Instalar e implementar o Sophos Protection for Linux

Limite importante do produto: Embora a página de onboarding da Sophos inclua a secção Deployment to Linux no guia de Endpoint, as ligações para Linux conduzem a Server Protection e Sophos Protection for Linux (SPL) no Sophos Fusion (anteriormente Sophos Central). Por conseguinte, o Linux não recebe o instalador de Endpoint para Windows/macOS descrito nos capítulos adjacentes, mas sim um agente próprio para servidores Linux, com políticas, requisitos, Release Notes e procedimentos de instalação específicos.

O processo geral, desde a preparação do tenant até à operação, encontra-se no percurso de onboarding do Endpoint. Este artigo cobre exclusivamente o percurso de servidores Linux.

Para um único servidor Linux, escolha primeiro o modo de proteção em My Environment > Installers: Download Linux Server Installer para proteção completa contra malware ou Download XDR Sensor Linux Server Installer para um XDR Sensor sem proteção própria contra malware. Torne executável o SophosSetup.sh descarregado para o tenant e modo pretendidos e execute-o com privilégios de root. Para vários sistemas, utilize esse instalador numa distribuição de software controlada e teste-o primeiro com --test. Se o SPL já fizer parte do template da VM, tem de utilizar o processo de Linux Gold Image documentado para que cada clone obtenha uma identidade de dispositivo própria. Para ambientes de Auto Scaling, Load Balancing ou grandes ambientes de VMs, a Sophos recomenda que se avalie esta abordagem.

Antes do primeiro dispositivo piloto

A instalação só deve ser autorizada depois de verificar os seguintes pontos:

• Licença e âmbito de proteção pretendido: Em Server Protection existem dois downloads distintos para Linux. O XDR Sensor requer uma licença XDR e, segundo a Sophos, não oferece por si só proteção contra ameaças; é necessária proteção de terceiros. Confirme o modo pretendido e a licença disponível antes do download.
• Plataforma suportada: A distribuição, a versão, a arquitetura e o kernel têm de corresponder à matriz de suporte atual do SPL. A Sophos indica nas Release Notes as plataformas testadas e os requisitos de sistema em vigor. Aplicam-se limites de suporte específicos a variantes não listadas, reforçadas, mínimas, personalizadas ou legacy. O SPL não deve ser forçado em distribuições imutáveis; para estas, a Sophos remete para o Sophos Linux Sensor separado.
• Requisitos básicos: Na revisão de conteúdos de 14 de setembro de 2026, as Release Notes do SPL exigiam 2,5 GB de espaço livre em disco, 2 GB de memória livre, arquitetura x86_64 ou ARM64, um systemd suportado em execução, Bash e glibc 2.17 ou posterior, ou 2.18 ou posterior em ARM64. O ARM64 exigia ainda kernel 5.3 ou posterior. O instalador requeria curl e o plug-in AV necessitava de setcap, fornecido por libcap2-bin, libcap ou libcap-progs. Esta base datada não substitui a verificação de aprovação atual.
• Acesso à rede: O dispositivo tem de conseguir contactar o Sophos Fusion durante e após a instalação. Teste DNS, HTTPS, Proxy, TLS Inspection e, quando aplicável, Message Relay e Update Cache a partir de cada rede de servidores prevista de acordo com os requisitos de rede e Proxy.
• Proteção existente: O Sophos Anti-Virus for Linux não pode funcionar em paralelo com o SPL. Remova primeiro o SAV ou migre-o durante a execução do instalador com --uninstall-sav. Num sistema apenas com XDR Sensor, a proteção de terceiros tem de permanecer ativa, pois o sensor não fornece proteção contra malware. Para o SPL com proteção completa contra malware, avalie separadamente, antes do piloto e segundo a documentação dos respetivos fabricantes, se é suportada a instalação em paralelo com outros produtos antivírus.
• Contrato da implementação: Registe antes do início o grupo-alvo, o grupo no Central, o âmbito do produto, o tamanho do piloto, os critérios de paragem, a janela de manutenção e o método de reversão.

