Disattivare in sicurezza Tamper Protection

Tamper Protection protegge servizi Sophos, impostazioni e disinstallazione dalle modifiche locali. Non è un semplice interruttore di comodità, ma un ostacolo importante contro gli attaccanti che tentano innanzitutto di disattivare la protezione Endpoint.

L’agente attuale usa anche Enhanced Tamper Protection di Sophos Endpoint Defense. Questa protezione non impedisce soltanto le modifiche tramite l’interfaccia Sophos: protegge anche processi, servizi, file, cartelle e chiavi del registro Sophos da amministratori locali e programmi, compresi gli strumenti di distribuzione software. Non basta quindi arrestare un servizio Windows o cambiarne il tipo di avvio.

Per manutenzione e diagnosi, disattivare quindi la protezione solo per il tempo e nell’ambito strettamente necessari. Di norma basta l’override locale per un massimo di quattro ore. Per un insieme di dispositivi approvato, l’API può limitare la modifica a ID di dispositivo espliciti. La disattivazione globale interessa invece tutti i dispositivi gestiti e va considerata solo quando è realmente necessario coinvolgere l’intero insieme.

⚠️ Non confondere con una policy: Tamper Protection protegge l’agente stesso. Threat Protection, Web Control e le altre funzioni Endpoint vengono controllate da policy proprie.

Quale metodo scegliere?

Per un’automazione già configurata e approvata, la procedura Endpoint API per Tamper Protection descrive la selezione mirata degli ID, il supporto dei dispositivi, i permessi e l’analisi degli errori. HTTP 202 conferma solo l’accettazione, non l’esecuzione sul dispositivo. La disattivazione tramite API non è un override di quattro ore: occorre pianificare riattivazione e verifica per ogni dispositivo. Nemmeno la rigenerazione delle password sostituisce questo percorso di ripristino.

Le modifiche in Sophos Fusion richiedono un ruolo con i diritti amministrativi necessari. La funzione è disponibile per Windows e macOS, non per Linux.

Disattivare Tamper Protection per un dispositivo

Accedere a fusion.sophos.com. Il percorso attuale in Sophos Fusion è My Environment > Computers & Servers.

1. Aprire il dispositivo interessato.
2. Scorrere nei dettagli fino a Tamper Protection.
3. Fare clic su Turn off tamper protection e confermare.
4. Attendere che il dispositivo riceva la modifica.
5. Verificare localmente che l’intervento previsto sia possibile.

La modifica rimane fino alla riattivazione di Tamper Protection per il dispositivo. Un dispositivo offline la applica soltanto al successivo contatto riuscito con Sophos Fusion.

Visualizzare la password di un dispositivo

L’override locale richiede la password individuale del dispositivo:

1. Aprire il dispositivo in My Environment > Computers & Servers.
2. Scorrere fino a Tamper Protection e selezionare View password details.
3. Visualizzare la password e fornirla soltanto alla persona che esegue l’intervento.
4. Dopo il lavoro non conservarla in ticket, chat o note non protette.

Ogni dispositivo possiede una password propria. Quella di un altro record Endpoint non funziona.

Generate New Password crea una password per questo dispositivo. Sophos Fusion non offre una password comune a tutti gli endpoint e server.

Windows: sospendere localmente la protezione per quattro ore

1. Aprire Sophos Endpoint dall’icona dello scudo.
2. Selezionare Admin sign-in o Admin-Login.
3. Inserire la password Tamper Protection del dispositivo.
4. Aprire Settings.
5. Attivare Override Sophos Central Policy for up to 4 hours per il troubleshooting.
6. Disattivare Tamper Protection nei controlli locali.

L’override termina automaticamente dopo un massimo di quattro ore. Per diagnosi, riparazione e disinstallazione controllata è in genere la variante più sicura.

Durante l’Override, il dispositivo non applica Central Policy nuove o modificate. Terminarlo subito dopo il lavoro anziché attendere quattro ore.

