Instalar Sophos Fusion Endpoint (macOS)

O Sophos Fusion Endpoint só protege totalmente um Mac depois de instalar o agente e conceder as extensões e permissões de privacidade exigidas pelo macOS. Este guia explica a instalação manual, a escolha do instalador adequado e a verificação posterior da proteção.

Para consultar a sequência completa do rollout multiplataforma, incluindo o planeamento, os pré-requisitos e a ordem das etapas, siga o percurso de onboarding do Sophos Endpoint.

Importante: Uma instalação completa do Sophos Endpoint não deve funcionar em paralelo com outro antivírus. A exceção é o XDR Sensor separado: foi concebido para funcionar ao lado de um antivírus de terceiros existente, mas não oferece proteção contra malware por si só.

Antes da instalação

Antes do download, devem verificar-se os seguintes requisitos:

• uma versão do macOS aprovada de acordo com os requisitos atuais do sistema e os limites do ciclo de vida
• uma conta de administrador do Sophos Fusion (anteriormente Sophos Central) com acesso aos instaladores
• direitos de administrador local no Mac
• acesso à Internet em conformidade com os requisitos de rede e proxy do Sophos Endpoint
• nenhum outro antivírus ativo, caso se pretenda instalar o Sophos Endpoint completo

Ao migrar de outra solução de endpoint, a sua remoção deve ser testada primeiro num pequeno grupo de Macs. Assim é possível verificar se permanecem extensões de sistema ou de rede antigas que interfiram com o novo agente.

Antes da instalação, consulte as versões do macOS e do agente atualmente suportadas na matriz de compatibilidade mantida pela Sophos. O artigo associado sobre o ciclo de vida explica como interpretar estes requisitos dinâmicos; este guia não copia uma matriz fixa, porque esta muda independentemente do procedimento de instalação.

Descarregar o instalador correto para macOS

1. Iniciar sessão no Sophos Fusion Admin em fusion.sophos.com.
2. Abrir My Environment > Installers.
3. Em Endpoint, selecionar o instalador adequado para macOS.
4. Descarregar SophosInstall.zip.

O Sophos Fusion disponibiliza várias opções:

• Download Complete macOS Installer: Instala os produtos de endpoint abrangidos pelas licenças da conta Central.
• Choose Components: Cria um instalador apenas com os componentes selecionados. É útil quando, por exemplo, não se pretende instalar Device Encryption ou ZTNA neste Mac.
• XDR Sensor Installers: Instala apenas o XDR Sensor para deteção e investigação ao lado de um antivírus de terceiros existente. É necessária uma licença compatível com XDR; consulte os requisitos de sistema para a versão do macOS atualmente suportada. Este sensor não substitui um antivírus.

Para um posto de trabalho normal totalmente protegido pela Sophos, o instalador completo é geralmente a opção adequada. Deve utilizar-se Choose Components quando a combinação de produtos pretendida difere deliberadamente do âmbito das licenças.

Instalar manualmente o Sophos Endpoint

A partir do macOS Monterey 12.4, SophosInstall.zip deve ser movido antes de ser extraído de Downloads, Documents ou do ambiente de trabalho para o diretório pessoal. Caso contrário, o instalador não consegue criar corretamente os ficheiros de trabalho e a instalação falha.

Um possível diretório de destino é:

~/SophosInstall

Em seguida:

1. Extrair o ficheiro ZIP no diretório de destino.
2. Iniciar Sophos Installer.app.
3. Confirmar a autenticação de administrador.
4. Concluir toda a instalação.
5. Conceder as extensões e permissões da Sophos solicitadas pelo macOS.

O instalador descarrega componentes adicionais do Sophos Fusion. Por isso, o simples arranque bem-sucedido do assistente não comprova que o Mac esteja totalmente protegido.

Verificar o Installer antes de criar uma Exception

Antes de remover um Quarantine Attribute ou adicionar um Installer à distribuição de software, verificam-se Apple Notarization e assinatura:

spctl -a -t exec -vv ~/SophosInstall/Sophos\ Installer.app
codesign -vvvd ~/SophosInstall/Sophos\ Installer.app

spctl tem de indicar o Installer como Notarized Developer ID aceite. codesign tem de confirmar que o Bundle é válido no disco e cumpre a sua Designated Requirement. Na saída detalhada, a Certificate Chain deve incluir Developer ID Application: Sophos (2H5GFH3774), Apple Developer ID Certification Authority e Apple Root CA. Um resultado diferente ou rejeitado não é contornado com um Gatekeeper Bypass; transfere-se um novo Installer diretamente do próprio Central Tenant.

