Shunze 學園 - 《分享》Sophos Central測試記錄

Shunze 學園 >資訊設備專區 >Sophos XG > 《分享》Sophos Central測試記錄

哈囉，還沒有註冊或者登入。請你[註冊|登入]

顯示成列印模式 | 增加到我的最愛

作者

主題 12»

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》Sophos Central測試記錄

也許你不相信，順子的電腦其實是沒有安裝防毒軟體的...
但為了配合Sophos XG的銷售，不得不接觸能與之搭配的Sophos自家防毒軟體-Sophos Central。

以下就實際測試結果，做個操作記錄。

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 14:57

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》帳號申請與軟體安裝

申請Sophos Central帳號
申請Sophos Central帳號，請到 Sophos Central 網站申請一個30天試用版的帳號。
申請的email帳號務必正確，這樣才能透過郵件啟用帳號。
帳號成功申請後，請登入 Sophos Central 進行操作。
前端電腦安裝Sophos Central
登入Sophos Central後，可在 Configure / Protect Devices 中依前端電腦類型來下載對應的軟體來進行安裝。

另外也可以透過email的方式，寄送軟體的下載連結，讓使用者自行下載安裝。
(前提是前端使用者有系統管理員權限，可自行安裝。)

可依需求勾選要email的軟體種類。

Computer的email下載連結信件範例。

行動裝置的email下載連結信件範例。

安裝檔下載後，就可以依照指示進行安裝了～

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 15:00

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》透過AD大量部署安裝

若是一兩台電腦那還好處理，但若是公司行號，總不能叫MIS一台一台裝吧？
在這種情境下可以透過AD來進行前端user電腦的大量部署。

要透過AD來部署，請先下載Windows Installer - SophosInstall.exe 備用，
然後到AD中的群組原則，進行網域電腦啟動時的指令碼編寫，讓電腦啟動時即進行Sophos Endpoint的安裝。

基本上，透過指令碼來安裝可在user登入時進行或電腦開機時進行；
但在user登入時進行，該user需具有系統管理員權限才能進行安裝，
所以我們選擇在電腦開機時進行安裝，以避免安裝時的權限問題。

於啟動的指示碼中，按下顯示檔案。

然後把安裝script建立於此路徑中，檔名就叫做EndPoint_install.bat。

該script內容如下，

@echo off
SET MCS_ENDPOINT=Sophos\Management Communications System\Endpoint\McsClient.exe
IF "%PROCESSOR_ARCHITECTURE%" == "x86" GOTO X86_PROG
IF NOT EXIST "%ProgramFiles(x86)%\%MCS_ENDPOINT%" GOTO INSTALL
exit /b 0

:X86_PROG
IF NOT EXIST "%ProgramFiles%\%MCS_ENDPOINT%" GOTO INSTALL
exit /b 0

:INSTALL
pushd \\172.16.16.1\netlogon
SophosInstall.exe -q
Popd

↑其中\\172.16.16.1\netlogon為SophosInstall.exe安裝檔所放置的路徑。

然後新增一個指令碼，指向剛才建立的script。

這樣指令碼的設定就好了。

完成後，AD主機上的設定就已經結束了～
等前端電腦的網域原則同步後(或下gpupdate /force指令來強迫同步)，
重開機時，Sophos就會在背景偷偷安裝EndPoint。

登入電腦，也可發現有一個Sophos圖示出現在常駐列中。

給它一點時間進行同步，完成後Sophos的圖示會變成以下這個樣子，代表安裝完成。

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 15:10

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》更新安裝檔pattern，以減輕大量部署造成的頻寬問題

在大量部署時，雖然可以透過AD網域的開機指令碼在背景逐一安裝，以減輕IT人員的負擔。

但這樣又衍生出一個問題，
環境中一次幾十台，甚至是幾百台的安裝後更新，不就把對外頻寬吃光光了？
畢竟Sophos Central是雲端版，只能向外對Sophos主機來進行更新...

關於這問題Sophos提供了兩種解決方案，
一個是治標的，製作一個已下載最新樣本的離線安裝檔，以減少對外的更新量；
另一個是治本的，在內部建立一台Cache主機，內部所有Endpoint的更新均指向這台Cache主機。

Cache主機的需求如下，

Windows 2008 and later
x64
At least 5GB free disk space
TCP Port 8191 is available and accessible to computers that will update from the cache
Windows Firewall service must be started

Note: It is recommended to use servers that have a multi-core processor.

