Sophos Fusion Tamper Protection veilig uitschakelen

Tamper Protection beschermt Sophos-services, instellingen en deïnstallatie tegen lokale wijzigingen. Het is geen gemaksschakelaar, maar een belangrijke barrière tegen aanvallers die Endpoint-bescherming eerst willen uitschakelen.

De huidige agent gebruikt ook Enhanced Tamper Protection van Sophos Endpoint Defense. Deze bescherming voorkomt niet alleen wijzigingen via de Sophos-interface, maar beschermt ook Sophos-processen, services, bestanden, mappen en registersleutels tegen lokale beheerders en programma’s, waaronder softwaredistributietools. Alleen een Windows-service stoppen of het opstarttype wijzigen volstaat dus niet.

Schakel de bescherming voor onderhoud en foutanalyse daarom zo kort en zo beperkt uit als nodig. Meestal volstaat de lokale override van maximaal vier uur. Voor een goedgekeurde apparaatset kan de API de wijziging beperken tot expliciete apparaat-ID’s. Globaal uitschakelen treft daarentegen alle beheerde apparaten en is alleen te overwegen als die volledige omvang werkelijk nodig is.

⚠️ Niet verwarren met een policy: Tamper Protection beschermt de agent zelf. Threat Protection, Web Control en andere Endpoint-functies worden via eigen policies beheerd.

Welke methode past?

Voor reeds ingerichte en goedgekeurde automatisering beschrijft het Endpoint-API-proces voor Tamper Protection gerichte ID-selectie, apparaatondersteuning, machtigingen en foutbeoordeling. HTTP 202 bevestigt alleen acceptatie, niet uitvoering op het apparaat. Uitschakeling via de API is geen vieruurs-override: plan herinschakeling en controle per apparaat. Ook wachtwoordregeneratie vervangt deze terugkeer niet.

Voor wijzigingen in Sophos Fusion (voorheen Sophos Central) is een rol met de vereiste beheerdersrechten nodig. De functie is beschikbaar voor Windows en macOS, niet voor Linux.

Tamper Protection voor één apparaat uitschakelen

Meld u aan op fusion.sophos.com. De huidige ingang in Sophos Fusion is My Environment > Computers & Servers.

1. Open het betrokken apparaat.
2. Selecteer in het apparaatgedeelte Tamper Protection.
3. Bevestig Turn off tamper protection.
4. Wacht totdat het apparaat de wijziging heeft opgehaald.
5. Controleer lokaal of de geplande onderhoudsactie mogelijk is.

De wijziging blijft actief totdat Tamper Protection voor het apparaat opnieuw wordt ingeschakeld. Een offline apparaat verwerkt deze pas bij het volgende succesvolle contact met Sophos Fusion.

Wachtwoord van een apparaat tonen

Voor de lokale override is het unieke apparaatwachtwoord nodig:

1. Open het apparaat onder My Environment > Computers & Servers.
2. Scrol naar Tamper Protection en selecteer View password details.
3. Toon het wachtwoord en geef het alleen aan de uitvoerende persoon.
4. Bewaar het na afloop niet in tickets, chats of onbeveiligde notities.

Elk apparaat heeft een eigen wachtwoord. Een wachtwoord uit een ander Endpoint-object werkt niet.

Generate New Password maakt een wachtwoord voor precies dit apparaat. Sophos Fusion biedt geen gedeeld wachtwoord voor alle endpoints en servers.

Windows: bescherming lokaal vier uur onderbreken

1. Open Sophos Endpoint via het schildpictogram.
2. Kies Admin sign-in of Admin-Login.
3. Voer het Tamper Protection-wachtwoord van het apparaat in.
4. Open Settings.
5. Activeer Override Sophos Central Policy for up to 4 hours voor troubleshooting.
6. Schakel Tamper Protection onder de lokale gebruikersbesturing uit.

De override eindigt automatisch na maximaal vier uur. Voor diagnose, reparatie en gecontroleerde deïnstallatie is dit meestal de veiligste variant.

Tijdens de Override past het apparaat geen nieuwe of gewijzigde Central Policies toe. Beëindig hem direct na het werk in plaats van vier uur te wachten.

Windows: Tamper Protection met SEDcli beheren

Als de lokale Sophos-interface niet opent, is SEDcli.exe beschikbaar op actuele Sophos Fusion Windows Endpoints en Servers. Het is niet van toepassing op macOS of Linux. Open Command Prompt als beheerder en ga naar C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h toont de opties die de geïnstalleerde Agent ondersteunt; -v toont de programmaversie.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff APPARAATWACHTWOORD
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP APPARAATWACHTWOORD

Vervang APPARAATWACHTWOORD door het Tamper Protection-wachtwoord dat Sophos Fusion toont. -status meldt of SED Tamper Protection is in- of uitgeschakeld. -OverrideTPoff onderbreekt de Central Policy maximaal vier uur en schakelt de bescherming uit; de apparaatgebeurtenis is Central management has been suspended. Tijdens de onderbreking kunnen geen nieuwe of bijgewerkte Policies worden toegepast.

