Avinstallera Sophos Endpoint med aktiv Tamper Protection

Om en Windows-enhet raderades från Sophos Fusion (tidigare Sophos Central) innan Endpoint Agent togs bort lokalt behövs inget generellt Registry-hack. Aktuella versioner av Sophos Core Agent har en definierad process för raderade enheter och enheter med utgången licens.

Rätt väg beror på om enheten endast har raderats, om licensen har löpt ut och om den ska hanteras igen eller avinstalleras slutgiltigt.

⚠️ Börja inte med gamla Registry-instruktioner: Sophos dokumenterar manuell återställning endast som en sista utväg när ingen normal metod för att stänga av Tamper Protection är möjlig. Använd först standardvägarna i Fusion och lokalt nedan. Safe Mode, manuell radering och Registry-skript från tredje part ingår inte i detta arbetsflöde.

Fastställ först situationen

Tidsperioder och beteende kan ändras med agentversionen. Dokumentera operativsystem, Core Agent-version, raderingstid och Tenant före ingrepp.

Förutsättningar och säkerhetsgränser

• lokal administratörsåtkomst och ett annonserat underhållsfönster
• aktuell säkerhetskopia eller testad återställningsplan
• dokumenterad Windows-version, arkitektur, Core Agent-version och installerade Sophos-komponenter
• åtkomst till rätt Fusion Tenant eller en utsedd Tenant-administratör
• fastställt slutläge: permanent borttagning eller förnyat skydd i samma Tenant
• Server Lockdown avstängt på servrar samt rätt Fusion-process för ZTNA, Device Encryption eller MDR

Låt enheten ligga kvar i Fusion tills lokal validering lyckas så att lösenord, status, alerts och diagnostik finns kvar. Kör inte en misslyckad avinstallation i en slinga; spara först returkod, logg och enhetsstatus.

Beteende på aktuella Windows-enheter

Från och med Core Agent 2023.2 gäller i grunden följande för Windows 10 och senare samt Windows Server 2016 och senare:

• Tamper Protection inaktiveras lokalt efter radering i Fusion.
• Aktiva skyddskomponenter tas bort eller inaktiveras.
• Core Agent finns kvar för avinstallation eller omregistrering som stöds.
• Manuell lösenordsåterställning behövs normalt inte.

Enheten kan behöva tid för att behandla raderingen eller licensändringen. En offline-enhet får informationen först vid kontakt.

På enheter med Update Cache eller Message Relay tas även dessa roller bort. Installera om och kontrollera dem efter återställningen om de fortfarande behövs.

Stäng av Tamper Protection kontrollerat

1. Identifiera enheten med datornamn, operativsystem och senaste aktivitet.
2. Om den fortfarande är aktiv i Fusion, gå till Tamper Protection i detaljerna och stäng av eller välj View password details.
3. För kort lokalt underhåll, använd Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours i Sophos Endpoint.
4. Om enheten har raderats, använd återställnings- eller lösenordsprocessen nedan inom lagringstiden.
5. Bekräfta lokalt att Tamper Protection är avstängt innan avinstalleraren eller --registeronly startas.

Hela standardprocessen finns i Inaktivera Sophos Fusion Tamper Protection säkert. Om ingen väg är tillgänglig ska lokalt arbete stoppas och lämnas över till Support; härled inte egna ändringar av boot, drivrutin eller Registry.

Alternativ 1: återställ den raderade enheten

Sophos Fusion behåller för närvarande raderade enheter för återställning i 30 dagar.

1. Öppna Reports > Reports > Endpoint Protection eller Server Protection i Sophos Fusion.
2. Välj Restore deleted devices and recover Tamper Protection passwords.
3. Kontrollera datornamn, operativsystem och raderingstid entydigt.
4. Markera rätt enhet och klicka på Restore.
5. Vänta tills den kontaktar Fusion igen.
6. Kontrollera Agent Mode, policies, Health State och senaste aktivitet.

Återställning är lämplig när datorn fortsatt ska skyddas och hanteras. För slutlig offboarding behövs den bara om lösenord eller hanteringsstatus inte kan återställas på annat sätt.

