Installera och distribuera Sophos Protection for Linux

Viktig produktgräns: Sophos introduktionssida kallar visserligen avsnittet Deployment to Linux i Endpoint-guiden. Linux-länkarna leder dock till Server Protection och Sophos Protection for Linux (SPL) i Sophos Fusion (tidigare Sophos Central). Linux använder alltså inte Endpoint-installationsprogrammet för Windows eller macOS som beskrivs i de angränsande kapitlen, utan en separat Linux-serveragent med egna policyer, krav, Release Notes och installationsmetoder.

Det övergripande flödet från förberedelse av tenant till drift beskrivs i onboarding-spåret för Endpoint. Den här artikeln behandlar enbart spåret för Linux-servrar.

För en enskild Linux-server väljer du först skyddsläge under My Environment > Installers: Download Linux Server Installer för fullständigt skydd mot skadlig programvara eller Download XDR Sensor Linux Server Installer för en XDR Sensor utan eget skydd mot skadlig programvara. Gör SophosSetup.sh, hämtad för rätt tenant och läge, körbar och starta den med root-behörighet. För flera system använder du samma installationsprogram i en kontrollerad programvarudistribution och kör först --test. Om SPL ska ingå i VM-mallen måste den dokumenterade processen för Linux Gold Image användas, så att varje klon får en egen enhetsidentitet. Sophos rekommenderar att metoden övervägs för miljöer med automatisk skalning, lastbalansering eller många virtuella datorer.

Före den första pilotenheten

Godkänn inte installationen förrän följande punkter är kontrollerade:

• Licens och önskad skyddsomfattning: Under Server Protection finns två separata Linux-nedladdningar. XDR Sensor kräver en XDR-licens och skyddar enligt Sophos inte själv mot hot; därför måste skydd från tredje part finnas. Kontrollera önskat läge och tillgänglig licens före nedladdning.
• Plattform som stöds: Distribution, version, arkitektur och kernel måste finnas i den aktuella supportmatrisen för SPL. Sophos publicerar testade plattformar och systemkrav i Release Notes. Särskilda supportgränser gäller för ej listade, härdade, minimala, anpassade och äldre varianter. Tvinga inte SPL på immutable distributions; Sophos hänvisar där till den separata Sophos Linux Sensor.
• Grundkrav: Vid innehållsgranskningen den 14 september 2026 krävde SPL:s Release Notes 2,5 GB ledigt diskutrymme, 2 GB ledigt minne, x86_64 eller ARM64, en aktiv systemd som stöds, Bash och glibc 2.17 eller senare, respektive 2.18 eller senare på ARM64. ARM64 krävde dessutom kernel 5.3 eller senare. Installationsprogrammet krävde curl, och AV-plugin-programmet behövde setcap från libcap2-bin, libcap eller libcap-progs. Denna daterade utgångspunkt ersätter inte den aktuella godkännandekontrollen.
• Nätverksåtkomst: Enheten måste nå Sophos Fusion både under och efter installationen. Testa DNS, HTTPS, proxy, TLS Inspection och vid behov Message Relay och Update Cache från varje planerat servernät enligt nätverks- och proxykraven.
• Befintligt skydd: Sophos Anti-Virus for Linux kan inte köras parallellt med SPL. SAV måste först tas bort eller migreras genom att installationsprogrammet körs med --uninstall-sav. För en ren XDR Sensor måste skyddet från tredje part däremot vara kvar, eftersom sensorn inte ger skydd mot skadlig programvara. Vid fullständigt SPL-skydd mot skadlig programvara bedöms en eventuell parallell installation av andra antivirusprodukter separat före piloten, utifrån respektive tillverkares godkännanden.
• Utrullningsplan: Dokumentera målgrupp, Central-grupp, produktomfattning, pilotstorlek, stoppkriterier, underhållsfönster och återställningsväg före start.

