Configurar Sophos Endpoint Application Control

Application Control impede software indesejado ou de risco sem tratar precipitadamente todas as aplicações desconhecidas como malware. A Sophos organiza programas conhecidos por categorias. A política decide depois quais são permitidos ou bloqueados.

O ponto de partida seguro não é «bloquear tudo o que parece desnecessário», mas detetar, avaliar, pilotar e só depois bloquear. Assim, as ferramentas de acesso remoto, administração ou colaboração efetivamente utilizadas tornam-se visíveis antes de um bloqueio em produção interromper processos empresariais.

Application Control não é proteção contra malware

Threat Protection deteta ficheiros e comportamentos maliciosos. Application Control aplica uma decisão operacional sobre aplicações geralmente conhecidas. Uma ferramenta de administração remota pode ser legítima para o suporte e indesejada num posto de trabalho normal. Nenhuma opção padrão substitui esta avaliação.

Permitir uma aplicação em Application Control também não significa que a Sophos deixe de a verificar quanto a malware, exploits, ransomware ou comportamento malicioso. Inversamente, um verdadeiro falso positivo não deve ser ocultado por uma ampla exceção de Application Control.

Detetar primeiro

Inicie sessão no Sophos Fusion. Em My Products > Endpoint > Policies, crie ou abra uma política Application Control. A política deve estar ativa no separador Settings. Para um inventário fiável, a Sophos recomenda este procedimento:

1. Em Controlled Applications, clique em Add/Edit List.
2. Abra uma categoria relevante, escolha primeiro Select all applications e confirme com Save to List. Repita para todas as categorias a inventariar.
3. Em Detection Options, ative apenas Detect controlled applications during scheduled and on-demand scans. O Application Control utiliza as análises agendadas e os tipos de ficheiro das definições de Threat Protection.
4. Aguarde até todos os computadores terem executado pelo menos uma análise agendada.
5. Em Reports > Logs > Events, desmarque todos os tipos de evento exceto Application Control e avalie as aplicações detetadas.

Não é apenas o nome da aplicação que importa, mas também o dispositivo, o utilizador, a hora e a finalidade empresarial. Uma aplicação legítima num equipamento de administração de IT pode ser indesejada em todos os outros endpoints.

Categorias e aplicações individuais

A Sophos gere programas controláveis por categorias. Bloquear uma categoria inteira é conveniente, mas possui maior alcance. Quando produtos da mesma categoria exigem decisões diferentes, abre-se a categoria e refina-se a decisão ao nível da aplicação.

Um modelo sustentável baseia-se normalmente em poucas decisões:

A política não é preenchida com muitas exceções preventivas. Cada desvio recebe um responsável e uma justificação compreensível.

Não tratar separadamente Protected Browser e Island Browser

Sophos Protected Browser e Island Enterprise Browser partilham binários principais, pelo que Sophos Endpoint pode detetar ambos com a mesma assinatura. Uma decisão Application Control para Island Browser pode também afetar Sophos Protected Browser; uma autorização separada fiável não é garantida. A sobreposição afeta igualmente a deteção de browsers pelo DLP. Com Workspace Protection, testam-se em conjunto Application Control e Endpoint DLP e documenta-se o limite dos produtos.

Bloquear no grupo piloto

Após a avaliação, abre-se novamente Add/Edit List e desmarcam-se as aplicações que devem continuar permitidas. As restantes entradas continuam controladas. Em Detection Options, ativam-se Detect controlled applications when users access them e Block the detected application, e guarda-se a política.

A primeira política de bloqueio é atribuída a um pequeno grupo de computadores. Deve incluir utilizadores típicos, aplicações empresariais importantes e pelo menos um posto IT. Depois da atribuição, verifica-se em Policies no dispositivo se esta política Application Control é realmente efetiva.

Durante o piloto são verificados:

• a aplicação prevista é bloqueada e gera um evento;
• aplicações permitidas continuam a iniciar;
• no Windows, o utilizador recebe a mensagem de ambiente de trabalho configurada;
• o Helpdesk conhece aplicação, regra e processo de autorização;
• são detetadas tentativas de evasão através de aplicações portáteis ou renomeadas.

Desktop Messaging está ativo por predefinição. Um texto próprio complementa a mensagem padrão; com o campo vazio aparece apenas a mensagem padrão. Segundo a Sophos, a função só pode ser alterada ou desativada no Windows. Noutras plataformas, o processo não pode depender do mesmo diálogo.

Bloquear Script Hosts apenas após inventário

Em Programming / Scripting tool, Application Control pode controlar Microsoft WSH WScript. Isto acrescenta uma barreira contra JavaScript malicioso, mas bloqueia também scripts legítimos de início de sessão, administração ou aplicações. Primeiro inventaria-se o Script Host no modo de deteção e só se bloqueia para grupos adequados. Não substitui AMSI nem Threat Protection. Também não constitui uma medida geral de remoção de malware.

