Desinstalar o Sophos Endpoint com Tamper Protection ativo
Se um dispositivo Windows foi eliminado do Sophos Fusion (anteriormente Sophos Central) antes da remoção local do Endpoint Agent, não é necessário aplicar indiscriminadamente alterações no Registry. As versões atuais do Sophos Core Agent têm um procedimento definido para dispositivos eliminados ou com licença expirada.
O método correto depende de o dispositivo ter sido apenas eliminado, de a licença ter expirado e de se pretender voltar a geri-lo ou removê-lo definitivamente.
⚠️ Não começar por instruções antigas do Registry: a Sophos documenta a recuperação manual apenas como último recurso, quando nenhum método normal para desativar Tamper Protection for viável. Utilize primeiro os métodos padrão do Fusion e locais abaixo. Safe Mode, remoção manual e scripts de Registry de terceiros não fazem parte deste processo.
Identificar primeiro o caso
| Estado | Objetivo | Procedimento |
|---|---|---|
| Dispositivo eliminado há menos de 30 dias | continuar a gestão | restaurar o dispositivo no Fusion |
| Dispositivo eliminado, o agente deve ser removido | remover definitivamente | aguardar a sincronização, verificar o estado da proteção local e executar SophosUninstall.exe |
| Licença expirada, a gestão deve continuar | voltar a ligar | resolver a licença e registar o agente com –registeronly |
| Palavra-passe solicitada num sistema antigo | manutenção ou desinstalação | obter a palavra-passe do dispositivo eliminado |
Os períodos e o comportamento podem mudar com as versões do agente. Antes da intervenção, devem ser documentados o sistema operativo, a versão do Core Agent, a data de eliminação e o tenant.
Pré-requisitos e limites de segurança
- acesso de administrador local e janela de manutenção anunciada;
- backup atual ou plano de recuperação testado;
- versão do Windows, arquitetura, versão do Core Agent e componentes Sophos instalados documentados;
- acesso ao tenant Fusion correto ou administrador do tenant identificado;
- estado final definido: remoção definitiva ou proteção renovada no mesmo tenant;
- Server Lockdown desativado nos servidores e processo Fusion adequado para ZTNA, Device Encryption ou MDR.
Mantenha o dispositivo no Fusion até a validação local ter êxito, para conservar palavra-passe, estado, alertas e diagnóstico. Não repita em ciclo uma desinstalação falhada; guarde primeiro o código devolvido, o log e o estado.
Comportamento dos dispositivos Windows atuais
A partir do Core Agent 2023.2, para Windows 10 e posterior e Windows Server 2016 e posterior aplica-se em geral o seguinte:
- após a eliminação no Fusion, Tamper Protection é desativada localmente;
- os componentes de proteção ativos são removidos ou desativados;
- o Core Agent permanece para permitir uma desinstalação suportada ou um novo registo;
- normalmente não é necessária uma recuperação manual da palavra-passe.
O dispositivo pode demorar algum tempo a processar a eliminação ou alteração da licença. Um dispositivo offline só recebe esta informação após um contacto bem-sucedido.
Nos dispositivos com Update Cache ou Message Relay, estas funções também são removidas. Depois do restauro, devem ser reinstaladas e verificadas se continuarem a ser necessárias.
Desativar Tamper Protection de forma controlada
- Identificar o dispositivo pelo nome, sistema operativo e última atividade.
- Se ainda estiver ativo no Fusion, ir a Tamper Protection nos detalhes e desativar ou escolher View password details.
- Para manutenção local breve, usar Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours no Sophos Endpoint.
- Se foi eliminado, usar abaixo o restauro ou a palavra-passe dentro do prazo de retenção.
- Confirmar localmente que Tamper Protection está desativada antes do desinstalador ou de
--registeronly.
O processo padrão completo está em Desativar com segurança a Tamper Protection no Sophos Fusion. Se nenhuma via estiver disponível, pare o trabalho local e entregue ao Support; não deduza alterações de arranque, controlador ou Registry por conta própria.
Opção 1: restaurar o dispositivo eliminado
Atualmente, o Sophos Fusion mantém os dispositivos eliminados disponíveis para restauro durante 30 dias.
- No Sophos Fusion, abrir Reports > Reports > Endpoint Protection ou Server Protection.
- Selecionar Restore deleted devices and recover Tamper Protection passwords.
- Confirmar inequivocamente o nome do computador, sistema operativo e data de eliminação.
- Selecionar o dispositivo correto e clicar em Restore.
