Registar o Sophos Intercept X for Mobile: aplicação, código QR ou EMM de terceiros

Este guia descreve o registo da aplicação Sophos Intercept X for Mobile para Mobile Threat Defense (MTD) no Sophos Mobile. Os passos descritos não substituem a autorização para utilização operacional no ambiente da organização. O registo da aplicação não equivale à inscrição MDM de todo o dispositivo Android, iPhone ou iPad. Uma política MTD configura a aplicação de proteção; as funções de proteção contra ameaças e as ações de conformidade efetivamente aplicáveis têm de ser planeadas separadamente para cada plataforma e edição.

Escolher o método de registo adequado

O Sophos Mobile gere a aplicação sem um EMM de terceiros existente: Para um único dispositivo de teste, usar o Add device wizard com Enroll Sophos Intercept X for Mobile with policy ou um task bundle MTD adequado. Como alternativa, é possível utilizar um código QR estático reutilizável para Android, iPhone e iPad, gerado no registo do Intercept X. O código QR não inclui um utilizador do Sophos Mobile; a atribuição posterior de um utilizador é um passo independente.
Outro EMM já gere o dispositivo: O EMM distribui a aplicação e a respetiva managed app configuration; o Sophos Mobile regista a aplicação através de um código de ligação. O EMM continua responsável pela gestão do dispositivo. Tem de suportar definições personalizadas da aplicação. Esta distribuição não deve ser apresentada como uma inscrição MDM adicional no Sophos.
Self Service Portal (SSP): Na edição Threat Defense, os utilizadores também podem adicionar dispositivos através do Sophos Fusion Self Service Portal. É necessário verificar separadamente, na configuração do SSP, se este método está ativado no próprio tenant e que tarefa de registo da aplicação desencadeia. A adição de um registo no SSP não deve ser apresentada como registo concluído do Intercept X nem como inscrição MDM; as aprovações e as instruções para os utilizadores pertencem ao procedimento separado do SSP.
Intune: Para dispositivos geridos pelo Intune, verificar primeiro o procedimento separado de Intune MTD e a configuração real do conector. A edição completa impede a configuração do registo da aplicação Intercept X, bem como o registo por código QR estático e por EMM genérico de terceiros, quando o Intune Mobile Threat Defense já estiver configurado. Não se trata de uma proibição geral para todos os dispositivos geridos pelo Intune. A ajuda da edição Threat Defense não menciona esta restrição em todas as páginas correspondentes; não se deve interpretar essa omissão como autorização para dois métodos de registo paralelos. Não configurar aqui o conector Intune nem apresentar o registo da aplicação como um conector Intune sem MDM.

Para gerir a aplicação, o tenant precisa de Sophos Mobile Threat Defense ou da licença conjunta Sophos Mobile; os direitos efetivamente adquiridos devem ser verificados previamente no próprio tenant. Sophos Mobile Device Management por si só não constitui um direito MTD comprovado. A escolha da licença Mobile é distinta da inscrição. Antes da primeira operação de escrita, registar o tenant, as permissões administrativas, a plataforma, a propriedade real (Corporate ou Personal), a gestão já existente, o grupo de dispositivos, as permissões da aplicação autorizadas e o âmbito previsto da política MTD. Nos dispositivos pessoais, esclarecer previamente com os utilizadores as informações e autorizações relativas a permissões e dados do dispositivo transmitidos. A mera presença visível da aplicação instalada não comprova o seu registo. A orientação separada para escolher o modo MDM explica essa decisão. As regras de proteção MTD para Android têm de ser verificadas no respetivo procedimento de políticas da plataforma; a política MTD para iOS tem, por sua vez, outros limites. Este artigo de registo não substitui nenhuma das duas políticas de proteção.

Quando o Sophos Mobile gere a aplicação Intercept X, é possível atribuir ao dispositivo uma política de conformidade adicional para monitorizar o seu estado de conformidade. Esta política é distinta da política MTD para configurar a aplicação. É necessário verificar separadamente que regras de conformidade e ações subsequentes estão disponíveis e aprovadas para cada plataforma e edição; a monitorização, por si só, não implica a aplicação efetiva dos requisitos nem confere à aplicação controlo MDM.

