Diagnostisera Sophos Endpoint med Self Help och SDU

Ett Endpoint-problem löses inte genom planlösa ominstallationer. Fastställ först om skyddskomponenter, Central-kommunikation, Update, Policy, operativsystem eller nätverk berörs. Endpoint Self Help visar lokala tillstånd och första orsaker. Sophos Diagnostic Utility, SDU, samlar därefter tekniska Logs.

Onboardingflödet för Endpoint beskriver hela driftsättningen, från planering till överlämning till förvaltning.

Snabbt arbetsflöde för tillförlitlig diagnos

1. Notera symptom, påverkan, feltid med tidszon och ett reproducerbart test.
2. Öppna Endpoint Self Help och kontrollera berört område samt Network Test.
3. Aktivera bara den extra diagnostik som hör till felet och reproducera det inom överenskommet tidsfönster.
4. Återställ eller stoppa därefter Debug Logging och Packet Capture och samla ett SDU från samma tidsfönster.
5. Överför paketet säkert och koppla det till ärendet med den egna logganalysen och visat SDU-filnamn.

Statuskontroll, reproduktion och bevisinsamling hålls därmed tidsmässigt samman. Starta inte reparationer eller breda undantag förrän observationen har sparats.

Före logginsamlingen

Före varje diagnos dokumenteras synliga symptom:

• berörd dator, operativsystem och tidpunkt,
• lokalt felmeddelande eller screenshot,
• Central Health, Last Active, Agent Mode och effektiva Policies,
• senaste installation, Update eller Policy-ändring,
• reproducerbart test och förväntat beteende.

Uppgifterna är ofta viktigare än ett mycket stort Log Archive utan tidsreferens.

Öppna Endpoint Self Help

ESH stöder Sophos Fusion (tidigare Sophos Central) Windows Endpoint och Windows Server. I det lokala Sophos Endpoint-gränssnittet väljs About längst ned till höger och därefter Open Endpoint Self Help Tool. Verktyget kan även öppnas direkt från C:\Program Files\Sophos\Endpoint Self Help och visar status för viktiga komponenter, kommunikation och skyddstjänster. Synliga sidor beror på licens, installerade komponenter och agent-/plattformsgeneration; äldre Windows-versioner visar färre statusuppgifter och funktioner.

Med Core Agent 2026.3.0.2090 slås Endpoint UI och Self Help på Windows 10 64-bit och senare samman till en komponent, Sophos Endpoint UI. Release Notes anger denna version för oktober 2026 och beskriver en stegvis distribution. Kontrollera därför faktiskt installerad agent- och komponentversion före en komponentreparation: Att ett separat Self Help-paket saknas bevisar från denna generation inte i sig ett installationsfel. Sammanslagningen bevisar ingen ändring av startsökvägen ovan; kontrollera den tillgängliga starten i det installerade paketet i stället för att anta en ny menyväg. Kontrollerat: 24 oktober 2026.

På moderna plattformar stängs ESH från Core Agent 2024.2 efter två timmar utan interaktion och varnar fem minuter före. Från 2024.3 kontrolleras Known Issues automatiskt vid start. Aktuella agenter skiljer System, Services och Update åt; äldre versioner kan gruppera eller utelämna vyer. Därför ska agentversionen anges för varje skärmbild.

Self Help passar frågor som:

• Körs den förväntade komponenten?
• Är en Service stoppad eller felaktig?
• Når agenten Central och uppdateringsinfrastrukturen?
• Finns ett känt lokalt konfigurations- eller behörighetsfel?

En röd Check dokumenteras med namn, status, detaljtext och tidpunkt. Före reparation kontrolleras om orsaken skulle återskapas av en Central Policy eller nätverksblockering.

Om SophosDiag.exe kraschar direkt när det öppnas och Windows Application Event Log anger en skadad användarspecifik user.config, tas endast den fil som nämns i felet bort från den berörda användarprofilen. Automatisera inte borttagning av den versionsberoende överordnade mappen som en fast sökväg. Öppna sedan Self Help igen. Om felet kvarstår samlas ett SDU in eller den installerade komponenten repareras.

Använd Self Help-sidorna målinriktat

De enskilda sidorna besvarar olika frågor och ska inte läsas som en allmän trafikljusindikator:

En Policy Update kan ta upp till fem minuter. Om Override Sophos Central Policy for up to 4 hours är aktivt lokalt buffras nya Central Policies och tillämpas först när Override avslutas. En gammal Policy Time bevisar då inte ett kommunikationsfel.

