Désactiver Sophos Fusion Tamper Protection

Tamper Protection protège les services, les réglages et la désinstallation Sophos contre les modifications locales. Ce n’est pas une option de confort, mais une barrière contre les attaquants qui tentent d’abord d’arrêter la protection Endpoint.

L’agent actuel utilise aussi Enhanced Tamper Protection de Sophos Endpoint Defense. Cette protection ne bloque pas seulement les modifications via l’interface Sophos : elle protège également les processus, services, fichiers, dossiers et clés de registre Sophos contre les administrateurs locaux et les programmes, y compris les outils de déploiement logiciel. Il ne suffit donc pas d’arrêter un service Windows ou de modifier son type de démarrage.

Pour la maintenance et le diagnostic, désactiver la protection aussi brièvement et sur un périmètre aussi restreint que nécessaire. L’override local de quatre heures au maximum suffit généralement. Pour un ensemble d’appareils approuvé, l’API permet de limiter la modification à des ID d’appareil explicites. La désactivation globale touche en revanche tous les appareils gérés et ne doit être envisagée que si ce périmètre complet est réellement nécessaire.

⚠️ Ne pas confondre avec une stratégie : Tamper Protection protège l’agent. Threat Protection, Web Control et les autres fonctions utilisent leurs propres stratégies.

Quelle méthode choisir ?

Pour une automatisation déjà configurée et approuvée, la procédure Endpoint API pour Tamper Protection explique la sélection ciblée des ID, la prise en charge des appareils, les autorisations et l’analyse des erreurs. HTTP 202 confirme seulement l’acceptation, pas l’exécution sur l’appareil. La désactivation par API n’est pas un override de quatre heures : prévoir la réactivation et la vérification de chaque appareil. La régénération des mots de passe ne remplace pas non plus ce retour à la protection.

Une fonction d’administration appropriée est nécessaire. Tamper Protection est disponible pour Windows et macOS, pas pour Linux.

Désactiver pour un appareil

Connectez-vous à Sophos Fusion (anciennement Sophos Central) sur fusion.sophos.com. Le point d’entrée actuel est My Environment > Computers & Servers.

1. Ouvrir l’appareil.
2. Faire défiler les détails jusqu’à Tamper Protection.
3. Cliquer sur Turn off tamper protection et confirmer.
4. Attendre que l’appareil reçoive le changement.
5. Vérifier localement l’action de maintenance.

Le réglage reste désactivé jusqu’à sa réactivation. Un appareil hors ligne l’applique au prochain contact.

Afficher le mot de passe

L’override local requiert le mot de passe propre à l’appareil :

1. Ouvrir l’appareil sous My Environment > Computers & Servers.
2. Faire défiler jusqu’à Tamper Protection, puis choisir View password details.
3. Afficher le mot de passe uniquement à la personne chargée de l’intervention.
4. Ne pas le conserver dans un ticket, un chat ou une note non protégée.

Chaque appareil a son propre mot de passe. Le mot de passe d’un autre objet Endpoint ne fonctionne pas.

Generate New Password crée un mot de passe pour cet appareil précis. Sophos Fusion ne fournit aucun mot de passe commun à tous les endpoints et serveurs.

Windows : override local de quatre heures

1. Ouvrir Sophos Endpoint depuis l’icône bouclier.
2. Choisir Admin sign-in ou Admin-Login.
3. Saisir le mot de passe Tamper Protection de l’appareil.
4. Ouvrir Settings.
5. Activer Override Sophos Central Policy for up to 4 hours pour le dépannage.
6. Désactiver Tamper Protection dans le contrôle local.

L’override se termine automatiquement après quatre heures au maximum. C’est généralement la méthode la plus sûre pour le diagnostic, la réparation et la désinstallation.

Pendant l’override, l’appareil n’applique aucune stratégie Sophos Fusion nouvelle ou modifiée. Terminez-le immédiatement après l’intervention au lieu d’attendre quatre heures.

