Sophos Endpoint met actieve Tamper Protection verwijderen

Is een Windows-apparaat uit Sophos Fusion (voorheen Sophos Central) verwijderd voordat de Endpoint Agent lokaal was gedeïnstalleerd, dan is geen algemene Registry-hack nodig. Actuele Sophos Core Agent-versies hebben een vastgelegde procedure voor verwijderde apparaten of verlopen licenties.

De juiste methode hangt ervan af of alleen het apparaat is verwijderd, de licentie is verlopen en of het apparaat opnieuw moet worden beheerd of definitief wordt verwijderd.

⚠️ Begin niet met oude Registry-handleidingen: Sophos documenteert handmatig herstel alleen als laatste redmiddel wanneer geen normale methode om Tamper Protection uit te schakelen bruikbaar is. Gebruik eerst de onderstaande standaardroutes in Fusion en op het apparaat. Safe Mode, handmatig verwijderen en Registry-scripts van derden horen niet bij deze procedure.

Eerst de situatie bepalen

Bewaartermijnen en gedrag kunnen met agentversies veranderen. Documenteer vóór ingrepen het besturingssysteem, de Core Agent-versie, het verwijderingstijdstip en de tenant.

Vereisten en veiligheidsgrenzen

• lokale administratortoegang en een aangekondigd onderhoudsvenster
• actuele back-up of getest herstelplan
• vastgelegde Windows-versie, architectuur, Core Agent-versie en geïnstalleerde Sophos-componenten
• toegang tot de juiste Fusion-tenant of een aangewezen tenantbeheerder
• vastgelegd einddoel: definitieve verwijdering of hernieuwde bescherming in dezelfde tenant
• Server Lockdown uit op servers; de betreffende Fusion-offboarding voor ZTNA, Device Encryption of MDR

Laat het apparaat in Fusion totdat lokale validatie slaagt, zodat wachtwoord, status, alerts en diagnostiek beschikbaar blijven. Herhaal een mislukte deïnstallatie niet in een lus; leg eerst returncode, log en apparaatstatus vast.

Gedrag van actuele Windows-apparaten

Vanaf Core Agent 2023.2 geldt voor Windows 10 en nieuwer en Windows Server 2016 en nieuwer in principe:

• Na verwijdering in Fusion wordt Tamper Protection lokaal uitgeschakeld.
• Actieve beveiligingscomponenten worden verwijderd of uitgeschakeld.
• De Core Agent blijft achter voor ondersteunde verwijdering of herregistratie.
• Handmatig wachtwoordherstel is doorgaans niet nodig.

Het apparaat kan enige tijd nodig hebben om de verwijdering of gewijzigde licentiestatus te verwerken. Een offline apparaat ontvangt deze informatie pas na succesvol contact.

Op apparaten met Update Cache of Message Relay worden ook deze rollen verwijderd. Installeer en controleer ze na herstel opnieuw als ze nog nodig zijn.

Tamper Protection gecontroleerd uitschakelen

1. Identificeer het apparaat via computernaam, besturingssysteem en laatste activiteit.
2. Is het nog actief in Fusion, ga dan in de details naar Tamper Protection en schakel die uit of kies View password details.
3. Gebruik voor kort lokaal onderhoud Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours in Sophos Endpoint.
4. Is het verwijderd, gebruik dan binnen de bewaartermijn het herstel- of wachtwoordproces hieronder.
5. Bevestig lokaal dat Tamper Protection uitstaat voordat u het deïnstallatieprogramma of --registeronly start.

De volledige standaardprocedure staat in Sophos Fusion Tamper Protection veilig uitschakelen. Is geen route beschikbaar, stop dan lokaal bij de overdracht aan Support; leid zelf geen boot-, driver- of Registry-wijzigingen af.

Optie 1: Verwijderd apparaat herstellen

Sophos Fusion bewaart verwijderde apparaten momenteel 30 dagen voor herstel.

1. Open in Sophos Fusion Reports > Reports > Endpoint Protection of Server Protection.
2. Selecteer Restore deleted devices and recover Tamper Protection passwords.
3. Controleer computernaam, besturingssysteem en verwijderingstijdstip eenduidig.
4. Selecteer het juiste apparaat en klik op Restore.
5. Wacht totdat het opnieuw contact opneemt met Fusion.
6. Controleer Agent Mode, policies, Health State en laatste activiteit.

Herstel is zinvol wanneer de computer beschermd en beheerd moet blijven. Voor definitieve offboarding is het alleen nodig wanneer wachtwoord of beheerstatus anders niet correct kunnen worden hersteld.