Under Components jämförs installerade, hämtade och förväntade modulversioner. Kontrollera först Not installed, olika download- och installationstillstånd eller flera versioner mot Update Status, en väntande omstart och konkurrerande säkerhetsprogram. Radera inte lokalt Repository i förebyggande syfte. Under System kan en kvarstående Pending Restart komma från Windows Update. Efter ändringar av hårdvara eller säkerhetsprogram läses Software Status in på nytt med Endpoint CLI innan en reparation startas.

Normalt når Central Actions enheten inom några sekunder eller minuter. Last Active uppdateras däremot högst ungefär en gång per timme. För en User Policy kan bytet ta längre tid eftersom Central-användaren, det lokalt inloggade kontot och den interaktiva session som MCS Client registrerar först måste stämma överens.

Tolka Network Test korrekt

Network Test kontrollerar kanalerna Updating, Management Communication och Sophos Extensible List (SXL). För varje mål försöker verktyget först med HTTPS och därefter, beroende på resultatet, ICMP och DNS Resolution. En lyckad HTTPS-anslutning är avgörande för funktionen. Enbart Ping eller nslookup bevisar därför inte fungerande Central-kommunikation.

Network Test är den första kontrollen vid dålig Update- eller Communication-status, Live Discover/Response som verkar vara offline samt problem med Real-Time Scanning, Web Control eller SXL. Det visar vilket steg som misslyckas men fastställer inte orsaken i brandvägg, proxy eller DNS. På Windows 7/8/8.1 och Server 2008 R2/2012 kan HTTPS-testet mot sdds3.sophosupd.net misslyckas eftersom operativsystemet saknar nödvändiga chiffersviter.

För Update Cache eller Message Relay kontrollerar Self Help endast DNS Resolution för tilldelad Server. Ett grönt DNS-test bekräftar varken Service Status, Port eller Forwarding. Själva Cache- eller Relay-funktionen kontrolleras separat.

Två begränsningar är särskilt viktiga:

• Efter ändrad Cache- eller Relay-tilldelning måste Endpoint Self Help stängas och öppnas på nytt, annars kan Network Test fortfarande använda det gamla målet.
• Authenticated Proxies stöds inte av Network Test och kan ge missvisande resultat.

SXL-tester kräver administrativ UAC Elevation. Om enheten använder Message Relay kör Self Help inte SXL-testet direkt eftersom trafiken går via Relay.

Om kommunikationen fortfarande är felaktig jämförs de Broker Addresses som Self Help visar med lokal MCS Configuration. Dessutom kontrolleras Routing, Windows Hosts File, Proxy och Firewall Log. Efter en korrigering kan Sophos MCS Client startas om och Self Help uppdateras. Browser Access till Central ersätter inte kontrollen.

Update-fel utan förhastad Cache-radering

En misslyckad uppdatering inom Sophos respitperiod kan vara tillfällig. Kontrollera först Update Now, nätverk, Proxy, Update Source och tidpunkten för senaste lyckade Update. Om dessa kontroller inte visar någon orsak ska följande diagnostikunderlag först säkras för Sophos Support.

Vid ett reproducerbart fel korreleras SophosUpdate.log med samtidig Packet Capture samt Firewall- eller Proxy Logs. Avgörande är DNS Response, faktiskt kontaktad Update Server, direkt eller proxied väg och det första HTTP- eller TLS-felet. De viktigaste Windows-loggsökvägarna finns i Utvärdera Sophos Endpoint Windows-loggar och tjänster korrekt.

Diagnostiken slutar här; ändra inte cache- och repositorymappar på grund av en misstanke. En cacheåterställning kräver fullständiga instruktioner från Sophos Support som passar agentversionen och symtomen, med exakta sökvägar, ordningsföljd och återställningsförfarande.

Åtgärden kräver administratörsrättigheter och tillfälligt inaktiverad Tamper Protection; den skapar ett Pending Restart Alert. Säkra de berörda mapparna eller byt namn på dem enligt dessa instruktioner; radera dem inte okontrollerat. Efter åtgärden måste en fullständig uppdatering lyckas och Self Help åter visa frisk status efter Refresh.

Aktivera slutligen Tamper Protection igen och kontrollera den aktiva skyddsstatusen både lokalt och i Sophos Fusion. Så länge förfarandet eller återställningsvägen saknas ska arbetet stanna vid diagnostikresultaten.