Windows : contrôler Tamper Protection avec SEDcli

Si l’interface Sophos locale ne s’ouvre pas, SEDcli.exe est disponible sur les Endpoints et Servers Windows Sophos Fusion actuels. Il ne s’applique pas à macOS ni à Linux. Ouvrez Command Prompt en administrateur et placez-vous dans C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h affiche les options prises en charge par l’Agent installé ; -v affiche la version de l’application.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff MOT_DE_PASSE_APPAREIL
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP MOT_DE_PASSE_APPAREIL

Remplacez MOT_DE_PASSE_APPAREIL par le mot de passe Tamper Protection affiché dans Sophos Fusion. -status indique si SED Tamper Protection est activée ou désactivée. -OverrideTPoff suspend la stratégie Sophos Fusion pendant quatre heures au maximum et désactive la protection ; l’événement de l’appareil est Central management has been suspended. Aucune stratégie nouvelle ou mise à jour ne peut être appliquée pendant cette suspension.

-ResumeTP termine la maintenance, réactive Tamper Protection et reprend l’application de la stratégie Sophos Fusion. Exécutez-le normalement sans mot de passe. Utilisez la forme avec mot de passe uniquement si le service Sophos MCS Agent ne fonctionne pas ; la gestion centralisée reprend tout de même, mais l’événement Central management has been resumed n’est alors pas généré. Vérifiez ensuite l’état avec -status.

Ne stockez pas le mot de passe dans des scripts : il apparaît comme argument et peut finir dans l’historique, les journaux ou les données de processus. SEDcli sert à une réparation locale contrôlée, pas à une désactivation massive durable.

macOS : override local de quatre heures

1. Ouvrir Sophos Endpoint sur le Mac.
2. Choisir Admin Login.
3. Saisir d’abord le mot de passe de l’administrateur local du Mac et confirmer avec OK.
4. Cliquer sur le cadenas avec l’icône Sophos, puis saisir le mot de passe de l’appareil obtenu dans Sophos Fusion.
5. Ouvrir Settings et activer Override Sophos Central Policy for up to 4 hours.
6. Désactiver Tamper Protection pendant la maintenance et enregistrer.

Après l’intervention, terminer immédiatement l’override et vérifier que la protection est de nouveau active.

Désactivation globale

Le chemin exact est Global Settings (icône d’engrenage) > Products and Services > Endpoint and Server > Tamper Protection. Déplacer le curseur vers la gauche pour désactiver la protection. Pour la réactiver ensuite, activer le réglage et choisir Save en haut à droite.

Une désactivation globale exige un périmètre, une fenêtre et un retour documentés. Pendant ce temps, un administrateur local ou un malware peut modifier plus facilement les composants Sophos.

Avant la désactivation, définir au minimum :

• les appareils concernés et la raison de la maintenance ;
• le début et la fin prévue ;
• la personne responsable ;
• la validation après l’intervention ;
• le contrôle confirmant que le réglage global est de nouveau actif.

Cette méthode est disproportionnée pour un seul appareil.

Lorsque le commutateur global est désactivé, aucun appareil n’est protégé par Tamper Protection. Un état local actif ne compense pas la désactivation globale. Account Health Check signale le commutateur global et les appareils non protégés; les modifications de masse figurent dans Audit Log. Un état activé dans l’objet de l’appareil ne compense pas non plus la désactivation globale.

Appareil déjà supprimé

Sophos Fusion conserve actuellement les mots de passe des appareils supprimés pendant 120 jours et permet leur restauration pendant 30 jours. Sur Windows 10 ou Windows Server 2016 et versions ultérieures, Core Agent désactive normalement la protection après suppression sans nécessiter de récupération du mot de passe.

Le chemin actuel est Reports > Reports > Endpoint Protection (ou Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Pendant 30 jours, sélectionner l’appareil et cliquer sur Restore. Jusqu’au 120e jour, Password details dans la colonne Tamper Protection password affiche les mots de passe actuel et précédent. Au-delà, la récupération via Sophos Fusion n’est plus disponible.

Le processus dépend du système, de l’agent et de la date. Voir Désinstaller Sophos Endpoint après sa suppression de Sophos Fusion.

Ne pas utiliser les anciens contournements du registre : désactiver manuellement les services et clés Tamper Protection en mode sans échec peut laisser Core Agent incohérent. Ce n’est plus une méthode normale de désinstallation ; cela peut également compliquer une installation ou un enregistrement ultérieurs.

Sous Windows avec Core Agent 2023.2 ou ultérieur, les anciennes étapes de récupération après suppression de Sophos Fusion ou expiration de licence ne sont plus nécessaires. La récupération via l’environnement de récupération Windows et le registre relève uniquement d’un cas de support de dernier recours, dépendant de la version, si Sophos Fusion, le mot de passe local, SEDcli et la restauration de l’objet échouent.

