Bezpieczne wyłączanie Tamper Protection w Sophos Fusion

Tamper Protection chroni usługi, ustawienia i deinstalację Sophos przed lokalnymi zmianami. To ważna przeszkoda dla napastnika próbującego najpierw wyłączyć ochronę Endpoint. Nie jest to przełącznik dla wygody administratora.

Aktualny agent używa również Enhanced Tamper Protection z Sophos Endpoint Defense. Ochrona ta nie tylko blokuje zmiany w interfejsie Sophos, lecz także chroni procesy, usługi, pliki, foldery i klucze rejestru Sophos przed lokalnymi administratorami i programami, w tym narzędziami do wdrażania oprogramowania. Samo zatrzymanie usługi Windows lub zmiana jej typu uruchamiania zatem nie wystarcza.

Na potrzeby serwisu i diagnostyki ochronę należy więc wyłączać tylko na niezbędny czas i w możliwie najmniejszym zakresie. Zwykle wystarcza lokalne obejście na maksymalnie cztery godziny. Dla zatwierdzonego zestawu urządzeń API może ograniczyć zmianę do jawnie wskazanych ID urządzeń. Wyłączenie globalne dotyczy natomiast wszystkich zarządzanych urządzeń i należy je rozważać tylko wtedy, gdy rzeczywiście potrzebny jest cały ten zakres.

⚠️ Nie mylić z polityką: Tamper Protection chroni samego agenta. Threat Protection, Web Control i inne funkcje Endpoint są sterowane własnymi politykami.

Która metoda pasuje?

Dla już skonfigurowanej i zatwierdzonej automatyzacji procedura Endpoint API dla Tamper Protection opisuje selektywny wybór ID, obsługę urządzeń, uprawnienia i analizę błędów. HTTP 202 potwierdza jedynie przyjęcie, a nie wykonanie na urządzeniu. Wyłączenie przez API nie jest czterogodzinnym obejściem: trzeba zaplanować ponowne włączenie i kontrolę każdego urządzenia. Regeneracja haseł również nie zastępuje tej drogi przywrócenia ochrony.

Zmiana w Sophos Fusion (dawniej Sophos Central) wymaga odpowiedniej roli administracyjnej. Funkcja jest dostępna dla Windows i macOS, ale nie dla Linux.

Wyłączenie Tamper Protection dla urządzenia

Zaloguj się na fusion.sophos.com. Aktualna ścieżka to My Environment > Computers & Servers.

1. Otworzyć urządzenie.
2. Wybrać Tamper Protection.
3. Potwierdzić Turn off tamper protection.
4. Poczekać na pobranie zmiany.
5. Lokalnie sprawdzić możliwość wykonania serwisu.

Zmiana trwa do ponownego włączenia ochrony. Urządzenie offline odbierze ją przy następnym połączeniu.

Wyświetlanie hasła urządzenia

Lokalne obejście wymaga indywidualnego hasła urządzenia:

1. Otworzyć urządzenie w My Environment > Computers & Servers.
2. Przewinąć do Tamper Protection i wybrać View password details.
3. Wyświetlić hasło i przekazać je wyłącznie osobie wykonującej pracę.
4. Nie przechowywać hasła w zgłoszeniach, czatach ani niechronionych notatkach.

Każde urządzenie ma własne hasło. Hasło innego rekordu Endpoint nie działa.

Generate New Password tworzy hasło dokładnie dla tego urządzenia. Sophos Fusion nie udostępnia wspólnego hasła dla wszystkich endpointów i serwerów.

Windows: lokalne wyłączenie na cztery godziny

1. Otworzyć Sophos Endpoint z ikony tarczy.
2. Wybrać Admin sign-in albo Admin-Login.
3. Wprowadzić hasło Tamper Protection urządzenia.
4. Otworzyć Settings.
5. Włączyć Override Sophos Central Policy for up to 4 hours do rozwiązywania problemów.
6. Wyłączyć Tamper Protection w lokalnych ustawieniach użytkownika.

Obejście kończy się automatycznie po maksymalnie czterech godzinach. Jest to zwykle najbezpieczniejsza metoda dla diagnostyki, naprawy i kontrolowanej deinstalacji.

Podczas lokalnego obejścia urządzenie nie stosuje nowych ani zmienionych polityk Central. Należy zakończyć je od razu po pracy zamiast czekać cztery godziny.

