. O número de versão do Sophos Home não é relevante para este efeito: Home é outro produto.

A Apple permite o macOS 27 apenas em Macs com Apple Silicon, não em Macs Intel. Os requisitos da Sophos indicam Apple Silicon M Series e Intel para o conjunto das versões do macOS enumeradas; daí não resulta suporte Intel para o macOS 27. A Apple também indica os Macs A-Series como compatíveis com o macOS 27. Para um destes Macs, é necessário esclarecer o suporte concreto da Sophos antes da implementação, pois a matriz da Sophos refere expressamente M Series.

Descarregar o instalador correto para macOS

1. Iniciar sessão no Sophos Fusion Admin em fusion.sophos.com.
2. Abrir My Environment > Installers.
3. Em Endpoint, selecionar o instalador adequado para macOS.
4. Descarregar SophosInstall.zip.

O Sophos Fusion disponibiliza várias opções:

• Download Complete macOS Installer: Instala os produtos de endpoint abrangidos pelas licenças da conta Central.
• Choose Components: Cria um instalador apenas com os componentes selecionados. É útil quando, por exemplo, não se pretende instalar Device Encryption ou ZTNA neste Mac.
• XDR Sensor Installers: Instala apenas o XDR Sensor para deteção e investigação ao lado de um antivírus de terceiros existente. É necessária uma licença compatível com XDR; consulte os requisitos de sistema para a versão do macOS atualmente suportada. Este sensor não substitui um antivírus.

Para um posto de trabalho normal totalmente protegido pela Sophos, o instalador completo é geralmente a opção adequada. Deve utilizar-se Choose Components quando a combinação de produtos pretendida difere deliberadamente do âmbito das licenças.

Instalar manualmente o Sophos Endpoint

A partir do macOS Monterey 12.4, SophosInstall.zip deve ser movido antes de ser extraído de Downloads, Documents ou do ambiente de trabalho para o diretório pessoal. Caso contrário, o instalador não consegue criar corretamente os ficheiros de trabalho e a instalação falha.

Um possível diretório de destino é:

~/SophosInstall

Em seguida:

1. Extrair o ficheiro ZIP no diretório de destino.
2. Iniciar Sophos Installer.app.
3. Confirmar a autenticação de administrador.
4. Concluir toda a instalação.
5. Conceder as extensões e permissões da Sophos solicitadas pelo macOS.

O instalador descarrega componentes adicionais do Sophos Fusion. Por isso, o simples arranque bem-sucedido do assistente não comprova que o Mac esteja totalmente protegido.

Verificar o instalador antes de criar uma exceção

Antes de remover um atributo de quarentena ou incluir um instalador na distribuição de software, verifique a respetiva notarização pela Apple e a assinatura:

spctl -a -t exec -vv ~/SophosInstall/Sophos\ Installer.app
codesign -vvvd ~/SophosInstall/Sophos\ Installer.app

spctl tem de indicar o instalador como Notarized Developer ID aceite. codesign tem de confirmar que o Bundle é válido no disco e cumpre a sua Designated Requirement. Na saída detalhada, a cadeia de certificados deve incluir Developer ID Application: Sophos (2H5GFH3774), Apple Developer ID Certification Authority e Apple Root CA. Um resultado diferente ou rejeitado não justifica contornar o Gatekeeper; transfere-se um novo instalador diretamente do próprio tenant do Central.

Instalação no Terminal

Para uma instalação não assistida do Sophos Anti-Virus e do Intercept X, o instalador extraído pode ser executado no Terminal:

cd ~/SophosInstall
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --quiet

--products antivirus intercept determina os componentes de proteção instalados. --quiet oculta o diálogo de instalação, mas não substitui as permissões necessárias do macOS. Antes de uma implementação, os nomes dos produtos e as opções devem ser testados num dispositivo de teste com um instalador atual.

Caso o Mac deva ser atribuído diretamente a um grupo de dispositivos do Central durante a instalação, esse grupo pode ser indicado:

sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --devicegroup Firma\\Macs \
  --quiet

No exemplo, Firma\Macs é um subgrupo existente no Central. A barra invertida dupla garante que a shell transmite corretamente o caminho do grupo ao instalador.

Se o macOS bloquear o instalador

Quarentena, App Translocation e Folder Insecurity exigem limites de segurança claros. O runbook de resolução de problemas macOS orienta o diagnóstico e indica quando interromper e escalar sem alterações gerais de permissões.

