Bezpieczne wyłączanie Tamper Protection w Sophos Fusion

Tamper Protection chroni usługi, ustawienia i deinstalację Sophos przed lokalnymi zmianami. To ważna przeszkoda dla napastnika próbującego najpierw wyłączyć ochronę Endpoint.

W serwisie i diagnostyce ochronę wyłącza się tylko na niezbędny czas i zakres. Zwykle wystarcza lokalne obejście do czterech godzin. Wyłączenie globalne dotyczy wszystkich zarządzanych urządzeń i ma sens tylko przy kontrolowanej pracy masowej.

Aktualny Agent używa również Enhanced Tamper Protection z Sophos Endpoint Defense. Blokuje zmiany konfiguracji, zatrzymywanie chronionych Processes, manipulację Registry Permissions i podmianę chronionych plików. Dotyczy to także lokalnych administratorów i narzędzi Software Deployment.

⚠️ Nie mylić z polityką: Tamper Protection chroni samego agenta. Threat Protection, Web Control i inne funkcje Endpoint są sterowane własnymi politykami.

Która metoda pasuje?

Zmiana w Sophos Fusion (dawniej Sophos Central) wymaga odpowiedniej roli administracyjnej. Funkcja jest dostępna dla Windows i macOS, ale nie dla Linux.

Wyłączenie Tamper Protection dla urządzenia

Zaloguj się na fusion.sophos.com. Aktualna ścieżka to My Environment > Computers & Servers.

1. Otworzyć urządzenie.
2. Wybrać Tamper Protection.
3. Potwierdzić Turn off tamper protection.
4. Poczekać na pobranie zmiany.
5. Lokalnie sprawdzić możliwość wykonania serwisu.

Zmiana trwa do ponownego włączenia ochrony. Urządzenie offline odbierze ją przy następnym połączeniu.

Wyświetlanie hasła urządzenia

Lokalne obejście wymaga indywidualnego hasła urządzenia:

1. Otworzyć urządzenie w My Environment > Computers & Servers.
2. Przewinąć do Tamper Protection i wybrać View password details.
3. Wyświetlić hasło i przekazać je wyłącznie osobie wykonującej pracę.
4. Nie przechowywać hasła w zgłoszeniach, czatach ani niechronionych notatkach.

Każde urządzenie ma własne hasło. Hasło innego rekordu Endpoint nie działa.

Generate New Password tworzy hasło dokładnie dla tego urządzenia. Sophos Fusion celowo nie oferuje stałego Master Password wspólnego dla wszystkich Endpoints.

Windows: lokalne wyłączenie na cztery godziny

1. Otworzyć Sophos Endpoint z ikony tarczy.
2. Wybrać Admin sign-in albo Admin-Login.
3. Wprowadzić hasło Tamper Protection urządzenia.
4. Otworzyć Settings.
5. Włączyć Override Sophos Central Policy for up to 4 hours do rozwiązywania problemów.
6. Wyłączyć Tamper Protection w lokalnych ustawieniach użytkownika.

Obejście kończy się automatycznie po maksymalnie czterech godzinach. Jest to zwykle najbezpieczniejsza metoda dla diagnostyki, naprawy i kontrolowanej deinstalacji.

Podczas Override urządzenie nie stosuje nowych ani zmienionych Central Policies. Należy zakończyć go od razu po pracy zamiast czekać cztery godziny.

Windows: sterowanie Tamper Protection przez SEDcli

Gdy lokalny interfejs Sophos się nie otwiera, SEDcli.exe jest dostępny na aktualnych Sophos Fusion Windows Endpoints i Servers. Nie dotyczy macOS ani Linux. Otwiera się Command Prompt jako administrator i przechodzi do C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h pokazuje opcje obsługiwane przez zainstalowany Agent; -v pokazuje wersję aplikacji.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff HASLO_URZADZENIA
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP HASLO_URZADZENIA

Zastąp HASLO_URZADZENIA hasłem Tamper Protection wyświetlanym w Sophos Fusion. -status informuje, czy SED Tamper Protection jest włączona czy wyłączona. -OverrideTPoff zawiesza Central Policy na maksymalnie cztery godziny i wyłącza ochronę; zdarzenie urządzenia to Central management has been suspended. Podczas zawieszenia nie można zastosować nowych ani zaktualizowanych Policies.

