Desinstalar o Sophos Endpoint no Windows
Uma desinstalação correta do Endpoint inclui duas tarefas separadas: primeiro remove-se o software Sophos do dispositivo Windows. Só depois se elimina no Sophos Fusion (anteriormente Sophos Central) o registo do dispositivo que deixou de ser necessário.
Esta ordem é importante. Eliminar no Sophos Fusion não é uma desinstalação remota. Remove o registo e os alertas associados, mas deixa no computador um agente que ainda esteja instalado.
Antes de começar
- acesso de administrador local
- janela de manutenção ativa
- Tamper Protection desativada neste dispositivo
- idioma do programa de desinstalação correspondente ao idioma da versão instalada do Sophos Endpoint
- plano de recuperação ou rollback
- nenhuma correção ou investigação em curso que ainda necessite do Endpoint
O procedimento para desativar a proteção localmente durante quatro horas ou no Sophos Fusion por dispositivo está descrito em Desativar com segurança a Tamper Protection no Sophos Fusion.
Não eliminar prematuramente: o dispositivo permanece no Sophos Fusion até a desinstalação local ser concluída. Assim, a palavra-passe, o estado e as informações de diagnóstico continuam disponíveis.
Método de desinstalação suportado
A Sophos disponibiliza no Windows um programa de desinstalação central:
C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe
- Desativar Tamper Protection para o dispositivo.
- Abrir a linha de comandos ou PowerShell com privilégios de administrador.
- Iniciar SophosUninstall.exe a partir do caminho indicado.
- Concluir o assistente e reiniciar depois o Windows para concluir a remoção.
- Verificar depois se os serviços Sophos, a interface de proteção e as aplicações Sophos instaladas foram removidos.
Em alternativa, Sophos Endpoint Agent pode ser desinstalado em Settings > Apps > Apps & features no Windows 10 ou em Settings > Apps > Installed apps no Windows 11. O Windows inicia o mesmo programa de desinstalação suportado.
Desinstalação sem supervisão
Para distribuição de software ou retirada controlada, o programa suporta a execução silenciosa:
PowerShell
& "C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet
Linha de comandos ou ficheiro .bat
"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet
Para poucos dispositivos, a remoção interativa através de Settings > Apps ou do programa de desinstalação continua a ser o método normal; --quiet fica reservado para uma distribuição controlada e repetível. Esta execução aplica-se ao Windows 10 (x64) e posterior e ao Windows Server 2016 e posterior, com um Core Agent suportado. Em plataformas legacy, a Sophos indica uninstallcli.exe --quiet no mesmo diretório; a remoção interativa legacy utiliza uninstallgui.exe. Antes de uma distribuição ampla, inventariam-se o sistema operativo, a arquitetura e a versão do Core Agent. Num ficheiro batch mantêm-se as aspas em torno do caminho completo e guarda-se o ficheiro com a extensão .bat.
Com --language=<LanguageID> é possível definir o idioma do programa de desinstalação através de um ID de idioma padrão decimal ou hexadecimal. Este deve corresponder ao idioma da versão instalada do Sophos Endpoint. O sistema de deployment deve avaliar o exit code, as aplicações instaladas e um possível reinício. O fim do processo, por si só, não comprova o sucesso.
Os valores numéricos de retorno não devem ser interpretados como códigos Windows gerais:
| Código | Significado |
|---|---|
0 | sucesso, sem necessidade de reinício |
1 | sucesso, reinício necessário |
2 | falhou |
3 | falhou, reinício necessário |
4 | estado desconhecido |
5 | Tamper Protection ainda está ativa |
6 | o processo não possui direitos de administrador |
7 | Server Lockdown está ativo; normalmente não é relevante para Endpoints |
8 | um reinício já pendente bloqueia o processo |
A Sophos documenta o log de desinstalação como C:\Windows\Temp\Sophos Endpoint Agent. Com o código 8, executa-se primeiro o reinício já pendente e depois reavalia-se o dispositivo. Para outros códigos de erro, a Avanet recomenda que não se prossiga com reinícios ou execuções repetidos. Após a remoção, é obrigatório reiniciar o Windows antes da validação abaixo. Este reinício final aplica-se tanto à desinstalação interativa como à efetuada por linha de comandos ou ficheiro batch, mesmo quando o código 0 indica que o próprio programa de desinstalação não o solicita.
Limites e rollback da distribuição silenciosa
--quiet oculta o assistente, mas não elimina pré-requisitos nem dependências de produtos. Em dispositivos protegidos por ZTNA, Device Encryption ou MDR, utiliza-se primeiro o processo Install or uninstall software no Sophos Fusion. Antes da manutenção confirmam-se a recuperação da encriptação, a continuidade do acesso ao dispositivo e a continuidade da monitorização acordada.
Não existe uma matriz atual fiável da qual se possam deduzir aprovações gerais de fabricantes para combinações com outro software de segurança. Antes de uma remoção alargada, inventariam-se os produtos e as versões realmente instalados e testa-se essa combinação exata num pequeno grupo piloto. Se um produto bloquear ou afetar a remoção, o caso concreto e os respetivos logs devem ser encaminhados aos fabricantes envolvidos; pressupostos de coexistência específicos de fabricantes que não sejam suportados ou verificados não substituem este teste.
A desinstalação não tem rollback automático. A Avanet recomenda começar por um pequeno grupo piloto e manter disponíveis um instalador atual associado ao tenant e as informações de recuperação. Se a validação falhar, o dispositivo não é marcado como retirado com sucesso: preservam-se logs e estado e, como recomendação de segurança da Avanet, isola-se o dispositivo se necessário; depois repõe-se a proteção documentada ou encaminha-se o caso para o Sophos Support.
