La elección rápida
Sophos tiene dos productos para Linux en 2026 y se eligen por la distribución, no por el bolsillo.
- Para la mayoría de servidores Ubuntu, RHEL o Debian, conviene el agente único Sophos Protection for Linux (SPL) en su versión 2026.3: cubre antimalware, EDR, Runtime Detection y soporte de contenedores desde una sola pieza, y se gestiona desde la misma consola que el resto del parque.
- Si el servidor corre una distribución inmutable (AWS Bottlerocket, Azure Linux con OS Guard, Google OS o RHEL CoreOS), el agente tradicional no se puede instalar y la opción correcta es Sophos Linux Sensor (SLS), desplegado por Helm chart sobre el clúster.
- Si necesitas soporte de contenedores con atribución clara a imágenes y procesos, SPL 2026.3 en modo SPL (Server Protection for Linux) sobre RHEL CoreOS o sobre una variante compatible da mejor visibilidad que el SLS.
- Si vas justo de máquina o trabajas en una imagen inmutable mínima (Bottlerocket, Azure Linux OS Guard), SLS es la única vía razonable, porque el SPL exige 2 GB de RAM y 2,5 GB de disco que esas imágenes a menudo no reservan.
Decisión en una línea: SPL 2026.3 para servidores Linux clásicos; SLS cuando la distro es inmutable y no admite agentes tradicionales.
Qué hay hoy en el catálogo de Sophos para Linux
Sophos ofrece tres piezas distintas bajo el paraguas de "Linux". Conviene no mezclarlas, porque una instala agente, otra solo sensor y la tercera es un componente del primero.
| Producto | Gestiona desde | Tipo de distro que cubre | Rol principal |
|---|---|---|---|
| Sophos Protection for Linux (SPL) 2026.3 | Sophos Central / Fusion | Ubuntu, RHEL, Debian, Amazon Linux, Oracle, SLES, CentOS Stream | Agente único de servidor: antimalware, EDR, Runtime Detection, soporte de contenedores |
| Sophos Linux Sensor (SLS) | Sophos Central / Fusion | Distribuciones inmutables: Bottlerocket, Azure Linux con OS Guard, Google OS, RHEL CoreOS | Sensor ligero vía Helm chart, pensado para nodos donde no se puede instalar un agente tradicional |
| Server Protection (agente) | Sophos Central | El mismo parque que SPL | Es el módulo Server Protection que viene empaquetado dentro del propio SPL 2026.3; no se instala aparte |
En resumen: SLS es el sustituto del SPL cuando la distribución no admite el agente; Server Protection es el nombre que ve el administrador en la consola, pero corresponde al agente del SPL.
Sophos Protection for Linux 2026.3: qué trae y a quién le sirve
SPL es un agente único que se instala en el servidor y combina antimalware con motor de aprendizaje automático, escaneo on-access y on-demand, detección de PUA activa por defecto, Runtime Detection basada en eBPF y kprobes (sin módulo de kernel propio), EDR con envío de eventos al Data Lake, soporte de contenedores con atribución de imágenes, Live Response, Live Discover, aislamiento del dispositivo y, desde 2026.3, Tamper Resiliency para bloquear la manipulación del agente.
Sirve para: servidores Ubuntu 22.04/24.04/26.04, RHEL 8/9/10, Debian 11/12/13, Oracle 8/9/10, Amazon Linux 2 y 2023, SLES 15 y CentOS Stream, en arquitecturas x86_64 y ARM64, con kernel 5.3 o superior. Cubre tanto cargas tradicionales como contenedores Docker/Podman.
No sirve para: distribuciones inmutables (Bottlerocket, Azure Linux con OS Guard, RHEL CoreOS, Google OS), porque necesitan SLS; tampoco para CentOS 7, RHEL 7, Debian 10 o Ubuntu 18.04/20.04 sin Extended Support de por medio, y su rama legacy corre kernels antiguos que ya no se actualizan al mismo ritmo.
Pros: una sola pieza por servidor; cobertura completa de malware + EDR + contenedores; consola central con el resto del parque Sophos; soporte oficial amplio.
Contras: exige 2 GB de RAM y 2,5 GB de disco, lo que descarta microservicios muy ligeros; requiere Systemd y glibc reciente (≥2.17, ≥2.18 en ARM64); en ARM64 el suelo de kernel sube a 5.3 y no todas las imágenes lo cumplen.
Requisitos reales del SPL 2026.3
- Disco libre mínimo: 2,5 GB.
- RAM mínima: 2 GB.
- glibc: 2.17 en x86_64 y 2.18 en ARM64.
- Kernel: 5.3 o superior en ARM64; en x86_64 el mínimo lo marca la distribución soportada.
- Systemd activo como init.
- Bash disponible.
- Arquitecturas soportadas: x86_64 y ARM64.
Plataformas soportadas de fábrica
- Soporte actual: Amazon Linux 2, Amazon Linux 2023, CentOS Stream 9/10, Debian 11, Debian 12, Debian 13, Oracle Linux 8, 9 y 10, RHEL 8, 9 y 10, SLES 15, Ubuntu 22.04 LTS, Ubuntu 24.04 LTS y Ubuntu 26.04 (ver notas de release de Sophos).