Underhålla information om releaser, plattformar och nätverk

Den här artikeln är den interna granskningsgrunden för Linux-specifika krav. Den ansvariga ägaren kontrollerar aktuella SPL Release Notes och supportmatrisen för distributioner och kernels i Sophos-portalen varje månad samt före varje pilot och utrullningsvåg. Dokumentera granskningsdatum, granskare, release, distribution, version, arkitektur, kernel, minimiresurser, avvikelser och godkännandebeslut i ändringen. Om aktuella uppgifter skiljer sig från den daterade utgångspunkten ovan ska pilotkriterierna och den här artikeln uppdateras före nästa våg; gamla värden utgör inget godkännande.

Den länkade nätverksguiden beskriver den gemensamma processen för tillåtelselista och proxy, inklusive Linux- och licensberoende destinationer. Följ även Sophos Endpoint-uppdateringar, cache och Message Relay för programvarupaket, stegvisa uppdateringar, Update Cache och Message Relay. Linux-piloten måste ändå validera den faktiska nätverksvägen och den installerade SPL-versionen från varje planerat servernät.

Kontrollera filsystem och resurser först

Endast vid fullständigt skydd mot skadlig programvara med produkten antivirus installerad: SPL kan bara genomsöka och placera filer i karantän på ett tillförlitligt sätt på filsystem som uttryckligen stöds. Vid källgranskningen den 20 september 2026 angav Sophos bfs, btrfs, cifs, devtmpfs, ecryptfs, ext2, ext3, ext4, fuse, fuseblk, iso9660, jfs, jfs2, msdos, nfs, nfs4, overlay, squashfs, tmpfs, udf, vfat, xfs och zfs. Kontrollera listan mot den aktuella SPL-dokumentationen före varje våg. Följande kommando visar alla monterade mål och typer på AV-pilotenheten:

findmnt -rn -o TARGET,FSTYPE

I AV-läget kontrolleras inte bara / och installationssökvägen, utan alla monteringar med verksamhetsdata, containrar, nätverksresurser eller planerade genomsökningsmål. Ett filsystem som saknas i listan blir inte godkänt för att ett första test tycks fungera. Sophos rekommenderar att sådana filsystem undantas från genomsökning; AV-pluginet undantar automatiskt filsystem med kända problem och loggar det i soapd.log. För en ren XDR Sensor är genomsökningsmål, karantän och denna AV-logg inga godkännandekriterier.

SPL hanterar CPU- och minnesgränser med Linux-cgroups. Enligt Sophos fungerar standardvärdena bra i de flesta miljöer; lägg därför inte till generella gränser före piloten. Om verksamheten kräver gränser ska belastningen och programmets tolerans först mätas. Läs därefter den lokalt installerade filen /opt/sophos-spl/base/etc/cgroup-resource-limits-README.txt. Den är styrande eftersom alternativ, komponenter och giltiga värden kan ändras. Egna värden hör hemma i /opt/sophos-spl/base/etc/cgroup-limits.conf; CPU anges i procent med % och minne, beroende på alternativ, i MB eller procent. SPL avvisar värden utanför det stödda intervallet och använder standardvärdet. Artikeln anger därför inga universella tal.

Efter installation eller ändring gäller följande kontroller beroende på vilket läge som faktiskt installerats:

1. Endast med antivirus: findmnt visar en typ som för närvarande stöds för varje planerat genomsökningsmål.
2. Vid anpassade cgroup-gränser: /opt/sophos-spl/logs/base/watchdog.log bekräftar att konfigurationen tillämpas på de komponenter som faktiskt är installerade och innehåller inga konfigurationsfel.
3. Vid anpassade cgroup-gränser: Systemjournalen saknar processer som avslutats av SPL-cgroupen. Eftersom inte alla Linux-system bevarar journaldata efter omstart konfigureras beständig journallagring enligt lokal driftpolicy om felhistoriken måste sparas.