Se o instalador indicar uma umask global diferente, não defina arbitrariamente qualquer valor. Uma umask de sistema afeta todos os ficheiros criados por contas de sistema e pode prejudicar segurança e aplicações. Depois de um backup, compare a configuração LaunchDaemon responsável com a baseline macOS aplicável; só um administrador que tenha avaliado o impacto em todo o dispositivo deve removê-la ou corrigi-la.

Conceder permissões do macOS

Consoante o âmbito do produto, a Sophos necessita de uma Security Extension, uma Network Extension, autorização do proxy ou do Web Content Filter, Full Disk Access e notificações. Se faltar uma autorização, o agente pode estar instalado e visível no Central, mas uma função de proteção pode não funcionar ou os alertas podem passar despercebidos.

A Sophos apresenta uma notificação quando falta uma permissão. Open System Settings abre a definição correspondente do macOS; a mensagem só deve ser fechada depois de conceder a permissão e a verificar no Self Help.

A apresentação exata varia consoante a versão do macOS. A Sophos agrupa o procedimento atual de permissões em «macOS 26 e posteriores»; não se trata de um percurso de menus verificado separadamente em cada compilação do macOS 27. A referência continua a ser a notificação da Sophos com Open System Settings, seguida da verificação no Self Help:

• macOS 14 e anteriores: As extensões de sistema da Sophos são permitidas em Privacy & Security.
• macOS 15: Abrir System Settings > General > Login Items & Extensions. Em Endpoint Security Extensions, ativar Sophos Detection.app e, em Network Extensions, ativar Sophos Network Extension.app.
• macOS 26: No mesmo local, em By App, ativar a Security Extension de Sophos Detection e a Network Extension de Sophos Network Extension.

Depois de ativar a Network Extension, o macOS pergunta se Sophos Network Extension pode ser autorizado como proxy de rede. Este diálogo deve ser confirmado com Allow para que a análise e a proteção Web funcionem na totalidade.

Autorize também o pedido de Web Content Filter e as notificações da Sophos. O filtro faz parte da proteção Web; as notificações tornam visíveis os alertas de proteção e permissões. Se um pedido não surgir, não crie uma exceção global no macOS: identifique a entrada em falta através do Self Help.

A forma mais fiável de verificar e conceder Full Disk Access é através do Sophos Endpoint:

Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites

Em Prerequisites, a Sophos mostra qual a permissão em falta e abre a definição adequada do macOS. As entradas necessárias podem mudar com o agente e o âmbito da licença, pelo que esta verificação é mais fiável do que uma lista estática.

O Sophos Service Manager verifica automaticamente estas permissões aproximadamente a cada 30 minutos. Depois de conceder uma permissão manualmente, reinicie-o para antecipar a verificação; o novo estado surge após cerca de 30 segundos.

Verificar a instalação e a proteção

Após a instalação, devem ser verificados três níveis:

1. Localmente: Não faltam permissões em Endpoint Self Help > Prerequisites.
2. Sophos Fusion: Em My Environment > Computers & Servers, o Mac aparece com comunicação atual com o Central e sem um estado de Health vermelho.
3. Âmbito da proteção: Na página de detalhes do dispositivo, estão ativos os produtos e as políticas previstos.

A validação só termina quando os três níveis estão corretos. Um estado verde no Central não prova, por si só, que o macOS concedeu todas as autorizações locais; um Self Help local sem erros também não prova comunicação atual com o Central. Num dispositivo piloto, registe a variante do instalador, a versão do agente e a hora da verificação antes de alargar a implementação.

Para o macOS 27, registe também a compilação completa do sistema operativo, o chip Apple e a compilação efetiva do Endpoint com o respetivo canal. Teste separadamente no piloto a instalação nova e a atualização de um Mac já protegido. Após a atualização, volte a verificar extensões, permissões, atualizações, receção de políticas e a proteção web e de rede necessária; a compatibilidade publicada não substitui esta validação.

Um dispositivo não deve ser eliminado prematuramente do Sophos Fusion. A eliminação do objeto no Central não desinstala o agente, mas pode dificultar o acesso normal à palavra-passe de Tamper Protection específica do dispositivo. Por isso, deve primeiro desativar-se o Tamper Protection de forma controlada e depois desinstalar o agente.

Se o Mac já tiver sido eliminado do Central, voltar a executar o instalador não regista simplesmente a instalação existente. Trata-a como atualização e mantém a identidade antiga. Para Endpoint 2024.1 e posterior, a Sophos recomenda desinstalação completa seguida de nova instalação. Instruções antigas que removem a entrada Sophos só de leitura do Keychain e usam comandos internos de registo não se aplicam a estas versões.

O procedimento de remoção completo e suportado está descrito em Desinstalar Sophos Fusion Endpoint no macOS.

