Odinstalowanie Sophos Endpoint z aktywną Tamper Protection

Jeżeli urządzenie z Windows usunięto z Sophos Fusion (dawniej Sophos Central) przed lokalnym usunięciem Endpoint Agent, nie jest potrzebna ogólna modyfikacja rejestru. Aktualne wersje Sophos Core Agent mają zdefiniowaną procedurę dla urządzeń usuniętych lub z wygasłą licencją.

Właściwa metoda zależy od tego, czy urządzenie tylko usunięto, czy licencja wygasła oraz czy ma ono wrócić pod zarządzanie, czy zostać ostatecznie odinstalowane.

⚠️ Nie zaczynać od starych instrukcji rejestru: Sophos dokumentuje odzyskiwanie ręczne wyłącznie jako ostateczność, gdy nie można użyć żadnej standardowej metody wyłączenia Tamper Protection. Najpierw należy skorzystać z poniższych obsługiwanych metod w Fusion i na urządzeniu. Tryb awaryjny, ręczne usuwanie i skrypty rejestru innych firm nie należą do tej procedury.

Najpierw określić przypadek

Okresy i zachowanie mogą zmieniać się wraz z wersją agenta. Przed działaniem należy udokumentować system, wersję Core Agent, czas usunięcia i tenant.

Wymagania i granice bezpieczeństwa

• lokalne uprawnienia administratora i zapowiedziane okno serwisowe,
• aktualna kopia zapasowa lub sprawdzony plan odzyskiwania,
• zapisana wersja Windows, architektura, wersja Core Agent i zainstalowane komponenty Sophos,
• dostęp do właściwego tenanta Fusion lub wskazany administrator tenanta,
• określony stan docelowy: trwałe usunięcie albo ponowna ochrona w tym samym tenancie,
• wyłączony Server Lockdown na serwerze oraz odpowiedni proces Fusion dla ZTNA, Device Encryption lub MDR.

Urządzenie należy pozostawić w Fusion do udanej walidacji lokalnej, aby zachować hasło, stan, alerty i diagnostykę. Nie wolno zapętlać nieudanej deinstalacji; najpierw trzeba zachować kod zwrotny, log i stan.

Zachowanie aktualnych urządzeń Windows

Od wersji Core Agent 2023.2 dla Windows 10 i nowszych oraz Windows Server 2016 i nowszych zasadniczo obowiązuje:

• po usunięciu w Fusion Tamper Protection jest lokalnie wyłączana,
• aktywne komponenty ochrony są usuwane lub dezaktywowane,
• Core Agent pozostaje, aby umożliwić obsługiwaną deinstalację lub ponowną rejestrację,
• ręczne odzyskiwanie hasła zwykle nie jest potrzebne.

Przetworzenie usunięcia lub zmiany licencji może potrwać. Urządzenie offline otrzyma tę informację dopiero po połączeniu.

Na urządzeniach pełniących role Update Cache lub Message Relay te role również są usuwane. Po przywróceniu należy je ponownie zainstalować i sprawdzić, jeśli nadal są potrzebne.

Kontrolowane wyłączanie Tamper Protection

1. Jednoznacznie wskazać urządzenie według nazwy, systemu i ostatniej aktywności.
2. Jeśli jest nadal aktywne w Fusion, w szczegółach przejść do Tamper Protection i wyłączyć ją albo wybrać View password details.
3. Do krótkiej pracy lokalnej użyć Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours w Sophos Endpoint.
4. Jeśli urządzenie usunięto, w okresie przechowywania użyć poniższego przywracania lub pobierania hasła.
5. Lokalnie potwierdzić wyłączenie Tamper Protection przed deinstalatorem lub --registeronly.

Pełny standardowy proces opisuje Bezpieczne wyłączanie Tamper Protection w Sophos Fusion. Jeśli żadna droga nie jest dostępna, zakończyć lokalne działania i przekazać sprawę do Support; nie opracowywać samodzielnie zmian rozruchu, sterownika ani rejestru.

Opcja 1: przywrócenie usuniętego urządzenia

Sophos Fusion przechowuje obecnie usunięte urządzenia przez 30 dni.

1. W Sophos Fusion otworzyć Reports > Reports > Endpoint Protection lub Server Protection.
2. Wybrać Restore deleted devices and recover Tamper Protection passwords.
3. Jednoznacznie sprawdzić nazwę komputera, system i czas usunięcia.
4. Zaznaczyć właściwe urządzenie i kliknąć Restore.
5. Poczekać na ponowny kontakt z Fusion.
6. Sprawdzić Agent Mode, polityki, Health State i ostatnią aktywność.

Przywrócenie ma sens, gdy komputer ma nadal być chroniony i zarządzany. Przy ostatecznym offboardingu jest potrzebne tylko wtedy, gdy inaczej nie da się prawidłowo odtworzyć hasła lub stanu zarządzania.

