Solução de problemas do Sophos Protection for Linux

./SophosSetup.sh: Permissão negada

Você deve adicionar a permissão ‘execute’ ao SophosSetup.sh. Execute o seguinte comando:

chmod +x SophosSetup.sh

Execute este instalador como raiz

Você deve executar o SophosSetup.sh com privilégios raiz. Use o comando sudo ou alterne para o usuário raiz.

Encontrada uma instalação existente do SAV em /opt/sophos-av/. Este produto não pode ser executado em conjunto com o Sophos Anti-Virus

Você deve executar o SophosSetup.sh com o sinalizador --uninstall-sav para remover o Sophos Anti-Virus para Linux durante a instalação do SPL.

A instalação do SPL falhará, não é possível instalar em '<path>'.

A instalação falhará se você fizer referência a um link simbólico. Você deve executar novamente o programa de instalação com o comando --install-dir e usar o caminho para o diretório aonde o link simbólico aponta.

Não é possível se conectar ao Sophos Central - verifique suas conexões de rede

Sua máquina Linux deve ser capaz de se conectar à Internet e o tráfego para todos os domínios do Sophos Central deve ser permitido antes que você possa instalar o SPL. Consulte Domínios e portas a serem permitidos.

A instalação do SPL falhará porque não foi possível estabelecer uma conexão com o Sophos Central

As verificações de pré-instalação do Sophos falharão se curl não estiver instalado no dispositivo Linux. Instale curl e tente novamente. Você também poderá ver as seguintes mensagens:

• A instalação do SPL falhará porque não foi possível estabelecer uma conexão com o servidor SUS
• A instalação do SPL falhará porque não foi possível estabelecer uma conexão com um servidor CDN

Falha ao conectar ao repositório: erro:

Seus dispositivos Linux são atribuídos a um pacote de software que foi descontinuado. Altere sua política de Gerenciamento de Atualizações e atribua seus dispositivos Linux a um pacote de software atual. Consulte Política de Gerenciamento de Atualizações de servidor.

Componentes que não estão em execução ou apresentam falha na instalação.

Se um produto estiver faltando, certifique-se de que você tem a licença correta para o produto que falta.

Se o produto estiver instalado, mas não estiver em execução, verifique os logs dos componentes relevantes. Para isso, siga este procedimento:

• Verifique o log do componente afetado em /opt/sophos-spl/plugins/<plugin name>/log.
• Verifique o log de instalação do componente relevante em /opt/sophos-spl/logs/installation/<component>_install.log.
• Verifique o log do watchdog para ver se um componente apresentou falha na inicialização em /opt/sophos-spl/logs/base/watchdog.log.

A varredura em tempo real não está funcionando.

No Sophos Central, verifique as seguintes configurações na política de Proteção contra ameaças do seu servidor:

• Certifique-se de que Varredura em tempo real - arquivos locais e compartilhamentos de rede esteja ativado.
• Certifique-se de que Habilitar varredura do Agente do Server Protection para Linux está ativada.

No seu dispositivo Linux, verifique os seguintes itens:

• O valor para onRead e onWrite em /opt/sophos-spl/base/mcs/policy/CORC_policy.xml é true.
• O valor para onOpen e onClose em /opt/sophos-spl/plugins/av/var/on_access_policy.json é true.

• Verifique /opt/sophos-spl/plugins/av/log/soapd.log. Se uma das seguintes linhas for exibida, a varredura associada será desativada:

  • soapd_bootstrap <> Scanning on-open disabled
  • soapd_bootstrap <> Scanning on-close disabled

av.log shows "av > Quarantine failed for threat:"

O SPL detectou uma ameaça, mas não conseguiu colocar o arquivo em quarentena. Verifique /opt/sophos-spl/plugins/av/log/safestore.log na detecção. Se você vir a seguinte mensagem, isso significa que o SPL não pode colocar o arquivo em quarentena:

safestore <> File at location: [PATH_TO_DETECTION] is immutable. Will not quarantine.

Os arquivos imutáveis têm um conjunto de sinalizadores que indica que o arquivo não pode ser alterado, movido, deletado ou sobrescrito, nem mesmo pelo usuário raiz.

As detecções em tempo de execução não estão funcionando

Vá para Meus produtos > Server > Políticas e faça o seguinte:

• Verifique a política de Proteção contra Ameaças do seu dispositivo Linux e certifique-se de que Detecções em tempo de execução Linux esteja ativada. Consulte Proteção em Tempo de Execução.
• Verifique a política de Detecção em tempo de execução do Linux do seu dispositivo Linux e certifique-se de que Habilitar detecção em tempo de execução Linux está ativada.

Vá para Meus produtos* > Cloud Native Security > Perfis e verifique o seguinte:

• Certifique-se de que o perfil de detecção em tempo de execução do Linux da sua política de Detecção em tempo de execução do Linux contém uma regra para a detecção perdida. Consulte Configuração avançada do perfil de Detecção em tempo de execução Linux.
• Certifique-se de que a regra no seu perfil de detecção em tempo de execução do Linux esteja ativada. Consulte Detalhes da regra.

A Versão do conteúdo no Sophos Central tem um número de compilação diferente de rtd_content_version, como aparece no dispositivo Linux.

A versão do conteúdo pode ainda assim estar atualizada, mesmo que o número da compilação seja diferente. Consulte Versão do conteúdo.

O comando systemctl status sophos-spl retorna /opt/sophos-spl/plugins/av/sbin/sophos_threat_detector_launcher died with 64.

SPL também mostra um status de integridade vermelho no Sophos Central com a mensagem "Não iniciado: Sophos Linux AntiVirus".

O SPL é instalado em uma distribuição Linux ou kernel que não suporta recursos ambientais. Veja os requisitos do sistema nas notas de versão do Sophos Protection for Linux.

av.log shows "av > Health encountered an error resolving pid for ThreatDetector."

SPL também mostra um status de integridade vermelho no Sophos Central com a mensagem "Não iniciado: Sophos Linux AntiVirus".

SPL não suporta execução com hidepid=1 ou hidepid=2 no Ubuntu 20.04 e Ubuntu 22.04. Você deve editar /etc/vfstab e remover a opção hidepid da linha de montagem.

Como posso acessar um dispositivo Linux isolado?

Recomendamos ativar Permitir conexões do Live Response aos servidores. Assim você pode usar o Live Response para se conectar a qualquer servidor compatível na sua rede. Consulte Ativar o Live Response para servidores. Os Super Admins do Sophos Central ou funções que incluem "Iniciar sessões do Live Response em servidores" podem iniciar sessões do Live Response com dispositivos Linux isolados.

Se precisar de acesso a um dispositivo Linux isolado fora do Sophos Central, você deve usar exclusões para permitir que os serviços necessários acessem o dispositivo. Consulte Exclusões de isolamento do dispositivo.