Odinstalowanie Sophos Endpoint w Windows

Prawidłowa deinstalacja Endpoint składa się z dwóch osobnych działań. Najpierw usuwa się oprogramowanie Sophos z urządzenia z Windows. Dopiero później usuwa się niepotrzebny rekord urządzenia w Sophos Fusion (dawniej Sophos Central).

Ta kolejność jest ważna. Usunięcie rekordu w Sophos Fusion nie jest zdalną deinstalacją. Usuwa rekord i powiązane alerty, ale pozostawia zainstalowanego agenta na komputerze.

Przed rozpoczęciem

• lokalny dostęp administratora,
• aktywne okno serwisowe,
• wyłączona Tamper Protection dla tego urządzenia,
• język programu deinstalacyjnego zgodny z językiem zainstalowanej wersji Sophos Endpoint,
• plan odzyskiwania lub wycofania zmiany,
• brak trwającego czyszczenia lub dochodzenia, które nadal wymaga tego urządzenia Endpoint.

Sposób lokalnego wyłączenia ochrony na cztery godziny lub wyłączenia jej dla urządzenia w Sophos Fusion opisuje artykuł Bezpieczne wyłączanie Tamper Protection w Sophos Fusion.

Nie usuwać zbyt wcześnie: Urządzenie powinno pozostać w Sophos Fusion do pomyślnej lokalnej deinstalacji. Dzięki temu hasło, stan i informacje diagnostyczne pozostają dostępne.

Obsługiwana metoda deinstalacji

Sophos udostępnia w Windows centralny program deinstalacyjny:

C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe

1. Wyłączyć Tamper Protection dla urządzenia.
2. Otworzyć wiersz polecenia lub PowerShell z uprawnieniami administratora.
3. Uruchomić SophosUninstall.exe z podanej ścieżki.
4. Zakończyć pracę kreatora, a następnie ponownie uruchomić Windows, aby dokończyć usuwanie.
5. Sprawdzić usunięcie usług, interfejsu ochrony i aplikacji Sophos.

Alternatywnie w Windows 10 można odinstalować Sophos Endpoint Agent w Settings > Apps > Apps & features, a w Windows 11 w Settings > Apps > Installed apps. Windows uruchamia wtedy ten sam obsługiwany program.

Deinstalacja nienadzorowana

Program obsługuje ciche wywołanie na potrzeby dystrybucji oprogramowania lub kontrolowanego offboardingu:

PowerShell

& "C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Wiersz polecenia lub plik .bat

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

W przypadku kilku urządzeń normalną metodą pozostaje interaktywne usuwanie przez Settings > Apps lub program deinstalacyjny; --quiet należy zarezerwować dla kontrolowanego i powtarzalnego wdrożenia. To wywołanie dotyczy Windows 10 (x64) i nowszych oraz Windows Server 2016 i nowszych z obsługiwanym Core Agent. Na platformach starszego typu Sophos wskazuje zamiast niego uninstallcli.exe --quiet w tym samym katalogu; interaktywne usuwanie używa uninstallgui.exe. Przed szerokim wdrożeniem należy zinwentaryzować system operacyjny, architekturę i wersję Core Agent. W pliku batch trzeba zachować cudzysłowy wokół pełnej ścieżki i zapisać plik z rozszerzeniem .bat.

Parametr --language=<LanguageID> ustawia język programu deinstalacyjnego za pomocą standardowego dziesiętnego lub szesnastkowego identyfikatora języka. Musi on być zgodny z językiem zainstalowanej wersji Sophos Endpoint. System wdrożeniowy powinien ocenić kod wyjścia, zainstalowane aplikacje i ewentualny restart. Samo zakończenie procesu nie potwierdza sukcesu.