Performance Analysis

Sedan Core Agent 2024.3 kan ESH på Windows 10 x64 eller senare och Windows Server 2016 eller senare läsa scanner-sammanfattningar. Indata är resultat från ett Product Analysis-flöde eller filer som skapats via SFS > Scan Summaries i Product Logging; de kan komma från denna eller en annan ESH-enhet. CSV-filerna finns normalt under:

C:\ProgramData\Sophos\Sophos File Scanner\Logs\summary.<TIMESTAMP>.csv

De kan analyseras med Endpoint Self Help på en annan enhet. Filen visar vilka processer och sökvägar som skapade Scan Load under det loggade tidsfönstret. Det motiverar ännu inget generellt undantag. Först kontrolleras program, åtkomstmönster och det smalaste tekniskt rimliga undantaget.

Vid analysen jämförs först mappar med lång sammanlagd Scan Time, därefter mycket ofta kontrollerade sökvägar och sist stora datamängder. En ofta skannad sökväg behöver inte vara den med högst total varaktighet. Om Self Help varnar för en alltför bred Exclusion får den bara användas kort för att bekräfta orsaken. En permanent lösning begränsas till den undermapp eller process som faktiskt skapar belastningen.

Product Analysis går längre och stänger av och aktiverar skyddsfunktioner under vägledning för att avgränsa den berörda komponenten. Administratörsrättigheter krävs och vid aktiv Tamper Protection även lösenordet. Kör den endast på en kontrollerad testenhet eller i ett underhållsfönster. Dokumentera Protection Status och Update Status före start, spara resultatet och återställ sedan alla funktioner och Updates. Verktyget ger en hypotes, inte automatiskt godkännande för en Exclusion.

File Info i stället för gissningar

Under Tools > File Info kan en Windows PE-fil bedömas lokalt. Self Help visar SHA-256, storlek, Application Control-kategori, produkt och Policy Decision. Local Reputation omfattar Sophos-data och egna Allowed Applications eller Blocked Items och kan därför skilja sig från Global Reputation och åsidosätta den för lokalt beslut.

Deep Learning kräver lämplig Intercept X-licens. Ett grönt resultat bevisar inte att redan detekterad malware är ofarlig; detekterade Malware- eller PUA-filer kan normalt inte dras in på sidan. Vid felklassificering sparas Hash, Signature, lokal och global Lookup Type och konkret Policy Decision, därefter används Sample Submission.

File Info ger fullständigast information för Windows PE-filer; andra filtyper ger endast begränsade uppgifter. Efter Run as administrator kan Windows blockera drag-and-drop från en process med lägre behörighet; använd då browse for a file. Rykte och policyresultat garanterar inte integritet. När förtroendet är avgörande används den godkända sample-analysen.

Fördjupa status för Policy, Services och Operations

Om Policy visar gamla timestamps skiljs mottagning från lokal bearbetning. Kontrollera McsClient.log för Connection och Backoff och McsAgent.log för Policy-, Namespace- och Status Errors. I MCS Cache visar Active.policy och Latest.policy om en ny Policy kommit men inte blivit aktiv. Starta om tjänsterna först efter att observationen säkrats och bekräfta sedan övergången i loggen.

Inte varje blå eller tom symbol i Operations är ett fel. Skilj inaktiverad Data Lake, avsiktligt undantagen enhet eller nådd daglig gräns från en defekt Live Query Service. Vid dålig Data Lake Status kontrolleras först SophosLiveQueryService.log, SophosOsquery.log och Service State.

Heartbeat visar Readiness, Certificate State och anslutning till Sophos Firewall. configured, no connection currently available bevisar inte ensamt Endpoint-fel och Heartbeat påverkar inte allmän Device Health. Vid förväntad anslutning korreleras loggar efter tid och Device ID. Registry- eller Certificate Repairs från Advanced Self Help kräver Backup, inaktiverad Tamper Protection och dokumenterad rollback.

Starta SDU via gränssnittet

Öppna Launch SDU i ESH, acceptera EULA och välj Start. Verktyget samlar systeminformation och Sophos-produktloggar. Därefter visar View log insamlingen, Open folder öppnar sdu.log och arkiven, och Submit erbjuder uppladdning eller manuell överföring till ärendet. Under Windows sparar sducli.exe utan insamlingsalternativ till C:\WINDOWS\Temp\sdu-YYYYMMDD_xxxxxx_xxxxxx. För Upload to Sophos måste sdu-feedback.sophos.com kunna nås över TCP 443. Den avsiktligt icke öppningsbara uppladdnings-URL:en kopieras till ärendet och finns även i slutet av sdu.log.