Instalação no Terminal

Para uma instalação não assistida do Sophos Anti-Virus e do Intercept X, o instalador extraído pode ser executado no Terminal:

cd ~/SophosInstall
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --quiet

--products antivirus intercept determina os componentes de proteção instalados. --quiet oculta o diálogo de instalação, mas não substitui as permissões necessárias do macOS. Antes de uma implementação, os nomes dos produtos e as opções devem ser testados num dispositivo de teste com um instalador atual.

Caso o Mac deva ser atribuído diretamente a um grupo de dispositivos do Central durante a instalação, esse grupo pode ser indicado:

sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --devicegroup Firma\\Macs \
  --quiet

No exemplo, Firma\Macs é um subgrupo existente no Central. A barra invertida dupla garante que a shell transmite corretamente o caminho do grupo ao instalador.

Se o macOS bloquear o instalador

Quarentena, App Translocation e Folder Insecurity exigem limites de segurança claros. O runbook de resolução de problemas macOS orienta o diagnóstico e indica quando interromper e escalar sem alterações gerais de permissões.

Se o Installer indicar uma umask global diferente, não defina arbitrariamente qualquer valor. Uma umask de sistema afeta todos os ficheiros criados por contas de sistema e pode prejudicar segurança e aplicações. Depois de um backup, compare a configuração LaunchDaemon responsável com a baseline macOS aplicável; só um administrador que tenha avaliado o impacto em todo o dispositivo deve removê-la ou corrigi-la.

Conceder permissões do macOS

Consoante o âmbito do produto, a Sophos necessita de uma Security Extension, uma Network Extension, autorização do proxy ou do Web Content Filter, Full Disk Access e notificações. Se faltar uma autorização, o agente pode estar instalado e visível no Central, mas uma função de proteção pode não funcionar ou os alertas podem passar despercebidos.

A Sophos apresenta uma notificação quando falta uma permissão. Open System Settings abre a definição correspondente do macOS; a mensagem só deve ser fechada depois de conceder a permissão e a verificar no Self Help.

A apresentação exata varia consoante a versão do macOS:

• macOS 14 e anteriores: As extensões de sistema da Sophos são permitidas em Privacy & Security.
• macOS 15: Abrir System Settings > General > Login Items & Extensions. Em Endpoint Security Extensions, ativar Sophos Detection.app e, em Network Extensions, ativar Sophos Network Extension.app.
• macOS 26: No mesmo local, em By App, ativar a Security Extension de Sophos Detection e a Network Extension de Sophos Network Extension.

Depois de ativar a Network Extension, o macOS pergunta se Sophos Network Extension pode ser autorizado como proxy de rede. Este diálogo deve ser confirmado com Allow para que a análise e a proteção Web funcionem na totalidade.

Autorize também o pedido de Web Content Filter e as notificações da Sophos. O filtro faz parte da proteção Web; as notificações tornam visíveis os alertas de proteção e permissões. Se um pedido não surgir, não crie uma exceção global no macOS: identifique a entrada em falta através do Self Help.

A forma mais fiável de verificar e conceder Full Disk Access é através do Sophos Endpoint:

Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites

Em Prerequisites, a Sophos mostra qual a permissão em falta e abre a definição adequada do macOS. As entradas necessárias podem mudar com o agente e o âmbito da licença, pelo que esta verificação é mais fiável do que uma lista estática.

O Sophos Service Manager verifica automaticamente estas permissões aproximadamente a cada 30 minutos. Depois de conceder uma permissão manualmente, reinicie-o para antecipar a verificação; o novo estado surge após cerca de 30 segundos.

Verificar a instalação e a proteção

Após a instalação, devem ser verificados três níveis:

1. Localmente: Não faltam permissões em Endpoint Self Help > Prerequisites.
2. Sophos Fusion: Em My Environment > Computers & Servers, o Mac aparece com comunicação atual com o Central e sem um estado de Health vermelho.
3. Âmbito da proteção: Na página de detalhes do dispositivo, estão ativos os produtos e as políticas previstos.

A validação só termina quando os três níveis estão corretos. Um estado verde no Central não prova, por si só, que o macOS concedeu todas as autorizações locais; um Self Help local sem erros também não prova comunicação atual com o Central. Num dispositivo piloto, registe a variante do Installer, a versão do agente e a hora da verificação antes de alargar a implementação.

Um dispositivo não deve ser eliminado prematuramente do Sophos Fusion. A eliminação do objeto no Central não desinstala o agente, mas pode dificultar o acesso normal à palavra-passe de Tamper Protection específica do dispositivo. Por isso, deve primeiro desativar-se o Tamper Protection de forma controlada e depois desinstalar o agente.

Se o Mac já tiver sido eliminado do Central, voltar a executar o Installer não regista simplesmente a instalação existente. Trata-a como Upgrade e mantém a identidade antiga. Para Endpoint 2024.1 e posterior, a Sophos recomenda desinstalação completa seguida de nova instalação. Instruções antigas que removem a entrada Sophos read-only do Keychain e usam comandos internos de registo não se aplicam a estas versões.