La récupération via macOS Recovery n’est pas standard non plus. Elle modifie des informations protégées pour permettre au programme de désinstallation Sophos de fonctionner. Le nom du volume, le volume de données APFS, l’état de FileVault et la version de l’agent influencent la procédure ; suivez uniquement les instructions Sophos actuelles ou procédez avec Sophos Support.

Quand Enhanced Tamper Protection doit être temporairement désactivé

Outre la désinstallation et le diagnostic local, Sophos Endpoint Defense bloque quelques opérations légitimes : mise à niveau du système d’exploitation, restauration d’un point de restauration système Windows et scripts internes modifiant les services, les fichiers protégés ou les autorisations du registre de Sophos.

Un commutateur désactivé n’est pas une solution générale. Sur d’anciens agents, un défaut corrigé pouvait laisser la protection partiellement active après déploiement d’une image ou modification du nom de volume Windows. Sur les agents actuels, mettez d’abord Core Agent à jour au lieu de reprendre d’anciens contournements liés aux pilotes et au registre.

Après la maintenance

Le retour sécurisé le plus court dépend de la méthode utilisée :

• Override local Windows : SEDcli.exe -ResumeTP termine immédiatement la fenêtre. Si l’interface a été utilisée, y terminer l’override local au lieu d’attendre l’expiration des quatre heures.
• Un appareil dans Sophos Fusion : My Environment > Computers & Servers > [appareil] > Tamper Protection > Turn on tamper protection.
• API groupée ciblée : demander enabled: true pour les ID désactivés pendant la maintenance ; évaluer l’acceptation par ID et vérifier la réactivation réelle après le contact de l’appareil. Ne pas écraser sans vérification des états qui étaient déjà différents auparavant.
• Globalement : activer d’abord Global Settings > Products and Services > Endpoint and Server > Tamper Protection et choisir Save. Corriger ensuite les appareils encore non protégés.

Attendre le prochain contact réussi de l’appareil et vérifier localement que Tamper Protection est actif. Dans Sophos Fusion, contrôler Last activity, Health State et les alertes ouvertes. Sous My Environment > Account Health Check, le contrôle global et celui des endpoints ou serveurs doivent être de nouveau au vert. Supprimer de manière sécurisée les mots de passe temporairement consignés.

Les modifications des administrateurs Sophos Fusion et les corrections automatiques de Health Check sont consultables sous Reports > General logs > Audit Logs. Le rapport indique notamment l’heure, le compte exécutant, l’objet modifié, la description et l’IP source ; il affiche sept jours par défaut et peut couvrir jusqu’à 90 jours. Un override purement local ne constitue pas une documentation complète de maintenance Sophos Fusion : consigner également l’appareil, le motif, le début, la fin et le résultat des vérifications dans le système de gestion des changements ou des tickets.

Pour retirer complètement l’agent, suivre Désinstaller Sophos Endpoint sous Windows.

Pour les Mac, suivre la procédure distincte Désinstaller Sophos Endpoint sous macOS.

Problèmes fréquents

Mot de passe refusé

Vérifier que le nom et l’objet Sophos Fusion correspondent, ainsi que le clavier, les espaces copiés et la dernière synchronisation. Pour un appareil supprimé, utiliser la zone dédiée.

Réglage indisponible

Vérifier le rôle, la licence, le système et l’état. Linux ne prend pas en charge Tamper Protection.

Appareil sans réaction

Un appareil hors ligne ne peut pas recevoir le réglage Sophos Fusion. Vérifier le réseau, le proxy, l’heure système et la dernière activité. Sur un appareil local accessible, utiliser l’override de quatre heures avec le mot de passe déjà récupéré.

Réactivation, validation et escalade

Si le mot de passe, le réglage Sophos Fusion et SEDcli ne changent pas proprement l’état, ou si l’agent reste non protégé ou défaillant après la réactivation, ne pas essayer de contournement du registre, des pilotes ou des services. Relever l’ID de l’appareil, le système d’exploitation, la version du Core Agent, l’heure de la dernière connexion à Sophos Fusion, le message d’erreur exact et l’entrée Audit Log concernée, puis ouvrir un dossier auprès de Sophos Support. Pour un appareil supprimé, ajouter la date de suppression et l’état de restauration.

Questions fréquentes