Bygg Sophos Fusion Endpoint-policies korrekt
Sophos Fusion (tidigare Sophos Central) tillämpar exakt en matchande Policy för varje funktion. Sophos Fusion går igenom listan uppifrån och ned; den första aktiva policyn som matchar användaren eller datorn vinner. Base Policy ligger alltid längst ned och omfattar alla mål som inte täcks av en Policy ovanför.
Detta anger också den viktigaste avgränsningen: policies av samma typ slås inte samman till en effektiv konfiguration. Den här grundartikeln förklarar därför tilldelning, omfattning och ordning. De länkade detaljartiklarna behandlar inställningarna för enskilda policytyper.
Onboardingflödet för Endpoint beskriver hela driftsättningen, från planering till överlämning till förvaltning.
Modellen i fyra regler
- En Policy tillhör en licensierad funktion, till exempel Threat Protection, Application Control eller Web Control.
- En Policy innehåller alla inställningar för den funktionen. En endpoint hämtar inte enskilda reglage från flera policies av samma typ.
- Omfattningen definieras av tilldelade användare, användargrupper, datorer eller datorgrupper. Vilka måltyper som är tillgängliga beror på policytypen.
- Om flera aktiva policies av samma typ matchar avgör enbart deras position: den första matchande policyn tillämpas.
Tumregel: placera specifika policies högst upp och generella policies längre ned.
Ordet ”arv” kan vara missvisande här. När policyn tillämpas hämtar en extra Policy inte vissa värden från Base Policy och lägger till andra. Den kan åsidosätta inställningar i Base Policy för sin omfattning, men för den policytypen gäller den fullständiga första matchande policyn.
Base Policy och extra policies
Sophos tillhandahåller en Base Policy för varje funktion. Den är alltid tillgänglig, kan inte inaktiveras eller tas bort och ligger kvar längst ned i listan. Från början gäller den för alla användare och enheter eller, för serverpolicies, alla servrar.
För funktioner som Threat Protection levererar Sophos Base Policy med inställningar enligt bästa praxis. För nätverksspecifika funktioner som Application Control eller Peripheral Control måste du däremot konfigurera funktionen för din egen miljö.
Extra policies behövs bara när en målgrupp ska ha andra inställningar. Base Policy kan ensam räcka för en enhetlig konfiguration. Varje extra Policy ökar dock risken för överlappningar, så ge den ett entydigt syfte och en tydlig omfattning.
Välj användar- eller datoromfattning
En användar-Policy gäller på alla hanterade enheter som användaren använder. En dator-Policy gäller för specifika datorer eller datorgrupper, oavsett vem som loggar in. Vissa funktioner stöder båda varianterna, andra bara en. Enligt Sophos kan Update Management exempelvis konfigureras för datorer men inte för användare.
| Behov | Lämplig omfattning |
|---|---|
| samma inställning för en kiosk- eller produktionsdator | dator eller datorgrupp |
| inställningen ska följa en person mellan flera enheter | användare eller användargrupp |
| stegvisa endpoint-uppdateringar | datorgrupp |
| strikt avgränsat undantag på en enhet | enskild dator |
Om en användar-Policy och en dator-Policy för samma funktion båda matchar har ingen måltyp automatisk prioritet. Ordningen i policylistan avgör fortfarande.
Grupper underlättar tilldelning; de utgör inte ytterligare ett policylager. Fliken Policies för en datorgrupp visar de policies som är aktiverade och tillämpade på gruppen. Om du redigerar en länkad Policy där påverkar ändringen även alla andra grupper som samma Policy har tilldelats till.
Planera ordning och överlappningar
En lättskött ordning börjar med den snävaste omfattningen och slutar med den bredaste. Ett enkelt exempel med tre aktiva Threat Protection-policies:
| Position | Policy | Omfattning |
|---|---|---|
| 1 | TP-Finance-Exception | datorgruppen Finance |
| 2 | TP-All-Workstations | alla arbetsstationer |
| 3 | Base Policy | alla övriga mål |
En Finance-dator får position 1. En annan arbetsstation får position 2. Om TP-All-Workstations låg högst upp skulle denna generella Policy redan matcha och Finance-policyn skulle aldrig tillämpas.
Avanets rekommendation: använd Base Policy som produktionsstandard där det är möjligt. Placera bara motiverade avvikelser ovanför, till exempel en liten pilotgrupp eller ett strikt avgränsat tekniskt undantag. En separat Policy per avdelning är bara meningsfull om inställningarna faktiskt skiljer sig åt.
Skapa och tilldela en Policy
Logga in på fusion.sophos.com. Det officiella arbetsflödet börjar på produktsidan:
- Öppna My Products och välj Endpoint.
