Desativar com segurança a Tamper Protection
Tamper Protection protege os serviços Sophos, as definições e a desinstalação contra alterações locais. Não é uma simples opção de conveniência, mas uma barreira importante contra atacantes que tentam primeiro desativar a proteção Endpoint.
Para manutenção e análise de erros, esta proteção só é desativada durante o período e no âmbito estritamente necessários. Na maioria dos casos é suficiente o override local durante, no máximo, quatro horas. Uma desativação global afeta todos os dispositivos geridos e só é adequada para trabalhos em massa controlados.
O Agent atual também usa Enhanced Tamper Protection de Sophos Endpoint Defense. Bloqueia alterações de configuração, paragem de Processes protegidos, manipulação de Registry Permissions e substituição de ficheiros protegidos. Também afeta administradores locais e ferramentas de Software Deployment.
⚠️ Não confundir com uma política: Tamper Protection protege o próprio agente. Threat Protection, Web Control e outras funções Endpoint são controladas por políticas próprias.
Qual é o método adequado?
| Situação | Método recomendado | Efeito |
|---|---|---|
| trabalho breve num dispositivo acessível | override local com a palavra-passe do dispositivo | máximo de quatro horas |
| manutenção prolongada num único dispositivo | desativar no Sophos Fusion para esse dispositivo | até à reativação manual |
| trabalho em massa planeado | desativar globalmente | todos os Endpoints e servidores geridos |
| dispositivo já eliminado do Sophos Fusion | utilizar a palavra-passe do dispositivo eliminado ou o restauro | depende da plataforma e da data de eliminação |
As alterações no Sophos Fusion (anteriormente Sophos Central) exigem uma função com os direitos administrativos necessários. A funcionalidade está disponível para Windows e macOS, mas não para Linux.
Desativar Tamper Protection num dispositivo
Inicie sessão em fusion.sophos.com. O acesso atual no Sophos Fusion é My Environment > Computers & Servers.
- Abrir o dispositivo afetado.
- Selecionar Tamper Protection na área do dispositivo.
- Confirmar Turn off tamper protection.
- Aguardar até o dispositivo receber a alteração.
- Verificar localmente se a manutenção prevista é possível.
A alteração mantém-se até Tamper Protection ser reativada para o dispositivo. Um dispositivo offline só a aplica no contacto seguinte com o Sophos Fusion.
Apresentar a palavra-passe do dispositivo
O override local requer a palavra-passe individual do dispositivo:
- Abrir o dispositivo em My Environment > Computers & Servers.
- Deslocar até Tamper Protection e selecionar View password details.
- Apresentar a palavra-passe e fornecê-la apenas à pessoa que executa o trabalho.
- Não guardar a palavra-passe em tickets, chats ou notas sem proteção.
Cada dispositivo tem a sua própria palavra-passe. A palavra-passe de outro registo Endpoint não funciona.
Generate New Password cria uma Password exatamente para este dispositivo. Sophos Fusion não disponibiliza uma Master Password permanente comum a todos os Endpoints.
Windows: suspender localmente a proteção durante quatro horas
- Abrir o Sophos Endpoint através do ícone do escudo.
- Selecionar Admin sign-in ou Admin-Login.
- Introduzir a palavra-passe de Tamper Protection do dispositivo.
- Abrir Settings.
- Ativar Override Sophos Central Policy for up to 4 hours para troubleshooting.
- Desativar Tamper Protection nos controlos locais.
O override termina automaticamente após, no máximo, quatro horas. Para diagnóstico, reparação e desinstalação controlada, esta é geralmente a variante mais segura.
Durante o Override, o dispositivo não aplica Central Policies novas ou alteradas. Termina-se logo após o trabalho em vez de esperar quatro horas.
Windows: controlar Tamper Protection com SEDcli
Se a interface Sophos local não abrir, SEDcli.exe está disponível em Sophos Fusion Windows Endpoints e Servers atuais. Não se aplica a macOS nem Linux. Abre-se Command Prompt como administrador e muda-se para C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h mostra as opções suportadas pelo Agent instalado; -v mostra a versão da aplicação.
SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff PASSWORD_DISPOSITIVO
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP PASSWORD_DISPOSITIVO
Substitua PASSWORD_DISPOSITIVO pela Password de Tamper Protection mostrada no Sophos Fusion. -status indica se SED Tamper Protection está ativada ou desativada. -OverrideTPoff suspende Central Policy durante até quatro horas e desativa a proteção; o evento do dispositivo é Central management has been suspended. Durante a suspensão não podem ser aplicadas Policies novas ou atualizadas.
-ResumeTP termina a manutenção, ativa Tamper Protection e retoma Central Policy. Normalmente é executado sem Password. Use a forma com Password apenas se o serviço Sophos MCS Agent não estiver em execução; Central Management é retomado na mesma, mas o evento Central management has been resumed não é gerado. Depois, volte a verificar o estado com -status.
Não guardar a Password em Scripts: aparece como argumento e pode ficar em History, Logs ou Process Data.
SEDcliserve para reparação local controlada, não desativação massiva permanente.
macOS: suspender localmente a proteção durante quatro horas
- Abrir Sophos Endpoint no Mac.
- Selecionar Admin Login.
- Introduzir primeiro a palavra-passe do administrador local do Mac e confirmar com OK.
- Clicar no cadeado com o ícone Sophos e introduzir a palavra-passe do dispositivo obtida no Sophos Fusion.
- Abrir Settings e ativar Override Sophos Central Policy for up to 4 hours.
- Desativar Tamper Protection durante a janela de manutenção e guardar.