Installera en enskild server via Sophos Fusion

1. Gå till My Environment > Installers i Sophos Fusion.
2. Välj rätt Linux-nedladdning under Server Protection: Download Linux Server Installer för fullständigt skydd mot skadlig programvara eller Download XDR Sensor Linux Server Installer för en ren XDR Sensor (kräver XDR-licens och aktivt skydd från tredje part). Använd inte Endpoint-installationsprogrammet för Windows eller macOS. Den separat tillgängliga Sophos Linux Sensor (SLS) är inte SPL:s XDR Sensor.
3. Överför SophosSetup.sh till den avsedda Linux-servern via en åtkomstskyddad kanal.
4. Gå till hämtningskatalogen och gör filen körbar:

chmod +x SophosSetup.sh

5. Kör först förkontrollerna utan att installera:

sudo ./SophosSetup.sh --test

6. Starta installationsprogrammet när kontrollerna är godkända:

sudo ./SophosSetup.sh

Utan --install-dir installeras SPL under /opt/sophos-spl/. Att shell-processen avslutas utan fel är ännu inte ett godkännande av utrullningen. Kontrollera därefter registrering, faktiskt installerade komponenter, rätt policyer och Health både i Central och lokalt. AV-kontrollerna nedan gäller inte en ren XDR Sensor.

Hämta installationsprogrammet direkt på servern

För manuell hämtning via shell kopierar du i Sophos Fusion länkadressen för det Linux-installationsprogram som du redan valt (fullständigt skydd eller XDR Sensor) och ersätter platshållaren i följande kommando med adressen:

wget '<LINUX-INSTALLER-LINK>' -O SophosSetup.sh
chmod +x SophosSetup.sh
sudo ./SophosSetup.sh --test
sudo ./SophosSetup.sh

Ersätt <LINUX-INSTALLER-LINK> med adressen som kopierats från den egna tenanten för det valda läget. Lägg inte URL:en eller den hämtade filen i offentliga skriptarkiv, ärenden eller fritt läsbara filresurser. Vid repeterbara distributioner ska installationsartefakten tillhandahållas via plattformens skyddade paket- eller hemlighetsdistribution.

Distribuera till flera Linux-system med skript

En massutrullning börjar med några få representativa servrar. Piloten ska omfatta skillnader i distribution, kernel, arkitektur, härdning, proxyväg, plats, arbetsbelastning och befintlig säkerhetsprogramvara. Nästa begränsade våg startar först efter godkänd validering.

Följande skript är endast ett exempel för fullständigt skydd mot skadlig programvara med dessutom licensierad XDR, inte för en ren XDR Sensor. Det använder installationsprogrammet för Linux-servrar som hämtats för detta läge, placerar enheten i undergruppen LinuxServers\Pilot och begär komponenterna antivirus och xdr:

#!/usr/bin/env bash
set -euo pipefail

if (( EUID != 0 )); then
  printf 'Det här utrullningsskriptet måste köras som root.\n' >&2
  exit 1
fi

installer='/var/tmp/SophosSetup.sh'
chmod 700 "$installer"

"$installer" --test
"$installer" \
  --group='LinuxServers\Pilot' \
  --products=antivirus,xdr \
  --tag=Rollout:wave-0 \
  --tag=ManagedBy:automation

Anpassa gruppsökvägen efter den egna Central-strukturen. Om gruppen eller undergruppen inte redan finns skapar installationsprogrammet den. Kontrollera därför sökvägen exakt före utrullningen: ett skrivfel kan skapa en oönskad ny grupp. Med --products installeras inga produkter som saknar licens. Enligt den aktuella CLI-sidan är antivirus, mdr och xdr tillåtna. Flera argument av typen --tag=<key>:<value> lägger till enhetstaggar. Om samma nyckel anges flera gånger visar Central endast det senast angivna värdet.

I exemplet gör set -euo pipefail att skriptet inte tyst fortsätter som om allt lyckats efter en misslyckad förkontroll eller installation. Programvarudistributionen måste vidarebefordra den faktiska exitstatusen och får inte installera om misslyckade värdar i all oändlighet. Sophos publicerar ingen beständig tabell med numeriska exitkoder på CLI-sidan. Godkänn därför installationen genom kombinerad lokal kontroll och Central-kontroll, inte genom en påhittad kodtolkning.

Viktiga alternativ för installationsprogrammet

Miljövariabler anges före och kommandoradsalternativ efter anropet av installationsprogrammet.