除此之外，Cache主機是需要一套Sophos Central Server Protection授權的(也就是要錢的)，
所以順子沒法測試...
以下將以Win7為操作平台，進行順子能測的離線安裝檔的操作演練。

準備必要的三個檔案
1. Sophos Pattern樣本檔
  上述已經說了，離線安裝檔之所以能減輕對外的頻寬需求，
  就是因為它裏面已包含最新的pattern，因此可以減少對外的下載。
  
  所以製作離線安裝檔的第一步，就是到一台已經更新到最新的電腦中將pattern取出來供其它電腦使用。
  Win7中Sophos的pattern放置路徑如下，
  
  C:\ProgramData\Sophos\AutoUpdate\Data\
  
  把路徑下的Warehouse資料夾壓縮備用，這是第一個需求檔。
2. Sophos Endpoint安裝檔
  有了樣本檔後，第二檔案自然就是Sophos Central Endpoint安裝檔本身。
  請到Sophos Central中進行下載安裝檔 - SophosInstall.exe。
3. Sophos安裝腳本檔
  最後就是安裝腳本檔，請建立一個如下內容的腳本檔，並存檔為 SophosInstall.vbs 備用。
  *腳本內容中的Application字串會造成討論區的錯誤，所以順子用Applicatiom來取代，請自行改回Application喔！
  
  'Script to install Sophos Cloud software using an archive of a warehouse to save initial bandwidth
  option explicit
  
  on error resume next
  
  'Constants
  const ALL_USERS_APPLICATION_DATA = &H23&
  
  'Global objects
  dim objFSO : set objFSO = CreateObject("Scripting.FileSystemObject")
  dim objShell : set objShell = CreateObject("WScript.Shell")
  dim objShellApp : set objShellApp = CreateObject("Shell.Applicatiom")
  
  'Global variables
  dim strWarehouseDirectory : strWarehouseDirectory = ""
  dim strApplicatiomData : strApplicatiomData = ""
  dim strWarehouseLocation : strWarehouseLocation = "\Sophos\AutoUpdate\data\"
  dim strSourceFile : strSourceFile = objFSO.GetAbsolutePathName(".") & "\warehouse.zip"
  dim strCommandToInstall : strCommandToInstall = "SophosInstall.exe -q"
  
  'Get future "Warehouse" location
  strApplicatiomData = GetAppData()
  
  if strApplicatiomData <> "-1" then
      strWarehouseDirectory = strApplicatiomData & strWarehouseLocation
  else
      'Failed to get valid applicatiom data directory.
      wscript.quit(1)
  end if
  
  'Unpack warehouse archive to directory
  Unpack strSourceFile, strWarehouseDirectory
  
  'Run the command to install Sophos Cloud endpoint software
  objShell.run strCommandToInstall, 10, true
  
  'Tidy up
  set objFSO = nothing
  set objShell = nothing
  set objShellApp = nothing
  
  'Functions ----------------------------------------------------------------------------
  '--------------------------------------------------------------------------------------
  Function GetAppData()
  
      dim objFolder : set objFolder = objShellApp.Namespace(ALL_USERS_APPLICATION_DATA)
      dim objFolderItem : set objFolderItem = objFolder.Self
  
      dim strPath : strPath = objFolderItem.Path
  
      if strPath = "" then
          GetAppData = "-1"
      else
          GetAppData = strPath
      end if
  
      set objFolder = nothing
      set objFolderItem = nothing
  
  End Function
  '--------------------------------------------------------------------------------------
  
  '--------------------------------------------------------------------------------------
  Function Unpack(strSourceFile, strLocation)
  
      if not objFSO.FolderExists(strLocation) Then
       CreateFolderStructure(strLocation)
      end If
  
      dim objFiles : set objFiles = objShellApp.NameSpace(strSourceFile).items
      objShellApp.NameSpace(strLocation).CopyHere objFiles, 4
  
      set objFiles = nothing
  
  End Function
  '--------------------------------------------------------------------------------------
  
  '--------------------------------------------------------------------------------------
  Function CreateFolderStructure(strDirs)
  
      if not objFSO.FolderExists(strDirs) then
          CreateFolderStructure objFSO.GetParentFolderName(strDirs)
          objFSO.CreateFolder strDirs
      end if
  
  End Function
  '--------------------------------------------------------------------------------------
三個檔案準備好後，準備進行下一個步驟～
建立自解壓縮安裝檔
三個必要檔案備齊後，接下來就要用Win7中已內建的封裝程式 - iexpress.exe 來建立自解壓縮安裝檔。

↑開啟時，請以系統管理員身份來執行喔～

然後按以下方式逐一進行。

↑Title名稱請自訂，例如Sophos Cloud Full Installer。

↑由於是背景安裝，所以不要提示。

↑在這邊把上個步驟的三個檔案加進去！

↑Install program請輸入 cscript.exe //b //nologo SophosInstall.vbs。

↑由於是背景安裝，所以不要顯示Windows視窗。

↑Package Name and Options請輸入 C:\windows\temp\SophosInstallFull.exe，做為安裝時的解壓路徑，
然後下方兩個checkbox要勾選。

↑No restart，安裝完成後不要重開機。

↑選擇 Save SED 檔案。

↑封裝的進行需要一點時間。

完成後，可在C:\Windows\Temp路徑中找到剛才建立的檔案，檔案有251M，比原來17M單純的安裝檔太的多了～

自解壓縮安裝檔完成後，就可以放到AD主機中進行開機script的部署，
離線安裝檔的操作示範到此完成～

參考資料
Creating a 'Full' Sophos Cloud Windows i...dth utilization
Using a caching proxy server with Sophos Cloud
Sophos Central Update Caches Frequently ...Questions (FAQ)

