Desativar com segurança a Tamper Protection

Tamper Protection protege os serviços Sophos, as definições e a desinstalação contra alterações locais. Não é uma simples opção de conveniência, mas uma barreira importante contra atacantes que tentam primeiro desativar a proteção Endpoint.

O agente atual também utiliza Enhanced Tamper Protection de Sophos Endpoint Defense. Esta proteção não impede apenas alterações através da interface Sophos: protege também processos, serviços, ficheiros, pastas e chaves de registo Sophos contra administradores locais e programas, incluindo ferramentas de distribuição de software. Por isso, não basta parar um serviço Windows ou alterar o seu tipo de arranque.

Para manutenção e diagnóstico, desativar a proteção apenas durante o tempo e no âmbito estritamente necessários. Na maioria dos casos basta o override local de quatro horas, no máximo. Para um conjunto de dispositivos aprovado, a API pode limitar a alteração a ID de dispositivo explícitos. A desativação global, pelo contrário, afeta todos os dispositivos geridos e só deve ser considerada quando todo esse âmbito for realmente necessário.

⚠️ Não confundir com uma política: Tamper Protection protege o próprio agente. Threat Protection, Web Control e outras funções Endpoint são controladas por políticas próprias.

Qual é o método adequado?

Para uma automatização já configurada e aprovada, o procedimento da Endpoint API para Tamper Protection descreve a seleção de ID, o suporte dos dispositivos, as permissões e a análise de erros. HTTP 202 confirma apenas a aceitação, não a execução no dispositivo. Desativar pela API não é um override de quatro horas: é necessário planear a reativação e a verificação por dispositivo. A regeneração de palavras-passe também não substitui este caminho de reposição.

As alterações no Sophos Fusion (anteriormente Sophos Central) exigem uma função com os direitos administrativos necessários. A funcionalidade está disponível para Windows e macOS, mas não para Linux.

Desativar Tamper Protection num dispositivo

Inicie sessão em fusion.sophos.com. O acesso atual no Sophos Fusion é My Environment > Computers & Servers.

1. Abrir o dispositivo afetado.
2. Selecionar Tamper Protection na área do dispositivo.
3. Confirmar Turn off tamper protection.
4. Aguardar até o dispositivo receber a alteração.
5. Verificar localmente se a manutenção prevista é possível.

A alteração mantém-se até Tamper Protection ser reativada para o dispositivo. Um dispositivo offline só a aplica no contacto seguinte com o Sophos Fusion.

Apresentar a palavra-passe do dispositivo

O override local requer a palavra-passe individual do dispositivo:

1. Abrir o dispositivo em My Environment > Computers & Servers.
2. Deslocar até Tamper Protection e selecionar View password details.
3. Apresentar a palavra-passe e fornecê-la apenas à pessoa que executa o trabalho.
4. Não guardar a palavra-passe em tickets, chats ou notas sem proteção.

Cada dispositivo tem a sua própria palavra-passe. A palavra-passe de outro registo Endpoint não funciona.

Generate New Password cria uma palavra-passe exatamente para este dispositivo. O Sophos Fusion não disponibiliza uma palavra-passe comum a todos os endpoints e servidores.

Windows: suspender localmente a proteção durante quatro horas

1. Abrir o Sophos Endpoint através do ícone do escudo.
2. Selecionar Admin sign-in ou Admin-Login.
3. Introduzir a palavra-passe de Tamper Protection do dispositivo.
4. Abrir Settings.
5. Ativar Override Sophos Central Policy for up to 4 hours para troubleshooting.
6. Desativar Tamper Protection nos controlos locais.

O override termina automaticamente após, no máximo, quatro horas. Para diagnóstico, reparação e desinstalação controlada, esta é geralmente a variante mais segura.

Durante o override, o dispositivo não aplica políticas do Sophos Fusion novas ou alteradas. Termina-se logo após o trabalho em vez de esperar quatro horas.