Windows: controllare Tamper Protection con SEDcli

Se l’interfaccia Sophos locale non si apre, SEDcli.exe è disponibile sugli Endpoint e Server Windows Sophos Fusion attuali. Non si applica a macOS o Linux. Aprire Command Prompt come amministratore e passare a C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h mostra le opzioni supportate dall’Agent installato; -v mostra la versione dell’applicazione.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff PASSWORD_DISPOSITIVO
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP PASSWORD_DISPOSITIVO

Sostituire PASSWORD_DISPOSITIVO con la password Tamper Protection visualizzata in Sophos Fusion. -status indica se SED Tamper Protection è attiva o disattiva. -OverrideTPoff sospende la Central Policy per un massimo di quattro ore e disattiva la protezione; l’evento sul dispositivo è Central management has been suspended. Durante la sospensione non è possibile applicare Policy nuove o aggiornate.

-ResumeTP termina prima la manutenzione, attiva Tamper Protection e riprende la Central Policy. Normalmente si esegue senza password. Usare la forma con password solo se il servizio Sophos MCS Agent non è in esecuzione; Central Management riprende comunque, ma l’evento Central management has been resumed non viene generato. Verificare poi lo stato con -status.

Non salvare la password negli script: compare come argomento della riga di comando e può finire nella cronologia, nei registri o nei dati dei processi. SEDcli serve per riparazioni locali controllate, non per disattivazioni massive permanenti.

macOS: sospendere localmente la protezione per quattro ore

1. Aprire Sophos Endpoint sul Mac.
2. Selezionare Admin Login.
3. Inserire prima la password dell’amministratore locale del Mac e confermare con OK.
4. Fare clic sul lucchetto con l’icona Sophos e inserire la password del dispositivo ottenuta da Sophos Fusion.
5. Aprire Settings e attivare Override Sophos Central Policy for up to 4 hours.
6. Disattivare Tamper Protection per la finestra di manutenzione e salvare.

Al termine, interrompere subito l’override e verificare che la protezione sia nuovamente attiva.

Disattivare Tamper Protection globalmente

Il percorso esatto è Global Settings (icona dell’ingranaggio) > Products and Services > Endpoint and Server > Tamper Protection. Spostare il cursore a sinistra per disattivare la protezione. Per riattivarla in seguito, attivare l’interruttore e scegliere Save in alto a destra.

Una disattivazione globale è accettabile soltanto quando ambito, finestra temporale e ripristino sono documentati. Durante questo periodo amministratori locali o malware possono modificare più facilmente i componenti Sophos.

Prima della disattivazione devono essere definiti almeno:

• dispositivi interessati e motivo della manutenzione;
• inizio e fine pianificata;
• persona responsabile;
• verifica dopo l’intervento;
• conferma che l’interruttore globale sia di nuovo attivo.

Per singoli dispositivi il metodo globale è sproporzionato.

Con l’interruttore globale disattivato, nessun dispositivo è protetto da Tamper Protection. Uno stato locale attivo non compensa la disattivazione globale. Account Health Check segnala sia l’interruttore globale sia i dispositivi non protetti; le modifiche massive appaiono in Audit Log. Nemmeno uno stato attivo nel record del dispositivo compensa la disattivazione globale.

Se il dispositivo è già stato eliminato

Sophos Fusion conserva attualmente per 120 giorni le password Tamper Protection dei dispositivi eliminati. I dispositivi eliminati possono essere ripristinati per 30 giorni. Sulle versioni attuali da Windows 10 o Windows Server 2016, Core Agent moderno disattiva normalmente la protezione dopo l’eliminazione, rendendo superfluo il recupero della password.

Il percorso attuale è Reports > Reports > Endpoint Protection (o Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Entro 30 giorni, selezionare il dispositivo e fare clic su Restore. Fino al giorno 120, Password details nella colonna Tamper Protection password mostra la password attuale e quella precedente. Dopo questo termine il recupero tramite Sophos Fusion non è più disponibile.

La procedura esatta dipende da sistema operativo, versione dell’agente e data di eliminazione. Il ripristino attuale senza interventi nel Registry è descritto in Disinstallare Sophos Endpoint dopo l’eliminazione da Sophos Fusion.

Non utilizzare i vecchi hack del Registry: disattivare manualmente servizi Sophos e chiavi Tamper Protection in Safe Mode non è più una normale procedura di disinstallazione. Può lasciare Core Agent incoerente e ostacolare installazioni o registrazioni successive.

Su Windows con Core Agent 2023.2 o successivo, i vecchi passaggi di Recovery dopo eliminazione da Sophos Fusion o scadenza licenza non servono più. Windows Recovery Environment e Registry sono l’ultima via dipendente dalla versione solo se falliscono Sophos Fusion, password locale, SEDcli e ripristino dell’oggetto eliminato.