Não confundir com «Manage software»
Em My Environment > Computers & Servers, Manage software pode remover produtos de proteção individuais ou alterar o Agent Mode. O Sophos Core Agent permanece instalado para gestão e futuras alterações de produto.
Para remover completamente o dispositivo continua, portanto, a ser necessário SophosUninstall.exe. Manage software destina-se a uma alteração controlada do conjunto de produtos, não à retirada completa.
Validar a desinstalação
Após a conclusão do assistente ou do comando silencioso e o reinício do Windows, devem ser verificados pelo menos estes pontos:
- Sophos Endpoint Agent já não aparece nas aplicações instaladas.
- O escudo Sophos e a interface Endpoint local foram removidos.
- Os serviços de proteção Sophos já não estão em execução.
- O produto sucessor previsto está ativo e atualizado.
- O Windows Security apresenta o fornecedor de proteção esperado.
- O dispositivo não tem um reinício Sophos pendente nem um processo de desinstalação incompleto.
Uma pasta residual não prova, por si só, que existe uma instalação ativa. Serviços em execução, produtos registados e o fornecedor de proteção são indicadores mais significativos.
Remover depois o dispositivo do Sophos Fusion
Só após a validação local se efetua a limpeza no Sophos Fusion:
- Abrir My Environment > Computers & Servers.
- Selecionar o dispositivo desinstalado.
- Confirmar Delete.
- Verificar se o registo deixou de aparecer na lista de dispositivos ativos.
Ao eliminar, perdem-se os alertas atribuídos ao dispositivo. As informações necessárias devem ser documentadas previamente. Atualmente, a Sophos conserva durante 30 dias os dispositivos eliminados para eventual restauro.
Se o dispositivo já foi eliminado ou a licença expirou
Com o Core Agent 2023.2 ou posterior no Windows 10 ou posterior ou no Windows Server 2016 ou posterior, a recuperação manual da palavra-passe de Tamper Protection normalmente não é necessária após a eliminação do dispositivo ou a expiração da licença. Um dispositivo eliminado pode ser restaurado durante 30 dias; a respetiva palavra-passe de Tamper Protection permanece listada durante 120 dias em Reports > Reports > Endpoint Protection (ou Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Não se utiliza o antigo procedimento de Registry e Safe Mode. Para o método suportado e as exceções, consulte Desinstalar o Sophos Endpoint após eliminação no Sophos Fusion.
Troubleshooting
SophosUninstall.exe indica Tamper Protection ativa
O estado de Tamper Protection é novamente verificado: abrir My Environment > Computers & Servers, selecionar o nome do dispositivo e deslocar-se até Tamper Protection. Para trabalhos breves, o override local de quatro horas é adequado. Se o dispositivo já tiver sido eliminado ou a licença tiver expirado, utiliza-se o procedimento de recuperação separado indicado acima.
O ficheiro SophosUninstall.exe não existe
Primeiro verifica-se se o Sophos Core Agent ainda está corretamente instalado. Um agente danificado ou parcialmente removido não deve ser limpo com ficheiros MSI isolados ou eliminações aleatórias no Registry. Devem guardar-se os logs de instalação Sophos e utilizar o procedimento atual de reparação ou suporte.
O dispositivo reaparece no Sophos Fusion após a desinstalação
Provavelmente ainda existe um componente de gestão ativo ou reinstalado. Devem ser verificados a distribuição de software, a Golden Image, as tarefas RMM e o Core Agent local. Voltar a eliminar o registo sem analisar a causa não resolve o problema.
A desinstalação é iniciada, mas não termina
Primeiro, deve verificar-se se o idioma do programa de desinstalação corresponde ao idioma da versão instalada do Sophos Endpoint. Devem também ser verificadas correções Sophos em execução, Windows Installer, reinícios pendentes e outro software de segurança. Antes de novas intervenções, guardam-se os logs de instalação e desinstalação.
Falha de RemoveSIPSSubmitterUserAccount
Um erro em RemoveSIPSSubmitterUserAccount indica um agente já parcialmente removido. Recolhem-se os logs completos de SDU e desinstalação, mas não se criam nem alteram valores Registry não verificados. A Avanet recomenda executar SophosUninstall.exe no máximo mais uma vez depois de resolver um bloqueio claramente comprovado.
Se a remoção continuar incompleta, não se tenta uma limpeza manual com MSI, Registry ou Safe Mode nem se executa o SophosZap sem indicação concreta. Enviam-se ao Sophos Support o arquivo SDU, o log de desinstalação, o código de retorno, o sistema e a arquitetura, a versão do Core Agent, o comando exato e a hora, além do estado de Tamper Protection e, quando aplicável, ZTNA, Device Encryption ou MDR.
SophosZap apenas como último recurso
O SophosZap não é o método normal de desinstalação nem uma forma de contornar Tamper Protection ativa. Esta ferramenta de limpeza heurística só deve ser considerada depois de se comprovar que Tamper Protection está desativada e que SophosUninstall.exe, mesmo assim, falhou ou deixou uma desinstalação incompleta. Se estes pré-requisitos não forem inequívocos, interrompem-se as tentativas locais e entrega-se o caso ao Sophos Support.
O procedimento controlado para uma cópia atual e assinada, produtos Sophos suportados e incompatíveis, tratamento de reinícios, localização do log e condições de paragem está na secção SophosZap de Desinstalar o Sophos Endpoint apesar de Tamper Protection. Esta instrução detalhada deve ser novamente verificada imediatamente antes da utilização; o SophosZap não deve ser incluído preventivamente em pacotes gerais de desinstalação.
Perguntas frequentes
Eliminar um computador no Sophos Fusion remove o agente?
É possível desinstalar o Sophos Endpoint silenciosamente?
--quiet. O deployment deve verificar o exit code, o reinício e se a proteção foi realmente removida.