Saltar para o conteudo
Avanet

Colocar o Sophos Central Endpoint em funcionamento de forma estruturada

Sophos Endpoint

A implementação do Sophos Central Endpoint não se resume a executar um instalador. Uma implementação fiável exige acesso administrativo, identidades de dispositivos e utilizadores, o conjunto de software adequado, Policies, acesso à rede, um piloto representativo e responsabilidades claras de Monitoring e Response.

Este artigo orienta o projeto completo. Os passos concretos de instalação, configuração de Policies e Troubleshooting encontram-se nos runbooks associados.

O processo em resumo

  1. Definir o âmbito, os responsáveis e os critérios de sucesso.
  2. Proteger o acesso ao Central e as funções administrativas.
  3. Verificar a licença, o Agent Mode e as plataformas suportadas.
  4. Conceber as identidades, os grupos e o modelo de Policies.
  5. Preparar o percurso de rede e o fornecimento de Updates.
  6. Executar um piloto representativo em Windows e macOS e tratar o Linux num percurso separado de Server Protection.
  7. Validar tecnicamente a proteção, a comunicação, os Events e a reversão.
  8. Só depois alargar a implementação em vagas controladas e transferi-la para a operação regular.

Só se avança para a fase seguinte quando a anterior tiver um resultado documentado. «O instalador terminou» ainda não constitui uma aceitação operacional.

Percursos diretos para a entrada em funcionamento

Se pretender começar apenas pela instalação, avance diretamente para o percurso da plataforma adequada. Para uma implementação completa, comece pelos requisitos de sistema e limites do ciclo de vida e pelos requisitos de rede e Proxy. Se o macOS estiver incluído no âmbito, acrescente as permissões do macOS. Para utilizadores e grupos, o Microsoft Entra ID pode servir de origem; o Active Directory pode fornecer também dispositivos e grupos de dispositivos.

Proteger o acesso administrativo antes da implementação

O acesso administrativo começa por MFA, Passkeys e início de sessão federado. Consoante o Identity Provider, a federação é implementada com Microsoft Entra ID, OpenID Connect ou Okta ou AD FS. Para RBAC, limite primeiro as funções administrativas de todo o tenant e, depois, as funções e permissões específicas do Endpoint de acordo com a tarefa.

Instalação por plataforma e método de distribuição

Para um pequeno piloto ou dispositivos individuais, os guias manuais descrevem a instalação em Windows e macOS. Prepare uma implementação automatizada do Windows com o runbook de implementação por linha de comandos e distribuição de software; as máquinas virtuais pré-configuradas necessitam também do procedimento para VDI Gold Images. Para Macs, o percurso Jamf Pro e MDM descreve a distribuição central, incluindo os perfis necessários.

O Linux não é outra variante do instalador de Endpoint para Windows ou macOS. O Sophos Central trata a instalação, a distribuição por script e os Gold Images como Sophos Protection for Linux ou Server Protection; o processo específico encontra-se em Instalar e implementar o Sophos Protection for Linux.

Configurar especificamente as funções de proteção

A Baseline não melhora com a ativação indiscriminada de todas as opções. As definições de Threat Protection contextualizam, entre outros temas, a desencriptação HTTPS, as respetivas implicações de privacidade e as exceções associadas. Defina exclusões de Scan específicas de produtos ou aplicações com o âmbito mais limitado e rastreável possível. O runbook de Scheduled Scans explica se são necessárias verificações adicionais agendadas e como as planear.

Existem percursos de decisão e configuração separados para os controlos de utilizadores e dispositivos: Web Control para Websites e categorias, Application Control para aplicações, Peripheral Control para dispositivos Windows e macOS ligados e Data Loss Prevention para regras de controlo de dados. Defina separadamente as janelas de manutenção, as versões de software e a infraestrutura de distribuição em Updates, Update Cache e Message Relay.

Expandir opcionalmente as integrações XDR e MDR

Com uma licença XDR ou MDR adequada, o tenant pode reunir dados de outros produtos Sophos e de terceiros. O runbook transversal do Central Configurar e verificar integrações XDR orienta a seleção, os limites de licenciamento, a ligação e a verificação funcional; não é uma Policy de proteção do Endpoint.

Estado e Reports

Após a implementação, a Protection Overview com Events e Reports permite confirmar se o estado de proteção e o fluxo de Events são plausíveis. O Account Health Check acrescenta a esta visão os desvios das recomendações da Sophos, mas não substitui a aceitação do piloto nem os testes funcionais. Configure e monitorize destinatários recorrentes, horários e entregas falhadas através de Reports agendados.

Se a instalação ou a operação falhar, Endpoint Self Help e SDU fornece o diagnóstico local e os Logs necessários. Em seguida, pode abrir um ticket no Sophos Support com informações úteis. O acesso de parceiros não deve ser improvisado: autorize-o e revogue-o através de Partner Assistance e Remote Assistance com controlo temporal.

