Configurar Sophos Endpoint Peripheral Control
O Peripheral Control gere o acesso a periféricos e suportes removíveis em dispositivos Windows e macOS. Comece no modo de monitorização e aplique restrições após um piloto, para não bloquear um suporte ou adaptador de rede necessário.
Percurso rápido
Inicie sessão no Sophos Fusion e ative a política em My Products > Endpoint > Policies. Primeiro escolha Settings > Manage peripherals > Monitor but do not block (all peripherals will be allowed), inventarie os dispositivos e prepare as exceções. Depois selecione Control access by peripheral type and add exemptions, configure cada tipo e valide num grupo piloto.
Os três modos de funcionamento
A política Peripheral Control possui três estados básicos:
| Modo | Efeito |
|---|---|
| Disable peripheral control | os periféricos não são monitorizados nem bloqueados |
| Monitor but do not block (all peripherals will be allowed) | permitir todos os dispositivos e registar periféricos detetados |
| Control access by peripheral type and add exemptions | aplicar ações por tipo e acesso menos restritivo a dispositivos selecionados |
Tipos de dispositivos e ações
Nem todas as categorias suportam Read Only. A política atual oferece:
- Bluetooth: Allow ou Block, apenas no Windows; no macOS, Peripheral Control não bloqueia nem controla Bluetooth.
- Camera: Allow ou Block; esta categoria não está disponível no macOS.
- Secure removable storage, Floppy Drive, Optical Drive e Removable storage: Allow, Read Only ou Block.
- Infrared, Modem e MTP/PTP: Allow ou Block. MTP/PTP inclui telefones, tablets, câmaras e leitores multimédia ligados por Media Transfer Protocol ou Picture Transfer Protocol.
- Wireless: Allow, Block Bridged ou Block. Block Bridged impede a bridge entre duas redes e não gera alertas nem eventos de bloqueio.
Uma política testada no Windows não comprova automaticamente a proteção no macOS. Bluetooth e Camera exigem validação separada no macOS.
⚠️ Proteger primeiro o acesso à rede: antes de bloquear Wireless ou Modem, criam-se as exceções necessárias e testam-se num dispositivo piloto. A política não pode remover a única ligação necessária para receber a sua própria correção.
Configurar a política
Abra My Products > Endpoint > Policies, crie ou edite a política, confirme que está ativa e abra Settings. Durante o inventário use Monitor; apenas periféricos detetados em Endpoints ou servidores geridos por uma política no modo de monitorização aparecem ao criar exceções. Depois ative o controlo por tipo, guarde e teste. Uma opção bloqueada resulta de uma definição global de um administrador Partner ou Enterprise.
Identificar corretamente as exceções
Uma exceção pode ser criada por Model ID ou Instance ID. A escolha determina o âmbito:
- Model ID aplica a exceção a todos os dispositivos com o mesmo identificador de modelo;
- Instance ID aplica-se a dispositivos com o mesmo identificador de instância e é normalmente a opção mais restrita.
Para um suporte aprovado individualmente, Instance ID é normalmente o ponto de partida mais seguro. Model ID pode ser adequado para uma frota padronizada de um modelo integralmente validado. O nome visível do produto não basta: o identificador selecionado em Enforce By determina o âmbito.
O percurso exato é Peripheral Exemptions > Add Exemptions: selecione dispositivos detetados, escolha o acesso em Policy, selecione Model ID ou Instance ID em Enforce By e confirme com Add Exemption(s).
Se uma exceção for mais restritiva do que a regra geral do tipo, a Sophos ignora-a e apresenta um ícone de aviso ao lado. As exceções flexibilizam a regra para dispositivos específicos.
Um piloto útil inclui um armazenamento removível permitido e outro bloqueado, um dispositivo MTP/PTP e os dispositivos Bluetooth, Camera e de rede realmente utilizados. Cada categoria configurada deve ser testada para o acesso esperado e para a recusa esperada.
Desktop Messaging no Windows
Desktop Messaging está ativo por predefinição e só pode ser personalizado ou desativado no Windows. O texto introduzido complementa a mensagem padrão; um campo vazio mantém essa mensagem. Se for desativado, o Endpoint não mostra notificações Peripheral Control.
Validação e operação
Teste um dispositivo permitido, um tipo Read Only confirmando que permite a leitura e bloqueia uma tentativa controlada de escrita, um tipo bloqueado e cada exceção. Teste diretamente Block Bridged, pois não gera Block Alerts nem Events, e confirme que o Endpoint permanece acessível no Sophos Fusion.
Verifique também a mensagem esperada no Windows quando Desktop Messaging estiver ativo.
Em operação, as exceções são limpas regularmente. Dispositivos USB perdidos, modelos retirados e autorizações temporárias de projeto não podem permanecer indefinidamente. Cada exceção inclui finalidade, responsável e data de revisão no sistema de gestão de alterações, de acordo com o processo interno. Estes metadados são uma recomendação operacional, não campos da política Sophos aqui descrita.
Troubleshooting
Se um dispositivo aprovado continuar bloqueado, compare Model ID ou Instance ID detetados, a ação em Policy, Enforce By, a ação geral do tipo e a política efetiva.
Se um dispositivo não aprovado não for bloqueado, verifique se o modo Monitor continua ativo e se existe uma exceção Model ID demasiado ampla.
Se a opção estiver bloqueada, peça ao administrador Partner ou Enterprise para verificar a definição global. Se o Endpoint ficar offline após um bloqueio de rede, poderá ser necessário acesso físico para substituir localmente a política e restaurar a ligação.
Artigos relacionados
A estratégia de piloto é descrita em Implementar Sophos Endpoint Control Policies. A prioridade das políticas é explicada em Estruturar corretamente as políticas Sophos Fusion Endpoint.