Désinstaller Sophos Endpoint avec Tamper Protection activée

Si un appareil Windows a été supprimé de Sophos Fusion (anciennement Sophos Central) avant le retrait local de l’Endpoint Agent, aucun hack Registry général n’est requis. Les versions actuelles de Sophos Core Agent disposent d’un processus défini pour les appareils supprimés ou expirés.

La méthode dépend de la suppression, de l’expiration éventuelle de la licence et de l’objectif : reprendre la gestion ou retirer définitivement l’agent.

⚠️ Ne pas commencer par d’anciennes procédures Registry : Sophos ne documente la récupération manuelle qu’en dernier recours, si aucune méthode normale de désactivation de Tamper Protection n’est possible. Utiliser d’abord les méthodes Fusion et locale ci-dessous. Safe Mode, la suppression manuelle et les scripts Registry tiers ne font pas partie de cette procédure.

Identifier d’abord le cas

Les délais et comportements évoluent avec l’agent. Documenter le système, la version de Core Agent, l’heure de suppression et le tenant.

Prérequis et limites de sécurité

• accès administrateur local et fenêtre de maintenance annoncée ;
• sauvegarde actuelle ou plan de restauration testé ;
• version de Windows, architecture, version de Core Agent et composants Sophos installés consignés ;
• accès au bon tenant Fusion ou administrateur du tenant identifié ;
• état final défini : retrait définitif ou nouvelle protection dans le même tenant ;
• Server Lockdown désactivé sur les serveurs et processus Fusion correspondant pour ZTNA, Device Encryption ou MDR.

Conserver l’appareil dans Fusion jusqu’à la validation locale afin de garder mot de passe, état, alertes et diagnostics disponibles. Ne pas répéter une désinstallation en échec en boucle : conserver d’abord code de retour, log et état.

Comportement des appareils Windows actuels

À partir de Core Agent 2023.2, les règles suivantes s’appliquent à Windows 10 et versions ultérieures ainsi qu’à Windows Server 2016 et versions ultérieures :

• Tamper Protection est désactivé localement après la suppression.
• Les composants de protection actifs sont retirés ou désactivés.
• Core Agent reste pour permettre désinstallation ou réenregistrement.
• La récupération manuelle du mot de passe n’est normalement pas nécessaire.

Un appareil hors ligne ne reçoit le nouvel état qu’après un contact réussi.

Les rôles Update Cache et Message Relay sont également supprimés des appareils qui les hébergent. Après restauration, les réinstaller et les contrôler s’ils restent nécessaires.

Désactiver Tamper Protection de manière contrôlée

1. Identifier l’appareil par son nom, son système et sa dernière activité.
2. S’il est encore actif dans Fusion, atteindre Tamper Protection dans ses détails et le désactiver ou choisir View password details.
3. Pour une maintenance locale courte, utiliser Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours dans Sophos Endpoint.
4. S’il a été supprimé, utiliser ci-dessous la restauration ou le mot de passe pendant la durée de conservation.
5. Confirmer localement la désactivation avant le programme de désinstallation ou --registeronly.

Le processus standard complet est décrit dans Désactiver Sophos Fusion Tamper Protection en sécurité. Si aucune voie n’est disponible, arrêter l’intervention locale au transfert au Support ; ne pas déduire soi-même de changements de démarrage, pilote ou Registry.

Option 1 : restaurer l’appareil

Sophos Fusion conserve actuellement les appareils supprimés pendant 30 jours.

1. Ouvrir Reports > Reports > Endpoint Protection ou Server Protection dans Sophos Fusion.
2. Sélectionner Restore deleted devices and recover Tamper Protection passwords.
3. Vérifier le nom, le système d’exploitation et l’heure de suppression.
4. Sélectionner le bon appareil et cliquer sur Restore.
5. Attendre son nouveau contact.
6. Contrôler Agent Mode, stratégies, Health State et dernière activité.

Cette option convient si l’ordinateur doit rester protégé. Pour un retrait définitif, elle est utile seulement si le mot de passe ou l’état de gestion ne peut pas être récupéré autrement.

Option 2 : désinstaller définitivement

Lorsque Tamper Protection est désactivée, lancer dans une invite de commandes ouverte en tant qu’administrateur :

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Sur un serveur, déverrouiller d’abord Server Lockdown dans Fusion. Sophos exige un redémarrage après la suppression ; vérifier ensuite applications, services et fournisseur de protection. Voir Désinstaller Sophos Endpoint sous Windows.

