Planear e resolver problemas de scans Sophos Endpoint
O Real-time Scanning verifica ficheiros ao serem lidos, escritos ou renomeados. Um scan agendado ou iniciado manualmente examina, por sua vez, um conjunto definido. Estes controlos não se substituem: malware inativo num disco pode nunca ser aberto e um ficheiro pode ter sido guardado antes de a deteção adequada estar disponível.
Ainda assim, não se deve executar automaticamente um scan diário sobre todas as unidades. Âmbito, horário e profundidade têm de se adequar ao dispositivo, caso contrário o controlo adicional gera muito I/O, longa duração e perturbações desnecessárias.
Escolher o tipo de scan correto
Um Quick Scan concentra-se em áreas ativas e frequentemente abusadas, como processos em execução, itens de arranque, memória e informações de boot. É adequado para uma primeira verificação rápida, mas não representa um inventário completo do disco.
Um Full Scan, ou scan de todo o computador, examina consideravelmente mais ficheiros. Um scan direcionado a um ficheiro, pasta ou unidade é útil quando a localização suspeita já foi delimitada. Os scans on-demand utilizam o mesmo scan engine que a proteção em tempo real, mas distinguem-se pelo âmbito escolhido.
Para verificações Windows automatizadas ou precisamente delimitadas, a Sophos Endpoint Scan CLI disponibiliza também exit codes e output JSON.
Gerir scans agendados através de uma Policy
O Scheduled Scanning é configurado na Threat Protection Policy efetiva. A Policy é atribuída a um grupo de computadores claramente definido e recebe uma hora local de início e uma Maintenance Window. Um dispositivo desligado à hora agendada não recupera automaticamente o scan mais tarde.
Com Real-time Scanning ativo, um scan agendado não é obrigatório por definição. É usado deliberadamente para ficheiros antigos raramente abertos ou numa Investigation. Background Scanning está disponível apenas em computadores Windows; este limite de plataforma entra na decisão sobre um calendário adicional.
Para dispositivos móveis, avaliam-se várias janelas realistas de ligação ou um runbook RMM separado. Scan all files, Archive Scanning e Deep Scanning aumentam consideravelmente a cobertura e a duração. Não se ativam simultaneamente em todos os dispositivos sem um Pilot representativo com perfis grandes, ficheiros de desenvolvimento e discos lentos.
Avaliar realisticamente a duração
A duração depende sobretudo do volume de dados ocupado, dos tipos de ficheiro, da proporção de arquivos, do débito do disco e do CPU disponível. As tarefas de scan da Sophos são executadas com prioridade baixa, pelo que um dispositivo ocupado analisa mais lentamente. Um arquivo de 100 MB pode gerar várias vezes esse volume ao ser extraído, enquanto muitos ficheiros de texto simples não exigem, por predefinição, o mesmo esforço.
Atualizações Major e VDL podem interromper um scan agendado ao reiniciar um serviço. Atualizações de ameaças apenas IDE não o fazem. Perante um scan lento ou interrompido, comparam-se a Policy, a hora da atualização, SophosScanCoordinator.log, o I/O do disco e a carga do sistema no mesmo período.
Altera-se apenas uma opção num Pilot Group para que o efeito continue mensurável. Desativar globalmente Archive Scanning ou Scan all files porque uma única workstation de desenvolvimento estava lenta não é uma correção fiável.
Quando Quick Scan ou Scheduled Scan não inicia
Primeiro distingue-se entre erros de Policy, Coordinator e File Scanner:
- Verificar a Threat Protection Policy efetiva e o último contacto com Central.
- Controlar o Health State local e a versão instalada do Core Agent.
- Procurar em
SophosScanCoordinator.logo primeiro erro à hora de início. - Verificar o serviço Sophos File Scanner e o respetivo processo worker.
- Decidir sobre atualização, reinício, correção de ACL ou suporte apenas depois de identificar a causa.
Um problema histórico da linha FTS 2025.2.1 fazia Quick Scan terminar com The file cannot be accessed by the system (1920). Foi corrigido no FTS 2025.2.1 MR2. Num package ainda afetado, passa-se primeiro para uma Maintenance Version atual e suportada. Um problema antigo do Core Agent 2023.1 com Google Drive File Stream ou RamDisk também foi corrigido por uma Maintenance Release; tokens de packages obsoletos não pertencem a um runbook atual.
O serviço Sophos File Scanner funciona, mas não inicia um worker
O serviço Windows pode parecer ativo apesar de o processo File Scanner propriamente dito não iniciar. As localizações dos logs diferem entre versões atuais do Core Agent, versões Legacy e versões modernas mais antigas. Uma causa documentada são direitos insuficientes para LOCAL SERVICE nas Registry Keys utilizadas pela Sophos.
Não se atribui genericamente Full Control às ACL do Registry. Primeiro, a assinatura do log, as chaves afetadas e a herança existente têm de corresponder exatamente ao KBA Sophos atual. Antes da alteração, exportam-se as chaves e ACL. Depois, LOCAL SERVICE recebe apenas a permissão necessária na chave documentada e respetivas subkeys, o dispositivo é reiniciado e o Agent atualizado.
Health State vermelho devido a Cryptographic Services
Outra causa é uma GPO com hardening para Windows Cryptographic Services. Se remover a permissão Query status de NT AUTHORITY\SERVICE, o Sophos File Scanner não consegue consultar o estado de CryptSvc e não inicia.
A correção é efetuada na fonte gerida da GPO em Computer Configuration > Policies > Windows Settings > Security Settings > System Services > Cryptographic Services. Atribui-se especificamente Query status a NT AUTHORITY\SERVICE. Depois de gpupdate, ou do Policy Refresh normal, verifica-se novamente o File Scanner. Alterações ACL locais não têm efeito enquanto a GPO continuar a substituí-las.
Depois do scan
Um scan concluído sem deteções é um bom sinal, mas não encerra totalmente um incidente. Ficheiros inacessíveis ou encriptados, exclusões efetivas e a falta de ligação ao Live Protection são avaliados separadamente. Após uma deteção, segue-se o runbook de Threat Cleanup, em vez de criar automaticamente uma exclusão.