Windows: sterowanie Tamper Protection przez SEDcli

Gdy lokalny interfejs Sophos się nie otwiera, SEDcli.exe jest dostępny na aktualnych komputerach i serwerach z systemem Windows zarządzanych przez Sophos Fusion. Nie dotyczy macOS ani Linux. Należy otworzyć wiersz polecenia jako administrator i przejść do C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h pokazuje opcje obsługiwane przez zainstalowanego agenta; -v pokazuje wersję aplikacji.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff HASLO_URZADZENIA
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP HASLO_URZADZENIA

Zastąp HASLO_URZADZENIA hasłem Tamper Protection wyświetlanym w Sophos Fusion. -status informuje, czy SED Tamper Protection jest włączona czy wyłączona. -OverrideTPoff zawiesza politykę Central na maksymalnie cztery godziny i wyłącza ochronę; zdarzenie urządzenia to Central management has been suspended. Podczas zawieszenia nie można zastosować nowych ani zaktualizowanych polityk.

-ResumeTP kończy serwis, włącza Tamper Protection i wznawia stosowanie polityki Central. Zwykle wykonuje się go bez hasła. Wariant z hasłem należy stosować tylko wtedy, gdy usługa Sophos MCS Agent nie działa; Central Management zostanie wznowione, ale zdarzenie Central management has been resumed nie zostanie wtedy wygenerowane. Następnie trzeba ponownie sprawdzić stan za pomocą -status.

Nie zapisuj hasła w skryptach: podczas wykonywania pojawia się ono jako argument wiersza poleceń i może trafić do historii, dzienników lub danych procesów. SEDcli służy do kontrolowanej naprawy lokalnej, nie trwałego wyłączania masowego.

macOS: lokalne wyłączenie na cztery godziny

1. Otworzyć Sophos Endpoint na Macu.
2. Wybrać Admin Login.
3. Najpierw wprowadzić hasło lokalnego administratora Maca i potwierdzić przyciskiem OK.
4. Kliknąć kłódkę z ikoną Sophos i wprowadzić hasło urządzenia z Sophos Fusion.
5. Otworzyć Settings i włączyć Override Sophos Central Policy for up to 4 hours.
6. Wyłączyć Tamper Protection na okno serwisowe i zapisać zmianę.

Po pracy należy natychmiast zakończyć obejście i sprawdzić, czy ochrona jest ponownie aktywna.

Globalne wyłączenie Tamper Protection

Dokładna ścieżka to Global Settings (ikona koła zębatego) > Products and Services > Endpoint and Server > Tamper Protection. Aby wyłączyć ochronę, przesunąć suwak w lewo. Przy późniejszym włączaniu aktywować przełącznik i wybrać Save w prawym górnym rogu.

Wyłączenie globalne jest dopuszczalne tylko po udokumentowaniu zakresu, czasu i przywrócenia. W tym czasie administratorzy lokalni i złośliwe oprogramowanie łatwiej zmieniają komponenty Sophos.

Przed wyłączeniem należy określić:

• urządzenia i powód serwisu,
• początek i planowany koniec,
• osobę odpowiedzialną,
• odbiór po pracy,
• kontrolę ponownego włączenia przełącznika.

Dla pojedynczego urządzenia metoda globalna jest nieproporcjonalna.

Gdy globalny przełącznik jest wyłączony, Tamper Protection nie chroni żadnego urządzenia. Lokalny stan aktywny tego nie kompensuje. Account Health Check wskazuje globalny przełącznik i pojedyncze niechronione urządzenia; zmiany masowe pojawiają się w Audit Log. Również stan włączony w obiekcie urządzenia nie kompensuje wyłączenia globalnego.

Gdy urządzenie już usunięto

Sophos Fusion przechowuje hasła usuniętych urządzeń przez 120 dni, a urządzenia można przywrócić przez 30 dni. W aktualnych Windows od Windows 10 i Windows Server 2016 nowoczesny Core Agent zwykle wyłącza ochronę po usunięciu bez potrzeby odzyskiwania hasła.

Aktualna ścieżka to Reports > Reports > Endpoint Protection (lub Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Przez 30 dni można zaznaczyć urządzenie i wybrać Restore. Do 120. dnia Password details w kolumnie Tamper Protection password pokazuje bieżące i poprzednie hasło. Po tym terminie odzyskiwanie przez Sophos Fusion nie jest już dostępne.

Proces zależy od systemu, wersji agenta i czasu usunięcia. Aktualną metodę bez zmian rejestru opisuje Odinstalowanie Sophos Endpoint po usunięciu z Sophos Fusion.

Nie używać starych zmian rejestru: Ręczne wyłączanie usług i kluczy Tamper Protection w trybie awaryjnym nie jest już normalną metodą deinstalacji i może pozostawić Core Agent w niespójnym stanie oraz utrudnić późniejszą instalację lub rejestrację.

Na Windows z Core Agent 2023.2 lub nowszym stare kroki odzyskiwania po usunięciu z Sophos Fusion albo wygaśnięciu licencji nie są potrzebne. Odzyskiwanie przez środowisko odzyskiwania systemu Windows i rejestr jest wyłącznie ostatecznym, zależnym od wersji przypadkiem wymagającym wsparcia Sophos, gdy nie działają Sophos Fusion, lokalne hasło, SEDcli ani przywrócenie usuniętego obiektu urządzenia.

macOS Recovery również nie jest standardem. Zmienia chronione informacje produktu, aby deinstalator mógł zadziałać. Ponieważ wpływ mają nazwa woluminu, wolumin danych APFS, stan FileVault i wersja agenta, używa się tylko aktualnych instrukcji Sophos lub Sophos Support.