Wartości numeryczne nie są interpretowane jako ogólne kody Windows:

Sophos dokumentuje log deinstalacji jako C:\Windows\Temp\Sophos Endpoint Agent. Przy kodzie 8 należy najpierw wykonać już oczekujący restart, a następnie ponownie ocenić urządzenie. Przy innych kodach błędów Avanet zaleca, aby nie powtarzać restartów ani wywołań. Po usunięciu należy ponownie uruchomić Windows przed poniższą walidacją. Ten końcowy restart jest obowiązkowy zarówno po deinstalacji interaktywnej, jak i z wiersza polecenia lub pliku batch, nawet jeśli kod 0 oznacza, że sam deinstalator go nie żąda.

Ograniczenia i rollback cichego wdrożenia

--quiet ukrywa kreator, ale nie usuwa wymagań wstępnych ani zależności produktów. Na urządzeniach chronionych przez ZTNA, Device Encryption lub MDR należy najpierw użyć procesu Install or uninstall software w Sophos Fusion. Przed oknem serwisowym trzeba potwierdzić odzyskiwanie szyfrowania, dalszy dostęp do urządzenia i ciągłość uzgodnionego monitorowania.

Nie istnieje wiarygodna aktualna macierz, z której można wywieść ogólne deklaracje producentów dotyczące połączeń z innym oprogramowaniem zabezpieczającym. Przed masową deinstalacją należy zinwentaryzować faktycznie zainstalowane produkty i wersje, a następnie przetestować dokładnie tę kombinację w małej grupie pilotażowej. Jeśli produkt blokuje lub zakłóca usuwanie, konkretny przypadek wraz z logami trzeba przekazać zaangażowanym producentom; nieobsługiwane lub niezweryfikowane założenia dotyczące koegzystencji u poszczególnych producentów nie zastępują testu.

Deinstalacja nie ma automatycznego rollbacku. Avanet zaleca rozpoczęcie od małej grupy pilotażowej oraz zachowanie aktualnego instalatora związanego z tenantem i dostępu do informacji odzyskiwania. Po nieudanej walidacji urządzenia nie oznacza się jako prawidłowo wycofanego: zabezpiecza się logi i stan, a zgodnie z zaleceniem bezpieczeństwa Avanet w razie potrzeby izoluje urządzenie; następnie przywraca się udokumentowaną ochronę lub eskaluje do Sophos Support.

Nie mylić z „Manage software”

W My Environment > Computers & Servers funkcja Manage software może usuwać pojedyncze produkty albo zmieniać tryb agenta. Sophos Core Agent pozostaje do zarządzania i późniejszych zmian.

Pełne wycofanie nadal wymaga SophosUninstall.exe. Manage software służy do zmiany zakresu produktu, a nie do pełnego offboardingu.

Kontrola deinstalacji

Po zakończeniu pracy kreatora lub cichego polecenia i ponownym uruchomieniu Windows należy sprawdzić:

• Sophos Endpoint Agent nie figuruje w zainstalowanych aplikacjach.
• Ikona Sophos i lokalny interfejs Endpoint zostały usunięte.
• Usługi ochrony Sophos nie działają.
• Produkt zastępczy jest aktywny i aktualny.
• Windows Security pokazuje oczekiwanego dostawcę ochrony.
• Nie pozostał oczekujący restart lub niedokończony proces.

Pozostawiony folder nie dowodzi aktywnej instalacji. Bardziej miarodajne są usługi, zarejestrowane produkty i dostawca ochrony.

Następnie usunąć urządzenie z Sophos Fusion

Dopiero po lokalnej kontroli deinstalacji należy uporządkować rekord w Sophos Fusion:

1. Otworzyć My Environment > Computers & Servers.
2. Wybrać odinstalowane urządzenie.
3. Potwierdzić Delete.
4. Sprawdzić, czy rekord zniknął z aktywnej listy.

Usunięcie powoduje utratę alertów przypisanych do urządzenia. Potrzebne dane trzeba wcześniej udokumentować. Sophos przechowuje obecnie usunięte urządzenia przez 30 dni z możliwością przywrócenia.

