Sophos Endpoint verwijderen in Windows

Een correcte Endpoint-verwijdering bestaat uit twee afzonderlijke werkzaamheden. Eerst wordt de Sophos-software van het Windows-apparaat verwijderd. Pas daarna wordt het overbodige apparaatobject in Sophos Fusion (voorheen Sophos Central) verwijderd.

Deze volgorde is belangrijk. Verwijderen in Sophos Fusion is geen remote deïnstallatie. Het verwijdert het object en de bijbehorende alerts, maar laat een nog geïnstalleerde agent op de computer staan.

Voor de start

• lokale beheerderstoegang
• actief onderhoudsvenster
• Tamper Protection voor dit apparaat uitgeschakeld
• taal van het deïnstallatieprogramma komt overeen met de taal van de geïnstalleerde Sophos Endpoint-versie
• herstel- of rollbackplan
• geen lopende cleanup of investigation waarvoor de Endpoint nog nodig is

Hoe de bescherming lokaal vier uur of per apparaat in Sophos Fusion wordt uitgeschakeld, staat in Sophos Fusion Tamper Protection veilig uitschakelen.

Niet te vroeg verwijderen: Laat een apparaat tot na de geslaagde lokale deïnstallatie in Sophos Fusion staan. Zo blijven wachtwoord, status en diagnosegegevens beschikbaar.

Ondersteunde verwijderingsmethode

Sophos biedt in Windows één centraal deïnstallatieprogramma:

C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe

1. Schakel Tamper Protection voor het apparaat uit.
2. Open Command Prompt of PowerShell met beheerdersrechten.
3. Start SophosUninstall.exe vanuit het genoemde pad.
4. Voltooi de wizard en start Windows daarna opnieuw op om de verwijdering af te ronden.
5. Controleer daarna of Sophos-services, de beveiligingsinterface en geïnstalleerde Sophos-applicaties zijn verwijderd.

Als alternatief kan Sophos Endpoint Agent in Windows 10 worden verwijderd via Settings > Apps > Apps & features en in Windows 11 via Settings > Apps > Installed apps. Windows start daarbij hetzelfde ondersteunde deïnstallatieprogramma.

Onbeheerde verwijdering

Voor softwaredistributie of gecontroleerde offboarding ondersteunt het programma een stille opdracht:

PowerShell

& "C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Opdrachtprompt of .bat-bestand

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Voor enkele apparaten blijft interactieve verwijdering via Settings > Apps of het deïnstallatieprogramma de normale methode; gebruik --quiet alleen voor gecontroleerde, herhaalbare distributie. Deze opdracht geldt voor Windows 10 (x64) en nieuwer en voor Windows Server 2016 en nieuwer, met een ondersteunde Core Agent. Op legacyplatforms specificeert Sophos in plaats daarvan uninstallcli.exe --quiet in dezelfde map; interactieve legacyverwijdering gebruikt uninstallgui.exe. Inventariseer vóór brede distributie het besturingssysteem, de architectuur en de Core Agent-versie. Behoud in een batchbestand de aanhalingstekens rond het volledige pad en sla het bestand op met de extensie .bat.

Met --language=<LanguageID> kan de taal van het deïnstallatieprogramma worden ingesteld met een standaard decimale of hexadecimale taal-ID. Deze moet overeenkomen met de taal van de geïnstalleerde Sophos Endpoint-versie. Het distributiesysteem moet exitcode, geïnstalleerde applicaties en een mogelijke herstart evalueren. Alleen het beëindigen van het proces bewijst geen succes.

De numerieke returncodes worden niet als algemene Windows-codes geïnterpreteerd:

Sophos documenteert het deïnstallatielog als C:\Windows\Temp\Sophos Endpoint Agent. Bij code 8 wordt eerst de reeds openstaande herstart uitgevoerd en daarna het apparaat opnieuw beoordeeld. Bij andere foutcodes adviseert Avanet niet door te gaan met herhaalde herstarts of opdrachten. Start Windows na de verwijdering opnieuw op voordat u de onderstaande validatie uitvoert. Deze laatste herstart is verplicht na zowel interactieve verwijdering als verwijdering via de opdrachtregel of een batchbestand, ook wanneer code 0 betekent dat het deïnstallatieprogramma er zelf niet om vraagt.

