Disinstallare Sophos Endpoint con Tamper Protection attivo
Se un dispositivo Windows è stato eliminato da Sophos Fusion (in precedenza Sophos Central) prima di rimuovere localmente Endpoint Agent, non serve applicare indiscriminatamente modifiche al Registry. Le versioni attuali di Sophos Core Agent dispongono di una procedura definita per dispositivi eliminati o con licenza scaduta.
Il metodo corretto dipende dal fatto che il dispositivo sia stato soltanto eliminato, che la licenza sia scaduta e che debba essere nuovamente gestito oppure rimosso definitivamente.
⚠️ Non iniziare con vecchie procedure Registry: Sophos documenta il ripristino manuale solo come ultima risorsa, quando nessuno dei metodi normali per disattivare Tamper Protection è praticabile. Usare prima i percorsi standard Fusion e locale indicati di seguito. Safe Mode, eliminazioni manuali e script Registry di terzi non fanno parte di questa procedura.
Determinare prima il caso
| Stato | Obiettivo | Procedura |
|---|---|---|
| Dispositivo eliminato da meno di 30 giorni | continuare la gestione | ripristinare il dispositivo in Fusion |
| Dispositivo eliminato, agente da rimuovere | rimuovere definitivamente | attendere la sincronizzazione, verificare la protezione locale ed eseguire SophosUninstall.exe |
| Licenza scaduta, gestione da continuare | riconnettere | risolvere la licenza e registrare l’agente con –registeronly |
| Password richiesta su un sistema precedente | manutenzione o disinstallazione | recuperare la password del dispositivo eliminato |
Periodi e comportamento possono cambiare con le versioni dell’agente. Prima dell’intervento vengono documentati sistema operativo, versione di Core Agent, data di eliminazione e tenant.
Prerequisiti e limiti di sicurezza
- accesso amministratore locale e finestra di manutenzione annunciata;
- backup attuale o piano di ripristino verificato;
- versione Windows, architettura, versione Core Agent e componenti Sophos installati documentati;
- accesso al tenant Fusion corretto o amministratore del tenant identificato;
- stato finale definito: rimozione definitiva o nuova protezione nello stesso tenant;
- Server Lockdown disattivato sui server e processo Fusion specifico per ZTNA, Device Encryption o MDR.
Mantenere il dispositivo in Fusion fino alla convalida locale, affinché password, stato, alert e diagnostica restino disponibili. Non ripetere in ciclo una disinstallazione non riuscita: salvare prima codice restituito, log e stato.
Comportamento dei dispositivi Windows attuali
A partire da Core Agent 2023.2, per Windows 10 e versioni successive e Windows Server 2016 e versioni successive vale in generale quanto segue:
- dopo l’eliminazione in Fusion, Tamper Protection viene disattivata localmente;
- i componenti di protezione attivi vengono rimossi o disattivati;
- Core Agent rimane per consentire una disinstallazione supportata o una nuova registrazione;
- normalmente non è necessario recuperare manualmente la password.
Il dispositivo può impiegare tempo per elaborare l’eliminazione o il nuovo stato di licenza. Un dispositivo offline riceve l’informazione soltanto dopo un contatto riuscito.
Sui dispositivi che ospitano Update Cache o Message Relay vengono rimossi anche questi ruoli. Dopo il ripristino devono essere reinstallati e verificati se ancora necessari.
Disattivare Tamper Protection in modo controllato
- Identificare il dispositivo tramite nome computer, sistema operativo e ultima attività.
- Se è ancora attivo in Fusion, scorrere fino a Tamper Protection nei dettagli e disattivarlo oppure scegliere View password details.
- Per una breve manutenzione locale, usare Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours in Sophos Endpoint.
- Se è stato eliminato, usare il ripristino o il recupero password sotto entro il periodo di conservazione.
- Confermare localmente che Tamper Protection sia disattivato prima del programma di disinstallazione o di
--registeronly.
Il processo standard completo è in Disattivare in sicurezza Tamper Protection in Sophos Fusion. Se nessun metodo è disponibile, interrompere l’intervento locale al passaggio al Support; non dedurre autonomamente modifiche a boot, driver o Registry.
Opzione 1: ripristinare il dispositivo eliminato
Sophos Fusion conserva attualmente i dispositivi eliminati per 30 giorni.
- In Sophos Fusion aprire Reports > Reports > Endpoint Protection oppure Server Protection.
- Selezionare Restore deleted devices and recover Tamper Protection passwords.
- Verificare chiaramente nome del computer, sistema operativo e data di eliminazione.