- Aguardar até que volte a contactar o Fusion.
- Verificar Agent Mode, políticas, Health State e última atividade.
O restauro é adequado quando o computador deve continuar protegido e gerido. Para uma retirada definitiva, só é necessário se a palavra-passe ou o estado de gestão não puderem ser restabelecidos de outra forma segura.
Opção 2: desinstalar definitivamente o agente
Se Tamper Protection já estiver desativada, execute o programa oficial numa Linha de Comandos aberta como administrador:
"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet
Num servidor, desbloqueie primeiro Server Lockdown no Fusion. A Sophos exige um reinício após a remoção; verifique depois as aplicações instaladas, os serviços Sophos e o fornecedor de proteção registado. O procedimento completo está em Desinstalar o Sophos Endpoint no Windows.
Este executável aplica-se ao Windows 10 (x64) ou posterior e Windows Server 2016 ou posterior com Core Agent suportado. As plataformas antigas usam uninstallgui.exe para remoção interativa ou uninstallcli.exe --quiet a partir da mesma pasta. Não substitui o processo do Fusion para software protegido como ZTNA, Device Encryption ou MDR.
Para distribuição em lote, guarde o comando completo entre aspas acima com extensão .bat, mantendo a aspa inicial, e execute o script nos dispositivos previstos.
Opção 3: voltar a registar o agente no tenant
Se o dispositivo continuar a ser gerido, um instalador atual do tenant correto do Sophos Fusion pode renovar o registo:
SophosSetup.exe --registeronly
Para utilizar --registeronly, o Tamper Protection tem de estar desativado. O Core Agent 2023.2 ou posterior faz isso automaticamente após a eliminação ou expiração da licença; noutras migrações, desative a proteção de forma controlada antes do comando.
O instalador está associado ao tenant e deve ser novamente obtido em My Environment > Installers. Depois, verificam-se no Fusion pelo menos:
- tenant e nome do computador corretos;
- Agent Mode e produtos licenciados;
- grupo de computadores previsto;
- políticas atribuídas;
- estado saudável e componentes atuais;
- ausência de alertas de registo ou licença.
--registeronly não substitui a reparação de uma instalação danificada. Se o Core Agent ou os componentes de comunicação estiverem defeituosos, os logs e o estado devem ser guardados primeiro.
Obter a palavra-passe de um dispositivo eliminado
O Sophos Fusion conserva neste relatório os dispositivos eliminados e as respetivas palavras-passe de Tamper Protection durante 120 dias, mas o objeto do dispositivo só pode ser restaurado nos primeiros 30 dias. A palavra-passe é especialmente relevante para plataformas ou versões antigas do agente.
Se o registo de auditoria for necessário por mais de 120 dias, exporte o relatório antes do fim do prazo e proteja adequadamente os dados de palavra-passe exportados.
- Abrir Reports > Reports > Endpoint Protection ou Server Protection.
- Selecionar Restore deleted devices and recover Tamper Protection passwords.
- Identificar inequivocamente o dispositivo através de vários atributos.
- Na coluna Tamper Protection password, clicar em Password details. O Fusion apresenta primeiro a palavra-passe atual, ou seja, a utilizada mais recentemente, seguida das anteriores.
- Utilizar a palavra-passe atual apenas durante a janela de manutenção e eliminar depois as cópias temporárias.
A palavra-passe de outro dispositivo não funciona. Se o registo ultrapassar o período de retenção, não se experimentam alterações no Registry; utiliza-se o procedimento de suporte atual da Sophos.
Licença expirada
Depois de ativar uma nova licença, os dispositivos Windows atuais podem ser recuperados se não tiverem passado mais de 90 dias desde a expiração da licença. Após 90 dias, execute um instalador atual associado ao tenant com --registeronly para reinstalar e registar o agente. Primeiro, confirme o tenant e a licença válida.
Se o dispositivo for retirado definitivamente, segue-se a desinstalação local. Se continuar a ser utilizado, deve verificar-se depois do registo se todos os produtos de proteção e políticas esperados estão realmente ativos.
Troubleshooting
O dispositivo foi restaurado no Fusion, mas permanece offline
São verificados rede, proxy, DNS, hora do sistema e serviços de gestão Sophos. Também é necessário garantir que o instalador e o registo pertencem ao tenant correto.
Tamper Protection permanece ativa
Aguarde a sincronização e verifique uma vez os métodos acima do Fusion, palavra-passe, substituição de quatro horas e restauro. Se a proteção continuar ativa, não force o desinstalador nem execute SophosZap.