UID och GID för konton och grupper som SPL skapar kan anges med --user-ids-to-configure och --group-ids-to-configure. Använd endast dessa alternativ om den lokala identitets- eller härdningsstandarden kräver fasta ID:n. Sophos begränsar uttryckligen effekten till de dokumenterade SPL-kontona och -grupperna.

Med --install-dir=<basis> placeras SPL under <basis>/sophos-spl. Anpassa alla efterföljande sökvägar för loggar, version, registrering och avinstallation. Sökvägarna /opt/sophos-spl/... i artikeln gäller standardinstallationen. Sökvägar till AV-pluginet gäller dessutom endast värdar med produkten antivirus installerad.

Ange Message Relay och Update Cache

Normalt innehåller SophosSetup.sh de reläer och cacheminnen som är konfigurerade i Central. Installationsprogrammet rangordnar dem efter numerisk närhet till enhetens IP-adress och använder den närmaste nåbara tjänsten. Om ingen är nåbar kontaktar det Central direkt. Valet kan åsidosättas uttryckligen under installationen:

sudo ./SophosSetup.sh \
  --message-relays=192.0.2.10:8190 \
  --update-caches=192.0.2.10:8191

192.0.2.10 är en dokumentationsadress och måste ersättas. Sophos anger port 8190 för Message Relay och 8191 för Update Cache. Värdet none tvingar fram direkt Central-anslutning för respektive alternativ. Åsidosättningen gäller installationen. Därefter använder agenten åter de närmaste konfigurerade tjänsterna, om enheten inte tilldelas manuellt i Central.

Gold Image för virtuella Linux-system

Ett installerat och registrerat Linux-system får inte klonas oförändrat. Avregistrera Gold Image-VM:n från Sophos Fusion innan mallen sparas. Varje klon registrerar sig då automatiskt med en egen identitet när den startar och får nätverksåtkomst.

1. Förbered operativsystem och program på den virtuella masterdatorn fullständigt.
2. Hämta Linux Server Installer eller XDR Sensor Linux Server Installer för avsett skyddsläge under My Environment > Installers.
3. Installera SPL enligt beskrivningen ovan och kontrollera tillståndet.
4. Gå till registreringskatalogen och avregistrera masterdatorn:

cd /opt/sophos-spl/base/bin/
sudo ./registerCentral --deregister

5. Stäng omedelbart av den virtuella datorn och spara avbildningen endast när den är avstängd.
6. Starta inte masterdatorn igen efter avregistreringen. En omstart registrerar den på nytt; då måste den avregistreras igen innan den sparas.
7. Starta minst två kloner från den sparade avbildningen och kontrollera att de visas som separata enheter i Central.

Om installationsplatsen ändrats med --install-dir finns sophos-spl under den angivna sökvägen. Kör då Gold Image-kommandot från katalogen base/bin i den installationen.

Godkänn installationen

En pilot är godkänd först när alla följande kontroller stämmer:

1. Exakt det förväntade enhetsobjektet visas för varje värd under My Products > Server > Servers. På serverns detaljsida är Health, senaste aktivitet och installerade komponenter rimliga.
2. Enheten finns i avsedd grupp och får de serverpolicyer som gäller för de komponenter som faktiskt installerats. Vid fullständigt skydd mot skadlig programvara ingår en verksam Server Threat Protection Policy; för uppdateringspolicyer gäller den första matchande policyn.
3. Tjänsten körs lokalt:

sudo systemctl status sophos-spl

4. Endast om produkten antivirus är installerad: Server Protection-versionen som visas i Central stämmer med den lokalt rapporterade versionen:

sudo cat /opt/sophos-spl/plugins/av/VERSION.ini

Sophos anger just denna AV-pluginfil för versionsjämförelsen. För en ren XDR Sensor förutsätts inte filen finnas: jämför i stället faktiskt installerade komponenter, deras visade versioner, Health och senaste aktivitet på serverns detaljsida med det valda sensorläget. Kontrollera lokalt anslutningen till Sophos Fusion i den MCS-/hanteringslogg som hör till installerad version: /opt/sophos-spl/logs/base/sophosspl/management.log eller, för LTS-paket, eventuellt de äldre loggarna mcsrouter.log och sophos_managementagent.log. Kontrollera loggnamn och sökväg i det installerade paketet; dra inga slutsatser om sensorns funktion enbart utifrån om en logg eller AV-sökväg finns eller saknas.