Grenzen en rollback van stille distributie

--quiet verbergt de wizard, maar neemt voorwaarden en productafhankelijkheden niet weg. Gebruik op apparaten met ZTNA, Device Encryption of MDR eerst de procedure Install or uninstall software in Sophos Fusion. Bevestig vóór het onderhoud encryptieherstel, blijvende apparaattoegang en continuïteit van de afgesproken monitoring.

Er is geen betrouwbare actuele matrix waaruit algemene leveranciersgoedkeuringen voor combinaties met andere beveiligingssoftware kunnen worden afgeleid. Inventariseer vóór grootschalige verwijdering de werkelijk geïnstalleerde producten en versies en test precies die combinatie in een kleine pilotgroep. Als een product de verwijdering blokkeert of beïnvloedt, stuur dan het concrete geval met logs door naar de betrokken leveranciers; niet-ondersteunde of niet-geverifieerde leveranciersspecifieke aannames over co-existentie vervangen deze test niet.

Een deïnstallatie heeft geen automatische rollback. Avanet adviseert te beginnen met een kleine pilotgroep en een actuele tenantgebonden installer en toegang tot herstelinformatie beschikbaar te houden. Markeer het apparaat bij een mislukte validatie niet als succesvol afgevoerd: bewaar logs en toestand en isoleer het zo nodig als veiligheidsadvies van Avanet; herstel daarna de gedocumenteerde bescherming of escaleer naar Sophos Support.

Niet verwarren met «Manage software»

Onder My Environment > Computers & Servers kan Manage software afzonderlijke beveiligingsproducten verwijderen of de Agent Mode wijzigen. De Sophos Core Agent blijft geïnstalleerd voor beheer en latere productwijzigingen.

Voor volledige offboarding blijft SophosUninstall.exe daarom nodig. Manage software is geschikt voor een gecontroleerde wijziging van de productomvang, niet voor definitieve verwijdering.

Deïnstallatie controleren

Nadat de wizard of stille opdracht is voltooid en Windows opnieuw is opgestart, worden minimaal deze punten gecontroleerd:

• Sophos Endpoint Agent staat niet meer onder de geïnstalleerde apps.
• Het Sophos-schild en de lokale Endpoint-interface zijn verwijderd.
• Sophos-beveiligingsservices draaien niet meer.
• Het geplande opvolgende product is actief en actueel.
• Windows Security toont de verwachte beveiligingsprovider.
• Het apparaat heeft geen open Sophos-herstart of onvoltooid verwijderingsproces.

Een achtergebleven map bewijst op zichzelf geen actieve installatie. Actieve services, geregistreerde producten en de beveiligingsprovider zijn betrouwbaarder.

Apparaat daarna uit Sophos Fusion verwijderen

Pas na de lokale controle volgt de opschoning in Sophos Fusion:

1. Open My Environment > Computers & Servers.
2. Selecteer het verwijderde apparaat.
3. Bevestig Delete.
4. Controleer of het object niet meer in de actieve apparaatlijst verschijnt.

Bij verwijdering gaan de aan het apparaat gekoppelde alerts verloren. Benodigde informatie wordt daarom vooraf vastgelegd. Sophos bewaart verwijderde apparaten momenteel 30 dagen voor herstel.