Optie 2: Agent definitief deïnstalleren

Wanneer Tamper Protection al is uitgeschakeld, voert u het officiële deïnstallatieprogramma uit in een als administrator geopende opdrachtprompt:

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Ontgrendel op een server eerst Server Lockdown in Fusion. Sophos vereist na verwijdering een herstart; controleer daarna geïnstalleerde apps, Sophos-services en de geregistreerde beveiligingsprovider. De volledige procedure staat in Sophos Endpoint onder Windows verwijderen.

Dit uitvoerbare bestand geldt voor Windows 10 (x64) en nieuwer en Windows Server 2016 en nieuwer met een ondersteunde Core Agent. Legacy-platformen gebruiken uninstallgui.exe voor interactieve verwijdering of uninstallcli.exe --quiet vanuit dezelfde map. Gebruik deze Endpoint-opdracht niet in plaats van het Fusion-proces voor beschermde software zoals ZTNA, Device Encryption of MDR.

Sla voor batchdistributie de volledige aangehaalde opdracht hierboven met extensie .bat op, behoud het openingsaanhalingsteken en voer het script op de bedoelde apparaten uit.

Optie 3: Agent opnieuw bij de tenant registreren

Wanneer het apparaat beheerd moet blijven, kan een actuele installer uit de juiste Sophos Fusion-tenant de registratie vernieuwen:

SophosSetup.exe --registeronly

Tamper Protection moet zijn uitgeschakeld voordat --registeronly wordt gebruikt. Core Agent 2023.2 of nieuwer doet dit automatisch na verwijdering of het verlopen van de licentie; schakel de bescherming in andere migraties gecontroleerd uit voordat u de opdracht uitvoert.

De installer is tenantgebonden en wordt opnieuw gedownload onder My Environment > Installers. Controleer daarna in Fusion minimaal:

• juiste tenant en computernaam
• Agent Mode en gelicentieerde producten
• beoogde computergroep
• toegewezen policies
• gezonde status en actuele componenten
• geen open registratie- of licentiealerts

--registeronly vervangt geen reparatie van een beschadigde installatie. Stel eerst logs en status veilig wanneer de Core Agent of communicatiecomponenten defect zijn.

Wachtwoord van een verwijderd apparaat opvragen

Sophos Fusion bewaart verwijderde apparaten en hun Tamper Protection-wachtwoorden 120 dagen in dit rapport, maar het apparaatobject kan alleen in de eerste 30 dagen worden hersteld. Het wachtwoord is vooral relevant voor oudere platformen of agentversies.

Exporteer het rapport vóór het einde van de termijn als de auditregistratie langer dan 120 dagen nodig is en beveilig de geëxporteerde wachtwoordgegevens passend.

1. Open Reports > Reports > Endpoint Protection of Server Protection.
2. Selecteer Restore deleted devices and recover Tamper Protection passwords.
3. Identificeer het apparaat aan de hand van meerdere kenmerken.
4. Klik in de kolom Tamper Protection password op Password details. Fusion toont eerst het actuele, laatst gebruikte wachtwoord, gevolgd door eerdere wachtwoorden.
5. Gebruik het actuele wachtwoord alleen tijdens het onderhoudsvenster en verwijder tijdelijke kopieën daarna.

Het wachtwoord van een ander apparaat werkt niet. Is het object ouder dan de bewaartermijn, experimenteer dan niet met Registry-wijzigingen, maar gebruik de actuele Sophos Support-procedure.

Verlopen licentie

Na activering van een nieuwe licentie kunnen actuele Windows-apparaten worden hersteld als de licentie niet langer dan 90 dagen geleden is verlopen. Voer na 90 dagen een actueel tenantgebonden installatieprogramma uit met --registeronly om de agent opnieuw te installeren en te registreren. Controleer eerst de tenant en geldige licentie.

Bij definitieve uitfasering volgt lokale deïnstallatie. Bij verder gebruik moet na registratie worden gecontroleerd of alle verwachte beveiligingsproducten en policies weer actief zijn.

Troubleshooting

Apparaat is hersteld in Fusion, maar blijft offline

Controleer netwerk, proxy, DNS, systeemtijd en Sophos-beheerservices. Zorg bovendien dat installer en object bij de juiste tenant horen.

Tamper Protection blijft actief

Wacht op synchronisatie en controleer daarna eenmaal de bovenstaande routes via Fusion, wachtwoord, vieruurs-override en herstel. Blijft de bescherming actief, forceer dan het deïnstallatieprogramma niet en start SophosZap niet.

SophosUninstall.exe ontbreekt of wordt afgebroken

Dit wijst op een beschadigde of onvolledige installatie. Stel installatie- en deïnstallatielogs, de returncode en de apparaatstatus veilig. Rond een al openstaande herstart af voordat u de status opnieuw controleert. Verwijder niet op goed geluk losse MSI-pakketten, services of Registry-sleutels, omdat dit later herstel kan bemoeilijken.