Manter as informações de versão, plataforma e rede

Este artigo é a base de verificação interna dos requisitos específicos de Linux. O responsável verifica as Release Notes atuais do SPL e a matriz de suporte de distribuições e kernels no portal da Sophos mensalmente e antes de cada piloto e de cada vaga de implementação. Registe na alteração a data da verificação, a pessoa responsável, a versão do SPL, a distribuição e respetiva versão, a arquitetura, o kernel, os recursos mínimos, os desvios e a decisão de aprovação. Se as informações atuais divergirem da base datada acima, atualize os critérios do piloto e este artigo antes da vaga seguinte; os valores antigos não constituem uma aprovação.

O guia de rede associado é o proprietário do processo comum de lista de permissões e Proxy, incluindo os destinos específicos de Linux e dependentes da licença. Para pacotes de software, atualizações faseadas, Update Cache e Message Relay, siga também Atualizações, cache e Message Relay do Sophos Endpoint. O piloto Linux deve ainda validar o percurso real e a versão instalada do SPL a partir de cada rede de servidores prevista.

Verificar primeiro os sistemas de ficheiros e os recursos

Apenas para proteção completa contra malware com o produto antivirus instalado: O SPL só consegue analisar e colocar ficheiros em quarentena de forma fiável em sistemas de ficheiros expressamente suportados. Na revisão das fontes de 20 de setembro de 2026, a Sophos indicava bfs, btrfs, cifs, devtmpfs, ecryptfs, ext2, ext3, ext4, fuse, fuseblk, iso9660, jfs, jfs2, msdos, nfs, nfs4, overlay, squashfs, tmpfs, udf, vfat, xfs e zfs. Antes de cada vaga, confirme novamente a lista na documentação atual do SPL. No dispositivo piloto com AV, liste todos os destinos montados e os respetivos tipos:

findmnt -rn -o TARGET,FSTYPE

No modo AV, verifique não só / e o caminho de instalação, mas todos os pontos de montagem com dados empresariais, contentores, partilhas de rede ou destinos de análise. Um sistema ausente da lista não fica aprovado só porque um primeiro teste parece funcionar. A Sophos recomenda excluí-lo da análise; o plug-in AV exclui automaticamente sistemas com problemas conhecidos e regista o evento em soapd.log. Para um XDR Sensor isolado, os destinos de análise, a quarentena e este log AV não são critérios de aceitação.

O SPL gere limites de CPU e memória através de cgroups do Linux. Segundo a Sophos, os valores predefinidos são adequados para a maioria dos ambientes; por isso, não defina limites gerais antes do piloto. Se houver um requisito operacional, meça primeiro a carga e a tolerância da aplicação e leia o ficheiro instalado localmente /opt/sophos-spl/base/etc/cgroup-resource-limits-README.txt. Este é a referência, pois as opções, os componentes e os valores válidos podem mudar. Os valores personalizados ficam em /opt/sophos-spl/base/etc/cgroup-limits.conf; a CPU é expressa em percentagem com % e a memória, conforme a opção, em MB ou percentagem. O SPL rejeita valores fora do intervalo suportado e utiliza o predefinido. Por isso, este artigo não prescreve números universais.

Após a instalação ou uma alteração, efetue as verificações aplicáveis ao modo efetivamente instalado:

1. Apenas com antivirus: findmnt apresenta um tipo atualmente suportado para cada destino de análise previsto.
2. Se os limites de cgroup tiverem sido ajustados: /opt/sophos-spl/logs/base/watchdog.log confirma a configuração aplicada aos componentes efetivamente instalados e não contém erros de configuração.
3. Se os limites de cgroup tiverem sido ajustados: O journal do sistema não contém processos terminados pelo cgroup do SPL. Como nem todos os sistemas Linux preservam o journal após um reinício, configure a retenção persistente de acordo com a política operacional local se for necessário conservar o histórico de erros.