Anche macOS Recovery non è una procedura standard. Modifica informazioni protette per consentire al programma di disinstallazione di funzionare. Poiché il nome del volume, il volume dati APFS, lo stato di FileVault e la versione dell’agente influenzano il processo, usare solo istruzioni Sophos attuali o Sophos Support.

Quando Enhanced Tamper Protection deve essere disattivata temporaneamente

Oltre a disinstallazione e diagnosi locale, Sophos Endpoint Defense blocca poche operazioni legittime: aggiornamento del sistema operativo, ripristino di un punto di ripristino del sistema Windows e script interni che modificano servizi Sophos, file protetti o autorizzazioni del registro.

Un interruttore disattivato non è una soluzione generale. Su vecchi agenti un difetto corretto poteva lasciare la protezione parzialmente attiva dopo Imaging o modifica del nome volume Windows. Sugli agenti attuali aggiornare prima Core Agent invece di adottare vecchie soluzioni alternative basate su driver e registro.

Dopo la manutenzione

Il percorso sicuro più breve dipende dal metodo utilizzato:

• Override Windows locale: SEDcli.exe -ResumeTP termina immediatamente la finestra. Se è stata usata l’interfaccia, terminare lì l’override locale anziché attendere la scadenza delle quattro ore.
• Un dispositivo in Sophos Fusion: My Environment > Computers & Servers > [dispositivo] > Tamper Protection > Turn on tamper protection.
• API bulk mirata: richiedere enabled: true per gli ID disattivati durante la manutenzione; valutare l’accettazione per ogni ID e verificare la riattivazione effettiva dopo il contatto del dispositivo. Non sovrascrivere senza verifica stati che erano già diversi prima dell’intervento.
• Globale: attivare prima Global Settings > Products and Services > Endpoint and Server > Tamper Protection e scegliere Save. Correggere poi i dispositivi ancora non protetti.

Attendere il successivo contatto riuscito del dispositivo e verificare localmente che Tamper Protection sia attiva. In Sophos Fusion controllare Last activity, Health State e alert aperti. In My Environment > Account Health Check, sia il controllo globale sia quello degli endpoint o server devono essere nuovamente verdi. Eliminare in sicurezza le password annotate temporaneamente.

Le modifiche degli amministratori Sophos Fusion e le correzioni automatiche di Health Check sono consultabili in Reports > General logs > Audit Logs. Il rapporto mostra, tra l’altro, orario, account esecutore, oggetto modificato, descrizione e IP sorgente; per impostazione predefinita copre sette giorni e può arrivare a 90 giorni. Un override puramente locale non costituisce una documentazione completa della manutenzione Sophos Fusion: registrare quindi anche dispositivo, motivo, inizio, fine ed esito della verifica nel sistema di gestione delle modifiche o dei ticket.

Se l’agente deve essere rimosso completamente, seguire Disinstallare Sophos Endpoint in Windows.

Per i Mac vale la procedura separata Disinstallare Sophos Endpoint da macOS.

Problemi frequenti

La password viene rifiutata

Nome computer e record Sophos Fusion devono corrispondere esattamente. Si verificano inoltre layout tastiera, spazi copiati e ultima sincronizzazione. Per un dispositivo eliminato, la password va cercata nell’area dei dispositivi eliminati.

L’interruttore non è disponibile in Sophos Fusion

Si verificano ruolo amministrativo, licenza del prodotto, sistema operativo e stato attuale del dispositivo. Linux non supporta Tamper Protection.

Il dispositivo non reagisce alla modifica

Un dispositivo offline non può ricevere l’impostazione di Sophos Fusion. Si verificano rete, proxy, ora di sistema e ultima attività. Per un dispositivo locale raggiungibile si può usare l’override di quattro ore con la password già recuperata.

Riattivazione, verifica ed escalation

Se password, interruttore Sophos Fusion e SEDcli non cambiano correttamente lo stato, oppure se dopo la riattivazione l’agente rimane non protetto o presenta errori, non tentare workaround su registro, driver o servizi. Raccogliere ID del dispositivo, sistema operativo, versione del Core Agent, orario dell’ultima connessione a Sophos Fusion, messaggio di errore esatto e voce Audit Log interessata, quindi aprire un caso con Sophos Support. Per un dispositivo eliminato, includere data di eliminazione e stato del ripristino.

Domande frequenti