-ResumeTP beëindigt het onderhoud, schakelt Tamper Protection in en hervat de Central Policy. Voer dit normaal zonder wachtwoord uit. Gebruik de vorm met wachtwoord alleen als de service Sophos MCS Agent niet actief is; Central Management wordt toch hervat, maar de gebeurtenis Central management has been resumed wordt dan niet gegenereerd. Controleer daarna opnieuw met -status.

Bewaar het wachtwoord niet in scripts: het verschijnt als argument en kan in de opdrachtgeschiedenis, logboeken of procesgegevens terechtkomen. SEDcli is voor gecontroleerd lokaal herstel, niet voor permanente massa-uitschakeling.

macOS: bescherming lokaal vier uur onderbreken

1. Open Sophos Endpoint op de Mac.
2. Kies Admin Login.
3. Voer eerst het wachtwoord van de lokale Mac-beheerder in en bevestig met OK.
4. Klik op het hangslot met het Sophos-pictogram en voer het apparaatwachtwoord uit Sophos Fusion in.
5. Open Settings en activeer Override Sophos Central Policy for up to 4 hours.
6. Schakel Tamper Protection voor het onderhoudsvenster uit en sla de wijziging op.

Beëindig de override direct na de werkzaamheden en controleer of de bescherming weer actief is.

Tamper Protection globaal uitschakelen

Het exacte pad is Global Settings (tandwielpictogram) > Products and Services > Endpoint and Server > Tamper Protection. Schuif de regelaar naar links om de bescherming uit te schakelen. Zet bij latere inschakeling de schakelaar aan en kies rechtsboven Save.

Globaal uitschakelen is alleen verantwoord wanneer omvang, tijdvenster en terugkeer zijn gedocumenteerd. Tijdens deze periode kunnen lokale beheerders of malware Sophos-componenten eenvoudiger wijzigen.

Leg vóór uitschakeling minimaal vast:

• betrokken apparaten en onderhoudsreden
• start en gepland einde
• verantwoordelijke persoon
• acceptatie na de werkzaamheden
• controle dat de globale schakelaar weer actief is

Voor afzonderlijke apparaten is de globale methode buiten verhouding.

Als de globale Switch uitstaat, beschermt Tamper Protection geen enkel apparaat. Een lokaal actieve toestand compenseert dit niet. Account Health Check meldt zowel de globale Switch als afzonderlijke onbeschermde apparaten; massawijzigingen staan in Audit Log. Ook een ingeschakelde toestand in het apparaatobject compenseert globale uitschakeling niet.

Als het apparaat al is verwijderd

Sophos Fusion bewaart Tamper Protection-wachtwoorden van verwijderde apparaten momenteel 120 dagen. Verwijderde apparaten kunnen 30 dagen worden hersteld. Op actuele Windows-versies vanaf Windows 10 of Windows Server 2016 schakelt de moderne Core Agent de bescherming na verwijdering normaal zo uit dat geen wachtwoordherstel nodig is.

Het actuele herstelpad is Reports > Reports > Endpoint Protection (of Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Selecteer binnen 30 dagen het apparaat en klik op Restore. Tot dag 120 toont Password details in de kolom Tamper Protection password het huidige en vorige wachtwoord. Daarna is herstel via Sophos Fusion niet meer beschikbaar.

De exacte procedure hangt af van besturingssysteem, agentversie en verwijderingstijdstip. Het actuele herstel zonder Registry-ingrepen staat in Sophos Endpoint na verwijdering uit Sophos Fusion deïnstalleren.

Gebruik geen oude Registry-hacks: Handmatig uitschakelen van Sophos-services en Tamper Protection-sleutels in Safe Mode is geen normale deïnstallatiemethode meer. Dit kan de Core Agent inconsistent maken en latere installatie of registratie bemoeilijken.

Op Windows met Core Agent 2023.2 of nieuwer zijn oude Recovery-stappen na verwijdering uit Sophos Fusion of licentieverloop niet meer nodig. Herstel via Windows Recovery Environment en Registry is alleen een laatste, versieafhankelijke herstelmogelijkheid waarvoor ondersteuning van Sophos nodig is, wanneer Sophos Fusion, lokaal wachtwoord, SEDcli en herstel van het verwijderde object allemaal falen.

macOS Recovery is evenmin standaard. Het wijzigt beveiligde productinformatie zodat het deïnstallatieprogramma weer kan werken. Omdat de volumenaam, het APFS-datavolume, de FileVault-status en de agentversie invloed hebben, gebruikt u alleen actuele Sophos-instructies of Sophos Support.