Instalação individual através do Sophos Fusion

1. No Sophos Fusion, aceda a My Environment > Installers.
2. Na área Server Protection, escolha o download Linux adequado: Download Linux Server Installer para proteção completa contra malware ou Download XDR Sensor Linux Server Installer para um XDR Sensor isolado (requer licença XDR e proteção de terceiros ativa). Não utilize o instalador de Endpoint para Windows ou macOS. O Sophos Linux Sensor (SLS), disponibilizado separadamente, não é o SPL XDR Sensor.
3. Transfira o SophosSetup.sh para o servidor Linux previsto através de um canal com acesso protegido.
4. Mude para o diretório de download e atribua permissão de execução:

chmod +x SophosSetup.sh

5. Execute primeiro as verificações preliminares, sem instalar:

sudo ./SophosSetup.sh --test

6. Se as verificações forem bem-sucedidas, execute o instalador:

sudo ./SophosSetup.sh

Sem --install-dir, o SPL é instalado em /opt/sophos-spl/. A conclusão bem-sucedida do processo Shell ainda não constitui a aceitação da implementação; valide de seguida o registo, os componentes efetivamente instalados, as políticas adequadas e o estado de Health no Central e localmente. As verificações AV descritas abaixo não se aplicam a um XDR Sensor isolado.

Descarregar o instalador diretamente no servidor

Para efetuar um download manual através da Shell, copie no Sophos Fusion o endereço da ligação do instalador Linux previamente escolhido (proteção completa ou XDR Sensor) e utilize-o como placeholder no comando seguinte:

wget '<LINUX-INSTALLER-LINK>' -O SophosSetup.sh
chmod +x SophosSetup.sh
sudo ./SophosSetup.sh --test
sudo ./SophosSetup.sh

Substitua <LINUX-INSTALLER-LINK> pelo endereço copiado do seu tenant para o modo escolhido. Não coloque o URL nem o ficheiro descarregado em repositórios públicos de scripts, tickets ou partilhas de acesso livre. Para implementações repetíveis, disponibilize o artefacto de instalação através da distribuição protegida de pacotes ou segredos da sua plataforma.

Implementar vários sistemas Linux por script

Uma implementação em massa começa por poucos servidores representativos. Inclua no piloto as diferenças de distribuição, kernel, arquitetura, Hardening, percurso de Proxy, localização, carga de trabalho e software de segurança existente. Só depois de uma aceitação bem-sucedida deve avançar para a próxima onda limitada.

O script seguinte é apenas um exemplo para proteção completa contra malware com XDR adicional licenciado, não para um XDR Sensor isolado. Utiliza o Linux Server Installer descarregado para esse efeito, atribui o dispositivo ao subgrupo LinuxServers\Pilot e solicita os componentes antivirus e xdr:

#!/usr/bin/env bash
set -euo pipefail

if (( EUID != 0 )); then
  printf 'Este script de implementação tem de ser executado como root.\n' >&2
  exit 1
fi

installer='/var/tmp/SophosSetup.sh'
chmod 700 "$installer"

"$installer" --test
"$installer" \
  --group='LinuxServers\Pilot' \
  --products=antivirus,xdr \
  --tag=Rollout:wave-0 \
  --tag=ManagedBy:automation

Adapte o caminho do grupo à sua estrutura no Central. Se o grupo ou subgrupo indicado ainda não existir, o instalador cria-o. Por isso, verifique o caminho exato antes da implementação: um erro de digitação pode criar um novo grupo indesejado. Com --products, os produtos não licenciados não são instalados; segundo a página CLI atual, os valores permitidos são antivirus, mdr e xdr. Vários argumentos --tag=<key>:<value> adicionam Tags ao dispositivo. Se houver chaves duplicadas, o Central apresenta apenas o último valor fornecido.

Neste exemplo, set -euo pipefail impede que o script prossiga silenciosamente como bem-sucedido após uma verificação preliminar ou instalação falhada. A distribuição de software tem de recolher o Exit Status real e não deve tentar reinstalar indefinidamente nos Hosts com falhas. Como a Sophos não publica na página CLI uma tabela permanente de Exit Codes numéricos, a decisão deve basear-se na aceitação combinada local e no Central, e não numa correspondência de códigos inventada.