5. Endast om produkten antivirus är installerad: För EICAR-testet av åtkomstbaserad genomsökning måste både Real-time scanning - Local files and network shares och Enable scan for Server Protection for Linux Agent vara aktiverade i den verksamma Server Threat Protection Policy. Den Linux-specifika inställningen är avstängd som standard. Kontrollera därefter detekteringen i /opt/sophos-spl/plugins/av/log/av.log och på serverns Summary-sida. En ren XDR Sensor erbjuder varken denna detektering av skadlig programvara eller genomsökning på begäran; kontrollera i stället separat att skyddet från tredje part fortfarande är aktivt enligt dess dokumenterade metod.

Stoppa den breda vågen om enheter saknas, visas dubbelt, förblir ohälsosamma, får fel komponenter eller policyer eller påverkar verksamhetskritiska arbetsbelastningar.

Stoppa, återställ eller ta bort utrullningen

Återställning börjar med att distributionen stoppas. Stoppa nya måltilldelningar och automatiska återförsök, avgränsa den berörda vågen och behåll den senast fungerande VM-, paket- eller konfigurationsnivån. En avinstallation återställer inte automatiskt skyddsprogram från tredje part som tagits bort eller ersatts.

Följ Avinstallera Sophos Protection for Linux fullständigt för hela processen för lokal borttagning, cgroup-rensning, verifiering, hantering av Central-posten och återställning. Behåll borttagningskommandona i den runbooken i stället för att kopiera dem till ett installations- eller utrullningsjobb.

Tamper Protection är inte tillgängligt för Sophos Protection for Linux och är därför inte tillämpligt på denna återställning. Kontrollera ändå kvarvarande serverpolicyer, återställ avsett skydd och besluta hur enhetsposten i Central ska hanteras innan ändringen stängs.

Felsök efter symtom

--test eller installationen misslyckas

Spara det exakta kommandot, distributionen, kernel, arkitekturen och utdata. När Thin Installer upptäcker ett installationsfel startar det automatiskt Sophos Diagnostic Utility (SDU) och skapar sophos_diagnose.tgz i samma katalog som Thin Installer. Arkivet innehåller installationsloggar och systeminformation för Sophos Support.

Kör endast följande på begäran av Sophos Support eller vid en kontrollerad reproduktion. Kommandot startar installationsprogrammet igen, aktiverar shell-felsökning och behåller den tillfälliga installationskatalogen.

sudo OVERRIDE_INSTALLER_CLEANUP=1 \
  DEBUG_THIN_INSTALLER=1 \
  bash -x ./SophosSetup.sh 2>&1 | tee install.log

OVERRIDE_INSTALLER_CLEANUP=1 behåller den tillfälliga katalogen /tmp/SophosCentralInstall_<uuid>. Loggarna kan innehålla värdnamn, interna sökvägar och nätverksdetaljer och ska granskas innan de delas.

/tmp är monterad med noexec

Lätta inte permanent på skyddet för /tmp. Skapa en lämplig körbar tillfällig sökväg och ange den med TMPDIR endast för installationsprogrammet:

sudo TMPDIR=/var/tmp ./SophosSetup.sh --test
sudo TMPDIR=/var/tmp ./SophosSetup.sh

TMPDIR ändrar endast den tillfälliga lagringsplatsen, inte standardmålet /opt/sophos-spl.

Enheten visas inte i Sophos Fusion

Kontrollera först DNS, TCP 443, proxy, TLS Inspection och den aktuella listan över tillåtna domäner. Sök därefter efter den valda anslutningsvägen och en lyckad anslutning i den MCS-/hanteringslogg som hör till installerad version: /opt/sophos-spl/logs/base/sophosspl/management.log eller, för LTS-paket, eventuellt de äldre loggarna mcsrouter.log och sophos_managementagent.log. Kontrollera loggnamn och sökväg i det installerade paketet. Sophos visar exempel som Successful connection via environment proxy och Connection method: Proxy i aktuella management.log.