1. Definir o âmbito e as responsabilidades

Antes da primeira instalação, registe os dispositivos e sistemas operativos incluídos no projeto, os sistemas expressamente excluídos e quem aprova as alterações. No mínimo, devem estar atribuídas as seguintes responsabilidades:

  • tenant e funções administrativas;
  • Endpoint e Policies;
  • rede e Proxy;
  • Alerts e incidentes de segurança;
  • aplicações para o piloto e a aceitação;
  • substituição em acessos e decisões críticos.

Defina também critérios de sucesso mensuráveis: o dispositivo aparece no tenant e no grupo corretos, recebe o Agent Mode e as Policies previstos, comunica um estado saudável e produz os Events de teste planeados. O Rollback, o percurso de suporte e a autoridade para decidir em caso de falha ficam definidos antecipadamente.

2. Proteger o tenant e o acesso administrativo

Configure MFA para todos os administradores. Não utilize privilégios abrangentes nas tarefas quotidianas; atribua funções de acordo com cada tarefa e reveja-as regularmente. Teste a recuperação e a substituição, em vez de improvisar apenas quando se perde um dispositivo de autenticação.

As decisões detalhadas encontram-se em Proteger o início de sessão no Sophos Central com MFA e IdP e Planear funções e permissões do Sophos Central Endpoint.

3. Determinar o âmbito do produto e os limites das plataformas

Antes da implementação, verifique em conjunto a licença, o tipo de dispositivo, o sistema operativo e o Agent Mode pretendido. Os modos e produtos adicionais visíveis no tenant dependem do contrato e da plataforma reais; não deduza, por isso, a disponibilidade a partir de um Screenshot ou de uma página geral do produto.

O modo Endpoint corresponde à proteção Sophos Endpoint, XDR acrescenta as funções previstas de Detection and Response e XDR Sensor não fornece proteção autónoma contra malware. Um conceito baseado em sensores continua a exigir um produto de proteção separado e em funcionamento. Gerir o Agent Mode e o software do Sophos Endpoint explica a seleção, a alteração e a verificação; Compreender as licenças do Sophos Central Endpoint descreve os limites comerciais e técnicos.

Windows e macOS seguem percursos piloto próprios. Antes de aprovar qualquer plataforma, verifique os requisitos de sistema e os avisos de Retirement atuais. O procedimento encontra-se em Planear os requisitos de sistema e o ciclo de vida do Sophos Endpoint.

Os Linux Runtime Detection Profiles pertencem tecnicamente à proteção de cargas de trabalho Linux e de ambientes Cloud Native. A seleção da Policy e a implementação do sensor devem ser planeadas como um percurso próprio para Workloads, com os requisitos atuais da Sophos, e não como um elemento incidental da implementação de Endpoint para Windows ou macOS.

4. Conceber identidades, grupos e Policies

As Policies de utilizador acompanham a pessoa; as Computer Policies acompanham o dispositivo. Comece por definir a fonte autoritativa de utilizadores e grupos e a forma de evitar identidades duplicadas ou obsoletas. Gerir utilizadores e grupos do Sophos Central Endpoint explica a implementação.

Um modelo de dispositivos sustentável começa normalmente com poucos grupos claros:

  • dispositivos piloto com utilizadores acompanhados ativamente;
  • dispositivos de produção padrão;
  • dispositivos críticos ou tecnicamente diferentes;
  • exceções temporárias;
  • dispositivos de teste para novas versões de software.

Para cada tipo de Policy, aplica-se a primeira Policy ativa correspondente. Verifique a Baseline, a ordem e a atribuição efetiva antes da implementação em massa. Estruturar corretamente as Policies do Sophos Central Endpoint descreve o modelo completo.

As funções de proteção e controlo não devem ser ativadas ou desativadas indiscriminadamente. Threat Protection, Web, Applications, Peripherals, DLP, DNS Protection, Updates, Tamper Protection, Data Collection e Response são avaliados de acordo com a licença, a plataforma e as necessidades do negócio. Sempre que for possível e adequado, introduza novos controlos num pequeno grupo piloto. Cada exceção precisa de uma justificação, um Owner, um âmbito limitado e uma data de revisão.

5. Verificar a rede e os Updates antes da instalação

O Endpoint tem de alcançar os serviços Sophos necessários através do contexto de dispositivo e de serviço efetivamente utilizado. Um pedido bem-sucedido no Browser de um administrador não comprova que a instalação, a comunicação do agente e os Updates funcionem através de Proxy, TLS Inspection ou redes segmentadas.

Antes do piloto, teste DNS, HTTPS, autenticação no Proxy, validação de certificados e os percursos de contingência previstos. A ordem atual das ligações e os destinos dinâmicos da Sophos encontram-se em Requisitos de rede e Proxy do Sophos Endpoint.

A largura de banda dos Updates, os Software Packages, os níveis de manutenção, o Update Cache e o Message Relay exigem uma decisão operacional própria. A definição global de largura de banda não substitui o planeamento da capacidade nem um piloto. Os detalhes e cenários de falha encontram-se em Updates, Cache e Message Relay do Sophos Endpoint.

6. Implementar um piloto representativo

Obtenha em My Environment > Installers o instalador adequado ao tenant e à finalidade previstos. Trate os instaladores como material de acesso e distribua-os apenas por canais controlados.