Gdy urządzenie już usunięto lub licencja wygasła

W przypadku Core Agent 2023.2 lub nowszego w Windows 10 lub nowszym albo Windows Server 2016 lub nowszym ręczne odzyskiwanie hasła Tamper Protection po usunięciu urządzenia lub wygaśnięciu licencji zwykle nie jest potrzebne. Usunięte urządzenie można przywrócić przez 30 dni; jego hasło Tamper Protection pozostaje widoczne przez 120 dni w Reports > Reports > Endpoint Protection (lub Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Nie należy używać starej metody z Registry i Safe Mode. Obsługiwany proces i wyjątki opisuje Odinstalowanie Sophos Endpoint po usunięciu z Sophos Fusion.

Rozwiązywanie problemów

SophosUninstall.exe zgłasza aktywną Tamper Protection

Należy ponownie sprawdzić stan Tamper Protection: otworzyć My Environment > Computers & Servers, wybrać nazwę urządzenia i przewinąć do Tamper Protection. Do krótkich prac nadaje się lokalne czterogodzinne obejście. Jeśli urządzenie już usunięto lub licencja wygasła, należy zamiast tego użyć osobnej procedury odzyskiwania podanej wyżej.

Brakuje pliku SophosUninstall.exe

Trzeba sprawdzić instalację Core Agent. Uszkodzonego lub częściowo usuniętego agenta nie należy czyścić przypadkowymi pakietami MSI ani zmianami rejestru. Należy zabezpieczyć logi i użyć aktualnej procedury naprawy lub wsparcia Sophos.

Urządzenie ponownie pojawia się w Sophos Fusion

Prawdopodobnie nadal działa lub została ponownie zainstalowana część zarządzająca. Trzeba sprawdzić dystrybucję oprogramowania, Golden Image, zadania RMM i Core Agent. Ponowne usunięcie bez analizy przyczyny nie rozwiąże problemu.

Deinstalacja nie kończy się

Najpierw należy sprawdzić, czy język programu deinstalacyjnego jest zgodny z językiem zainstalowanej wersji Sophos Endpoint. Trzeba również sprawdzić operacje czyszczenia Sophos, Windows Installer, oczekujące restarty i inne zabezpieczenia. Przed dalszymi działaniami trzeba zachować logi instalacji i deinstalacji.

Błąd RemoveSIPSSubmitterUserAccount

Błąd RemoveSIPSSubmitterUserAccount wskazuje na częściowo usuniętego agenta. Należy zebrać pełne logi SDU i deinstalacji, ale nie tworzyć ani nie zmieniać niezweryfikowanych wartości Registry. Avanet zaleca, aby po usunięciu jednoznacznie potwierdzonej blokady uruchomić SophosUninstall.exe najwyżej jeszcze raz.

Jeżeli usuwanie nadal jest niepełne, nie należy próbować ręcznego czyszczenia za pomocą MSI, Registry ani Safe Mode ani uruchamiać SophosZap bez konkretnego wskazania. Do Sophos Support przekazuje się archiwum SDU, log deinstalacji, kod zwrotny, system i architekturę, wersję Core Agent, dokładne polecenie i czas oraz stan Tamper Protection i, jeśli dotyczy, ZTNA, Device Encryption lub MDR.

SophosZap tylko w ostateczności

SophosZap nie jest standardową metodą deinstalacji ani sposobem na obejście aktywnej Tamper Protection. To heurystyczne narzędzie czyszczące można rozważyć dopiero po potwierdzeniu, że Tamper Protection jest wyłączona, a SophosUninstall.exe mimo to zakończył się niepowodzeniem lub pozostawił niepełną deinstalację. Jeśli te warunki nie są jednoznacznie spełnione, należy przerwać lokalne próby i przekazać sprawę do Sophos Support.

Kontrolowana procedura dotycząca aktualnego, podpisanego pliku, obsługiwanych i niezgodnych produktów Sophos, restartów, lokalizacji logu oraz warunków przerwania znajduje się w sekcji SophosZap artykułu Odinstalowanie Sophos Endpoint pomimo Tamper Protection. Tę szczegółową instrukcję trzeba ponownie sprawdzić bezpośrednio przed użyciem; SophosZap nie powinien być zapobiegawczo dodawany do ogólnych pakietów deinstalacyjnych.

Często zadawane pytania