Opções importantes do instalador

As variáveis de ambiente são colocadas antes e as opções de linha de comandos depois da chamada ao instalador.

As UIDs e GIDs das contas e grupos criados pelo SPL podem ser especificadas com --user-ids-to-configure e --group-ids-to-configure. Utilize estas opções apenas quando a política local de Identity ou Hardening exigir IDs fixos; a Sophos limita expressamente o seu efeito às contas e grupos SPL documentados.

Com --install-dir=<basis>, o SPL fica em <basis>/sophos-spl. Todos os caminhos posteriores de logs, versões, registo e desinstalação têm de ser adaptados em conformidade; os caminhos /opt/sophos-spl/... apresentados neste artigo aplicam-se à instalação padrão. Os caminhos do plug-in AV aplicam-se apenas a hosts com o produto antivirus instalado.

Especificar Message Relay e Update Cache

Por norma, o SophosSetup.sh contém os Relays e Caches configurados no Central. O instalador ordena-os pela proximidade numérica do IP do dispositivo e utiliza o serviço acessível mais próximo; se nenhum estiver acessível, contacta diretamente o Central. Pode substituir explicitamente a seleção durante a instalação:

sudo ./SophosSetup.sh \
  --message-relays=192.0.2.10:8190 \
  --update-caches=192.0.2.10:8191

192.0.2.10 é um endereço de documentação e tem de ser substituído. A Sophos indica a porta 8190 para Message Relay e 8191 para Update Cache. O valor none força a ligação direta ao Central para a respetiva opção. O Override aplica-se à instalação; posteriormente, o agente volta a utilizar os serviços configurados mais próximos, salvo se atribuir manualmente o dispositivo no Central.

Gold Image para sistemas Linux virtuais

Um sistema Linux instalado e registado não pode ser clonado sem alterações. Antes de guardar o template, anule o registo da VM Gold Image no Sophos Fusion. Cada clone iniciado a partir dela regista-se depois automaticamente com uma identidade própria assim que arranca e alcança a rede.

1. Prepare completamente o sistema operativo e as aplicações da VM principal.
2. Em My Environment > Installers, descarregue o Linux Server Installer ou o XDR Sensor Linux Server Installer, consoante o modo de proteção previsto.
3. Instale o SPL como descrito acima e verifique o estado.
4. Mude para o diretório de registo e anule o registo da VM principal:

cd /opt/sophos-spl/base/bin/
sudo ./registerCentral --deregister

5. Desligue imediatamente a VM e guarde a imagem enquanto está desligada.
6. Não volte a iniciar a VM principal após anular o registo. Se a reiniciar, esta volta a registar-se e terá de anular novamente o registo antes de guardar.
7. Inicie pelo menos dois clones da imagem guardada e confirme que ambos aparecem como dispositivos separados no Central.

Se tiver alterado o local da instalação com --install-dir, o diretório sophos-spl encontra-se sob o caminho especificado. Execute então o comando do Gold Image no diretório base/bin correspondente dessa instalação.

Validar a instalação

Um piloto só é aprovado quando todos os controlos seguintes forem bem-sucedidos:

1. Em My Products > Server > Servers, existe exatamente o objeto de dispositivo esperado para cada Host. Na página de detalhes do servidor, o Health, a última atividade e os componentes instalados são plausíveis.
2. O dispositivo está no grupo previsto e recebe as políticas de servidor adequadas aos componentes efetivamente instalados. Com proteção completa contra malware, isto inclui a Server Threat Protection Policy efetiva; nas políticas de atualização, aplica-se a primeira política correspondente.
3. O serviço está em execução localmente:

sudo systemctl status sophos-spl

4. Apenas com o produto antivirus instalado: A versão do Server Protection apresentada no Central corresponde à versão comunicada localmente:

sudo cat /opt/sophos-spl/plugins/av/VERSION.ini

A Sophos indica especificamente este ficheiro do plug-in AV para comparar versões. Num XDR Sensor isolado, este ficheiro não é um requisito: compare antes, na página de detalhes do servidor, os componentes efetivamente instalados, as versões apresentadas, o Health e a última atividade com o modo de sensor escolhido; confirme localmente a ligação ao Sophos Fusion no log MCS/de gestão correspondente à versão instalada: /opt/sophos-spl/logs/base/sophosspl/management.log ou, em pacotes LTS, eventualmente os logs antigos mcsrouter.log e sophos_managementagent.log. Confirme os nomes e o caminho dos logs no pacote instalado; não deduza o funcionamento do sensor da mera presença ou ausência de um log ou caminho AV.