Als het apparaat al is verwijderd of de licentie is verlopen

Met Core Agent 2023.2 of nieuwer op Windows 10 of nieuwer of Windows Server 2016 of nieuwer is handmatig herstel van het Tamper Protection-wachtwoord na verwijdering van het apparaat of het verlopen van de licentie normaal niet nodig. Een verwijderd apparaat kan 30 dagen worden hersteld; het Tamper Protection-wachtwoord blijft 120 dagen vermeld onder Reports > Reports > Endpoint Protection (of Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Gebruik de oude Registry- en Safe Mode-methode niet. Volg voor de ondersteunde procedure en uitzonderingen Sophos Endpoint na verwijdering uit Sophos Fusion deïnstalleren.

Troubleshooting

SophosUninstall.exe meldt actieve Tamper Protection

Controleer opnieuw de status van Tamper Protection: open My Environment > Computers & Servers, selecteer de apparaatnaam en scrol naar Tamper Protection. Voor korte werkzaamheden is de lokale override van vier uur geschikt. Als het apparaat al is verwijderd of de licentie is verlopen, volgt u in plaats daarvan de hierboven gekoppelde afzonderlijke herstelprocedure.

SophosUninstall.exe ontbreekt

Controleer eerst of de Sophos Core Agent nog correct is geïnstalleerd. Ruim een beschadigde of gedeeltelijk verwijderde agent niet op met willekeurige losse MSI-bestanden of Registry-verwijderingen. Stel de Sophos-installatielogs veilig en gebruik de actuele reparatie- of supportprocedure.

Apparaat verschijnt na verwijdering opnieuw in Sophos Fusion

Waarschijnlijk is nog een actieve of opnieuw geïnstalleerde beheercomponent aanwezig. Controleer softwaredistributie, Golden Image, RMM-taken en de lokale Core Agent. Het apparaatobject opnieuw verwijderen zonder oorzaakanalyse lost dit niet op.

Deïnstallatie draait, maar eindigt niet

Controleer eerst of de taal van het deïnstallatieprogramma overeenkomt met de taal van de geïnstalleerde Sophos Endpoint-versie. Controleer daarnaast actieve Sophos-cleanups, Windows Installer, openstaande herstarts en andere securitysoftware. Stel daarna installatie- en deïnstallatielogs veilig voordat verdere ingrepen volgen.

RemoveSIPSSubmitterUserAccount mislukt

Een fout bij RemoveSIPSSubmitterUserAccount wijst op een al gedeeltelijk verwijderde agent. Verzamel volledige SDU- en uninstall-logs, maar maak of wijzig geen niet-geverifieerde Registry-waarden. Avanet adviseert SophosUninstall.exe na het oplossen van een duidelijk aangetoonde blokkade hoogstens één keer opnieuw uit te voeren.

Als de verwijdering onvolledig blijft, probeer dan geen handmatige cleanup met MSI, Registry of Safe Mode en voer SophosZap niet op goed geluk uit. Geef Sophos Support het SDU-archief, deïnstallatielog, returncode, besturingssysteem en architectuur, Core Agent-versie, exacte opdracht en tijd, plus de status van Tamper Protection en waar van toepassing ZTNA, Device Encryption of MDR.

SophosZap is uitsluitend een laatste redmiddel

SophosZap is niet de normale verwijderingsmethode en ook geen manier om actieve Tamper Protection te omzeilen. Overweeg deze heuristische cleanup-tool pas nadat aantoonbaar is vastgesteld dat Tamper Protection uitstaat en SophosUninstall.exe desondanks is mislukt of een onvolledige verwijdering heeft achtergelaten. Zijn deze voorwaarden niet ondubbelzinnig vervuld, stop dan de lokale pogingen en draag de case over aan Sophos Support.

De gecontroleerde procedure voor een actuele, ondertekende download, ondersteunde en incompatibele Sophos-producten, herstartafhandeling, de loglocatie en stopvoorwaarden staat in het SophosZap-gedeelte van Sophos Endpoint ondanks Tamper Protection verwijderen. Controleer die detailprocedure direct vóór gebruik opnieuw; neem SophosZap niet preventief op in algemene verwijderingspakketten.

Veelgestelde vragen