SophosUninstall.exe não existe ou termina com erro
Isto indica uma instalação danificada ou incompleta. Guarde os logs de instalação e desinstalação, o código devolvido e o estado do dispositivo. Conclua qualquer reinício já pendente antes de voltar a verificar o estado. Pacotes MSI, serviços ou chaves de Registry não são removidos por tentativa, pois isso pode dificultar uma reparação posterior.
SophosZap apenas após falhar a desinstalação padrão
O SophosZap é uma ferramenta Windows de último recurso apenas quando Tamper Protection está comprovadamente desativada e a desinstalação padrão mesmo assim falhou ou ficou incompleta; a deteção heurística aumenta o risco. Não contorna palavra-passe desconhecida, Server Lockdown ou processo Fusion protegido. Suporta HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, endpoints Enterprise Console, Sophos Home, Sophos Anti-Virus, Sophos Clean e outros produtos autónomos. Para perante Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin ou Sophos Update Manager; remova primeiro normalmente o produto incompatível.
Verificar a transferência e a assinatura
Confirme Windows 7 ou posterior, acesso de administrador, Tamper Protection desativada e backups. ARM64 requer SophosZap 1.2.3.0 ou posterior. Transfira uma cópia atual imediatamente antes da manutenção. Verifique File version em Properties > Details e uma assinatura Sophos válida em Properties > Digital Signatures, ou use PowerShell:
$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
throw 'SophosZap signature validation failed'
}
O PowerShell verifica deliberadamente em modo fail-closed apenas se o estado Authenticode é Valid e se existe um certificado; não aprova por substring o Subject completo apresentado. Um administrador tem de comparar esse valor de forma exata com a identidade esperada do editor, verificada separadamente através de documentação oficial atual da Sophos ou do Sophos Support. Sem correspondência exata, com assinatura ausente ou inválida, ou com uma versão demasiado antiga para ARM64, não execute o ficheiro: elimine-o e transfira-o novamente. Um hash local sem valor esperado publicado independentemente não substitui a assinatura.
Executar e tratar a saída
Execute a ferramenta verificada da pasta local numa Linha de Comandos elevada:
SophosZap --confirm
Siga exatamente a saída. Em Reboot and re-execute, reinicie, execute o mesmo comando exatamente mais uma vez como administrador e reinicie de novo. Podem ser necessários reinícios adicionais. O log incrementável fica em %TEMP%. Perante INFO : Reboot will be required. An update remains in progress., conclua o reinício solicitado em vez de forçar a limpeza em paralelo. SophosZap funciona apenas em Windows. Em alguns Windows 8.1, Windows Defender pode precisar de arranque manual depois.
Validar o resultado e entregar ao Support
Após o reinício final, verifique aplicações, serviços Sophos ativos, interface Sophos e fornecedor no Windows Security. Uma pasta restante não prova falha. Para remoção definitiva, confirme a proteção sucessora; se o dispositivo continuar protegido, reinstale ou volte a registar Sophos e verifique tenant, Agent Mode, produtos, políticas e estado. Elimine o objeto Fusion só após validação local.
Se Tamper Protection continuar ativa ou não existir um método suportado para a desativar, abra diretamente um caso no Sophos Support. Faça o mesmo se a desinstalação padrão e a repetição exatamente uma vez do SophosZap ficarem incompletas. A recuperação manual de último recurso tem três ramos separados e não intercambiáveis: Windows atual para desktop/servidor, Server Core 2012 ou posterior e Windows 7 ou Windows Server 2008 R2. Como pode envolver o Windows Recovery e o controlador Endpoint Defense, as alterações de arranque, controlador e Registry dependentes da plataforma e versão não são reproduzidas aqui e só devem ser realizadas sob instruções atuais da Sophos.
Envie identificadores do tenant e dispositivo, versão do Windows e arquitetura, versões Core Agent e SophosZap, componentes instalados, estados Tamper Protection e Server Lockdown, objetivo, comandos exatos com horas e códigos devolvidos, SophosZap log.txt, ficheiros Sophos de %TEMP% e C:\Windows\Temp, logs de desinstalação e SDU recente. Carregue arquivos confidenciais apenas através do envio designado do caso.
Faltam produtos depois de –registeronly
O novo registo não restaura automaticamente todos os componentes pretendidos. Em My Environment > Computers & Servers, verificam-se Agent Mode e Manage device software. Depois, o dispositivo deve receber a configuração e as atualizações completas.