5. Apenas com o produto antivirus instalado: Para o teste EICAR de análise no acesso, têm de estar ativadas na Server Threat Protection Policy efetiva as opções Real-time scanning - Local files and network shares e Enable scan for Server Protection for Linux Agent; a opção específica do Linux está desativada por predefinição. Confirme depois a deteção em /opt/sophos-spl/plugins/av/log/av.log e na página de resumo do servidor. Um XDR Sensor isolado não disponibiliza esta deteção de malware nem análises a pedido; verifique separadamente, segundo o procedimento documentado pelo respetivo fabricante, a proteção contra malware de terceiros que deve continuar ativa.

Interrompa a onda alargada se faltarem dispositivos, surgirem duplicados, permanecerem sem Health, não receberem os componentes ou Policies esperados, ou se forem afetadas cargas de trabalho críticas para o negócio.

Parar, reverter ou remover a implementação

A reversão começa por interromper a distribuição. Pare novas atribuições de destino e repetições automáticas, delimite a onda afetada e preserve o último estado funcional da VM, pacote ou configuração. A desinstalação não repõe automaticamente o software de proteção de terceiros que tenha sido removido ou substituído.

Para o procedimento completo de remoção local, limpeza de cgroup, verificação, tratamento do registo no Central e recuperação, consulte Desinstalar completamente o Sophos Protection for Linux. Mantenha os comandos de remoção nesse runbook em vez de os copiar para um Job de instalação ou implementação.

O Tamper Protection não está disponível para o Sophos Protection for Linux e, por isso, não se aplica a esta reversão. Confirme ainda assim as políticas de servidor restantes, restabeleça a proteção prevista e decida como tratar o registo do dispositivo no Central antes de fechar a alteração.

Troubleshooting por sintoma

O --test ou a instalação falha

Guarde o comando exato, a distribuição, o kernel, a arquitetura e o Output. Quando deteta um erro de instalação, o Thin Installer inicia automaticamente o Sophos Diagnostic Utility (SDU) e cria um sophos_diagnose.tgz no diretório do Thin Installer. Este arquivo comprimido contém Logs de instalação e informações do sistema para o Sophos Support.

Execute o passo seguinte apenas a pedido do Sophos Support ou para uma reprodução controlada: o comando volta a executar o instalador, ativa a saída de debug da Shell e preserva o diretório temporário da instalação.

sudo OVERRIDE_INSTALLER_CLEANUP=1 \
  DEBUG_THIN_INSTALLER=1 \
  bash -x ./SophosSetup.sh 2>&1 | tee install.log

OVERRIDE_INSTALLER_CLEANUP=1 conserva o diretório temporário /tmp/SophosCentralInstall_<uuid>. Os Logs podem conter Hostnames, caminhos internos e detalhes da rede; reveja-os antes de os partilhar.

/tmp está montado com noexec

Não flexibilize permanentemente o /tmp. Crie um caminho temporário executável adequado e defina TMPDIR apenas para o instalador:

sudo TMPDIR=/var/tmp ./SophosSetup.sh --test
sudo TMPDIR=/var/tmp ./SophosSetup.sh

TMPDIR altera apenas o armazenamento temporário, não o destino de instalação padrão /opt/sophos-spl.