Tratar automaticamente novas aplicações

A Sophos pode incluir automaticamente novas aplicações numa categoria já controlada. Isto mantém as políticas atualizadas, mas aumenta o alcance automático. Numa categoria bloqueada, um produto recém-classificado e necessário à empresa pode ser bloqueado sem uma aprovação separada.

A Sophos identifica New applications added to this category by Sophos como opcional e alerta para que não seja ativada sem uma avaliação cuidadosa. Deve ser usada apenas quando se pretende que novas entradas dessa categoria sejam deliberadamente controladas de forma automática. A conveniência de uma lista atualizada não substitui o controlo de alterações; em categorias bloqueadas, uma revisão periódica seguida de um piloto é normalmente mais fácil de governar.

Nova categoria GenAI

A Sophos agrupa agora as aplicações de inteligência artificial generativa na categoria GenAI. Consoante a plataforma, esta inclui clientes de ambiente de trabalho, modelos locais, assistentes de programação e ferramentas de criação de conteúdos. Programas existentes como Cursor, Microsoft Copilot, Ollama, Perplexity ou Windsurf foram movidos de categorias anteriores para esta.

Segundo a Sophos, a reclassificação não altera o estado Allow ou Block existente. No entanto, altera o local onde a aplicação é encontrada nos relatórios e na manutenção da política. Por isso, a categoria GenAI volta a ser inventariada após uma atualização do catálogo. Um bloqueio global não substitui regras para serviços no browser, classificação de dados e aplicações de IA empresariais permitidas.

Estado do catálogo em 18 de agosto de 2026: Application Control 6.27

A atualização de dados 6.27 foi distribuída em 18 de agosto de 2026; o anúncio correspondente foi publicado em 19 de agosto de 2026. Este estado complementa a avaliação de GenAI acima, mas não é uma lista completa de aplicações nem uma confirmação para versões posteriores. Para a manutenção das políticas, são relevantes, por exemplo, estas entradas:

• Verificação no Windows: GitHub Copilot, Zed AI e Warp Terminal constam como GenAI na primeira lista do catálogo do anúncio. Essa lista não tem um cabeçalho de plataforma próprio; as entradas são, por isso, candidatas a verificar no piloto Windows, não uma confirmação geral para todas as versões do Windows ou variantes dos programas.
• macOS: GitHub Copilot, Zed AI e Warp Terminal constam também expressamente como GenAI na secção separada macOS. A classificação no macOS é verificada independentemente da primeira lista; uma entrada numa plataforma não implica uma deteção idêntica na outra.

Além disso, Notion Desktop App passou a chamar-se Notion AI e foi movida de BusinessIntelligenceTool para GenAI. Durante o inventário, procurar também o nome anterior e comparar a decisão existente de permitir ou bloquear com a nova entrada. A reclassificação, por si só, não justifica substituir uma autorização existente por um bloqueio de categoria sem a verificar.

A publicação ocorre em duas etapas: as novas entradas podem já estar visíveis na interface de gestão 24 a 48 horas antes da disponibilização das identidades de deteção. Só essa disponibilização fornece os dados de deteção da aplicação. Para entradas acabadas de publicar, aguardar, portanto, esse intervalo antes de avaliar o efeito Allow/Block. Uma entrada visível ou uma definição guardada ainda não demonstra controlo efetivo no endpoint; o intervalo também não garante que todos os dispositivos estejam já atualizados no final.

Para esta alteração do catálogo, executar o piloto existente separadamente num dispositivo Windows e num dispositivo macOS, com a versão da aplicação efetivamente utilizada:

1. Antes da alteração, documentar a política Application Control efetiva, a entrada anterior e o respetivo estado de controlo, bem como New applications added to this category by Sophos. Se esta opção estiver ativa para a categoria e Block the detected application estiver ativada, as novas aplicações são bloqueadas automaticamente. Se não for esse o comportamento pretendido, desativar a opção de categoria antes da distribuição; isto não autoriza automaticamente as entradas já controladas.
2. Após o intervalo de publicação e uma atualização bem-sucedida do endpoint, verificar em Policies a política piloto efetiva. Primeiro, analisar a aplicação no modo de deteção existente e procurar a entrada esperada em Reports > Logs > Events com o filtro Application Control. Para Notion, comparar o nome Notion AI com a decisão anterior. Registar o nome do dispositivo, sistema operativo, versão da aplicação e hora como evidência da verificação.
3. Ativar o bloqueio pretendido apenas no grupo piloto, verificar a receção da política e voltar a abrir a aplicação. O teste é bem-sucedido se a aplicação selecionada for bloqueada, existir um evento correspondente e uma aplicação de comparação deliberadamente permitida continuar a funcionar. No macOS, não pressupor a mesma mensagem de ambiente de trabalho que no Windows.
4. Se não houver deteção ou bloqueio, verificar primeiro a atribuição da política, a atualização do endpoint, a versão da aplicação e o processo real. Não bloquear indiscriminadamente a categoria GenAI para todos os dispositivos como alternativa. Para reverter a alteração, restaurar na política piloto o estado de controlo documentado da aplicação afetada, guardar, aguardar a receção da política e testar novamente o arranque. Restaurar o valor anterior da opção de categoria apenas se também se pretender voltar a tratar automaticamente as novas entradas.