Alternativ 2: avinstallera agenten slutgiltigt

Om Tamper Protection redan är inaktiverat kör du det officiella programmet från en kommandotolk som öppnats som administratör:

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

På en server måste Server Lockdown först låsas upp i Fusion. Sophos kräver en omstart efter borttagningen. Kontrollera sedan installerade appar, Sophos-tjänster och registrerad skyddsleverantör. Hela processen finns i Avinstallera Sophos Endpoint i Windows.

Programmet gäller Windows 10 (x64) och senare samt Windows Server 2016 och senare med Core Agent som stöds. Äldre plattformar använder uninstallgui.exe för interaktiv borttagning eller uninstallcli.exe --quiet från samma katalog. Kommandot ersätter inte Fusion-processen för skyddad programvara som ZTNA, Device Encryption eller MDR.

För batchdistribution sparar du hela det citerade kommandot ovan med filändelsen .bat, behåller det inledande citattecknet och kör skriptet på avsedda enheter.

Alternativ 3: registrera agenten på nytt i Tenant

Om enheten fortsatt ska hanteras kan en aktuell installerare från rätt Sophos Fusion Tenant förnya registreringen:

SophosSetup.exe --registeronly

Tamper Protection måste vara avstängt innan --registeronly används. Core Agent 2023.2 eller senare gör detta automatiskt efter radering eller licensutgång; vid andra migreringar ska skyddet stängas av kontrollerat innan kommandot körs.

Installeraren är Tenant-bunden och hämtas på nytt under My Environment > Installers. Därefter kontrolleras:

• rätt Tenant och datornamn,
• Agent Mode och licensierade produkter,
• avsedd datorgrupp,
• tilldelade policies,
• frisk status och aktuella komponenter,
• inga öppna registrerings- eller licensalerts.

--registeronly ersätter inte reparation av en skadad installation. Säkra först loggar och status om Core Agent eller kommunikationen är defekt.

Hämta lösenord för en raderad enhet

Sophos Fusion sparar raderade enheter och deras Tamper Protection-lösenord i rapporten i 120 dagar, men enhetsobjektet kan bara återställas under de första 30 dagarna. Lösenordet är särskilt relevant för äldre plattformar eller agentversioner.

Om granskningsposten behövs längre än 120 dagar exporterar du rapporten innan perioden löper ut och skyddar exporterade lösenordsdata på lämpligt sätt.

1. Öppna Reports > Reports > Endpoint Protection eller Server Protection.
2. Välj Restore deleted devices and recover Tamper Protection passwords.
3. Identifiera enheten entydigt med flera egenskaper.
4. Klicka på Password details i kolumnen Tamper Protection password. Fusion visar det aktuella, senast använda lösenordet först, följt av tidigare lösenord.
5. Använd det aktuella lösenordet endast under underhållsfönstret och ta sedan bort tillfälliga kopior.

Lösenord från en annan enhet fungerar inte. Efter lagringstiden används aktuell Sophos-supportväg i stället för Registry-manipulation.

Utgången licens

Efter att en ny licens har aktiverats kan aktuella Windows-enheter återställas om högst 90 dagar har gått sedan licensen löpte ut. Efter 90 dagar kör du ett aktuellt tenantbundet installationsprogram med --registeronly för att installera om och registrera agenten. Kontrollera först Tenant och den giltiga licensen.

Vid slutlig avveckling följer lokal avinstallation. Om enheten används vidare måste alla förväntade skyddsprodukter och policies verifieras efter registreringen.

Felsökning

Återställd enhet förblir offline

Kontrollera nätverk, Proxy, DNS, systemtid och Sophos-hanteringstjänster. Installeraren och posten måste tillhöra rätt Tenant.

Tamper Protection förblir aktivt

Vänta på synkronisering och kontrollera sedan en gång vägarna ovan via Fusion, lösenord, fyratimmarsåsidosättning och återställning. Om skyddet förblir aktivt ska avinstalleraren inte tvingas och SophosZap inte startas.