- Soporte legacy (con Extended Support): CentOS 7, Debian 10, Oracle 7, RHEL 7, SLES 12, Ubuntu 18.04 LTS y Ubuntu 20.04 LTS.
Kernels cubiertos hasta la 2026.3
2026.1 añadió soporte oficial para kernel 6.18; 2026.2 para 6.19 y 7.0; 2026.3 para 7.1. Existe un caveat conocido en kernels 5.10.133–5.10.142 por cambios en ftrace que pueden romper el on-access: si tu servidor cae en ese tramo, conviene actualizar el kernel o aplicar el parche publicado por Sophos antes de activar la protección en tiempo real.
Sophos Linux Sensor (SLS): la alternativa para distribuciones inmutables
SLS no es una versión reducida del SPL, es un sensor distinto. Se despliega como Helm chart sobre el clúster Kubernetes que gestiona los nodos inmutables y envía telemetría al Data Lake de Sophos Central/Fusion. No instala un agente dentro del sistema operativo inmutable, lo que evita romper la atomicidad de la imagen.
Sirve para: AWS Bottlerocket, Azure Linux con OS Guard habilitado, Google OS y RHEL CoreOS, así como cualquier distribución inmutable basada en rpm-ostree u OCI donde el SPL no se pueda instalar.
No sirve para: un Ubuntu Server o un RHEL estándar, porque allí el SPL rinde mejor y ocupa menos hueco operativo.
Pros: no necesita tocar la imagen base; funciona con imágenes mínimas; cobertura donde el SPL no llega; telemetría equivalente a Runtime Detection.
Contras: solo protege el plano Kubernetes, no los procesos fuera de los pods; depende de Helm para su despliegue; no cubre antimalware tradicional con firma on-access en el mismo nivel que el SPL.
Requisitos del SLS
- Distribuciones inmutables de la lista oficial de Sophos.
- Despliegue mediante Helm chart 3.x o posterior sobre un clúster Kubernetes compatible.
- Kernel y paquetes según la distribución concreta (Bottlerocket exige su variante de containerd; Azure Linux OS Guard requiere la imagen con OS Guard habilitado).
- Conectividad de salida al endpoint documentado de Sophos Central.
Tabla comparativa: SPL 2026.3 frente a SLS
| Característica | Sophos Protection for Linux 2026.3 | Sophos Linux Sensor |
|---|---|---|
| Tipo de distro que protege | Servidores Linux clásicos (Ubuntu, RHEL, Debian, Oracle, SLES, Amazon Linux) | Distribuciones inmutables (Bottlerocket, Azure Linux con OS Guard, Google OS, RHEL CoreOS) |
| Agente que instala | Agente único con antimalware + EDR | Helm chart, sin agente dentro de la imagen |
| Análisis on-access | Sí, configurable por política | No en el mismo nivel |
| Análisis on-demand | Sí, manual y programado | Limitado |
| PUA | Activo por defecto | Limitado |
| Runtime Detection / EDR | Sí, vía eBPF y kprobes | Sí, vía telemetría de clúster |
| Soporte de contenedores | Sí, con atribución a imágenes y procesos | Sí, pero solo pods de Kubernetes |
| Arquitecturas | x86_64 y ARM64 | x86_64 (ARM según distribución) |
| Consola de gestión | Sophos Central / Fusion | Sophos Central / Fusion |
| RAM mínima | 2 GB | Sin dato público unificado |
| Disco mínimo | 2,5 GB | Sin dato público unificado |
Funciones de protección que vienen con el SPL 2026.3 y qué aportan
Cuatro criterios separan al SPL de un antivirus básico para Linux:
- Antimalware con doble motor: firmas tradicionales y modelo de aprendizaje automático que reduce el tiempo de detección sin actualizar firmas cada hora.
- On-access configurable por política, con on-demand manual o programado por cron de Sophos Central, para no dejar huecos entre escaneos programados.
- PUA activo por defecto, con listas de exclusión editables; ahorra tiempo en falsos positivos conocidos (Node, npm, paquetes similares a malware sin serlo).
- Runtime Detection vía eBPF y kprobes sin módulo de kernel propio: detecta procesos anómalos, execs sospechosos y patrones de cryptominers sin recompilar el kernel. Los eventos van al Data Lake con telemetría DNS y SNI, lo que permite investigación forense en Sophos Central.
- Soporte de contenedores con atribución: identifica qué imagen y proceso disparó la alerta, no solo el path del binario.
- Aislamiento del dispositivo, Live Response y Live Discover para contener y luego investigar, sin abrir consolas SSH externas.
- Tamper Resiliency (novedad 2026.3): impide que el propio agente sea detenido, desinstalado o modificado por un proceso con privilegios, lo que cierra el hueco típico de un ataque post-explotación.
Qué necesitas además del agente para sacarle partido
Antes de instalar nada, asegúrate de tener:
- Cuenta de Sophos Central o de Sophos Fusion con la licencia adecuada para Server Protection; sin licencia, el agente se registra pero no recibe políticas.
