Sophos Central Endpoint op macOS verwijderen
Sophos Endpoint kan op een Mac niet worden verwijderd door de app naar de prullenmand te slepen. Diensten, System Extensions, Network Extensions en beschermde agentcomponenten zouden achterblijven. De ondersteunde methode gebruikt de meegeïnstalleerde tool Remove Sophos Endpoint of Sophos InstallationDeployer in Terminal.
Voor de verwijdering wordt vastgesteld of het apparaat werkelijk buiten gebruik gaat, naar een andere tenant migreert of alleen moet worden hersteld. Alert-, forensische en recoverydata worden zo nodig vooraf veiliggesteld. De computer wordt pas na bevestigde lokale verwijdering uit Sophos Central gewist.
Voorbereiding
Voor de verwijdering is een lokaal macOS-beheerdersaccount nodig. Als Tamper Protection actief is, is daarnaast het individuele apparaatwachtwoord uit My Environment > Computers & Servers > apparaat > Tamper Protection nodig, of wordt de beveiliging vooraf uitsluitend voor dit apparaat uitgeschakeld.
Een offline apparaat kan geen wijziging uit Central ontvangen. In dat geval wordt het eerder in Central opgehaalde apparaatwachtwoord voor de lokale beheerdersaanmelding gebruikt. Het wachtwoord hoort niet in een ticket of permanent implementatiescript.
Geïntegreerde Removal Tool gebruiken
De normale methode is de reeds geïnstalleerde Removal Tool:
- Open Spotlight met
Command + Space. - Zoek naar Remove Sophos.
- Start Remove Sophos Endpoint.
- Bevestig de macOS-beheerdersreferenties en, indien gevraagd, het Tamper-Protection-wachtwoord.
- Rond de procedure volledig af en herstart de Mac als daarom wordt gevraagd.
De app mag niet naar de prullenmand worden gesleept. Ontbreekt de geïntegreerde tool, ruim /Library dan niet handmatig op, maar gebruik de officiële Standalone Removal Tool.
Deïnstallatie in Terminal
Voor een gecontroleerde remote- of MDM-deïnstallatie wordt het geïnstalleerde Sophos-hulpmiddel gebruikt:
cd /Library/Application\ Support/Sophos/saas/Installer.app/Contents/MacOS/tools/
sudo ./InstallationDeployer --remove --tamper_password '<GERAETE_PASSWORT>'
--tamper_password is alleen nodig wanneer Tamper Protection nog actief is. Zonder sudo kan in plaats daarvan een grafisch credentialvenster verschijnen. Bij grootschalige distributie wordt het wachtwoord niet als platte tekst in een script, MDM-log of procesdocumentatie opgeslagen.
Als macOS het vereiste toestemmingsvenster niet toont, noemt Sophos voor ondersteunde versies de UI-variant:
sudo ./InstallationDeployer --remove --ui --tamper_password '<GERAETE_PASSWORT>'
Test het gedrag op de werkelijk gebruikte macOS-versie, omdat Apple de consent- en extensionprocedures tussen hoofdversies wijzigt.
Standalone Removal Tool
Als het ingebouwde deïnstallatieprogramma beschadigd of verwijderd is, levert Sophos een ondertekende Removal Tool for Sophos Endpoint for Mac. Deze wordt alleen rechtstreeks bij Sophos gedownload, uitgepakt en als Remove Sophos Endpoint uitgevoerd. Voor brede distributie worden herkomst en ondertekening net als bij het normale installatieprogramma gecontroleerd.
De Standalone Tool is een herstelmethode en geen reden om de geïntegreerde uninstaller standaard te omzeilen. Als ook deze procedure mislukt, worden SDU-data verzameld voordat verdere bestanden worden gewijzigd.
Een verwijderd of tamper-beschermd apparaat herstellen
Verwijderde apparaten kunnen 30 dagen in Central worden hersteld. De Tamper Protection Recovery-rapportage bewaart wachtwoorden van verwijderde apparaten 120 dagen. De nieuwste vermelding staat bovenaan en maakt de lokale beheerdersaanmelding mogelijk.
Alleen wanneer Central-herstel, apparaatwachtwoord en normale deïnstallatie niet meer mogelijk zijn, documenteert Sophos een macOS Recovery Mode-procedure. Daarbij wordt het juiste APFS-Data-volume geïdentificeerd, bij actieve FileVault ontgrendeld en doelgericht een Sophos-productinformatie aangepast, zodat de Removal Tool weer kan draaien. Deze ingreep is foutgevoelig en wordt daarom rechtstreeks volgens de actuele Sophos-instructie uitgevoerd, niet met een oude gekopieerde reeks commando’s.
Succes controleren en Central opschonen
Na de deïnstallatie wordt gecontroleerd:
- Sophos Endpoint en de menubalkcomponent starten niet meer,
- er blijven geen Sophos Health- of updateprocessen actief,
- de herstart maakt geen nieuwe registratie in de oude tenant,
- MDM of softwaredistributie installeert de agent niet automatisch opnieuw,
- benodigde logs en incidentdata zijn veiliggesteld.
Pas daarna wordt het apparaat uit Central verwijderd. Bij een migratie wordt vervolgens het installatieprogramma van de nieuwe tenant gebruikt en worden de nieuwe apparaatidentiteit, groep, policy en communicatie gecontroleerd.
Als de deïnstallatie mislukt
Leg eerst macOS-versie, lokale beheerdersrechten, Tamper-Protection-status, exacte exitcode en installerlogs vast. Het herhaald handmatig verwijderen van afzonderlijke Sophos-mappen kan de Removal Tool verder beschadigen.
Voor een supportcase worden vóór de volgende ingreep SDU-logs verzameld. Het ticket bevat apparaat, macOS- en agentversie, gebruikte methode, exitcode, tijdstip en de reeds uitgevoerde stappen.
Gerelateerde artikelen
De installatie staat beschreven onder Sophos Central Endpoint op macOS installeren. De tijdelijke lokale override en het Central-herstel worden uitgelegd in Sophos Central Tamper Protection veilig uitschakelen.