Estado do catálogo em 6 de outubro de 2026: Application Control 6.28

A atualização de dados 6.28 foi distribuída em 6 de outubro de 2026; o comunicado final de 7 de outubro de 2026 confirma-o. O anúncio prévio de 25 de setembro descrevia apenas o estado previsto. Para rever o inventário, conta a lista final, não o anúncio prévio:

• A primeira lista, sem título próprio de plataforma, inclui, por exemplo, ToDesk, Gorelo e TiFlux Agent como RemMan, bem como Google Antigravity IDE e Google Antigravity CLI como GenAI. Em relação ao anúncio prévio, foram aí acrescentados Claude Science e Taskade Agent, ambos GenAI. Esta lista não é uma matriz explicitamente identificada de compatibilidade Windows; verifique apenas os programas e variantes efetivamente utilizados.
• A secção macOS, expressamente separada, inclui, entre outros, Claude Science, Taskade Agent e Google Antigravity IDE como GenAI. Estas entradas já aí constavam no anúncio prévio. Os acréscimos da primeira lista não são, portanto, também novas entradas macOS; a deteção e o efeito da política são verificados por plataforma.

Além disso, Google Antigravity passa de ProgrammingScriptTool para GenAI. Otter AI Assistant passa a chamar-se Otter e muda de SystemTool para GenAI. Dynalist Obsidian torna-se Obsidian, mantendo-se em DocumentViewer. Nos relatórios e na manutenção das políticas, procure os nomes antigos e os novos. A afirmação anterior sobre a conservação do estado de controlo na introdução de GenAI não constitui uma garantia expressa para estas alterações de outubro: compare o estado Allow/Block real de cada entrada afetada com o registo anterior.

Para as aplicações afetadas já existentes, o procedimento acima, com deteção, piloto por plataforma e reversão limitada, também se aplica à versão 6.28. Antes de alterar uma política, verifique em particular o automatismo da categoria e Block the detected application: se ambos estiverem ativos, as novas entradas podem ser bloqueadas automaticamente. As 24 a 48 horas entre a entrada na consola e a publicação das identidades continuam a ser um intervalo de publicação, não uma garantia de atualização de cada dispositivo. A inclusão no catálogo não é um veredicto de malware nem uma recomendação para bloquear todas as aplicações mencionadas.

Quando falta uma aplicação

Nem todo o software está imediatamente no catálogo Sophos. No fim de Settings, Application Control Request abre o pedido oficial. Até a Sophos classificar a aplicação, não se inventa uma categoria ou assinatura para imitar o catálogo.

⚠️ Uma exclusão genérica em Threat Protection não substitui uma entrada Application Control em falta. Os mecanismos resolvem tarefas diferentes.

Troubleshooting

Se uma aplicação prevista não for bloqueada, verifique primeiro a política efetiva, o grupo de destino e a ordem das políticas. Depois, verifique a versão da aplicação, o processo realmente executado e a hora da última atualização do agente. Uma entrada no catálogo não significa que todas as variantes ou lançadores sejam reconhecidos de forma idêntica.

Se uma aplicação empresarial necessária for bloqueada, corrige-se a política ao nível da aplicação e volta-se a guardá-la. Não é necessário desativar globalmente Application Control. Depois confirma-se no dispositivo afetado que a política atualizada chegou.

Artigos relacionados

A ordem e atribuição efetiva das políticas são explicadas em Estruturar corretamente políticas Sophos Fusion Endpoint. O rollout seguro das funções de controlo é descrito em Implementar Sophos Endpoint Control Policies.

Perguntas frequentes

Catálogo atual de aplicações

Antes de alterar uma política, consulte o catálogo atual de aplicações controladas da Sophos para verificar se a aplicação pode ser controlada e a que categoria a Sophos a atribui. O fabricante adiciona continuamente aplicações e novas classificações ao catálogo.