Nesta gestão da aplicação com Sophos Mobile ou Sophos Mobile Threat Defense, é possível executar uma análise de malware em dispositivos Android. Não estender esta capacidade ao iPhone ou ao iPad. A conclusão do registo da aplicação ou de uma tarefa de inscrição não comprova que tenha sido executada uma análise nem que o resultado não tenha detetado malware. O procedimento de análise e a avaliação dos resultados devem ser verificados separadamente do registo.

Preparar o código de ligação e as atribuições para um piloto limitado

Em Sophos Fusion > My Products > Mobile > Setup > Sophos setup > Intercept X, selecionar Configure Intercept X for Mobile enrollment. Antes de guardar, verificar a Enrollment configuration proposta. Definir Owner de acordo com a propriedade real (Corporate para um dispositivo da organização, Personal para um dispositivo pessoal), escolher conscientemente Device group e, opcionalmente, selecionar a Mobile Threat Defense policy (Android) ou (iOS) adequada. Sem uma política adequada, não presumir um efeito de proteção específico.
Guardar a configuração, caso tenha sido alterada. O Sophos Mobile cria um Connection code. Tratar o código e o código QR impresso a partir dele como credenciais de registo: dar acesso apenas às pessoas autorizadas para o piloto e não os copiar para tickets públicos ou canais de distribuição desprotegidos. Um código pode ser revogado para futuros registos da aplicação; isso não significa que as aplicações já registadas sejam removidas do registo.
Quem criar primeiro um registo em Devices > Add > [Plataforma] com Name único, Owner, Device group e, se aplicável, um utilizador, ainda não registou nenhuma aplicação. Uma importação CSV também apenas cria registos inicialmente; a estrutura, as importações duplicadas e as repetições são assuntos da importação em massa separada, não deste procedimento de registo da aplicação.

Registar a aplicação através do Sophos Mobile

Assistente para um dispositivo: Em Devices > Add > Add device wizard, selecionar um utilizador existente ou usar Skip user assignment. Em Device details, verificar a plataforma, o nome único, o e-mail de destino das instruções, o Owner real e o Device group. Em Enrollment type, no Android ou iPhone/iPad, selecionar Enroll Sophos Intercept X for Mobile with policy com a política MTD prevista; em alternativa, utilizar um task bundle que contenha efetivamente uma Mobile Threat Defense enrollment task. Em Enrollment, seguir as instruções no dispositivo piloto. Após a conclusão bem-sucedida do registo, selecionar Finish. A Sophos também permite fechar o assistente antecipadamente, depois de efetuadas todas as seleções; nesse caso, uma tarefa de registo continua em segundo plano — fechar o assistente não comprova o sucesso. Se for usado um task bundle, consultar o seu progresso em Task view. A edição completa também disponibiliza Android Full/Work Profile e Apple Device/User Enrollment: são outros modos de gestão, não alternativas quando falta a opção MTD.

Código QR estático: Em Setup > Sophos setup > Intercept X > QR code enrollment > Print, disponibilizar o código de forma controlada. No dispositivo de teste, instalar o Intercept X for Mobile a partir do Google Play ou da Apple App Store e, na aplicação, selecionar Corporate management > Enroll with Sophos Mobile > Enroll > Scan QR code; conceder as permissões solicitadas após a autorização acordada e ler o código. Aqui, «Corporate management» é um botão da aplicação, não uma prova de propriedade nem uma promessa de gestão MDM. Depois, atribuir separadamente o utilizador que, como esperado, estará inicialmente em falta, se a atribuição do piloto o exigir. Não distribuir amplamente o código reutilizável antes de verificar o seu efeito.

Registo de dispositivo já existente: A instrução genérica da Sophos Devices > [Dispositivo] > Actions > Enroll não identifica uma opção Mobile Threat Defense nem o tipo de perfil de configuração para iPhone/iPad. Por isso, não executar esta ação como passo para registar a aplicação Intercept X. O Add device wizard descrito acima documenta a opção específica Enroll Sophos Intercept X for Mobile with policy ou um task bundle com uma Mobile Threat Defense enrollment task para dispositivos a adicionar; não está demonstrado que se aplique a um registo já existente. Se o registo já existir, esclarecer primeiro, na documentação atual da Sophos e num piloto autorizado no tenant, qual o procedimento MTD suportado para esse registo, a edição e o tipo de perfil; não criar às cegas um segundo registo nem optar por MDM em alternativa. A página genérica para dispositivos individuais avisa que, no iPhone/iPad, há um perfil de configuração a instalar em Settings no prazo de oito minutos (exceção: dispositivos atribuídos através do Apple Business Manager ou do Apple Configurator). Sem confirmar o modo concreto, não apresentar este prazo como instrução para um perfil da aplicação, de MDM ou de filtro Web, nem o aplicar ao registo por código QR ou EMM.

Dispositivo já gerido por EMM: associar apenas a aplicação

Para um piloto aprovado, copiar o Connection code em Setup > Sophos setup > Intercept X > Automatic enrollment (third-party EMM), distribuir o Intercept X for Mobile através do EMM e definir antes da instalação a configuração gerida da aplicação para a plataforma de destino. Os passos exatos na interface do EMM constam da documentação do próprio EMM. No Android, os campos da Sophos chamam-se Connection code, opcionalmente Email, Device ID, Device name e EULA disabled. No iOS, os nomes são sensíveis a maiúsculas e minúsculas: smcData (string, código de ligação), opcionalmente email, deviceId, deviceName, macAddress (todos string) e eulaDisabled (boolean, por predefinição false). macAddress é necessário para Synchronized Security; essa integração adicional não deve ser inferida apenas do registo da aplicação. O e-mail opcional pode criar um novo utilizador no Sophos Mobile: verificar primeiro a identidade e as variáveis do EMM num dispositivo de teste autorizado. Não ativar eulaDisabled inadvertidamente. O código de ligação, o ID do dispositivo e o e-mail devem ser protegidos contra acesso não autorizado; uma configuração atribuída em larga escala pode alterar muitos dispositivos. A Sophos descreve o registo, com base na configuração, no primeiro arranque do dispositivo após a instalação via EMM; a mera distribuição da aplicação não comprova o sucesso.

iPhone/iPad com filtro Web: Em dispositivos supervisionados já geridos por um EMM de terceiros que suporte perfis iOS personalizados, e antes de instalar a aplicação, o perfil de configuração do filtro Web da Sophos pode ser distribuído primeiro através do EMM. Caso contrário, o utilizador terá de o instalar durante o registo da aplicação. Este perfil destina-se ao filtro Web e não constitui por si só uma inscrição Apple MDM; o registo da aplicação também não torna automaticamente supervisionado um dispositivo pessoal não supervisionado. Avaliar o efeito real do filtro Web apenas no teste separado de proteção iOS.

Alojar o APK Android num servidor próprio — apenas como exceção aprovada

Um servidor Web interno pode servir de origem de instalação do Intercept X for Mobile em vez do Google Play. Na edição Threat Defense, esta opção aplica-se apenas ao Intercept X; na edição completa do Mobile, aplica-se também ao Sophos Mobile Control. Para configurar a origem do Intercept X, é necessário Sophos Mobile ou Sophos Mobile Threat Defense; uma licença MDM por si só não basta. O alojamento não substitui o registo da aplicação nem a escolha do modo de gestão.

Este método exige que as instalações fora do Google Play sejam permitidas de modo geral, não apenas para a Sophos. Manter, por isso, o Google Play se não houver um motivo de exceção aprovado e não contornar as políticas de segurança existentes para resolver problemas. Antes de alterar a origem, esclarecer as permissões, a edição, o modo de gestão Android e os dispositivos abrangidos: selecionar um dispositivo piloto não limita automaticamente a esse dispositivo uma origem de instalação partilhada. Não alterar a origem sem uma fonte aprovada para obter o APK, verificação de integridade e responsabilidade definida pelas atualizações.

Disponibilizar o APK e guardar a origem de instalação

Começar por disponibilizar o APK aprovado no servidor Web próprio. Verificar e documentar a origem, a versão e a integridade; um ficheiro não se torna fiável só por estar no próprio servidor. Preparar um URL de ficheiro acessível aos dispositivos por HTTPS, por exemplo, https://mobile-apps.example.org/ixm/intercept-x.apk. Substituir o nome do servidor e o caminho pelo endereço próprio; o nome do ficheiro é de livre escolha. A partir da rede prevista para os dispositivos, verificar se o URL fornece o APK correto e não uma página de início de sessão. Não incluir credenciais no URL nem desativar controlos de segurança para permitir a transferência.

Confirmar a atualidade da versão: Em 30 de setembro de 2026, a página de transferências do Mobile disponibiliza SMSec-9.7.3909.apk, enquanto as notas de versão do Android apresentam 9.8.4146 como a entrada mais recente. Não tratar, por isso, o APK disponibilizado como a versão mais recente. Antes de o distribuir, confirmar com a Sophos onde obter um APK atual e suportado para o modo previsto; não tentar adivinhar um caminho de transferência substituindo o número da versão.

Em Setup > Google setup, abrir o separador Android. Em Select installation source, selecionar Hosted APK file. Na edição completa do Sophos Mobile, introduzir o URL separado do ficheiro da aplicação Sophos Mobile Control alojada em URL of the SMC APK file. Este campo SMC não é necessário para um registo exclusivamente da aplicação MTD e não faz parte da edição Threat Defense. Para o Intercept X, introduzir o URL real do ficheiro em URL of the Intercept X for Mobile APK file; este passo exige Sophos Mobile ou Sophos Mobile Threat Defense e não confere direitos MDM à licença Threat Defense. Guardar com Save. Depois, voltar a abrir o ecrã e comparar a opção e o URL com a configuração pretendida. Fica assim definida a origem de instalação — ainda não foi instalada nem registada nenhuma aplicação num dispositivo.

Distribuir o APK e verificar o resultado no dispositivo

Para instalar nos dispositivos, usar um task bundle adequado à edição e ao modo de gestão. A configuração do alojamento não significa que Install app esteja disponível para todos os dispositivos Threat Defense ou Android Enterprise. Confirmar o tipo de tarefa adequado antes de enviar o pacote; não recorrer a outro tipo de inscrição para substituir um tipo de tarefa em falta.

Em Task bundles > Android, selecionar o triângulo azul do pacote pretendido e Transfer. Em Select devices, selecionar primeiro dispositivos individuais aprovados, avançar com Next e, em Schedule task, escolher Now ou Date, indicando a data e a hora; Finish envia o pacote no momento escolhido. Antes disso, verificar todos os passos do pacote para detetar alterações de políticas, remoção do registo ou limpeza do dispositivo não pretendidas. O ciclo de vida dos pacotes de tarefas explica os dispositivos abrangidos e os limites das repetições.

Em Task view, verificar o estado das tarefas e, no mesmo dispositivo, comparar a versão instalada com a versão aprovada. Iniciar a aplicação e verificar separadamente o registo e a atribuição da política MTD. Um URL guardado, um carregamento ou um pacote enviado não comprovam a instalação, o registo nem o efeito de proteção. Em caso de erro, parar a distribuição para outros dispositivos e verificar o ficheiro, a acessibilidade do URL, a autorização de instalação e o passo que falhou antes de voltar a enviar o pacote.

Assegurar as atualizações e a reversão

No alojamento próprio, o responsável tem de procurar regularmente o APK mais recente em Sophos Mobile downloads, obter a versão aprovada de acordo com a verificação de atualidade acima, verificá-la e carregá-la no servidor Web. Depois, é necessário voltar a executar a instalação nos dispositivos através de um task bundle adequado e verificar a versão efetivamente instalada. O carregamento e a atualização dos dispositivos são tarefas distintas; não se prometem atualizações automáticas nem se afirma que algum APK tenha sido verificado neste artigo.

Antes de alterar a configuração, registar a opção de origem e o URL anteriores. Em caso de problemas, repor esse estado apenas depois de verificar as tarefas em curso e obter aprovação, e confirmar depois o resultado. Isto não reverte aplicações já instaladas nem os respetivos dados, e não garante o regresso a uma versão anterior nem a reversão automática do pacote. Antes de voltar a enviar o pacote, verificar os passos que já produziram efeitos; desinstalar a aplicação, eliminar o registo do dispositivo, remover o perfil de trabalho ou repor as definições de fábrica não constituem um método geral de reversão desta alteração de origem.