SophosZap alleen na mislukte standaarddeïnstallatie

SophosZap is alleen een laatste Windows-redmiddel als Tamper Protection aantoonbaar uitstaat en standaardverwijdering toch mislukt of onvolledig blijft; heuristische detectie geeft extra risico. Het omzeilt geen onbekend wachtwoord, Server Lockdown of beschermd Fusion-offboardingproces. Ondersteund zijn HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, door Enterprise Console beheerde endpoints, Sophos Home, Sophos Anti-Virus, Sophos Clean en andere zelfstandige producten. De tool stopt bij Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin of Sophos Update Manager; verwijder dat incompatibele product eerst normaal.

Download en handtekening controleren

Bevestig Windows 7 of nieuwer, administratortoegang, uitgeschakelde Tamper Protection en back-ups. ARM64 vereist SophosZap 1.2.3.0 of nieuwer. Download vlak vóór onderhoud een actuele kopie. Controleer File version onder Properties > Details en een geldige Sophos-handtekening onder Properties > Digital Signatures, of gebruik PowerShell:

$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
    throw 'SophosZap signature validation failed'
}

PowerShell controleert hier bewust fail-closed alleen of de Authenticode-status Valid is en een certificaat aanwezig is; de weergegeven volledige Subject wordt niet via een deeltekenreeks toegestaan. Een administrator moet die waarde exact vergelijken met de verwachte uitgeversidentiteit die afzonderlijk via actuele officiële Sophos-documentatie of Sophos Support is geverifieerd. Voer het bestand niet uit zonder exacte overeenkomst, bij een ontbrekende of ongeldige handtekening of bij een voor ARM64 te oude versie; verwijder het en download opnieuw. Een lokale hash zonder onafhankelijk gepubliceerde verwachte waarde vervangt de handtekening niet.

Uitvoeren en output behandelen

Voer de gecontroleerde tool vanuit de lokale map uit in een verhoogde opdrachtprompt:

SophosZap --confirm

Volg de uitvoer exact. Bij Reboot and re-execute: herstart, voer dezelfde opdracht exact nog één keer als administrator uit en herstart opnieuw. Extra herstarts kunnen nodig zijn. Het uitbreidbare log staat in %TEMP%. Wordt INFO : Reboot will be required. An update remains in progress. gemeld, rond dan de gevraagde herstart af in plaats van parallel opruiming te forceren. SophosZap werkt alleen op Windows. Op sommige Windows 8.1-systemen moet Windows Defender daarna handmatig worden gestart.

Resultaat valideren en aan Support overdragen

Controleer na de laatste herstart geïnstalleerde apps, actieve Sophos-services, de Sophos-interface en de provider in Windows Security. Alleen een resterende map is geen fout. Controleer bij definitieve verwijdering de opvolgende bescherming; als het apparaat beschermd blijft, installeer of registreer Sophos opnieuw en controleer tenant, Agent Mode, producten, policies en status. Verwijder het Fusion-object pas na lokale validatie.

Blijft Tamper Protection actief of is geen ondersteunde uitschakelmethode beschikbaar, open dan direct een Sophos Support-case. Doe hetzelfde als de standaarddeïnstallatie en de exact eenmaal herhaalde SophosZap-run onvolledig blijven. Handmatig laatste-redmiddelherstel heeft drie afzonderlijke, niet-uitwisselbare routes: actueel desktop-/server-Windows, Server Core 2012 of later en Windows 7 of Windows Server 2008 R2. Omdat dit Windows Recovery en het Endpoint Defense-stuurprogramma kan omvatten, worden platform- en versiegevoelige boot-, driver- en Registry-wijzigingen hier bewust niet weergegeven en alleen onder actuele Sophos-begeleiding uitgevoerd.

Lever tenant- en apparaat-ID, Windows-versie en architectuur, Core Agent- en SophosZap-versie, geïnstalleerde componenten, Tamper Protection- en Server Lockdown-status, doel, exacte opdrachten met tijden en returncodes, SophosZap log.txt, Sophos-bestanden uit %TEMP% en C:\Windows\Temp, uninstall-logs en een nieuwe SDU. Upload vertrouwelijke archieven alleen via de aangewezen upload van de case.

Na –registeronly ontbreken producten

Herregistratie herstelt niet automatisch elke gewenste productcomponent. Controleer onder My Environment > Computers & Servers de Agent Mode en Manage device software. Daarna moet het apparaat de volledige configuratie en updates ontvangen.

Veelgestelde vragen