Opcja 2: ostateczna deinstalacja agenta

Gdy Tamper Protection jest już wyłączona, należy uruchomić oficjalny program w Wierszu polecenia otwartym jako administrator:

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Na serwerze trzeba najpierw odblokować Server Lockdown w Fusion. Po usunięciu Sophos wymaga restartu; następnie należy sprawdzić aplikacje, usługi Sophos i zarejestrowanego dostawcę ochrony. Pełny proces opisuje Odinstalowanie Sophos Endpoint w Windows.

Ten plik wykonywalny dotyczy Windows 10 (x64) i nowszych oraz Windows Server 2016 i nowszych z obsługiwanym Core Agent. Starsze platformy używają uninstallgui.exe do usuwania interaktywnego lub uninstallcli.exe --quiet z tego samego katalogu. Polecenie nie zastępuje procesu Fusion dla chronionego oprogramowania ZTNA, Device Encryption lub MDR.

Przy wdrożeniu wsadowym zapisz pełne polecenie w cudzysłowie powyżej z rozszerzeniem .bat, zachowując początkowy cudzysłów, i uruchom skrypt na właściwych urządzeniach.

Opcja 3: ponowna rejestracja agenta w tenancie

Jeżeli urządzenie ma pozostać zarządzane, aktualny instalator z właściwego tenanta może odnowić rejestrację:

SophosSetup.exe --registeronly

Przed użyciem --registeronly funkcja Tamper Protection musi być wyłączona. Core Agent 2023.2 lub nowszy robi to automatycznie po usunięciu urządzenia lub wygaśnięciu licencji; w innych migracjach należy wyłączyć ochronę w kontrolowany sposób przed uruchomieniem polecenia.

Instalator jest powiązany z tenantem i należy pobrać go ponownie z My Environment > Installers. Następnie trzeba sprawdzić:

• właściwy tenant i nazwę komputera,
• Agent Mode i licencjonowane produkty,
• właściwą grupę komputerów,
• przypisane polityki,
• zdrowy stan i aktualne komponenty,
• brak alertów rejestracji lub licencji.

--registeronly nie naprawia uszkodzonej instalacji. Przy uszkodzeniu Core Agent lub komunikacji najpierw trzeba zabezpieczyć logi i stan.

Pobieranie hasła usuniętego urządzenia

Sophos Fusion przechowuje w tym raporcie usunięte urządzenia i ich hasła Tamper Protection przez 120 dni, lecz obiekt urządzenia można przywrócić tylko przez pierwsze 30 dni. Hasło jest istotne zwłaszcza dla starszych platform lub wersji agenta.

Jeśli zapis audytowy ma być potrzebny dłużej niż 120 dni, należy wcześniej wyeksportować raport i odpowiednio chronić wyeksportowane dane haseł.

1. Otworzyć Reports > Reports > Endpoint Protection lub Server Protection.
2. Wybrać Restore deleted devices and recover Tamper Protection passwords.
3. Jednoznacznie zidentyfikować urządzenie na podstawie kilku cech.
4. W kolumnie Tamper Protection password kliknąć Password details. Fusion pokazuje najpierw aktualne, czyli ostatnio używane hasło, a następnie wcześniejsze hasła.
5. Użyć aktualnego hasła tylko w oknie serwisowym i po pracy usunąć jego tymczasowe kopie.

Hasło innego urządzenia nie działa. Po upływie okresu przechowywania należy użyć aktualnej ścieżki wsparcia Sophos, a nie eksperymentować z rejestrem.

Wygasła licencja

Po aktywowaniu nowej licencji aktualne urządzenia Windows można odzyskać, jeśli od wygaśnięcia licencji minęło nie więcej niż 90 dni. Po 90 dniach należy uruchomić aktualny instalator powiązany z tenantem z opcją --registeronly, aby ponownie zainstalować i zarejestrować agenta. Najpierw należy potwierdzić właściwy tenant i ważną licencję.

Jeśli urządzenie jest wycofywane, należy je lokalnie odinstalować. Jeśli pozostaje w użyciu, po rejestracji trzeba potwierdzić aktywność wszystkich oczekiwanych produktów i polityk.

Rozwiązywanie problemów

Przywrócone urządzenie pozostaje offline

Należy sprawdzić sieć, proxy, DNS, czas systemowy i usługi zarządzania Sophos oraz upewnić się, że instalator i rekord należą do właściwego tenanta.

Tamper Protection pozostaje aktywna

Należy poczekać na synchronizację, a następnie raz sprawdzić opisane wyżej metody Fusion, hasło, czterogodzinne nadpisanie i przywracanie. Jeśli ochrona pozostaje aktywna, nie wymuszać deinstalatora ani nie uruchamiać SophosZap.

Brakuje SophosUninstall.exe lub program przerywa pracę

Wskazuje to na uszkodzoną lub niepełną instalację. Trzeba zabezpieczyć logi instalacji i deinstalacji, kod zwrotny oraz stan urządzenia. Już oczekujący restart należy wykonać przed ponowną kontrolą stanu. Nie należy na próbę usuwać pakietów MSI, usług ani kluczy rejestru, ponieważ może to utrudnić późniejszą naprawę.

