Desactivar Sophos Fusion (antes Sophos Central) Tamper Protection con seguridad

Tamper Protection protege los servicios, ajustes y desinstalación de Sophos frente a cambios locales. No es un interruptor de comodidad, sino una barrera importante contra atacantes que intentan desactivar primero la protección Endpoint.

El agente actual también utiliza Enhanced Tamper Protection de Sophos Endpoint Defense. Esta protección no solo impide los cambios desde la interfaz de Sophos: también protege procesos, servicios, archivos, carpetas y claves del registro de Sophos frente a administradores locales y programas, incluidas las herramientas de despliegue de software. Por eso no basta con detener un servicio de Windows o cambiar su tipo de inicio.

Para mantenimiento y diagnóstico, desactive la protección durante el menor tiempo y en el ámbito más reducido que sean necesarios. Normalmente basta el override local de cuatro horas como máximo. Para un conjunto de dispositivos autorizado, la API permite limitar el cambio a ID de dispositivo explícitos. La desactivación global, en cambio, afecta a todos los dispositivos gestionados y solo debe plantearse cuando sea realmente necesario abarcar todo ese conjunto.

⚠️ No confundir con una política: Tamper Protection protege el propio agente. Threat Protection, Web Control y otras funciones Endpoint se gestionan mediante sus propias políticas.

¿Qué método es adecuado?

Para una automatización ya configurada y autorizada, el procedimiento de Endpoint API para Tamper Protection explica la selección de ID, la compatibilidad de los dispositivos, los permisos y la evaluación de errores. HTTP 202 solo confirma la aceptación, no la ejecución en el dispositivo. Desactivar mediante la API no es un override de cuatro horas: deben planificarse la reactivación y la comprobación de cada dispositivo. La regeneración de contraseñas tampoco sustituye esta vía de retorno.

Para cambiar Sophos Fusion se necesita un rol con los derechos administrativos necesarios. La función está disponible para Windows y macOS, no para Linux.

Desactivar Tamper Protection para un dispositivo

Inicie sesión en fusion.sophos.com. La ruta actual en Sophos Fusion es My Environment > Computers & Servers.

1. Abrir el dispositivo afectado.
2. Seleccionar Tamper Protection en el área del dispositivo.
3. Confirmar Turn off tamper protection.
4. Esperar hasta que el dispositivo recoja el cambio.
5. Comprobar localmente que la tarea prevista sea posible.

El cambio permanece hasta que se reactive Tamper Protection para el dispositivo. Un equipo offline solo lo aplica al volver a contactar correctamente con Sophos Fusion.

Mostrar la contraseña de un dispositivo

Para el override local se necesita la contraseña individual del dispositivo:

1. Abrir el dispositivo en My Environment > Computers & Servers.
2. Desplazarse hasta Tamper Protection y seleccionar View password details.
3. Mostrar la contraseña y facilitarla solo a quien realiza el trabajo.
4. No conservarla después en tickets, chats o notas sin protección.

Cada dispositivo tiene su propia contraseña. La de otro objeto Endpoint no funciona.

Generate New Password crea una contraseña exactamente para este dispositivo. Sophos Fusion no ofrece una contraseña compartida para todos los endpoints y servidores.

Windows: suspender la protección local cuatro horas

1. Abrir Sophos Endpoint mediante el icono del escudo.
2. Elegir Admin sign-in o Admin-Login.
3. Introducir la contraseña de Tamper Protection del dispositivo.
4. Abrir Settings.
5. Activar Override Sophos Central Policy for up to 4 hours para troubleshooting.
6. Desactivar Tamper Protection en el control local.

El override termina automáticamente después de cuatro horas como máximo. Suele ser la opción más segura para diagnóstico, reparación y desinstalación controlada.

Durante el Override, el dispositivo no aplica políticas de Sophos Central nuevas ni modificadas. Finalícelo inmediatamente tras el trabajo en vez de esperar cuatro horas.