No fim, terminar imediatamente o override e verificar se a proteção voltou a estar ativa.
Desativar Tamper Protection globalmente
Na interface atual, a opção global encontra-se em Global Settings > Products and Services > Endpoint and Server > Tamper Protection.
Uma desativação global só é aceitável quando o âmbito, a janela temporal e a reposição estão documentados. Durante esse período, administradores locais ou malware podem alterar componentes Sophos com maior facilidade.
Antes de desativar, devem estar definidos pelo menos:
- dispositivos afetados e motivo da manutenção;
- início e fim previsto;
- pessoa responsável;
- validação após o trabalho;
- confirmação de que a opção global voltou a estar ativa.
Para dispositivos individuais, o método global é desproporcionado.
Com o Switch global desativado, Tamper Protection não protege nenhum dispositivo. Um estado local ativo não compensa isso. Account Health Check indica Switch global e dispositivos individuais desprotegidos; alterações em massa aparecem em Audit Log.
Se o dispositivo já foi eliminado
Atualmente, o Sophos Fusion conserva durante 120 dias as palavras-passe de Tamper Protection de dispositivos eliminados. Estes podem ser restaurados durante 30 dias. Nas versões atuais a partir de Windows 10 ou Windows Server 2016, o Core Agent moderno normalmente desativa a proteção após a eliminação, dispensando a recuperação da palavra-passe.
O caminho atual é Reports > Reports > Endpoint Protection (ou Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Durante 30 dias, selecionar o dispositivo e clicar em Restore. Até ao dia 120, Password details na coluna Tamper Protection password apresenta as palavras-passe atual e anterior.
O procedimento exato depende do sistema operativo, da versão do agente e da data de eliminação. O restauro atual sem intervenções no Registry está descrito em Desinstalar o Sophos Endpoint após eliminação no Sophos Fusion.
Não utilizar alterações antigas no Registry: desativar manualmente serviços Sophos e chaves de Tamper Protection em Safe Mode já não é um procedimento normal de desinstalação. Pode deixar o Core Agent inconsistente e dificultar instalações ou registos posteriores.
Em Windows com Core Agent 2023.2 ou posterior, passos antigos de Recovery após eliminação no Sophos Fusion ou fim da licença já não são necessários. Windows Recovery Environment e Registry são apenas último recurso dependente da versão quando Sophos Fusion, Password local, SEDcli e restauro do objeto falham.
macOS Recovery também não é padrão. Altera informação protegida para que Uninstaller funcione. Como Volume Name, APFS Data Volume, FileVault State e Agent Version influenciam, usam-se apenas instruções Sophos atuais ou Sophos Support.
Quando Enhanced Tamper Protection deve ser desativado temporariamente
Além de desinstalação e diagnóstico, Sophos Endpoint Defense bloqueia algumas operações legítimas: OS Upgrade, restauro de Windows Restore Point e Scripts próprios que alterem Sophos Services, ficheiros protegidos ou Registry Permissions.
Um Switch desativado não é solução geral. Em Agents antigos, um erro já corrigido podia deixar proteção parcialmente ativa após Imaging ou alteração de Windows Volume Name. Em Agents atuais, atualiza-se primeiro Core Agent em vez de usar Workarounds antigos de Driver e Registry.
Após a manutenção
- Reativar Tamper Protection no dispositivo ou globalmente.
- Aguardar até o dispositivo aplicar a definição.
- Verificar o estado da proteção e os componentes locais.
- No Sophos Fusion, verificar a última atividade, o Health State e alertas abertos.
- Eliminar de forma segura palavras-passe registadas temporariamente.
Se o agente for removido completamente, siga Desinstalar o Sophos Endpoint no Windows.
Para Macs aplica-se o processo separado Desinstalar Sophos Endpoint no macOS.
Problemas frequentes
A palavra-passe é recusada
O nome do computador e o registo no Sophos Fusion têm de corresponder exatamente. Também são verificados o esquema do teclado, espaços copiados e a última sincronização. Num dispositivo eliminado, a palavra-passe deve ser procurada na área de dispositivos eliminados.
A opção não está disponível no Sophos Fusion
São verificados a função do administrador, a licença do produto, o sistema operativo e o estado atual do dispositivo. Linux não suporta Tamper Protection.
O dispositivo não reage à alteração
Um dispositivo offline não consegue receber a definição do Sophos Fusion. São verificados rede, proxy, hora do sistema e última atividade. Num dispositivo local acessível, pode utilizar-se o override de quatro horas com a palavra-passe previamente obtida.
Reativação, validação e escalamento
O regresso mais rápido é SEDcli.exe -ResumeTP para um override local do Windows ou My Environment > Computers & Servers > [dispositivo] > Tamper Protection > Turn on tamper protection para um dispositivo. Após uma desativação global, ativar primeiro Global Settings > Products and Services > Endpoint and Server > Tamper Protection, clicar em Save e corrigir depois os dispositivos ainda desprotegidos.
Após o contacto seguinte, confirmar localmente que Tamper Protection está ativa. Em My Environment > Account Health Check, as verificações global e dos dispositivos devem estar corretas. As alterações no Sophos Fusion aparecem em Reports > General logs > Audit Logs, sete dias por predefinição e até 90 dias. Um override local também deve ser registado no ticket de manutenção.
Se a palavra-passe, o Sophos Fusion e SEDcli não alterarem corretamente o estado, não tentar soluções no Registry, drivers ou serviços. Recolher ID, sistema, versão do Core Agent, última ligação, erro e entrada de Audit Log e abrir um caso no Sophos Support. Para um dispositivo eliminado, incluir a data de eliminação e o estado do restauro.