- Öppna Policies och välj Add Policy.
- Välj funktionen och, om alternativet finns, typen av Endpoint-Policy.
- Tilldela avsedda användare eller enheter på detaljsidan.
- Konfigurera inställningarna för den valda policytypen.
- Aktivera och spara policyn.
- Dra den till önskad position i policylistan.
Tilldela en ny Policy enbart till en liten pilotgrupp före en bred utrullning. Ett namn som TP-Pilot-2026Q3 visar funktion, syfte och tidskontext. Själva funktionsinställningarna hör hemma i respektive detaljartikel, till exempel Threat Protection, Application Control, Peripheral Control eller Web Control.
Data Collection and Investigation-policyn visar omfattningsprincipen särskilt tydligt: dess Base Policy gäller som standard för alla enheter. Om specifika enheter ska ha andra inställningar placerar du dem i en datorgrupp och tilldelar en extra Policy. Den här artikeln upprepar avsiktligt inte inställningarna för Live Response, Data Lake-uppladdningar eller undantag.
Kontrollera vilken Policy som faktiskt tillämpas
Tilldelning, mottagning och effekt är tre olika underlag. Fliken Policies visar de policies som har tilldelats enheten. Den bevisar inte i sig när en enskild komponent senast tog emot sin konfiguration. För Windows-endpoints och Windows-servrar går det att kontrollera mottagningen med Endpoint Self Help (ESH):
- Öppna My Environment > Computers & Servers. Det går också att använda My Products > Endpoint > Computers och öppna datorn.
- Jämför under Policies det tilldelade policynamnet för varje funktion med omfattning och prioritet.
- Öppna Endpoint Self Help på Windows-enheten och välj vyn Policy. Kontrollera senaste mottagning per komponent och jämför med den faktiskt godkända ändringen.
- Endast när en redan godkänd ändring ska kontrolleras: spara den i Sophos Fusion (Save) och uppdatera ESH-visningen med Refresh. Beroende på region kan överföringen ta upp till fem minuter. Skapa inget extra skyddsundantag för kontrollen.
- Kontrollera därefter skyddsfunktionen med det avsedda, godkända funktionstestet. Mottagen konfiguration bevisar ännu inte dess effekt.
Last Active är en indikator för MCS-kommunikation och uppdateras högst en gång i timmen. Värdet är ingen tidsstämpel för en tillämpad Policy. Not since i ESH är inte heller i sig ett fel: oförändrade komponenter kan behålla sin befintliga konfiguration och tidigare tidsstämpel. Det avgörande är om den konkret ändrade komponenten har tagit emot den förväntade konfigurationen. En oförändrad Policy behöver inte få en ny tidsstämpel vid varje kontakt.
Ett klick på policynamnet öppnar dess detaljer. Ändringar där påverkar alla tilldelade användare eller enheter. Kontrollera därför först omfattning och överlappningar. Gruppvyn under My Products > Endpoint > Computers > Computer Groups > Policies hjälper till att kontrollera tilldelningen men ersätter inte underlag för mottagningen på den enskilda enheten.
ESH-kontrollflödet gäller Windows-endpoints och Windows-servrar. För macOS behövs en separat plattformsspecifik kontroll. Fliken Policies visar tilldelningen; för mottagningen är den berörda komponenten i ESH avgörande. För verifieringen dokumenteras enhet, policytyp och namn, godkänd ändring med tidpunkt, berörd komponent, mottagningsstatus i ESH och funktionstestets resultat separat. Saknas ett entydigt mottagningsunderlag förblir verifieringen öppen.
Om förväntad Policy inte visas
Kontrollera i denna ordning:
- Policytyp: jämför du policies för samma funktion?
- Aktiv status: är den förväntade policyn aktiverad och inte utgången?
- Omfattning: är användaren, datorn eller rätt grupp faktiskt tilldelad?
- Ordning: matchar redan en mer generell Policy högre upp?
- Tilldelning: vilket policynamn visas på datorns flik Policies?
- Mottagning: visar ESH på Windows-enheten förväntad mottagning för den faktiskt ändrade komponenten? Last Active eller ett oförändrat policynamn räcker inte. Utan entydigt underlag förblir verifieringen öppen.
En agentuppdatering korrigerar inte fel ordning eller tilldelning. Om tilldelning och överföring kan följas men det godkända funktionstestet misslyckas hör fortsatt undersökning hemma i komponentspecifik Endpoint-diagnostik. Om den ändrade komponentens förväntade mottagning saknas kontrolleras först enhetskontakt och kommunikation innan skyddskonfigurationen ändras.