Cet exécutable concerne Windows 10 (x64) et versions ultérieures ainsi que Windows Server 2016 et versions ultérieures avec un Core Agent pris en charge. Les anciennes plateformes utilisent uninstallgui.exe en mode interactif ou uninstallcli.exe --quiet depuis le même répertoire. Il ne remplace pas le processus Fusion des logiciels protégés tels que ZTNA, Device Encryption ou MDR.

Pour un déploiement par lot, enregistrer la commande complète entre guillemets ci-dessus avec l’extension .bat, en conservant le guillemet ouvrant, puis exécuter le script sur les appareils prévus.

Option 3 : réenregistrer l’agent

Pour reprendre la gestion, utiliser un programme d’installation actuel du bon tenant :

SophosSetup.exe --registeronly

Tamper Protection doit être désactivée avant d’utiliser --registeronly. Core Agent 2023.2 ou version ultérieure le fait automatiquement après une suppression ou l’expiration de la licence ; dans les autres migrations, la désactiver de manière contrôlée avant la commande.

Télécharger l’installer lié au tenant sous My Environment > Installers, puis vérifier dans Fusion au minimum :

• le bon tenant et le nom de l’ordinateur ;
• l’Agent Mode et les produits sous licence ;
• le groupe d’ordinateurs prévu ;
• les stratégies affectées ;
• un état sain et des composants actuels ;
• l’absence d’alertes d’enregistrement ou de licence.

--registeronly ne répare pas une installation endommagée. Conserver les logs et l’état avant toute action si Core Agent ou sa communication est défectueux.

Récupérer le mot de passe supprimé

Sophos Fusion conserve les appareils supprimés et leurs mots de passe Tamper Protection dans ce rapport pendant 120 jours, mais l’objet appareil n’est restaurable que durant les 30 premiers jours. Le mot de passe concerne surtout les anciennes plateformes ou versions d’agent.

Si la preuve d’audit doit être conservée au-delà de 120 jours, exporter le rapport avant l’échéance et protéger correctement les données de mot de passe exportées.

1. Ouvrir Reports > Reports > Endpoint Protection ou Server Protection.
2. Sélectionner Restore deleted devices and recover Tamper Protection passwords.
3. Identifier l’appareil avec plusieurs attributs.
4. Dans la colonne Tamper Protection password, cliquer sur Password details. Fusion affiche d’abord le mot de passe actuel, c’est-à-dire celui utilisé le plus récemment, puis les précédents.
5. N’utiliser le mot de passe actuel que pendant la maintenance et supprimer ensuite les copies temporaires.

Le mot de passe d’un autre appareil ne fonctionne pas. Au-delà du délai, utiliser la procédure Support actuelle, pas des manipulations Registry.

Licence expirée

Après l’activation d’une nouvelle licence, les appareils Windows actuels peuvent être récupérés si 90 jours au maximum se sont écoulés depuis l’expiration de la licence. Après 90 jours, exécuter un programme d’installation actuel lié au tenant avec --registeronly afin de réinstaller et réenregistrer l’agent. Confirmer d’abord le tenant et la licence valide.

Pour une mise hors service définitive, désinstaller localement. Si l’appareil reste utilisé, vérifier après le réenregistrement que tous les produits de protection et stratégies prévus sont de nouveau actifs.

Dépannage

L’appareil restauré reste hors ligne

Vérifier réseau, proxy, DNS, heure système, services de gestion et tenant.

Tamper Protection reste actif

Attendre la synchronisation, puis vérifier une seule fois les méthodes Fusion, mot de passe, contournement de quatre heures et restauration décrites ci-dessus. Si la protection reste active, ne pas forcer le programme de désinstallation ni lancer SophosZap.

SophosUninstall.exe manque ou échoue

Cela indique une installation endommagée ou incomplète. Conserver les logs d’installation et de désinstallation, le code de retour et l’état de l’appareil. Effectuer tout redémarrage déjà en attente avant de vérifier de nouveau l’état. Ne pas retirer au hasard MSI, services ou clés Registry, car cela peut empêcher une réparation ultérieure.