SophosZap tylko po nieudanej standardowej deinstalacji

SophosZap jest awaryjnym narzędziem Windows tylko wtedy, gdy Tamper Protection jest jednoznacznie wyłączona, a standardowa deinstalacja mimo to nie powiodła się lub pozostała niepełna; heurystyka zwiększa ryzyko. Nie omija nieznanego hasła, Server Lockdown ani chronionego procesu Fusion. Obsługuje HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, endpointy Enterprise Console, Sophos Home, Sophos Anti-Virus, Sophos Clean i inne produkty autonomiczne. Zatrzymuje się przy Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin lub Sophos Update Manager; najpierw standardowo usuń produkt niezgodny.

Sprawdzanie pobrania i podpisu

Potwierdź Windows 7 lub nowszy, uprawnienia administratora, wyłączoną Tamper Protection i kopie zapasowe. ARM64 wymaga SophosZap 1.2.3.0 lub nowszego. Pobierz aktualną kopię tuż przed serwisem. Sprawdź File version w Properties > Details i ważny podpis Sophos w Properties > Digital Signatures albo użyj PowerShell:

$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
    throw 'SophosZap signature validation failed'
}

PowerShell celowo sprawdza w trybie fail-closed jedynie, czy stan Authenticode ma wartość Valid i czy istnieje certyfikat; nie zatwierdza wyświetlonego pełnego pola Subject na podstawie fragmentu tekstu. Administrator musi dokładnie porównać tę wartość z oczekiwaną tożsamością wydawcy, zweryfikowaną osobno w aktualnej oficjalnej dokumentacji Sophos lub przez Sophos Support. Bez dokładnej zgodności, przy braku lub nieważnym podpisie albo wersji zbyt starej dla ARM64 nie wolno uruchamiać pliku; należy go usunąć i pobrać ponownie. Lokalny hash bez niezależnie opublikowanej wartości oczekiwanej nie zastępuje podpisu.

Uruchamianie i obsługa wyniku

Uruchom sprawdzone narzędzie z lokalnego katalogu w podniesionym Wierszu polecenia:

SophosZap --confirm

Ściśle wykonuj komunikaty. Po Reboot and re-execute zrestartuj, uruchom to samo polecenie dokładnie jeszcze raz jako administrator i ponownie zrestartuj. Mogą być potrzebne dodatkowe restarty. Log jest dopisywany w %TEMP%. Przy komunikacie INFO : Reboot will be required. An update remains in progress. wykonaj żądany restart zamiast równolegle wymuszać czyszczenie. SophosZap działa tylko w Windows. W niektórych Windows 8.1 Windows Defender trzeba później uruchomić ręcznie.

Walidacja wyniku i przekazanie do Support

Po końcowym restarcie sprawdź aplikacje, aktywne usługi Sophos, interfejs Sophos i dostawcę w Windows Security. Sam pozostały katalog nie oznacza błędu. Przy trwałym usuwaniu potwierdź ochronę następczą; jeśli urządzenie ma pozostać chronione, ponownie zainstaluj lub zarejestruj Sophos i sprawdź tenant, Agent Mode, produkty, polityki i stan. Obiekt Fusion usuń dopiero po lokalnej walidacji.

Jeśli Tamper Protection pozostaje aktywna albo nie jest dostępna żadna obsługiwana metoda jej wyłączenia, należy od razu otworzyć zgłoszenie Sophos Support. To samo dotyczy sytuacji, gdy standardowa deinstalacja i dokładnie jednokrotnie powtórzone uruchomienie SophosZap pozostają niepełne. Ręczne odzyskiwanie awaryjne ma trzy osobne, niewymienne ścieżki: aktualny Windows desktopowy/serwerowy, Server Core 2012 lub nowszy oraz Windows 7 lub Windows Server 2008 R2. Ponieważ może obejmować Windows Recovery i sterownik Endpoint Defense, zależnych od platformy i wersji zmian rozruchu, sterowników i rejestru celowo tu nie podano; wolno je wykonywać wyłącznie według aktualnych instrukcji Sophos.

Przekaż identyfikatory tenanta i urządzenia, wersję Windows i architekturę, wersje Core Agent i SophosZap, zainstalowane komponenty, stan Tamper Protection i Server Lockdown, cel, dokładne polecenia z czasami i kodami zwrotnymi, SophosZap log.txt, pliki Sophos z %TEMP% i C:\Windows\Temp, logi deinstalacji i świeży SDU. Poufne archiwa przesyłaj tylko przez przeznaczony do tego mechanizm zgłoszenia.

Po –registeronly brakuje produktów

Ponowna rejestracja nie przywraca automatycznie wszystkich komponentów. W My Environment > Computers & Servers trzeba sprawdzić Agent Mode i Manage device software, a potem pełną konfigurację i aktualizacje.

Często zadawane pytania