Analisar Sophos Endpoint no Windows através da CLI

Para uma suspeita isolada, a análise pela interface local é frequentemente suficiente. Num runbook RMM, durante Incident Response ou para um caminho definido, a Windows CLI é mais precisa. É instalada com Sophos Endpoint e comunica Detections ao Sophos Fusion (anteriormente Sophos Central).

Planear e resolver problemas de análises Sophos Endpoint aborda planeamento, análises agendadas, análise do tempo de execução e estado do File Scanner. Este artigo concentra-se na CLI do Windows e numa automatização fiável.

Caminho e ajuda

A ferramenta encontra-se normalmente em:

C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe

Abra o PowerShell com a conta cujos direitos devem ser aplicados à análise direcionada. O operador & inicia o caminho entre aspas e help scan mostra as opções da versão instalada:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" help scan

A ajuda da versão local é determinante. A ferramenta pertence ao Windows Agent; este caminho não se aplica ao macOS.

Modelo de execução antes de começar

• Shell: Todos os exemplos usam PowerShell. Em cmd.exe, omita o operador &; não misture as duas sintaxes.
• Privilégios: Uma análise de ficheiro, pasta ou unidade herda os direitos da conta que a invoca. Uma análise com --system usa os direitos do processo System local.
• Marcadores: Substitua C:\Users\Public\Downloads, C:\IR\Evidence e D:\ pelo caminho de destino aprovado. Não introduza literalmente marcadores entre parênteses angulares.
• Efeito: scan inicia imediatamente a análise. Sem --noui aparece uma janela de progresso; os resultados surgem no Sophos Endpoint e as ameaças detetadas são comunicadas ao Sophos Fusion.
• Saída: Com --noui não aparece interface, as deteções são escritas em stdout e o processo aguarda pela conclusão. Numa execução sem erro fatal, --json deixa um único objeto JSON em stdout.

Executar uma análise do sistema

Uma análise completa utiliza os direitos do processo System local:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --system --full --noui

Uma Quick System Scan concentra-se em ficheiros utilizados frequentemente, processos em execução e recentes, Autostarts, MBR e memória:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --system --quick --noui

Com --system, não se indicam Targets adicionais. Ficheiros inacessíveis ao processo System, como conteúdos EFS associados ao utilizador, podem não ser analisados.

Analisar ficheiro, pasta ou unidade

Uma análise direcionada utiliza os direitos do utilizador que a invoca:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui "C:\Users\Public\Downloads"

Uma unidade completa requer a barra invertida final:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui "D:\"

D: sem barra indica normalmente apenas o diretório atual dessa unidade. Caminhos UNC são suportados se a conta tiver acesso.

São permitidos caracteres universais em nomes de pastas e ficheiros, mas não de unidades. A expansão prévia só funciona no último elemento: C:/Test/Folder/F*le é expandido; C:/Test/F*lder/File não.

Arquivos e saída detalhada

--expand_archives abre arquivos suportados e analisa o conteúdo. Aumenta o tempo e I/O e é utilizado de forma direcionada.

--noui suprime a interface e aguarda pelo fim. --verbose só é válido em conjunto:

& "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe" scan --noui --verbose --expand_archives "C:\IR\Evidence"

Uma Verbose Output muito grande não deve ser escrita sem controlo nos RMM Logs. Os caminhos podem conter nomes de utilizador e informações sensíveis.

Tratar Exit Codes corretamente

Quando ocorrem vários erros, é devolvido o código aplicável mais alto. Os códigos 4 a 7 também podem acompanhar ameaças detetadas. Verifique ainda summary.detections e os eventos do Sophos Fusion. O código 0 indica uma análise concluída sem malware encontrado no âmbito analisado; não abrange ficheiros excluídos nem uma verificação Live Protection indisponível.

JSON para automação

--json escreve um resultado estruturado em stdout. Exceto em erros fatais 1 ou 2, um script pode avaliar diretamente o resumo e, numa User Scan, os ficheiros afetados:

$cli = "C:\Program Files\Sophos\Endpoint Defense\sophosinterceptxcli.exe"
$json = & $cli scan --noui --json "C:\Users\Public\Downloads"
$exitCode = $LASTEXITCODE

if ($json) {
    $result = $json | ConvertFrom-Json
    $result.summary
}

exit $exitCode

Numa User Scan, a saída inclui Targets, Detections, erros, ficheiros não suportados, inacessíveis, encriptados e danificados. O objeto JSON de uma System Scan contém apenas type e summary; não inclui listas de ficheiros.

Live Protection e exceções

As análises utilizam Live Protection para informações atuais da SophosLabs. Sem rede ou com Live Protection desativado, a avaliação é menos completa.

Uma User Scan respeita exceções globais e de Policy. Uma chamada CLI manual não analisa integralmente um ficheiro excluído. Antes de uma investigação, verificam-se as exceções efetivas. O guia de exclusões do Endpoint explica como verificar o âmbito efetivo.

Validação e escalamento

Um runbook produtivo deve:

1. Confirmar que a CLI existe no caminho documentado e validar as opções locais com help scan.
2. Limitar Scope e duração máxima.
3. Guardar stdout, stderr e Exit Code separadamente.
4. Tratar código 3 como Detection e avaliar os outros códigos individualmente.
5. Correlacionar o resultado com Central Events e Health.
6. Não criar exceções nem eliminar automaticamente apenas com base no Exit Code.

A execução fica validada quando o processo termina, o código de saída é guardado separadamente e a saída esperada está disponível. Correlacione o código 3 com os eventos do Sophos Fusion e siga o runbook de limpeza de ameaças. Para os códigos 4 a 7, reveja os ficheiros indicados por uma User Scan. Uma System Scan não devolve qualquer lista de ficheiros, por isso guarde e envie para escalamento o respetivo JSON e a saída da consola. Investigue os códigos 1 ou 2 e falhas recorrentes com Endpoint Self Help e SDU. Estes estados não são todos deteções de malware.

Perguntas frequentes