- Selezionare il dispositivo corretto e fare clic su Restore.
- Attendere che ricontatti Fusion.
- Controllare Agent Mode, policy, Health State e ultima attività.
Il ripristino è utile se il computer deve continuare a essere protetto e gestito. Per un offboarding definitivo è necessario solo se password o stato di gestione non possono essere ripristinati correttamente in altro modo.
Opzione 2: disinstallare definitivamente l’agente
Se Tamper Protection è già disattivata, eseguire il programma ufficiale da un prompt dei comandi aperto come amministratore:
"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet
Su un server, prima sbloccare Server Lockdown in Fusion. Sophos richiede un riavvio dopo la rimozione; quindi verificare applicazioni installate, servizi Sophos e provider di protezione registrato. La procedura completa è in Disinstallare Sophos Endpoint in Windows.
Questo eseguibile si applica a Windows 10 (x64) e successivi e Windows Server 2016 e successivi con Core Agent supportato. Le piattaforme legacy usano uninstallgui.exe per la rimozione interattiva o uninstallcli.exe --quiet dalla stessa directory. Non sostituisce il processo Fusion per software protetto come ZTNA, Device Encryption o MDR.
Per la distribuzione batch, salvare il comando completo tra virgolette sopra con estensione .bat, mantenendo la virgoletta iniziale, ed eseguire lo script sui dispositivi previsti.
Opzione 3: registrare nuovamente l’agente nel tenant
Se il dispositivo deve continuare a essere gestito, un installer attuale del tenant Sophos Fusion corretto può rinnovare la registrazione:
SophosSetup.exe --registeronly
Per usare --registeronly, Tamper Protection deve essere disattivato. Core Agent 2023.2 o versione successiva lo fa automaticamente dopo l’eliminazione o la scadenza della licenza; negli altri casi di migrazione deve essere disattivato in modo controllato prima del comando.
L’installer è associato al tenant e viene scaricato nuovamente da My Environment > Installers. In Fusion si controllano almeno:
- tenant e nome computer corretti;
- Agent Mode e prodotti con licenza;
- gruppo computer previsto;
- policy assegnate;
- stato integro e componenti aggiornati;
- nessun alert di registrazione o licenza.
--registeronly non sostituisce la riparazione di un’installazione danneggiata. Se Core Agent o i componenti di comunicazione sono difettosi, prima vengono salvati log e stato.
Recuperare la password di un dispositivo eliminato
Sophos Fusion conserva nel report i dispositivi eliminati e le relative password Tamper Protection per 120 giorni, ma l’oggetto dispositivo può essere ripristinato solo nei primi 30 giorni. La password è rilevante soprattutto per piattaforme o versioni dell’agente precedenti.
Se il record di audit serve oltre 120 giorni, esportare il report prima della scadenza e proteggere adeguatamente i dati password esportati.
- Aprire Reports > Reports > Endpoint Protection oppure Server Protection.
- Selezionare Restore deleted devices and recover Tamper Protection passwords.
- Identificare chiaramente il dispositivo tramite più attributi.
- Nella colonna Tamper Protection password, fare clic su Password details. Fusion mostra prima la password attuale, cioè quella utilizzata più di recente, seguita da quelle precedenti.
- Usare la password attuale soltanto durante la finestra di manutenzione ed eliminare poi le copie temporanee.
La password di un altro dispositivo non funziona. Se il record supera il periodo di conservazione, non si sperimentano modifiche al Registry, ma si segue la procedura di supporto Sophos attuale.
Licenza scaduta
Dopo l’attivazione di una nuova licenza, i dispositivi Windows attuali possono essere ripristinati se non sono trascorsi più di 90 giorni dalla scadenza della licenza. Dopo 90 giorni, eseguire un programma di installazione corrente associato al tenant con --registeronly per reinstallare e registrare l’agente. Prima devono essere definiti tenant e licenza valida.
Se il dispositivo viene ritirato definitivamente, segue la disinstallazione locale. Se continua a essere utilizzato, dopo la registrazione si verifica che tutti i prodotti di protezione e le policy previsti siano realmente attivi.
Troubleshooting
Il dispositivo è ripristinato in Fusion ma rimane offline
Vengono verificati rete, proxy, DNS, ora di sistema e servizi di gestione Sophos. Inoltre installer e record devono appartenere al tenant corretto.
Tamper Protection rimane attiva
Attendere la sincronizzazione, quindi verificare una sola volta i metodi Fusion, password, override di quattro ore e ripristino descritti sopra. Se la protezione resta attiva, non forzare il programma di disinstallazione né avviare SophosZap.