Arkivet kan innehålla hostnames, användarnamn, sökvägar, IP-adresser, processlistor, konfigurationer och Events. Det hör därför inte hemma i offentliga tickets, oskyddade File Shares eller chattar.

En Windows-, macOS- eller Linux-enhet kan även diagnostiseras från Central: Öppna My Environment > Computers & Servers, välj enheten och sedan Summary > More actions > Diagnose > Run. Arkivet skickas direkt till Sophos. SDU-fältet visar Status, Last Run och File Name; filnamnet ska anges i supportärendet. Uppladdningen använder HTTPS 443 via den vanliga tillåtna Sophos-domänvägen. Åtgärden och administratören visas under Reports > General Logs > Audit Logs.

Om enheten är offline behåller Central uppdraget i högst 14 dagar. Därefter kasseras det och måste startas igen. Kommandot börjar vid nästa Central Communication, så tidpunkt, dataskyddsgodkännande och förväntad anslutning måste klarläggas i förväg.

Product Logging och Packet Capture

Product Logging höjer loggnivån för valda komponenter och kräver UAC-förhöjning. Aktivera endast den misstänkta komponenten under ett reproducerbart tidsfönster och spara loggarna med start, slut och teststeg. En inställning på parent-nivå gäller för alla children; en stjärna vid parent markerar endast värden som avviker på child-nivå. Save tillämpar väntande nivåer, medan Revert… endast förkastar dem före sparandet. En redan tillämpad nivå återställs med Default på ändrad parent/child och därefter Save. Vid stängning återställer Revert to Default nivåerna, medan Just Close lämnar debug-loggningen aktiv. Att bara stänga ESH stoppar den alltså inte. Permanent debug-loggning kan skapa känsligt innehåll och stora datamängder.

Packet Capture använder Windows pktmon, kräver UAC-förhöjning och saknas före Windows 10 1809 samt på Windows Server 2016 eller äldre. Standardgränsen är 512 MB och kan ställas in mellan 1 och 9999 MB för att begränsa diskutrymmet; Windows 10-builds före 2004 är begränsade till 512 MB. Varje körning skapar capture-<date><time>.etl och capture-<date><time>.pcapng under C:\ProgramData\Sophos\Endpoint Self Help\PacketCapture; båda filerna ska lämnas in. När ESH stängs stoppas inspelningen. Filerna rensas inte automatiskt utan ska tas bort manuellt efter den godkända lagringstiden.

Om Self Help inte kan höja Logging, Packet Capture eller SDU kontrolleras först UAC. Helt inaktiverad UAC eller blockerade prompts kan hindra funktionen. Att återställa Microsoft-standard är bättre än permanent körning via inbyggt Administrator-konto.

SDU under Windows via kommandorad

Windows-versionen finns normalt under:

C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe

En PowerShell med administratörsrättigheter visar den integrerade hjälpen med:

& "C:\Program Files\Sophos\Sophos Diagnostic Utility\sducli.exe" -help

Viktiga parametrar är:

Utmatningen från lokalt installerad -help är styrande för den aktuella Agent-versionen. Automatiserade insamlingar får lagringsgräns, säkert mål och raderingsfrist.

SDU under macOS via kommandorad

På en Mac startas SDU från programpaketet:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --help

--help visar bara tillgängliga kommandon och samlar inte in diagnostik. Det körbara insamlingskommandot är:

/Library/Sophos\ Anti-Virus/Tools/Sophos\ Diagnostic\ Utility.app/Contents/MacOS/Sophos\ Diagnostic\ Utility --cli

Med --output_path="<path>" anges målet för utmatningen; annars används aktuell katalog. Alternativen gäller macOS Agent 2026.1 och senare. Processen behöver de behörigheter som krävs för de data som ska samlas. Saknade Full Disk Access- eller System Extension-behörigheter kontrolleras dessutom via diagnosen för macOS-behörigheter.

SDU under Linux via kommandorad

På en enhet som skyddas av Sophos Protection for Linux körs det installerade diagnosverktyget så här:

/opt/sophos-spl/bin/sophos_diagnose

Det skapar ett tar.gz-arkiv i aktuell arbetskatalog och samlar loggar från SPL-agenten, alla plugins och Audit Log. Skapa en privat katalog för ett kontrollerat mål och ange den som första positionsargument:

mkdir -p "$HOME/sophos-sdu"
chmod 700 "$HOME/sophos-sdu"
/opt/sophos-spl/bin/sophos_diagnose "$HOME/sophos-sdu"

Det sista argumentet är en katalog, inte ett arkivnamn; den resulterande tar.gz-filen skapas där. Detta bevarar leverantörens syntax utan att använda en delad temporär mapp.