O procedimento de remoção completo e suportado está descrito em Desinstalar Sophos Fusion Endpoint no macOS.

O Sophos Fusion regista normalmente os utilizadores autenticados de forma automática. Uma atribuição manual de utilizador ou licença é necessária sobretudo quando diferentes nomes de início de sessão locais criaram objetos de utilizador duplicados.

As funções instaladas posteriormente podem ser geridas em separado. O artigo Instalar ou desinstalar funcionalidades do Sophos Endpoint explica este processo.

Implementar vários Macs através de MDM

Para vários Macs, as permissões, o Web Content Filter e as notificações não devem ser aprovados dispositivo a dispositivo. O guia MDM dedicado aborda os perfis Sophos atuais, a ordem de implementação do perfil e do instalador e a validação de um grupo piloto.

Problemas comuns de instalação

Se a instalação, o registo Central, a configuração, as permissões ou as atualizações não terminarem, passe para o runbook de resolução de problemas do Sophos Endpoint no macOS. Abrange Installers bloqueados, falhas de rede e proxy, permissões incompletas, decisões de reinstalação e escalamento. Assim, a reparação fica separada do percurso normal de instalação e validação.

Interpretar Timestamp de policy, página System e funções dos processos

A página Policy mostra a última receção de uma policy Central e atualiza-se automaticamente. Para um teste controlado, altere minimamente uma definição realmente atribuída, guarde-a e verifique de novo após cerca de 30 segundos. Se o Timestamp não mudar, investigue primeiro Management Communication. Uma abreviatura de policy desconhecida com três letras significa que Self Help não reconhece o tipo recebido; não justifica alterar outras policies ao acaso.

A página System contém apenas inventário e não afeta Health State. Por predefinição, Central usa o nome macOS de Sharing; sem associação a diretório, o nome local pode aparecer como Domain do utilizador. Defina outros nomes apenas através de overrides documentados do Installer e depois procure novos objetos ou duplicados.

No diagnóstico de processos, avalie funções e não apenas nomes: SophosServiceManager monitoriza componentes Agent, SophosMcsAgentD comunica com Central, SophosUpdater atualiza, Sophos Network Extension trata a interceção, SophosCryptoGuard protege contra Ransomware, SophosOSQuery e SophosLiveQuery fornecem dados Query e SophosLiveResponse a sessão privilegiada. A encriptação usa processos próprios do utilizador com sessão e _sophosencryption. Um processo ausente só é erro se a respetiva função licenciada devesse estar instalada e ativa.

Captive Portal em Wi-Fi público

Se não aparecer o Login de uma rede de hotel, avião ou convidados, Endpoint Self Help > Captive Portal Mode pode suspender Network Interception durante no máximo cinco minutos. Termina antes se for desativado manualmente e não requer Tamper Protection Password. Usa-se apenas para o Portal Login e depois voltam a verificar-se proteção e ligação. A Sophos não comunica novos casos do problema histórico da Apple desde o início de 2024, mas mantém o modo como ajuda limitada.

Ficheiros em partilhas SMB permanecem bloqueados

Se ficheiros abertos por um Mac ficarem temporariamente bloqueados numa partilha SMB, registam-se Agent Version, Path, Application e duração. Uma exclusão On-Access isolada não altera necessariamente o comportamento. A Sophos documenta um Workaround limitado com o mesmo Network Path nas exclusões On-Access e CryptoGuard ou Ransomware. Isto remove duas camadas de proteção, pelo que se avaliam partilha, permissões e proteção do servidor. Desativar globalmente Real-time Scanning - Network é mais abrangente e não é preferível.

Reset summary repõe o contador local de deteções. Não elimina Malware, Central Events nem Incident History. Só se usa depois da correção técnica, para não confundir uma apresentação local vazia com um incidente resolvido.

Já existe outro antivírus instalado

Para obter a proteção completa da Sophos, o antivírus anterior deve ser migrado e removido de forma controlada. Se a proteção existente tiver de ser mantida deliberadamente, apenas o XDR Sensor separado se destina a esta coexistência. Uma vez que não oferece proteção própria contra malware, o antivírus de terceiros deve permanecer ativo e em bom estado.

Surge a conta local _Sophos

O Installer cria a conta de serviço restrita _Sophos. Não tem Login Shell interativa, não pertence ao grupo normal de utilizadores e executa processos Sophos com menos privilégios do que root. Não é um utilizador desconhecido e não deve ser eliminada. O Agent não guarda nem utiliza a Password criada automaticamente para iniciar sessão.

Perguntas frequentes