SophosUninstall.exe manca o si interrompe
Indica un’installazione danneggiata o incompleta. Salvare i log di installazione e disinstallazione, il codice restituito e lo stato del dispositivo. Completare un eventuale riavvio già in sospeso prima di verificare nuovamente lo stato. Non rimuovere per tentativi singoli pacchetti MSI, servizi o chiavi Registry, perché può diventare più difficile una successiva riparazione.
SophosZap solo dopo il fallimento della disinstallazione standard
SophosZap è uno strumento Windows di ultima istanza solo quando Tamper Protection è dimostrabilmente disattivato e la disinstallazione standard è comunque fallita o incompleta; il rilevamento euristico comporta rischi aggiuntivi. Non aggira password sconosciute, Server Lockdown o processi Fusion protetti. Supporta HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, endpoint gestiti da Enterprise Console, Sophos Home, Sophos Anti-Virus, Sophos Clean e altri prodotti standalone. Si arresta con Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin o Sophos Update Manager; rimuovere prima normalmente il prodotto incompatibile.
Verificare download e firma
Confermare Windows 7 o successivo, accesso amministratore, Tamper Protection disattivata e backup. ARM64 richiede SophosZap 1.2.3.0 o successivo. Scaricare una copia attuale subito prima della manutenzione. Verificare File version in Properties > Details e una firma Sophos valida in Properties > Digital Signatures; in alternativa usare PowerShell:
$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
throw 'SophosZap signature validation failed'
}
PowerShell verifica intenzionalmente in modalità fail-closed soltanto che lo stato Authenticode sia Valid e che sia presente un certificato; non autorizza tramite sottostringa il Subject completo visualizzato. Un amministratore deve confrontare esattamente tale valore con l’identità prevista del publisher, verificata separatamente tramite documentazione ufficiale Sophos aggiornata o Sophos Support. Senza corrispondenza esatta, con firma assente o non valida oppure con una versione troppo vecchia per ARM64, non eseguire il file: eliminarlo e scaricarlo di nuovo. Un hash locale senza valore atteso pubblicato indipendentemente non sostituisce la firma.
Eseguire e gestire l’output
Eseguire lo strumento verificato dalla directory locale in un prompt elevato:
SophosZap --confirm
Seguire esattamente l’output. A Reboot and re-execute, riavviare, eseguire lo stesso comando esattamente ancora una volta come amministratore e riavviare di nuovo. Possono servire riavvii aggiuntivi. Il log incrementale è in %TEMP%. Se compare INFO : Reboot will be required. An update remains in progress., completare il riavvio richiesto invece di forzare la pulizia in parallelo. SophosZap è solo per Windows. Su alcuni Windows 8.1 Windows Defender va avviato manualmente in seguito.
Convalidare il risultato e passare al Support
Dopo il riavvio finale, controllare app installate, servizi Sophos attivi, interfaccia Sophos e provider registrato in Windows Security. Una cartella residua non basta a indicare errore. Per la rimozione definitiva verificare la protezione sostitutiva; se il dispositivo resta protetto, reinstallare o registrare Sophos e controllare tenant, Agent Mode, prodotti, policy e stato. Eliminare l’oggetto Fusion solo dopo la convalida locale.
Se Tamper Protection resta attivo o non è disponibile alcun metodo supportato per disattivarlo, aprire direttamente un caso Sophos Support. Fare lo stesso se la disinstallazione standard e la ripetizione esattamente una volta di SophosZap restano incomplete. Il recupero manuale di ultima istanza ha tre rami distinti e non intercambiabili: Windows desktop/server attuale, Server Core 2012 o successivo e Windows 7 o Windows Server 2008 R2. Poiché può coinvolgere Windows Recovery e il driver Endpoint Defense, le modifiche a boot, driver e Registry dipendenti da piattaforma e versione non sono riprodotte qui e devono essere eseguite solo secondo indicazioni Sophos aggiornate.
Inviare identificativi di tenant e dispositivo, Windows e architettura, versioni Core Agent e SophosZap, componenti installati, stati Tamper Protection e Server Lockdown, obiettivo, comandi esatti con orari e codici restituiti, SophosZap log.txt, file Sophos da %TEMP% e C:\Windows\Temp, log di disinstallazione e nuovo SDU. Caricare archivi riservati solo tramite l’upload previsto del caso.
Dopo –registeronly mancano prodotti
La nuova registrazione non ripristina automaticamente ogni componente desiderato. In My Environment > Computers & Servers si verificano Agent Mode e Manage device software. Il dispositivo deve quindi ricevere configurazione e update completi.