Bedöm Forensic Mode korrekt

SDU kan skapa särskilda Forensic Logs. Läget är avsett för Sophos Incident Response eller en riktad forensisk undersökning. Det ersätter inte en fullständig Enterprise Forensics-process och aktiveras inte permanent utan definierat uppdrag.

Vid möjlig kompromettering gäller ytterligare regler:

• starta inte om eller rensa enheten för tidigt,
• dokumentera tidskälla och tidszon,
• skriv endast evidens till ett kontrollerat mål,
• logga hash, överlämning och åtkomst till arkivet,
• involvera ansvariga för Incident Response.

Visa konfiguration och Software Status via CLI

Lokal Endpoint CLI kan visa Policy- och Software States. Output configuration visar vilka inställningar som har nått enheten. Software Monitor visar status för installerade komponenter och kan uppdatera deras status.

Utmatningen hjälper vid tre vanliga motsägelser:

1. Central visar en Policy som tilldelad men inställningen saknas lokalt.
2. Agent Mode är korrekt men en komponent är inte installerad eller frisk.
3. En uppdatering har aviserats men Software Monitor stannar i ett felaktigt tillstånd.

Den lokalt tillgängliga hjälpen kontrolleras före användning eftersom kommandon och parametrar kan bero på installerad Agent-version.

Utvärdera Logs riktat

Alla Logs läses inte fullständigt. Börja med ett snävt tidsfönster och sök efter det första felet, inte bara följdfelen. Särskilt användbara är:

• Installer- och Update Logs vid Rollout-problem,
• MCS eller Management Communication vid saknad Central-kontakt,
• Health- och Component Logs vid röd status,
• Web-, DLP-, Application- eller Peripheral Events vid Policy-problem,
• operativsystemets händelseloggar kring tjänstestarter, drivrutiner och certifikat.

Ett enskilt error är ännu ingen orsak. Tidsmässig korrelation, komponent och reproducerbart beteende avgör.

Förbered Support Package

Ett bra Support Package innehåller:

1. kort problembeskrivning och påverkan,
2. exakt tidpunkt med tidszon,
3. berörda och opåverkade jämförelseenheter,
4. steg för reproduktion,
5. relevanta Central-skärmbilder utan hemligheter,
6. SDU-arkiv och vid behov installationsloggar,
7. redan testade åtgärder och resultat.

Tamper Protection-lösenord, API-hemligheter, proxylösenord och installationstoken bifogas aldrig i klartext.

Uppfyll Minimum Escalation Requirements

Sophos har delat upp kraven för eskalering av Windows Endpoint-support efter felklass. Ett SDU utan egen analys uppfyller inte dessa Minimum Escalation Requirements, MER.

För varje ärende registreras först plattform och produktversion, berörd komponent, omfattning, frekvens, reproducerbarhet, ändringar före problemet och exakta felmeddelanden. Loggarna måste vara fullständiga, innehålla tidpunkten för felet och vara tidsmässigt synkroniserade vid Client Server-problem.

Därefter tillkommer scenariospecifika data:

Vid ett Performance-fall avgörs först om SophosFileScanner.exe, SEDService.exe, SSPService.exe, en annan Sophos-process eller den allmänna systembelastningen är avvikande. Ett globalt inaktiverat skydd ger ingen tillförlitlig orsak utan samtidig mätning och exakt komponenttilldelning.

Ett Support Case innehåller inte bara insamlade filer utan även resultatet av den egna analysen: Vilken Log visar det första relevanta felet, vid vilken tidpunkt och vilken hypotes bekräftades eller avfärdades?

Kontrollera dessutom under Account Preferences > Evaluation Modes om Aggressive threat detection är aktivt. Detta diagnosalternativ för Sophos Support och SophosLabs ökar systembelastningen tydligt och är ingen säkerhetsbaseline för produktion. Om det är aktivt dokumenteras syftet och alternativet stängs av efter planerad mätning. Om problemet kvarstår fortsätter det som ett separat Performance Case med nytt tidsfönster.

Vid Exploit-, Ransomware- eller HitmanPro.Alert-fall kontrolleras även om Sophos erbjuder en Endpoint Maintenance Release med en relevant korrigering. Skapa Crash Dump eller fullständig Memory Dump efter reproduktion och före SDU så att artefakterna kommer från samma tidsfönster. Byt inte namn på skydds-DLL:er eller drivrutiner utan en aktuell Sophos-rutin.

Vanliga frågor