Mantenha separados os processos de cada plataforma:

O piloto não deve incluir apenas portáteis de TI sem particularidades. Deve abranger as versões de sistemas operativos utilizadas, segmentos de rede, Home Office ou VPN, aplicações críticas para o negócio e o software existente de segurança, Backup, DLP e Encryption. Observe primeiro as alterações em poucos dispositivos; o simples intervalo entre vagas não substitui a aceitação técnica.

7. Validar tecnicamente o piloto

Um dispositivo piloto só é aprovado quando todos os controlos previstos tiverem sido concluídos de forma verificável:

  1. O agente local comunica um estado saudável.
  2. O dispositivo aparece no tenant e no grupo corretos.
  3. O Agent Mode e os componentes instalados correspondem ao planeamento aprovado.
  4. A página do dispositivo apresenta as Policies efetivas esperadas.
  5. Last Active, Events e Updates evoluem de forma plausível.
  6. Um teste de proteção aprovado produz o Event ou Alert esperado.
  7. Foram testadas as aplicações de negócio, as mudanças de rede e qualquer reinício necessário.
  8. A receção, a triagem e o escalamento de Alerts funcionam.
  9. A desinstalação ou outro método de reversão definido foi verificado num dispositivo de teste.

Testar com segurança as funções de proteção do Sophos Endpoint descreve testes seguros. Se um dispositivo continuar com problemas de Health, não o reinstale às cegas: Tratar Alerts do Sophos Endpoint e o Account Health e Resolver sistematicamente erros de instalação do Sophos Endpoint conduzem ao diagnóstico adequado.

O Account Health Check é uma perspetiva adicional de controlo. Identifica determinados desvios das recomendações da Sophos, mas não comprova o funcionamento de uma aplicação nem a segurança integral do tenant. As correções automáticas podem afetar muitos dispositivos ou Policies e devem ser tratadas como um Change. Consulte Utilizar corretamente o Sophos Central Account Health Check.

8. Decidir conscientemente a preparação para Response e análise forense

Antes da implementação alargada, defina quem trata os Alerts, quando se isola um dispositivo e que dados podem ser recolhidos para Investigation e Support. Os Forensic Snapshots registam dados de atividade de um dispositivo; o respetivo armazenamento, a exportação, o envio opcional para um bucket S3 próprio e o acesso exigem, por isso, uma decisão consciente de segurança e privacidade.

Este artigo introdutório não descreve a configuração de Snapshots. Investigar Detections e Threat Graphs do Sophos Endpoint contextualiza a Investigation, os Threat Graphs e outros passos de Response. As autorizações de ficheiros e os bloqueios de Hash em todo o tenant pertencem igualmente a um processo verificado de Response ou False Positive, e não à Baseline geral; utilize para isso Configurar com segurança as exclusões do Sophos Central Endpoint.

9. Aprovar as vagas e transferir para a operação regular

Depois de aprovado o piloto, defina para cada vaga os dispositivos incluídos, quem acompanha o progresso e os sinais que obrigam a interrompê-la. Entre os sinais adequados encontram-se a acumulação de erros de instalação, a ausência de comunicação dos agentes, atribuições inesperadas de Policies, falhas em aplicações ou um volume de Alerts impossível de tratar.

A operação regular inclui, no mínimo:

  • responsabilidade diária por Alerts críticos e surtos;
  • revisão regular de dispositivos inativos ou sem Health;
  • revisão de licenças, Agent Modes e ciclo de vida das plataformas;
  • pilotos controlados de software e Policies;
  • controlo da validade das exceções;
  • verificação de Proxy, Update Cache e Message Relay;
  • percursos documentados de Response, privacidade e Support.

Uma vaga só termina quando os seus dispositivos não estiverem apenas instalados, mas também tecnicamente aprovados e integrados nestes processos operacionais.

Perguntas frequentes

É possível instalar primeiro e planear as Policies mais tarde?

Tecnicamente, um dispositivo pode ser registado. Para uma implementação controlada em produção, defina previamente os grupos, a Baseline, o percurso de rede, a responsabilidade pelos Alerts e os critérios de sucesso, para que definições incorretas ou incompletas não se tornem efetivas sem serem detetadas.

Quando termina a fase piloto?

Quando o âmbito de software aprovado, as Policies efetivas, a comunicação, os Updates, os testes de proteção, as aplicações de negócio, os Alerts e a reversão funcionarem comprovadamente em dispositivos representativos e os responsáveis tiverem aceite os resultados.

Os Forensic Snapshots e o Linux Runtime Detection pertencem à mesma implementação?

Não automaticamente. Os Snapshots fazem parte da preparação para Investigation; o Linux Runtime Detection é um percurso próprio para Workloads. Ambos são planeados conscientemente e aprovados segundo os respetivos requisitos atuais, em vez de serem tratados como definições padrão genéricas de Endpoint.

Fontes

Todas as páginas oficiais da Sophos seguintes foram verificadas ao vivo em 11 de setembro de 2026: