Konfigurera Sophos Endpoint Application Control

Application Control är avsett att stoppa oönskad eller riskfylld programvara utan att varje okänt program för tidigt behandlas som malware. Sophos placerar kända program i programkategorier. Policyn avgör sedan vilka som tillåts eller blockeras.

Den säkra utgångspunkten är därför inte ”blockera allt onödigt”, utan identifiera, bedöm, pilottesta och blockera först därefter. Då synliggörs fjärrhanterings-, administrations- och samarbetsverktyg som faktiskt används innan en produktionsblockering avbryter verksamhetsprocesser.

Application Control är inget malwareskydd

Threat Protection identifierar skadliga filer och beteenden. Application Control verkställer ett driftbeslut för i övrigt kända program. Ett fjärradministrationsverktyg kan vara legitimt för support men oönskat på en vanlig arbetsstation. Ingen generell standardinställning kan ersätta denna bedömning.

Att tillåta ett program i Application Control hindrar inte heller Sophos från att kontrollera det för malware, exploits, ransomware eller skadligt beteende. Omvänt ska ett verkligt falsklarm inte döljas med ett brett Application Control-undantag.

Identifiera först

Logga in på Sophos Fusion. Skapa eller öppna en Application Control-policy under My Products > Endpoint > Policies. Policyn måste vara aktiverad på fliken Settings. För en tillförlitlig inventering rekommenderar Sophos följande flöde:

1. Klicka på Add/Edit List under Controlled Applications.
2. Öppna en relevant kategori, välj först Select all applications och bekräfta med Save to List. Upprepa för alla kategorier som ska inventeras.
3. Aktivera endast Detect controlled applications during scheduled and on-demand scans under Detection Options. Application Control använder schemalagda skanningar och filtyper från Threat Protection-inställningarna.
4. Vänta tills alla datorer har genomfört minst en schemalagd skanning.
5. Avmarkera alla händelsetyper utom Application Control under Reports > Logs > Events och bedöm de identifierade programmen.

Inte bara programnamnet är viktigt, utan även enhet, användare, tidpunkt och verksamhetssyfte. Ett program som är legitimt på en IT-administrationsenhet kan vara oönskat på alla andra endpoints.

Kategorier och enskilda program

Sophos ordnar kontrollerbara program i kategorier. Att blockera en hel kategori är bekvämt men får större effekt. Om produkter i samma kategori ska behandlas olika öppnas kategorin och beslutet finjusteras på programnivå.

En hanterbar modell består normalt av ett fåtal beslut:

Fyll inte policyn med många förebyggande enskilda undantag. Varje avvikelse behöver en ägare och en spårbar motivering.

Behandla inte Protected Browser och Island Browser separat

Sophos Protected Browser och Island Enterprise Browser använder gemensamma kärnbinärer, så Sophos Endpoint kan detektera båda med samma signatur. Ett Application Control-beslut för Island Browser kan därför även påverka Sophos Protected Browser; tillförlitligt separat tillstånd garanteras inte. Överlappningen berör också DLP:s webbläsaridentifiering. Med Workspace Protection testas Application Control tillsammans med Endpoint DLP och produktgränsen dokumenteras.

Blockera en pilotgrupp

Öppna efter granskningen Add/Edit List igen och avmarkera program som ska fortsätta vara tillåtna. Övriga poster förblir kontrollerade. Aktivera Detect controlled applications when users access them och Block the detected application under Detection Options och spara policyn.

Tilldela den första blockerande policyn till en liten datorgrupp. Den måste innehålla typiska användare, viktiga verksamhetsprogram och minst en IT-arbetsstation. Kontrollera efter tilldelningen under Policies på enheten att denna Application Control-policy faktiskt gäller.

Verifiera under piloten:

• förväntat program blockeras och skapar en händelse
• tillåtna program fortsätter att starta
• Windows-användare får det konfigurerade skrivbordsmeddelandet
• Helpdesk känner till program, regel och godkännandeprocess
• försök att kringgå med portabla eller omdöpta program upptäcks

Desktop Messaging är aktiverat som standard. En egen text kompletterar standardmeddelandet; ett tomt fält visar bara standardmeddelandet. Enligt Sophos kan funktionen endast anpassas eller stängas av i Windows. På andra plattformar får processen därför inte bero på samma dialogruta.

Blockera skriptvärdar först efter inventering

Under Programming / Scripting tool kan Application Control kontrollera exempelvis Microsoft WSH WScript. Det skapar en extra barriär mot skadliga JavaScript-filer men blockerar även legitima inloggnings-, administrations- eller applikationsskript. Inventera först skriptvärden i detekteringsläge och blockera endast för lämpliga enhetsgrupper. Det ersätter inte AMSI eller Threat Protection. Det är inte heller någon generell åtgärd för att ta bort skadlig kod.

Hantera nya program automatiskt

Sophos kan automatiskt ta med nya program i en kategori som redan kontrolleras. Det håller policies aktuella men utökar deras automatiska effekt. I en blockerad kategori kan en nyklassificerad men verksamhetskritisk produkt därför blockeras utan separat godkännande.

Sophos markerar New applications added to this category by Sophos som valfritt och varnar för att aktivera alternativet utan noggrant övervägande. Det används endast när nya katalogposter i kategorin medvetet ska kontrolleras automatiskt. Bekvämligheten med en aktuell lista ersätter inte ändringshantering; för blockerade kategorier är regelbunden granskning följd av en pilot vanligtvis lättare att styra.

Ny kategori GenAI

Sophos samlar numera applikationer med generativ AI i kategorin GenAI. Beroende på plattform omfattar den bland annat skrivbordsklienter, lokala modeller, kodningsassistenter och innehållsverktyg. Befintliga program som Cursor, Microsoft Copilot, Ollama, Perplexity och Windsurf har flyttats dit från tidigare kategorier.

Enligt Sophos ändrar omklassificeringen inte applikationens befintliga Allow- eller Block-status. Den ändrar däremot var applikationen finns i Reports och policyunderhåll. GenAI-kategorin inventeras därför på nytt efter en kataloguppdatering. En generell blockering ersätter inte regler för webbläsartjänster, dataklassificering och tillåtna AI-applikationer i verksamheten.

Katalogläge den 18 augusti 2026: Application Control 6.27

Datauppdatering 6.27 rullades ut den 18 augusti 2026; det tillhörande meddelandet publicerades den 19 augusti 2026. Detta läge kompletterar GenAI-bedömningen ovan, men är varken en fullständig programlista eller belägg för senare versioner. För policyunderhållet är exempelvis följande poster relevanta:

• Verifiering i Windows: GitHub Copilot, Zed AI och Warp Terminal står som GenAI i meddelandets första kataloglista. Listan har ingen egen plattformsrubrik; posterna är därför kandidater att verifiera i Windows-piloten, inte en generell bekräftelse för varje Windows-version eller programvariant.
• macOS: GitHub Copilot, Zed AI och Warp Terminal står dessutom uttryckligen som GenAI i det separata macOS-avsnittet. Verifiera macOS-klassificeringen oberoende av den första listan; en post på en plattform innebär inte identisk detektering på den andra.

Dessutom bytte Notion Desktop App namn till Notion AI och flyttades från BusinessIntelligenceTool till GenAI. Sök därför även efter det tidigare namnet under inventeringen och stäm av det befintliga beslutet att tillåta eller blockera mot den nya posten. Enbart omklassificeringen är inte skäl att ersätta ett befintligt tillstånd med en kategoriblockering utan kontroll.

Publiceringen sker i två steg: nya poster kan redan vara synliga i administrationsgränssnittet 24 till 48 timmar före lanseringen av detekteringsidentiteterna. Först den lanseringen tillför programmets detekteringsdata. För nypublicerade poster ska man därför invänta detta tidsfönster innan deras Allow/Block-effekt bedöms. En synlig post eller sparad inställning bevisar ännu inte att kontrollen fungerar på endpointen; tidsfönstret är inte heller ett löfte om att varje enhet därefter redan är uppdaterad.

För denna katalogändring genomförs den befintliga piloten separat på en Windows-enhet och en macOS-enhet, med den programversion som faktiskt används:

1. Dokumentera före ändringen den effektiva Application Control-policyn, den tidigare posten och dess kontrollstatus samt New applications added to this category by Sophos. Om detta alternativ är aktivt för kategorin och Block the detected application är aktiverat blockeras nytillagda program automatiskt. Om det inte är avsikten, inaktivera kategorialternativet före utrullningen; redan kontrollerade poster tillåts inte automatiskt av detta.
2. Kontrollera efter publiceringsfönstret och en lyckad endpointuppdatering den effektiva pilotpolicyn under Policies. Skanna först programmet i det befintliga detekteringsläget och sök under Reports > Logs > Events med filtret Application Control efter den förväntade posten. För Notion stäms namnet Notion AI av mot det tidigare beslutet. Dokumentera enhetsnamn, operativsystem, programversion och tidpunkt som underlag för verifieringen.
3. Aktivera den avsedda blockeringen endast i pilotgruppen, kontrollera att policyn har tagits emot och öppna programmet igen. Testet lyckas om det valda programmet blockeras, en motsvarande händelse finns och ett medvetet tillåtet jämförelseprogram fortfarande fungerar. Förutsätt inte samma skrivbordsmeddelande i macOS som i Windows.
4. Om detektering eller blockering uteblir, kontrollera först policytilldelning, endpointuppdatering, programversion och faktisk process. Blockera inte i stället GenAI-kategorin generellt för alla enheter. För att återställa ändringen, återställ det berörda programmets dokumenterade kontrollstatus i pilotpolicyn, spara, invänta att policyn tas emot och testa starten igen. Återställ kategorialternativet till dess tidigare värde endast om automatisk hantering av nya poster också är önskad igen.

Katalogläge den 6 oktober 2026: Application Control 6.28

Datauppdateringen 6.28 rullades ut den 6 oktober 2026; det slutliga meddelandet från den 7 oktober 2026 bekräftar detta. Förhandsmeddelandet från den 25 september beskrev däremot endast det planerade läget. Vid inventeringskontrollen är det den slutliga listan som gäller, inte förhandsmeddelandet:

• Den första listan, utan egen plattformsrubrik, innehåller exempelvis ToDesk, Gorelo och TiFlux Agent som RemMan samt Google Antigravity IDE och Google Antigravity CLI som GenAI. Jämfört med förhandsmeddelandet tillkom där Claude Science och Taskade Agent, båda GenAI. Listan är ingen uttryckligen märkt Windows-kompatibilitetsmatris; kontrollera endast program och varianter som faktiskt används.
• Det uttryckligen separata macOS-avsnittet innehåller bland annat Claude Science, Taskade Agent och Google Antigravity IDE som GenAI. Dessa poster fanns där redan i förhandsmeddelandet. Tilläggen i den första listan är alltså inte samtidigt nya macOS-tillägg; detektering och policyeffekt kontrolleras per plattform.

Dessutom flyttas Google Antigravity från ProgrammingScriptTool till GenAI. Otter AI Assistant heter nu Otter och flyttas från SystemTool till GenAI. Dynalist Obsidian blir Obsidian, fortfarande i DocumentViewer. Sök därför efter både gamla och nya namn i rapporter och vid policyunderhåll. Det tidigare påståendet om bibehållen kontrollstatus när GenAI infördes är inget uttryckligt löfte för dessa oktoberändringar: stäm av varje berörd posts faktiska Allow/Block-status mot den tidigare dokumentationen.

För berörda program som redan finns gäller även i 6.28 flödet ovan med detektering, plattformsspecifik pilot och begränsad återställning. Kontrollera särskilt kategorins automatik och Block the detected application före en policyändring: om båda är aktiva kan nya poster blockeras automatiskt. De 24 till 48 timmarna mellan konsolposten och identitetsreleasen är fortfarande ett publiceringsfönster, ingen uppdateringsgaranti för varje enhet. En katalogpost är varken en bedömning att programmet är skadlig kod eller en rekommendation att blockera alla nämnda program.

Om ett program saknas

Alla produkter finns inte direkt i Sophos-katalogen. Längst ned i Settings öppnar Application Control Request den officiella begäran. Innan Sophos klassificerar programmet ska ingen påhittad kategori eller signatur användas för att efterlikna katalogen.

⚠️ Ett generellt Threat Protection-undantag ersätter inte en saknad Application Control-post. Mekanismerna löser olika uppgifter.

Felsökning

Om ett förväntat program inte blockeras kontrolleras först den effektiva policyn, målgruppen och policyordningen. Kontrollera sedan programversion, faktisk process och tidpunkten för den senaste agentuppdateringen. En katalogpost innebär inte att varje variant eller startprogram identifieras likadant.

Om ett nödvändigt program blockeras korrigeras policyn på programnivå och sparas igen. Application Control behöver inte stängas av globalt. Kontrollera sedan på den berörda enheten att den uppdaterade policyn har tagits emot.

Relaterade artiklar

Bygg Sophos Fusion Endpoint-policies korrekt förklarar policyordningen och effektiv tilldelning. Inför Sophos Endpoint Control Policies praktiskt behandlar den övergripande utrullningen av kontrollfunktioner.

Vanliga frågor

Aktuell programkatalog

Kontrollera före en policyändring i den aktuella katalogen över kontrollerade program från Sophos om programmet kan kontrolleras och vilken kategori Sophos tilldelar det. Leverantören lägger kontinuerligt till program och nya klassificeringar i katalogen.