Kiedy Enhanced Tamper Protection trzeba chwilowo wyłączyć

Poza odinstalowaniem i diagnozą Sophos Endpoint Defense blokuje kilka uzasadnionych operacji administracyjnych: aktualizację systemu operacyjnego, odtworzenie punktu przywracania systemu Windows i własne skrypty modyfikujące usługi Sophos, chronione pliki lub uprawnienia rejestru.

Wyłączony przełącznik nie jest ogólnym rozwiązaniem. W starych agentach naprawiony błąd mógł pozostawić ochronę częściowo aktywną po wdrożeniu obrazu systemu lub zmianie nazwy woluminu Windows. Na aktualnych agentach najpierw aktualizuje się Core Agent zamiast stosować stare obejścia związane ze sterownikami i rejestrem.

Po zakończeniu serwisu

Najkrótsza bezpieczna droga przywrócenia zależy od użytej metody:

• Lokalne obejście Windows: SEDcli.exe -ResumeTP natychmiast kończy okno serwisowe. Jeśli użyto interfejsu, zakończyć w nim lokalne obejście zamiast czekać na upływ czterech godzin.
• Jedno urządzenie w Sophos Fusion: My Environment > Computers & Servers > [urządzenie] > Tamper Protection > Turn on tamper protection.
• Selektywne API zbiorcze: zażądać enabled: true dla ID wyłączonych w oknie serwisowym; ocenić przyjęcie dla każdego ID i po kontakcie urządzenia sprawdzić rzeczywiste ponowne włączenie. Nie nadpisywać bez kontroli stanów, które różniły się już przed serwisem.
• Globalnie: najpierw włączyć Global Settings > Products and Services > Endpoint and Server > Tamper Protection i wybrać Save. Następnie poprawić stan urządzeń, które nadal nie są chronione.

Poczekać na kolejny udany kontakt urządzenia i lokalnie sprawdzić, czy Tamper Protection jest aktywna. W Sophos Fusion skontrolować Last activity, Health State i otwarte alerty. W My Environment > Account Health Check zarówno kontrola globalna, jak i kontrola endpointów lub serwerów muszą znów być zielone. Bezpiecznie usunąć tymczasowo zapisane hasła.

Zmiany administratorów Sophos Fusion i automatyczne korekty Health Check można prześledzić w Reports > General logs > Audit Logs. Raport pokazuje między innymi czas, konto wykonujące zmianę, zmieniony obiekt, opis i źródłowy adres IP; domyślnie obejmuje siedem dni, a zakres można rozszerzyć do 90 dni. Wyłącznie lokalne obejście nie stanowi pełnej dokumentacji serwisu w Sophos Fusion: zapisać więc także urządzenie, powód, początek, koniec i wynik kontroli w systemie zmian lub zgłoszeń.

Pełne usunięcie agenta opisuje Odinstalowanie Sophos Endpoint w Windows.

Dla komputerów Mac obowiązuje osobna procedura Odinstalowanie Sophos Endpoint w systemie macOS.

Typowe problemy

Hasło jest odrzucane

Nazwa komputera i rekord Sophos Fusion muszą dokładnie pasować. Trzeba też sprawdzić układ klawiatury, spacje i ostatnią synchronizację. Dla usuniętego urządzenia hasło znajduje się w obszarze usuniętych urządzeń.

Przełącznik nie jest dostępny w Sophos Fusion

Należy sprawdzić rolę administratora, licencję, system i stan urządzenia. Linux nie obsługuje Tamper Protection.

Urządzenie nie reaguje na zmianę

Urządzenie offline nie może odebrać ustawienia Sophos Fusion. Sprawdzić sieć, proxy, czas systemowy i ostatnią aktywność. Na dostępnym lokalnie urządzeniu można użyć czterogodzinnego obejścia z wcześniej pobranym hasłem.

Ponowne włączenie, walidacja i eskalacja

Jeśli hasło, przełącznik Sophos Fusion i SEDcli nie zmieniają prawidłowo stanu albo agent po ponownym włączeniu nadal jest niechroniony lub działa błędnie, nie należy próbować obejść rejestru, sterowników ani usług. Zebrać ID urządzenia, system operacyjny, wersję Core Agent, czas ostatniego połączenia z Sophos Fusion, dokładny komunikat błędu i odpowiedni wpis Audit Log, a następnie otworzyć zgłoszenie w Sophos Support. Dla usuniętego urządzenia podać również datę usunięcia i stan przywracania.

Często zadawane pytania