O dispositivo não aparece no Sophos Fusion

Verifique primeiro DNS, TCP 443, Proxy, TLS Inspection e a lista atual de domínios permitidos. Depois, procure o percurso de ligação selecionado e uma ligação bem-sucedida no log MCS/de gestão correspondente à versão instalada: /opt/sophos-spl/logs/base/sophosspl/management.log ou, em pacotes LTS, eventualmente os logs antigos mcsrouter.log e sophos_managementagent.log. Confirme os nomes e o caminho dos logs no pacote instalado. No management.log atual, a Sophos apresenta, por exemplo, Successful connection via environment proxy e Connection method: Proxy.

Se um dispositivo Linux ainda não gerido não conseguir obter a configuração de Proxy do Central, a Sophos documenta como solução de Bootstrap um ficheiro com http_proxy=https://<PROXY_ADDRESS>:<PROXY_PORT>: em sistemas baseados em Debian, em /etc/default/sophos-spl; em RHEL, CentOS e Amazon Linux, em /etc/sysconfig/sophos-spl. Em seguida, execute:

sudo systemctl restart sophos-spl
sudo systemctl status sophos-spl

Por fim, confirme o resultado no log MCS/de gestão correspondente à versão instalada (em pacotes LTS, eventualmente mcsrouter.log e sophos_managementagent.log).

A proteção completa contra malware está instalada, mas o Real-Time Scanning não funciona

Apenas com o produto antivirus instalado: em My Products > Server > Policies, abra a Threat Protection Policy efetiva. Têm de estar ativadas as opções Real-time scanning - Local files and network shares e Enable scan for Server Protection for Linux Agent. Para o diagnóstico local, a Sophos indica os ficheiros de política /opt/sophos-spl/base/mcs/policy/CORC_policy.xml e /opt/sophos-spl/plugins/av/var/on_access_policy.json, bem como o log /opt/sophos-spl/plugins/av/log/soapd.log. Num XDR Sensor isolado, isto não é uma avaria; a proteção contra malware deve ser assegurada por terceiros.

O caminho de instalação personalizado falha com SELinux Enforcing

Não contorne o problema com --notest nem desative globalmente o SELinux. O novo diretório de base não pode ser um symlink nem conter previamente um subdiretório sophos-spl. Depois de criar o diretório, replique para o novo caminho o contexto SELinux de /opt:

sudo semanage fcontext -a -e /opt <PFAD_ZUM_NEUEN_INSTALLATIONSVERZEICHNIS>

Em seguida, execute o instalador com o valor de --install-dir já verificado. Se semanage não estiver disponível, instale primeiro o pacote de administração SELinux adequado à distribuição; não desative o controlo de segurança.

Um destino de análise AV não é analisado ou existem processos terminados

Apenas com o produto antivirus instalado: para um destino de análise em falta, verifique primeiro o tipo e o ponto de montagem com findmnt -rn -o TARGET,FSTYPE. Procure is not supported and will be excluded from scanning em /opt/sophos-spl/plugins/av/log/soapd.log. Não force com --notest um sistema excluído automaticamente ou não documentado; mantenha-o fora da análise até utilizar um tipo atualmente suportado ou obter confirmação do Sophos Support para a configuração concreta.

Perante uma terminação inesperada, consulte /opt/sophos-spl/logs/base/watchdog.log e depois o journal do kernel:

sudo journalctl -k -b

Guarde as mensagens oom-kill, Memory cgroup out of memory ou de valores rejeitados juntamente com a cgroup-limits.conf efetiva e a carga no momento. Não altere números sem análise: limites SPL demasiado amplos podem retirar recursos à aplicação, enquanto limites demasiado apertados podem terminar processos de proteção. Faça alterações numa janela de manutenção segundo o README local; a Sophos exige parar sophos-spl.service antes da edição e iniciá-lo depois. Volte a verificar o estado do serviço, watchdog.log, o journal, o estado no Central e a aplicação crítica.

Os clones partilham uma identidade ou o template volta a aparecer

Interrompa a implementação. Confirme se a VM principal foi efetivamente desligada e guardada nesse estado após registerCentral --deregister. Se tiver sido novamente iniciada, anule outra vez o registo antes de guardar. Não transforme clones incorretos no template seguinte; crie-os novamente a partir do Gold Image preparado corretamente.

Perguntas frequentes