Verificar o piloto e delimitar os problemas

Após configurar a aplicação, verificar em Devices no Sophos Mobile, para o mesmo dispositivo de teste, o registo, a plataforma, a propriedade, o grupo, a atribuição do utilizador e a política MTD esperada. Em Task view, procurar tarefas de registo ou de bundles pendentes ou falhadas; no dispositivo, verificar o arranque da aplicação, as permissões solicitadas e, se previsto, o perfil de filtro Web do iOS. Trata-se de uma verificação piloto sugerida, não de um teste do dispositivo ou do tenant realizado neste artigo. Um registo, uma tarefa enviada ou uma transferência da loja de aplicações, por si só, não comprovam uma política eficaz nem proteção ativa.

O assistente não apresenta MTD: Verificar a edição/licença, a plataforma, a política ou o task bundle e o conector Intune MTD. Num dispositivo pessoal, não optar em substituição pela inscrição do dispositivo inteiro.
Aplicação instalada via EMM, mas não registada: Verificar o arranque da aplicação e a atribuição efetiva no piloto, o Connection code, a configuração EMM e, no iOS, os nomes e tipos exatos (smcData como string). Guardar o estado anterior antes de voltar a atribuí-la à frota; não efetuar uma nova distribuição às cegas.
Dispositivo inscrito por QR sem utilizador Sophos: É o comportamento esperado com o código QR estático. Atribuir um utilizador separadamente; verificar também Owner, grupo e política MTD.
Falta o filtro Web no iOS: Verificar a instalação do perfil e, caso a distribuição antecipada via EMM tenha sido planeada, a supervisão, o momento da instalação e o suporte do EMM para perfis. Não confundir o perfil com Apple MDM.
Expirou o perfil de configuração no iPhone/iPad: Apenas se o procedimento efetivamente escolhido e aprovado exigir a instalação de um perfil em Settings, verificar o aviso de oito minutos da página genérica para dispositivos individuais ou do assistente da edição completa: se o perfil não for instalado no prazo de oito minutos, é eliminado; nesse caso, reiniciar o procedimento de registo aprovado. Esclarecer primeiro o modo de registo e o tipo de perfil; não usar Actions > Enroll para resolver problemas da aplicação sem comprovação de que se aplica a MTD, nem estender o prazo ao código QR, ao EMM ou ao perfil de filtro Web.

Verificar separadamente a reversão e a proteção de dados

Reversão: Antes de remover algo no dispositivo piloto, registar se a aplicação foi atribuída pelo Sophos Mobile ou por um EMM existente e se também existe um perfil MDM. Envolver os utilizadores e os responsáveis pelos dispositivos, esclarecer as consequências para a proteção, as políticas e os dados transmitidos e só então aprovar o procedimento de desativação adequado ao modo de gestão real. Segundo a Sophos, a revogação do Connection code impede novos registos da aplicação; não constitui um procedimento de desativação comprovado para dispositivos já registados. Desinstalar a aplicação no EMM, eliminar um registo de dispositivo no Sophos e remover um perfil MDM são intervenções diferentes. Nem a desinstalação da aplicação nem o desaparecimento de um registo comprovam, neste contexto, que uma gestão MDM existente tenha sido removida ou que dados armazenados tenham sido apagados. Após uma reversão piloto aprovada, verificar o estado efetivo no dispositivo e no Sophos Mobile; sem um procedimento validado, não automatizar a reversão para a frota nem efetuar uma limpeza generalizada dos dispositivos.

Proteção de dados: Antes do piloto, esclarecer com os responsáveis pela proteção de dados as permissões da aplicação efetivamente aprovadas, os dados de identidade e do dispositivo, os fluxos de dados e a conservação. As páginas de registo não fundamentam uma garantia geral de «ausência de telemetria» nem um prazo de conservação. As definições de privacidade e os carregamentos para o Data Lake são outra operação administrativa, não fazem parte do registo da aplicação.