SophosZap uniquement après l’échec de la désinstallation standard

SophosZap est un outil Windows de dernier recours uniquement lorsque Tamper Protection est manifestement désactivée et que la désinstallation standard a néanmoins échoué ou reste incomplète ; sa détection heuristique ajoute des risques. Il ne contourne ni un mot de passe inconnu, ni Server Lockdown, ni un processus Fusion protégé. Il prend en charge HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, les endpoints gérés par Enterprise Console, Sophos Home, Sophos Anti-Virus, Sophos Clean et d’autres produits autonomes. Il s’arrête devant Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin ou Sophos Update Manager ; désinstaller normalement le produit incompatible d’abord.

Vérifier le téléchargement et la signature

Confirmer Windows 7 ou version ultérieure, les droits administrateur, Tamper Protection désactivée et les sauvegardes. ARM64 exige SophosZap 1.2.3.0 ou version ultérieure. Télécharger une copie actuelle juste avant la maintenance. Vérifier File version sous Properties > Details et une signature Sophos valide sous Properties > Digital Signatures. PowerShell permet aussi de contrôler le fichier local :

$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
    throw 'SophosZap signature validation failed'
}

PowerShell vérifie volontairement en mode fail-closed uniquement que l’état Authenticode est Valid et qu’un certificat est présent ; il n’autorise pas par sous-chaîne le Subject complet affiché. Un administrateur doit comparer exactement cette valeur à l’identité d’éditeur attendue, vérifiée séparément dans la documentation officielle Sophos actuelle ou auprès de Sophos Support. Sans correspondance exacte, si la signature manque ou est invalide, ou si la version est trop ancienne pour ARM64, ne pas exécuter le fichier : le supprimer et le télécharger à nouveau. Un hash local sans valeur attendue publiée indépendamment ne remplace pas la signature.

Exécuter et traiter la sortie

Lancer l’outil vérifié depuis son répertoire dans une invite élevée :

SophosZap --confirm

Suivre exactement la sortie. À Reboot and re-execute, redémarrer, relancer exactement une seule fois la même commande comme administrateur, puis redémarrer de nouveau. Des redémarrages supplémentaires peuvent être requis. Le log extensible est sous %TEMP%. Si INFO : Reboot will be required. An update remains in progress. apparaît, effectuer le redémarrage demandé au lieu de forcer le nettoyage en parallèle. SophosZap est limité à Windows. Sous certains Windows 8.1, Windows Defender doit être démarré manuellement ensuite.

Valider le résultat et transmettre au Support

Après le dernier redémarrage, contrôler applications installées, services Sophos actifs, interface Sophos et fournisseur de protection dans Windows Security. Un répertoire restant ne suffit pas à constater un échec. Pour un retrait définitif, vérifier la protection remplaçante ; pour un appareil qui reste protégé, réinstaller ou réenregistrer Sophos et contrôler tenant, Agent Mode, produits, stratégies et état sain. Ne supprimer l’objet Fusion qu’après cette validation locale.

Si Tamper Protection reste active ou si aucune méthode prise en charge ne permet de la désactiver, ouvrir directement un dossier Sophos Support. Faire de même si la désinstallation standard et la réexécution exactement une fois de SophosZap restent incomplètes. La récupération manuelle de dernier recours comporte trois branches distinctes et non interchangeables : Windows actuel pour poste de travail/serveur, Server Core 2012 ou version ultérieure, et Windows 7 ou Windows Server 2008 R2. Comme elle peut impliquer Windows Recovery et le pilote Endpoint Defense, les changements de démarrage, pilote et Registry sensibles à la plateforme et à la version ne sont pas reproduits ici et doivent uniquement être effectués selon les instructions Sophos actuelles.

Transmettre les identifiants du tenant et de l’appareil, Windows et architecture, versions Core Agent et SophosZap, composants installés, états Tamper Protection et Server Lockdown, objectif, commandes exactes horodatées et codes de retour, SophosZap log.txt, fichiers Sophos de %TEMP% et C:\Windows\Temp, logs de désinstallation et nouveau SDU. Déposer les archives confidentielles uniquement via l’upload prévu du dossier.

Des produits manquent après –registeronly

Le réenregistrement ne restaure pas automatiquement tous les composants. Vérifier Manage device software sous My Environment > Computers & Servers et laisser l’appareil recevoir sa configuration.

Questions fréquentes