O Sophos Fusion regista normalmente os utilizadores autenticados de forma automática. Uma atribuição manual de utilizador ou licença é necessária sobretudo quando diferentes nomes de início de sessão locais criaram objetos de utilizador duplicados.

As funções instaladas posteriormente podem ser geridas em separado. O artigo Instalar ou desinstalar funcionalidades do Sophos Endpoint explica este processo.

Implementar vários Macs através de MDM

Para vários Macs, as permissões, o Web Content Filter e as notificações não devem ser aprovados dispositivo a dispositivo. O guia MDM dedicado aborda os perfis Sophos atuais, a ordem de implementação do perfil e do instalador e a validação de um grupo piloto.

Problemas comuns de instalação

Se a instalação, o registo Central, a configuração, as permissões ou as atualizações não terminarem, passe para o runbook de resolução de problemas do Sophos Endpoint no macOS. Abrange instaladores bloqueados, falhas de rede e proxy, permissões incompletas, decisões de reinstalação e escalamento. Assim, a reparação fica separada do percurso normal de instalação e validação.

Interpretar a marca temporal da política, a página System e as funções dos processos

A página Policy mostra a última receção de uma política do Central e atualiza-se automaticamente. Para um teste controlado, altere minimamente uma definição realmente atribuída, guarde-a e verifique de novo após cerca de 30 segundos. Se a marca temporal não mudar, investigue primeiro Management Communication. Uma abreviatura de política desconhecida com três letras significa que Self Help não reconhece o tipo recebido; não justifica alterar outras políticas ao acaso.

A página System contém apenas inventário e não afeta Health State. Por predefinição, Central usa o nome macOS de Sharing; sem associação a diretório, o nome local pode aparecer como domínio do utilizador. Defina outros nomes apenas através de parâmetros de substituição documentados do instalador e depois procure novos objetos ou duplicados.

No diagnóstico de processos, avalie funções e não apenas nomes: SophosServiceManager monitoriza componentes do agente, SophosMcsAgentD comunica com Central, SophosUpdater atualiza, Sophos Network Extension trata a interceção, SophosCryptoGuard protege contra Ransomware, SophosOSQuery e SophosLiveQuery fornecem dados de consulta e SophosLiveResponse a sessão privilegiada. A encriptação usa processos próprios do utilizador com sessão e _sophosencryption. Um processo ausente só é erro se a respetiva função licenciada devesse estar instalada e ativa.

Captive Portal em Wi-Fi público

Se não aparecer a página de início de sessão de uma rede de hotel, avião ou convidados, Endpoint Self Help > Captive Portal Mode pode suspender a interceção de rede durante no máximo cinco minutos. Termina antes se for desativado manualmente e não requer a palavra-passe de Tamper Protection. Usa-se apenas para o início de sessão no portal e depois voltam a verificar-se proteção e ligação. A Sophos não comunica novos casos do problema histórico da Apple desde o início de 2024, mas mantém o modo como ajuda limitada.

Ficheiros em partilhas SMB permanecem bloqueados

Se ficheiros abertos por um Mac ficarem temporariamente bloqueados numa partilha SMB, registe primeiro a versão do agente, o caminho em que o problema é reproduzível, a aplicação e a duração do bloqueio. Uma exclusão On-Access isolada não altera necessariamente o comportamento. A Sophos documenta uma solução temporária limitada com o mesmo caminho de rede nas exclusões On-Access e CryptoGuard ou Ransomware. Isto remove duas camadas de proteção nesse caminho, pelo que é necessário avaliar a partilha, as permissões de escrita e a proteção do lado do servidor. Desativar globalmente Real-time Scanning - Network é mais abrangente e não é preferível.

Reset summary repõe o contador local de deteções. Não elimina malware, eventos no Central nem o histórico do incidente. Só se usa depois da correção técnica, para não confundir uma apresentação local vazia com um incidente resolvido.

Já existe outro antivírus instalado

Para obter a proteção completa da Sophos, o antivírus anterior deve ser migrado e removido de forma controlada. Se a proteção existente tiver de ser mantida deliberadamente, apenas o XDR Sensor separado se destina a esta coexistência. Uma vez que não oferece proteção própria contra malware, o antivírus de terceiros deve permanecer ativo e em bom estado.

Surge a conta local _Sophos

O instalador cria a conta de serviço restrita _Sophos. Não tem uma shell de início de sessão interativa, não pertence ao grupo normal de utilizadores e executa processos Sophos com menos privilégios do que root. Não é um utilizador desconhecido e não deve ser eliminada. O agente não guarda nem utiliza a palavra-passe criada automaticamente para iniciar sessão.

Perguntas frequentes