Windows: controlar Tamper Protection com SEDcli

Se a interface Sophos local não abrir, SEDcli.exe está disponível nos endpoints Windows e servidores Windows atuais geridos pelo Sophos Fusion. Não se aplica a macOS nem Linux. Abre-se a linha de comandos como administrador e muda-se para C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h mostra as opções suportadas pelo agente instalado; -v mostra a versão da aplicação.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff PASSWORD_DISPOSITIVO
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP PASSWORD_DISPOSITIVO

Substitua PASSWORD_DISPOSITIVO pela palavra-passe de Tamper Protection mostrada no Sophos Fusion. -status indica se SED Tamper Protection está ativada ou desativada. -OverrideTPoff suspende a política do Sophos Fusion durante até quatro horas e desativa a proteção; o evento do dispositivo é Central management has been suspended. Durante a suspensão não podem ser aplicadas políticas novas ou atualizadas.

-ResumeTP termina a manutenção, ativa Tamper Protection e retoma a política do Sophos Fusion. Normalmente é executado sem palavra-passe. Use a forma com palavra-passe apenas se o serviço Sophos MCS Agent não estiver em execução; a gestão central é retomada na mesma, mas o evento Central management has been resumed não é gerado. Depois, volte a verificar o estado com -status.

Não guardar a palavra-passe em scripts: aparece como argumento e pode ficar em histórico, registos ou dados dos processos. SEDcli serve para reparação local controlada, não desativação massiva permanente.

macOS: suspender localmente a proteção durante quatro horas

1. Abrir Sophos Endpoint no Mac.
2. Selecionar Admin Login.
3. Introduzir primeiro a palavra-passe do administrador local do Mac e confirmar com OK.
4. Clicar no cadeado com o ícone Sophos e introduzir a palavra-passe do dispositivo obtida no Sophos Fusion.
5. Abrir Settings e ativar Override Sophos Central Policy for up to 4 hours.
6. Desativar Tamper Protection durante a janela de manutenção e guardar.

No fim, terminar imediatamente o override e verificar se a proteção voltou a estar ativa.

Desativar Tamper Protection globalmente

O caminho exato é Global Settings (ícone de engrenagem) > Products and Services > Endpoint and Server > Tamper Protection. Mover o controlo para a esquerda para desativar. Ao reativar mais tarde, ligar a opção e selecionar Save no canto superior direito.

Uma desativação global só é aceitável quando o âmbito, a janela temporal e a reposição estão documentados. Durante esse período, administradores locais ou malware podem alterar componentes Sophos com maior facilidade.

Antes de desativar, devem estar definidos pelo menos:

• dispositivos afetados e motivo da manutenção;
• início e fim previsto;
• pessoa responsável;
• validação após o trabalho;
• confirmação de que a opção global voltou a estar ativa.

Para dispositivos individuais, o método global é desproporcionado.

Com a opção global desativada, Tamper Protection não protege nenhum dispositivo. Um estado local ativo não compensa isso. Account Health Check indica a opção global e dispositivos individuais desprotegidos; alterações em massa aparecem em Audit Log. Um estado ativo no objeto do dispositivo também não compensa a desativação global.

Se o dispositivo já foi eliminado

Atualmente, o Sophos Fusion conserva durante 120 dias as palavras-passe de Tamper Protection de dispositivos eliminados. Estes podem ser restaurados durante 30 dias. Nas versões atuais a partir de Windows 10 ou Windows Server 2016, o Core Agent moderno normalmente desativa a proteção após a eliminação, dispensando a recuperação da palavra-passe.

O caminho atual é Reports > Reports > Endpoint Protection (ou Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Durante 30 dias, selecionar o dispositivo e clicar em Restore. Até ao dia 120, Password details na coluna Tamper Protection password apresenta as palavras-passe atual e anterior. Após esse prazo, a recuperação através do Sophos Fusion deixa de estar disponível.

O procedimento exato depende do sistema operativo, da versão do agente e da data de eliminação. O restauro atual sem intervenções no registo está descrito em Desinstalar o Sophos Endpoint após eliminação no Sophos Fusion.

Não utilizar alterações antigas no registo: desativar manualmente serviços Sophos e chaves de Tamper Protection em modo de segurança já não é um procedimento normal de desinstalação. Pode deixar o Core Agent inconsistente e dificultar instalações ou registos posteriores.

Em Windows com Core Agent 2023.2 ou posterior, passos antigos de recuperação após eliminação no Sophos Fusion ou fim da licença já não são necessários. A recuperação através do Windows Recovery Environment e do registo é apenas um último recurso num caso de suporte dependente da versão, quando o Sophos Fusion, a palavra-passe local, SEDcli e o restauro do objeto eliminado falham.