-ResumeTP kończy serwis, włącza Tamper Protection i wznawia Central Policy. Zwykle wykonuje się go bez hasła. Wariant z hasłem należy stosować tylko wtedy, gdy usługa Sophos MCS Agent nie działa; Central Management zostanie wznowione, ale zdarzenie Central management has been resumed nie zostanie wtedy wygenerowane. Następnie trzeba ponownie sprawdzić stan za pomocą -status.

Nie zapisuj hasła w Scripts: pojawia się jako argument i może trafić do History, Logs lub Process Data. SEDcli służy do kontrolowanej naprawy lokalnej, nie trwałego wyłączania masowego.

macOS: lokalne wyłączenie na cztery godziny

1. Otworzyć Sophos Endpoint na Macu.
2. Wybrać Admin Login.
3. Najpierw wprowadzić hasło lokalnego administratora Maca i potwierdzić przyciskiem OK.
4. Kliknąć kłódkę z ikoną Sophos i wprowadzić hasło urządzenia z Sophos Fusion.
5. Otworzyć Settings i włączyć Override Sophos Central Policy for up to 4 hours.
6. Wyłączyć Tamper Protection na okno serwisowe i zapisać zmianę.

Po pracy należy natychmiast zakończyć obejście i sprawdzić, czy ochrona jest ponownie aktywna.

Globalne wyłączenie Tamper Protection

Globalny przełącznik znajduje się w Global Settings > Products and Services > Endpoint and Server > Tamper Protection.

Wyłączenie globalne jest dopuszczalne tylko po udokumentowaniu zakresu, czasu i przywrócenia. W tym czasie administratorzy lokalni i złośliwe oprogramowanie łatwiej zmieniają komponenty Sophos.

Przed wyłączeniem należy określić:

• urządzenia i powód serwisu,
• początek i planowany koniec,
• osobę odpowiedzialną,
• odbiór po pracy,
• kontrolę ponownego włączenia przełącznika.

Dla pojedynczego urządzenia metoda globalna jest nieproporcjonalna.

Gdy globalny Switch jest wyłączony, Tamper Protection nie chroni żadnego urządzenia. Lokalny stan aktywny tego nie kompensuje. Account Health Check wskazuje globalny Switch i pojedyncze niechronione urządzenia; zmiany masowe pojawiają się w Audit Log.

Gdy urządzenie już usunięto

Sophos Fusion przechowuje hasła usuniętych urządzeń przez 120 dni, a urządzenia można przywrócić przez 30 dni. W aktualnych Windows od Windows 10 i Windows Server 2016 nowoczesny Core Agent zwykle wyłącza ochronę po usunięciu bez potrzeby odzyskiwania hasła.

Aktualna ścieżka to Reports > Reports > Endpoint Protection (lub Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Przez 30 dni można zaznaczyć urządzenie i wybrać Restore. Do 120. dnia Password details w kolumnie Tamper Protection password pokazuje bieżące i poprzednie hasło.

Proces zależy od systemu, wersji agenta i czasu usunięcia. Aktualną metodę bez zmian rejestru opisuje Odinstalowanie Sophos Endpoint po usunięciu z Sophos Fusion.

Nie używać starych zmian rejestru: Ręczne wyłączanie usług i kluczy Tamper Protection w trybie awaryjnym nie jest już normalną metodą deinstalacji i może pozostawić Core Agent w niespójnym stanie oraz utrudnić późniejszą instalację lub rejestrację.