Wanneer Enhanced Tamper Protection tijdelijk uit moet

Naast verwijdering en lokale diagnose blokkeert Sophos Endpoint Defense enkele legitieme handelingen: een upgrade van het besturingssysteem, herstel van een Windows-systeemherstelpunt en eigen scripts die Sophos-services, beveiligde bestanden of registermachtigingen wijzigen.

Een uitgeschakelde schakelaar is geen algemene oplossing. Bij oude agents kon een verholpen fout bescherming deels actief laten na imaging of een gewijzigde Windows-volumenaam. Werk op actuele agents eerst Core Agent bij in plaats van oude driver- en registerworkarounds te gebruiken.

Na het onderhoud

De kortste veilige terugkeer hangt af van de gebruikte methode:

• Lokale Windows-override: SEDcli.exe -ResumeTP beëindigt het venster meteen. Is de interface gebruikt, beëindig de lokale override dan daar in plaats van op het verstrijken van vier uur te wachten.
• Eén apparaat in Sophos Fusion: My Environment > Computers & Servers > [apparaat] > Tamper Protection > Turn on tamper protection.
• Gerichte bulk-API: vraag enabled: true aan voor de ID’s die tijdens het onderhoudsvenster zijn uitgeschakeld; beoordeel acceptatie per ID en controleer daadwerkelijke herinschakeling na apparaatcontact. Overschrijf al eerder afwijkende toestanden niet zonder controle.
• Globaal: schakel eerst Global Settings > Products and Services > Endpoint and Server > Tamper Protection in en kies Save. Corrigeer daarna apparaten die nog onbeschermd zijn.

Wacht op het volgende succesvolle apparaatcontact en controleer lokaal of Tamper Protection actief is. Controleer in Sophos Fusion Last activity, Health State en open alerts. Onder My Environment > Account Health Check moeten zowel de globale controle als de controle voor endpoints of servers weer groen zijn. Verwijder tijdelijk vastgelegde wachtwoorden veilig.

Wijzigingen door Sophos-Fusion-beheerders en automatische Health-Check-correcties zijn te raadplegen onder Reports > General logs > Audit Logs. Het rapport toont onder meer tijdstip, uitvoerend account, gewijzigd object, beschrijving en bron-IP; standaard worden zeven dagen getoond en de periode kan tot 90 dagen lopen. Een uitsluitend lokale override vormt geen volledige Sophos-Fusion-onderhoudsregistratie: leg daarom ook apparaat, reden, start, einde en controleresultaat vast in het wijzigings- of ticketsysteem.

Moet de agent volledig worden verwijderd, volg dan Sophos Endpoint onder Windows verwijderen.

Voor Macs geldt de afzonderlijke procedure Sophos Endpoint op macOS verwijderen.

Typische problemen

Wachtwoord wordt geweigerd

Computernaam en Sophos-Fusion-object moeten exact bij elkaar horen. Controleer ook toetsenbordindeling, meegekopieerde spaties en laatste synchronisatie. Zoek bij een verwijderd apparaat het wachtwoord in het gedeelte voor verwijderde apparaten.

Schakelaar is niet beschikbaar in Sophos Fusion

Controleer beheerdersrol, productlicentie, besturingssysteem en actuele apparaatstatus. Linux ondersteunt Tamper Protection niet.

Apparaat reageert niet op de wijziging

Een offline apparaat kan de Sophos-Fusion-instelling niet ontvangen. Controleer netwerk, proxy, systeemtijd en laatste activiteit. Op een lokaal bereikbaar apparaat kan de vieruurs-override met het eerder opgehaalde wachtwoord worden gebruikt.

Opnieuw inschakelen, valideren en escaleren

Als het wachtwoord, de Sophos-Fusion-schakelaar en SEDcli de toestand niet correct wijzigen, of als de agent na herinschakeling onbeschermd blijft of fouten vertoont, probeer dan geen register-, driver- of serviceworkarounds. Verzamel apparaat-ID, besturingssysteem, Core Agent-versie, tijdstip van de laatste Sophos-Fusion-verbinding, exacte foutmelding en het betrokken Audit Log-item en open een case bij Sophos Support. Vermeld bij een verwijderd apparaat ook de verwijderingsdatum en herstelstatus.

Veelgestelde vragen