A recuperação através de macOS Recovery também não é um procedimento normal. Altera informações protegidas do produto para permitir a execução do programa de desinstalação Sophos. Como o nome do volume, o volume de dados APFS, o estado do FileVault e a versão do agente influenciam o procedimento, este só é realizado com as instruções atuais da Sophos ou em conjunto com o Sophos Support.

Quando Enhanced Tamper Protection deve ser desativado temporariamente

Além de desinstalação e diagnóstico, Sophos Endpoint Defense bloqueia algumas operações legítimas: atualização do sistema operativo, restauro de um ponto de restauro do sistema Windows e scripts próprios que alterem serviços Sophos, ficheiros protegidos ou permissões do registo.

Uma opção desativada não é uma solução geral para ações que continuam bloqueadas. Em agentes antigos, um erro já corrigido podia deixar a proteção parcialmente ativa após a instalação a partir de uma imagem do sistema ou a alteração do nome do volume Windows. Nos agentes atuais, atualiza-se primeiro a versão instalada do Core Agent, em vez de usar soluções alternativas antigas que alteram drivers e o registo.

Após a manutenção

O caminho seguro mais curto para repor a proteção depende do método utilizado:

• Override local do Windows: SEDcli.exe -ResumeTP termina imediatamente a janela. Se tiver sido utilizada a interface, terminar aí o override local em vez de esperar pelo fim das quatro horas.
• Um dispositivo no Sophos Fusion: My Environment > Computers & Servers > [dispositivo] > Tamper Protection > Turn on tamper protection.
• API em lote seletiva: solicitar enabled: true para os ID desativados durante a janela de manutenção; avaliar a aceitação por ID e verificar a reativação real após o contacto do dispositivo. Não substituir sem verificação estados que já eram diferentes antes da manutenção.
• Global: ativar primeiro Global Settings > Products and Services > Endpoint and Server > Tamper Protection e selecionar Save. Corrigir depois os dispositivos que continuem desprotegidos.

Aguardar o contacto bem-sucedido seguinte do dispositivo e verificar localmente se Tamper Protection está ativa. No Sophos Fusion, verificar Last activity, Health State e alertas abertos. Em My Environment > Account Health Check, tanto a verificação global como a dos endpoints ou servidores têm de voltar a estar verdes. Eliminar de forma segura palavras-passe registadas temporariamente.

As alterações dos administradores do Sophos Fusion e as correções automáticas de Health Check podem ser consultadas em Reports > General logs > Audit Logs. O relatório apresenta, entre outros dados, hora, conta executora, objeto alterado, descrição e IP de origem; por predefinição mostra sete dias, podendo o período chegar a 90 dias. Um override puramente local não constitui documentação completa da manutenção no Sophos Fusion: registar também dispositivo, motivo, início, fim e resultado da verificação no sistema de alterações ou tickets.

Se o agente for removido completamente, siga Desinstalar o Sophos Endpoint no Windows.

Para Macs aplica-se o processo separado Desinstalar Sophos Endpoint no macOS.

Problemas frequentes

A palavra-passe é recusada

O nome do computador e o registo no Sophos Fusion têm de corresponder exatamente. Também são verificados o esquema do teclado, espaços copiados e a última sincronização. Num dispositivo eliminado, a palavra-passe deve ser procurada na área de dispositivos eliminados.

A opção não está disponível no Sophos Fusion

São verificados a função do administrador, a licença do produto, o sistema operativo e o estado atual do dispositivo. Linux não suporta Tamper Protection.

O dispositivo não reage à alteração

Um dispositivo offline não consegue receber a definição do Sophos Fusion. São verificados rede, proxy, hora do sistema e última atividade. Num dispositivo local acessível, pode utilizar-se o override de quatro horas com a palavra-passe previamente obtida.

Reativação, validação e escalamento

Se a palavra-passe, a opção do Sophos Fusion e SEDcli não alterarem corretamente o estado, ou se o agente continuar desprotegido ou com erros após a reativação, não tentar soluções alternativas no registo, drivers ou serviços. Recolher o ID do dispositivo, o sistema operativo, a versão do Core Agent, a hora da última ligação ao Sophos Fusion, a mensagem de erro exata e a entrada de Audit Log afetada, e abrir um caso no Sophos Support. Para um dispositivo eliminado, incluir também a data de eliminação e o estado do restauro.

Perguntas frequentes