Om en ännu inte hanterad Linux-enhet inte kan hämta Centrals proxykonfiguration dokumenterar Sophos en fil med http_proxy=https://<PROXY_ADDRESS>:<PROXY_PORT> som bootstrap-lösning: /etc/default/sophos-spl på Debian-baserade system och /etc/sysconfig/sophos-spl på RHEL, CentOS och Amazon Linux. Kör därefter:

sudo systemctl restart sophos-spl
sudo systemctl status sophos-spl

Kontrollera sedan den MCS-/hanteringslogg som hör till installerad version (för LTS eventuellt mcsrouter.log och sophos_managementagent.log).

Fullständigt skydd mot skadlig programvara är installerat men Real-Time Scanning fungerar inte

Endast om produkten antivirus är installerad: öppna den verksamma Threat Protection Policy under My Products > Server > Policies. Både Real-time scanning - Local files and network shares och Enable scan for Server Protection for Linux Agent måste vara aktiverade. För diagnos anger Sophos de lokala policyfilerna /opt/sophos-spl/base/mcs/policy/CORC_policy.xml och /opt/sophos-spl/plugins/av/var/on_access_policy.json samt loggen /opt/sophos-spl/plugins/av/log/soapd.log. För en ren XDR Sensor är detta inte ett felsymtom; dess skydd mot skadlig programvara måste komma från tredje part.

Anpassad installationssökväg misslyckas med SELinux Enforcing

Kringgå inte felet med --notest eller genom att inaktivera SELinux globalt. Den nya baskatalogen får inte vara en symbolisk länk och får inte redan innehålla underkatalogen sophos-spl. Skapa katalogen och överför sedan SELinux-kontexten från /opt till den nya sökvägen:

sudo semanage fcontext -a -e /opt <PFAD_ZUM_NEUEN_INSTALLATIONSVERZEICHNIS>

Starta därefter installationsprogrammet med den kontrollerade parametern --install-dir. Om semanage saknas installerar du först det SELinux-administrationspaket som gäller för distributionen. Inaktivera inte säkerhetskontrollen.

Ett AV-genomsökningsmål genomsöks inte eller processer avslutas

Endast om produkten antivirus är installerad: kontrollera först typ och monteringspunkt för ett uteblivet genomsökningsmål med findmnt -rn -o TARGET,FSTYPE. Sök efter is not supported and will be excluded from scanning i /opt/sophos-spl/plugins/av/log/soapd.log. Tvinga inte ett automatiskt undantaget eller odokumenterat filsystem med --notest; håll målet utanför genomsökningen tills en typ som för närvarande stöds används eller Sophos Support bekräftar den konkreta konfigurationen.

Vid oväntade processavslut kontrolleras först /opt/sophos-spl/logs/base/watchdog.log och därefter kerneljournalen:

sudo journalctl -k -b

Spara meddelanden om oom-kill, Memory cgroup out of memory eller avvisade värden tillsammans med gällande cgroup-limits.conf och belastningen vid tidpunkten. Ändra inte tal på måfå: för generösa SPL-gränser kan tränga undan programmet och för snäva gränser kan avsluta skyddsprocesser. Gör ändringar i ett underhållsfönster enligt den lokala README-filen; Sophos kräver att sophos-spl.service stoppas före redigering och startas efteråt. Kontrollera sedan tjänstens status, watchdog.log, journalen, Central-statusen och det verksamhetskritiska programmet igen.

Kloner delar identitet eller mallen visas igen

Stoppa distributionen. Kontrollera att masterdatorn verkligen stängdes av direkt efter registerCentral --deregister och att avbildningen sparades i avstängt tillstånd. Om den startades igen ska den avregistreras på nytt före lagring. Använd inte felaktiga kloner som nästa mall, utan skapa dem på nytt från ett korrekt förberett Gold Image.

Vanliga frågor