Windows: controlar Tamper Protection con SEDcli

Si no se abre la interfaz local de Sophos, SEDcli.exe está disponible en los endpoints y servidores Windows actuales de Sophos Fusion. No es aplicable a macOS ni Linux. Abra Command Prompt como administrador y cambie a C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h muestra las opciones admitidas por el agente instalado; -v muestra la versión de la aplicación.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff CONTRASENA_DISPOSITIVO
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP CONTRASENA_DISPOSITIVO

Sustituya CONTRASENA_DISPOSITIVO por la contraseña de Tamper Protection mostrada en Sophos Fusion. -status indica si SED Tamper Protection está activada o desactivada. -OverrideTPoff suspende la política de Sophos Central hasta cuatro horas y desactiva la protección; el evento del dispositivo es Central management has been suspended. Durante la suspensión no se pueden aplicar políticas nuevas ni actualizadas.

-ResumeTP finaliza el mantenimiento, activa Tamper Protection y recupera la política de Sophos Central. Normalmente se ejecuta sin contraseña. Use la forma con contraseña solo si el servicio Sophos MCS Agent no se está ejecutando; se reanuda igualmente la administración desde Sophos Central, pero no se genera el evento Central management has been resumed. Compruebe después el estado con -status.

No guarde la contraseña en scripts: aparece como argumento de la línea de comandos y puede quedar en el historial, los registros o los datos de los procesos. SEDcli sirve para reparaciones locales controladas, no para una desactivación masiva permanente.

macOS: suspender la protección local cuatro horas

1. Abrir Sophos Endpoint en el Mac.
2. Elegir Admin Login.
3. Introducir primero la contraseña del administrador local del Mac y confirmar con OK.
4. Hacer clic en el candado con el icono de Sophos e introducir la contraseña del dispositivo obtenida de Sophos Fusion.
5. Abrir Settings y activar Override Sophos Central Policy for up to 4 hours.
6. Desactivar Tamper Protection durante la ventana de mantenimiento y guardar.

Al terminar, finalizar inmediatamente el override y comprobar que la protección vuelve a estar activa.

Desactivar Tamper Protection globalmente

La ruta exacta es Global Settings (icono de engranaje) > Products and Services > Endpoint and Server > Tamper Protection. Desplace el control hacia la izquierda para desactivar la protección. Para activarla después, active el interruptor y seleccione Save arriba a la derecha.

La desactivación global solo es aceptable si se documentan alcance, ventana temporal y reactivación. Mientras tanto, administradores locales o malware pueden modificar más fácilmente componentes Sophos.

Antes de desactivar deben constar al menos:

• dispositivos afectados y motivo del mantenimiento
• inicio y final previsto
• persona responsable
• validación posterior
• comprobación de que el interruptor global vuelve a estar activo

Para dispositivos individuales, el método global es desproporcionado.

Con el interruptor global desactivado, ningún dispositivo está protegido por Tamper Protection. Un estado local activo no compensa la desactivación global. Account Health Check señala tanto el interruptor global como dispositivos individuales sin protección; los cambios masivos aparecen en Audit Log. Tampoco un estado activado en el objeto del dispositivo compensa la desactivación global.

Si el dispositivo ya se borró

Sophos Fusion conserva actualmente durante 120 días las contraseñas de Tamper Protection de dispositivos borrados. Los dispositivos borrados pueden recuperarse durante 30 días. En Windows 10 o Windows Server 2016 y posteriores, Core Agent moderno suele desactivar la protección después del borrado, por lo que normalmente no hace falta recuperar la contraseña.

La ruta actual es Reports > Reports > Endpoint Protection (o Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Durante 30 días se puede seleccionar el dispositivo y pulsar Restore. Hasta el día 120, Password details en la columna Tamper Protection password muestra las contraseñas actual y anterior. Después de ese plazo, la recuperación mediante Sophos Fusion ya no está disponible.

El procedimiento exacto depende del sistema operativo, versión del agente y momento del borrado. La recuperación actual sin cambios en el registro se explica en Desinstalar Sophos Endpoint después de borrarlo de Sophos Fusion.

No utilizar antiguas modificaciones no admitidas del registro: Desactivar manualmente servicios Sophos y claves de Tamper Protection en modo seguro ya no es un método normal de desinstalación. Puede dejar Core Agent incoherente y dificultar una instalación o registro posteriores.

En Windows con Core Agent 2023.2 o posterior ya no se necesitan los antiguos pasos de recuperación tras borrar el dispositivo o expirar la licencia. Windows Recovery Environment y Registry son el último recurso dependiente de versión cuando fallan Sophos Fusion, la contraseña local, SEDcli y la restauración del objeto eliminado.