- Política de Server Threat Protection creada y aplicada al grupo de servidores Linux.
- Política de Update Management configurada para controlar la frecuencia de actualizaciones del motor y de firmas.
- Si tienes muchos servidores aislados, un Sophos Message Relay o Sophos Update Cache que centralice el tráfico de actualización y reduzca la salida directa a Internet.
- Exclusiones de PUA bien documentadas, especialmente en servidores de build y de integración continua, donde binarios legítimos disparan detecciones erróneas con frecuencia.
- Puerto de salida y endpoint de Sophos Central documentados por el fabricante y abiertos en el firewall del servidor; sin esto, el agente no completa el registro.
Tamper Resiliency 2026.3 solo protege al propio agente: para cifrado de disco y respuesta a ransomware hay que añadir Intercept X for Server o un módulo equivalente, no viene incluido en el SPL básico.
Errores que cuestan dinero al desplegar Sophos en Linux
- Dejar auditd activo en versiones del SPL anteriores a 2025.1: entra en conflicto con el motor de Runtime Detection y puede dejar el servidor sin protección en tiempo real sin avisar. Solución: actualizar a 2025.1 o superior, o deshabilitar auditd antes de activar on-access.
- Activar on-access sin excluir /var ni las rutas de bases de datos (PostgreSQL, MySQL, MongoDB): dispara falsos positivos y picos de I/O que ralentizan la aplicación. Solución: crear exclusiones por ruta y por extensión antes de encender el modo residente.
- Aplicar la rama latest en distribuciones legacy (CentOS 7, RHEL 7, Ubuntu 18.04/20.04) sin Extended Support: el agente se actualiza por su cuenta y termina dependiendo de paquetes que ya no están en los repos. Solución: contratar Extended Support o fijar la versión en una rama con soporte de fábrica.
- Mezclar SLS con SPL en el mismo nodo RHEL CoreOS: ambos agentes pelean por el mismo hook y generan eventos duplicados. Solución: en CoreOS, SLS o SPL, nunca los dos a la vez.
- Olvidar los requisitos de glibc (≥2.17, ≥2.18 en ARM64) y de kernel (≥5.3 en ARM64) en imágenes ARM64: la instalación falla en silencio o el agente se registra pero no levanta el motor. Solución: verificar versiones con
ldd --versionyuname -rantes del despliegue, o auditar la imagen de la AMI o de Azure que se va a usar.
Datos verificados en octubre de 2026.
Preguntas frecuentes sobre Sophos para Linux en 2026
1. ¿Qué hace exactamente Sophos Protection for Linux?
Es la versión para servidores y estaciones Linux del motor antivirus de Sophos. Analiza bajo demanda, en acceso y de forma programada, con firmas y heurística, y se administra desde Sophos Central junto al resto de endpoints Windows y macOS.
2. ¿Cómo se descarga Sophos Antivirus para Linux?
La descarga se hace desde Sophos Central como un paquete tar.gz con instalador .sh, o desde el repositorio oficial si usas distro Ubuntu/Debian/RHEL. Necesitas una cuenta de Sophos Central y el script sav-install.sh para iniciar el despliegue.
3. ¿Cuánto cuesta Sophos Antivirus para Linux?
Sophos Protection for Linux se licencia por suscripción anual por equipo dentro de los bundles Intercept X for Server o Endpoint. El precio exacto depende del número de licencias, la región y el partner, así que conviene pedir cotización a un reseller autorizado.
4. ¿Qué requisitos necesita Sophos Protection for Linux?
El agente funciona en Linux de 64 bits en Ubuntu 18.04+, Debian 10+, RHEL 7+, SUSE 12+ y Oracle 7+, con 1 GB de RAM, 2 GB de disco y conectividad HTTPS hacia Sophos Central. Para análisis on-access exige un kernel con soporte fanotify o inotify.
5. ¿Existe una versión gratis de Sophos para Linux?
No hay edición gratuita del producto comercial: Sophos Protection for Linux requiere licencia de pago. Lo que sí ofrece Sophos es una prueba de 30 días y herramientas gratuitas independientes como Sophos Anti-Virus for Linux (SAV) para uso personal bajo EULA propia.
6. ¿Cómo se instala Sophos en Linux por línea de comandos?
Descarga el instalador, descomprímelo y ejecuta sudo ./sav-install.sh –install, aceptando la licencia. Después se registra con savmanage add cloudaccount –auth-token o pegando el token desde Sophos Central, y se valida con savscan -f /var.
7. ¿Qué es y para qué sirve Sophos Central?
Sophos Central es la consola web en la nube desde donde se gestionan políticas, despliegues, exclusiones, alertas y reportes de todos los endpoints protegidos, incluidos los servidores Linux. Para entornos con más de un equipo es prácticamente obligatorio porque sin él no puedes aplicar políticas.
Fuentes
- SophosInstall Sophos agent on Linux – Sophos Fusion Adminconsultado el 13/10/2026
- CybertoolchainSophos Protection for Linux release history – The Cyber Toolchainconsultado el 13/10/2026
- SophosOptimize Your Sophos Firewall Securityconsultado el 13/10/2026