Na Windows z Core Agent 2023.2 lub nowszym stare kroki Recovery po usunięciu z Sophos Fusion albo wygaśnięciu licencji nie są potrzebne. Windows Recovery Environment i Registry to wyłącznie ostatnia, zależna od wersji droga, gdy zawiodą Sophos Fusion, hasło lokalne, SEDcli i przywrócenie usuniętego obiektu.

macOS Recovery również nie jest standardem. Zmienia chronione informacje produktu, aby Uninstaller mógł zadziałać. Ponieważ wpływ mają Volume Name, APFS Data Volume, FileVault State i Agent Version, używa się tylko aktualnych instrukcji Sophos lub Sophos Support.

Kiedy Enhanced Tamper Protection trzeba chwilowo wyłączyć

Poza odinstalowaniem i diagnozą Sophos Endpoint Defense blokuje kilka legalnych operacji: OS Upgrade, odtworzenie Windows Restore Point i własne Scripts modyfikujące Sophos Services, chronione pliki lub Registry Permissions.

Wyłączony Switch nie jest ogólnym rozwiązaniem. W starych Agents naprawiony błąd mógł pozostawić ochronę częściowo aktywną po Imaging lub zmianie Windows Volume Name. Na aktualnych Agents najpierw aktualizuje się Core Agent zamiast stosować stare Workarounds Driver i Registry.

Po zakończeniu serwisu

1. Ponownie włączyć Tamper Protection dla urządzenia lub globalnie.
2. Poczekać na zastosowanie ustawienia.
3. Sprawdzić lokalny stan ochrony i komponenty.
4. W Sophos Fusion sprawdzić aktywność, Health State i alerty.
5. Bezpiecznie usunąć tymczasowe kopie haseł.

Pełne usunięcie agenta opisuje Odinstalowanie Sophos Endpoint w Windows.

Dla komputerów Mac obowiązuje osobna procedura Odinstalowanie Sophos Endpoint w systemie macOS.

Typowe problemy

Hasło jest odrzucane

Nazwa komputera i rekord Sophos Fusion muszą dokładnie pasować. Trzeba też sprawdzić układ klawiatury, spacje i ostatnią synchronizację. Dla usuniętego urządzenia hasło znajduje się w obszarze usuniętych urządzeń.

Przełącznik nie jest dostępny w Sophos Fusion

Należy sprawdzić rolę administratora, licencję, system i stan urządzenia. Linux nie obsługuje Tamper Protection.

Urządzenie nie reaguje na zmianę

Urządzenie offline nie odbierze ustawienia Sophos Fusion. Trzeba sprawdzić sieć, proxy, czas i ostatnią aktywność. Na dostępnym urządzeniu można użyć czterogodzinnego obejścia z wcześniej pobranym hasłem.

Ponowne włączenie, walidacja i eskalacja

Najkrótszy powrót to SEDcli.exe -ResumeTP dla lokalnego obejścia Windows albo My Environment > Computers & Servers > [urządzenie] > Tamper Protection > Turn on tamper protection dla urządzenia. Po wyłączeniu globalnym najpierw włącza się Global Settings > Products and Services > Endpoint and Server > Tamper Protection, wybiera Save, a następnie naprawia nadal niechronione urządzenia.

Po kolejnym połączeniu należy lokalnie potwierdzić aktywność Tamper Protection. W My Environment > Account Health Check kontrole globalne i urządzeń muszą być poprawne. Zmiany Sophos Fusion są widoczne w Reports > General logs > Audit Logs, domyślnie przez siedem dni, maksymalnie 90 dni. Lokalne obejście zapisuje się też w zgłoszeniu serwisowym.

Jeśli hasło, Sophos Fusion i SEDcli nie zmieniają poprawnie stanu, nie należy próbować obejść rejestru, sterowników ani usług. Trzeba zebrać ID urządzenia, system, wersję Core Agent, ostatnie połączenie, błąd i wpis Audit Log oraz otworzyć zgłoszenie Sophos Support. Dla usuniętego urządzenia należy podać datę usunięcia i stan przywracania.

Często zadawane pytania