La recuperación mediante macOS Recovery tampoco es estándar. Modifica información protegida para que vuelva a funcionar el desinstalador. Como influyen el nombre del volumen, el volumen de datos APFS, el estado de FileVault y la versión del agente, use solo las instrucciones actuales de Sophos o Sophos Support.

Cuándo debe desactivarse temporalmente Enhanced Tamper Protection

Además de una desinstalación o diagnóstico local, Sophos Endpoint Defense bloquea algunas operaciones legítimas: una actualización del sistema operativo, restaurar un punto de restauración de Windows o scripts propios que modifiquen servicios, archivos protegidos o permisos del registro de Sophos.

Desactivar el interruptor no es una solución general. En agentes antiguos, un defecto corregido podía dejar protección parcialmente activa después de Imaging o cambiar el nombre del volumen Windows. En agentes actuales, actualice primero Core Agent en vez de usar soluciones alternativas antiguas basadas en controladores y el registro.

Después del mantenimiento

La vía de retorno segura más corta depende del método utilizado:

• Override local de Windows: SEDcli.exe -ResumeTP finaliza la ventana inmediatamente. Si utilizó la interfaz, finalice allí el override local en vez de esperar a que transcurran las cuatro horas.
• Un dispositivo en Sophos Fusion: My Environment > Computers & Servers > [dispositivo] > Tamper Protection > Turn on tamper protection.
• API masiva selectiva: solicitar enabled: true para los ID desactivados durante el mantenimiento; evaluar la aceptación por ID y verificar la reactivación real tras el contacto del dispositivo. No sobrescribir sin comprobar estados que ya fueran distintos antes del mantenimiento.
• Global: active primero Global Settings > Products and Services > Endpoint and Server > Tamper Protection y seleccione Save. Corrija después los dispositivos que sigan sin protección.

Espere al siguiente contacto correcto del dispositivo y compruebe localmente que Tamper Protection esté activo. En Sophos Fusion, revise Last activity, Health State y las alertas abiertas. En My Environment > Account Health Check, tanto la comprobación global como la de endpoints o servidores deben volver a estar en verde. Elimine de forma segura las contraseñas documentadas temporalmente.

Los cambios de los administradores de Sophos Fusion y las correcciones automáticas de Health Check pueden revisarse en Reports > General logs > Audit Logs. El informe incluye, entre otros datos, hora, cuenta ejecutora, objeto modificado, descripción e IP de origen; muestra siete días por defecto y puede abarcar hasta 90 días. Un override puramente local no constituye una documentación completa del mantenimiento en Sophos Fusion: registre también dispositivo, motivo, inicio, final y resultado de las comprobaciones en el sistema de cambios o tickets.

Si el agente debe eliminarse por completo, seguir Desinstalar Sophos Endpoint en Windows.

Para los Mac se aplica el procedimiento independiente Desinstalar Sophos Endpoint en macOS.

Problemas habituales

La contraseña se rechaza

El nombre del equipo y el objeto de Sophos Fusion deben corresponder exactamente. Comprobar también distribución de teclado, espacios copiados y última sincronización. Para un dispositivo borrado, buscar la contraseña en el área de dispositivos borrados.

El interruptor no está disponible en Sophos Fusion

Comprobar rol administrativo, licencia, sistema operativo y estado actual del dispositivo. Linux no admite Tamper Protection.

El dispositivo no responde al cambio

Un dispositivo offline no puede recibir el ajuste de Sophos Fusion. Comprobar red, proxy, hora y última actividad. En un dispositivo local accesible puede utilizarse el override de cuatro horas con la contraseña ya recuperada.

Reactivación, validación y escalado

Si la contraseña, el interruptor de Sophos Fusion y SEDcli no cambian el estado correctamente, o si el agente sigue sin protección o con errores tras la reactivación, no pruebe soluciones alternativas de registro, drivers o servicios. Recopile el ID del dispositivo, el sistema operativo, la versión de Core Agent, la hora de la última conexión a Sophos Fusion, el mensaje de error exacto y la entrada de Audit Log afectada, y abra un caso con Sophos Support. Para un dispositivo borrado, añada la fecha de borrado y el estado de restauración.

Preguntas frecuentes