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 15:12

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》同步AD上的帳號

Sophos Central的Policy是以人(群組)來對電腦進行管理，
除了預設的Base Policy外，管理者自行建立的policy都可以指定該policy所套用的對象。

在透過AD進行大量部署後，如何把AD上的使用者/群組匯入Sophos Central以進行Policy的對應配置呢？
Sophos Central提供了一個單向的同步工具 AD Sync Utility，
進行AD到Sophos Central的單向同步工作。

AD Sync Utility 請在 MANAGE PROTECTION > People > USERS 中下載。

然後點選AD Sync download Installer連結，下載此軟體。

在AD主機上安裝該軟體時，請注意必需有.Net Framework 4.5.2以上的環境，
若沒有，請先下載進行安裝吧！

安裝完成後，執行該軟體進行環境配置。
在第一頁的頁面中，有提示該軟體為AD到Sophos Central的單向同步工作，
且可依排程或手動進行同步。

第二頁，請輸入Sophos Central的帳號資訊。

第三頁，請輸入AD的相關資訊。

若以上輸入的AD相關資訊都正確的話，在第四頁就可以顯示AD domain的資訊了。
這邊可以選擇要匯入整個domain或個別的domain。

第五頁可設定AD Filters，維持預設即可。

最後一頁可設定排程，然後按下右下角Finished按鈕結束設定。

組態設好後，回到 AD Sync Utility 頁面，按下Preview and Sync按鈕，進行手動同步。

完成後會列出預覽結果，確認沒問題，可按下Approve Change and Continue按鈕進行同步。

同步後會顯示操作結果。

回到Sophos Central會發現AD上的user與group已同步完成～

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 15:52

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》安裝時，是否會移除其它防毒軟體？

會的，在安裝軟體的選擇上，有明確說明會移除其它防毒軟體。

不過真正能被Sophos Central移除的軟體還是有限制，
並不是所有防毒軟體都能被Sophos Central所移除。

↑例如新版的小紅傘就無法被移除。

第三方防毒軟體的支援列表請參考如下KB。
List of third-party security software re...ity and Control

台灣原廠表示，若既有的防毒軟體不在支援清單中，可以透過手動編寫的方式來進行，KB如下。
Sophos Competitor Removal Tool: signific...and information

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 16:10

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》如何移除Sophos Central？

Sophos Central裏有Tamper Protection防竄改的保護機制在，
所以要移除，並沒有那麼簡單...

正規的做法是到Sophos Central中，找到被管理的電腦，

然後按下下方Disable Tamper Protection的連結，

關閉Tamper Protection後，該電腦才能在控制台中的新增/移除程式中移除Sophos Central。

若無法登入Sophos Central停用Tamper Protection，又該如何移除？

在無法停用Tamper Protection的情況下，要移除Sophos Central需在安全模式下進行。

重開電腦，按F8進入安全模式後，於執行中呼叫services.msc，
然後將 Sophos Anti-Virus service 停用。

接著呼叫註冊機碼工具regedit，修改以下機碼為如下值。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos MCS Agent\Start 0x00000004 (REG_DWORD)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Endpoint Defense\TamperProtection\Config\SAVEnabled 0 (REG_DWORD)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Endpoint Defense\TamperProtection\Config\SEDEnabled 0 (REG_DWORD)
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Sophos\SAVService\TamperProtection\Enabled 0 (REG_DWORD)

完成後，重開機到正常模式進行移除，
這時會發現竄改防護的訊息已經不再出現了～

如果移除失敗，請給它一點時間進行更新。

或者依照指示再重開機一次。

幾次之後，你會發現Sophos Central總算能夠成功移除了～

參考資料
Sophos Endpoint Defense: How to recover ...rotected system

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 16:33

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》查看版本

Sophos Central的版本查看，請點選右下角“關於”連結來進行。

在此頁面中，除了版本資訊可查到外，
安裝了哪些Sophos Central相關軟體也可在此頁面中查得～

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 16:37

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》如何手動掃描？

手動掃描，Sophos Central提供的細項設定不多，
UI上只提供了一個按鈕來啟動。

無法進行指定路徑，或特定檔案類型的手動掃描...

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 17:10

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》停用/啟用掃描引擎

若因臨時需求，需要暫時停用防護，需透過“管理員登入”的功能來進行。

而管理員登入的功能，被Tamper Protection所保護。

每一台電腦的Tamper Protection都是不同的，
要查詢其密碼，需登入Sophos Central頁面，然後點選個別電腦來進行查看。

↑以順子測試電腦為例，其Tamper Protection密碼顯示如上。

輸入個別的Tamper Protection密碼後，就能登入進入管理員UI。

勾選“覆寫Sophos中央策略達4小時以進行故障排除”後，就可以依需求，停用個別的防護設定。

取消勾選後，將自動回復到原廠的防護設定，繼續保護您的電腦。

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2017-04-12, 17:20

12»	« 上一篇主題下一篇主題 »