SophosUninstall.exe saknas eller avbryts

Det tyder på skadad eller ofullständig installation. Säkra installations- och avinstallationsloggar, returkoden och enhetsstatusen. Slutför en redan väntande omstart innan statusen kontrolleras igen. Ta inte bort enskilda MSI-paket, Services eller Registry-nycklar på prov.

SophosZap endast efter misslyckad standardavinstallation

SophosZap är ett Windows-verktyg som sista utväg endast när Tamper Protection bevisligen är avstängt och standardavinstallationen ändå misslyckades eller blev ofullständig. Heuristisk detektering innebär extra risk. Verktyget kringgår inte okänt lösenord, Server Lockdown eller en skyddad Fusion-process. Det stöder HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, Enterprise Console-hanterade endpoints, Sophos Home, Sophos Anti-Virus, Sophos Clean och andra fristående produkter. Det stoppar vid Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin eller Sophos Update Manager; ta först bort den inkompatibla produkten normalt.

Kontrollera hämtning och signatur

Bekräfta Windows 7 eller senare, administratörsåtkomst, avstängd Tamper Protection och säkerhetskopior. ARM64 kräver SophosZap 1.2.3.0 eller senare. Hämta en aktuell kopia direkt före underhållet. Kontrollera File version under Properties > Details och en giltig Sophos-signatur under Properties > Digital Signatures, eller använd PowerShell:

$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
    throw 'SophosZap signature validation failed'
}

PowerShell kontrollerar här avsiktligt fail-closed endast att Authenticode-status är Valid och att ett certifikat finns; det visade fullständiga Subject godkänns inte genom delsträngsmatchning. En administratör måste jämföra värdet exakt med den förväntade utgivaridentiteten, som verifierats separat via aktuell officiell Sophos-dokumentation eller Sophos Support. Utan exakt överensstämmelse, vid saknad eller ogiltig signatur eller vid en för gammal ARM64-version får filen inte köras; radera den och hämta igen. En lokal hash utan ett oberoende publicerat förväntat värde ersätter inte signaturen.

Kör och hantera utdata

Kör det verifierade verktyget från den lokala katalogen i en upphöjd kommandotolk:

SophosZap --confirm

Följ utdata exakt. Vid Reboot and re-execute: starta om, kör samma kommando exakt en gång till som administratör och starta om igen. Fler omstarter kan krävas. Den utökbara loggen finns i %TEMP%. Vid INFO : Reboot will be required. An update remains in progress. slutför du den begärda omstarten i stället för att tvinga rensning parallellt. SophosZap är endast för Windows. På vissa Windows 8.1-system måste Windows Defender startas manuellt efteråt.

Validera resultatet och lämna över till Support

Efter sista omstarten kontrolleras installerade appar, aktiva Sophos-tjänster, Sophos-gränssnittet och leverantören i Windows Security. En kvarvarande mapp bevisar inte fel. Vid permanent borttagning kontrolleras efterföljande skydd; ska enheten förbli skyddad installeras eller registreras Sophos om och Tenant, Agent Mode, produkter, policies och status kontrolleras. Radera Fusion-objektet först efter lokal validering.

Om Tamper Protection förblir aktivt eller ingen stödd avstängningsmetod finns ska ett Sophos Support-ärende öppnas direkt. Gör samma sak om standardavinstallationen och den exakt en gång upprepade SophosZap-körningen förblir ofullständiga. Manuell återställning som sista utväg har tre separata vägar som inte kan användas omväxlande: aktuellt Windows för stationära datorer/servrar, Server Core 2012 eller senare samt Windows 7 eller Windows Server 2008 R2. Eftersom den kan omfatta Windows Recovery och Endpoint Defense-drivrutinen återges plattforms- och versionskänsliga ändringar av boot, drivrutiner och Registry medvetet inte här och får endast utföras enligt aktuell Sophos-ledning.

Skicka Tenant- och enhets-ID, Windows-version och arkitektur, Core Agent- och SophosZap-versioner, installerade komponenter, Tamper Protection- och Server Lockdown-status, mål, exakta kommandon med tider och returkoder, SophosZap log.txt, Sophos-filer från %TEMP% och C:\Windows\Temp, avinstallationsloggar och ny SDU. Ladda bara upp konfidentiella arkiv via ärendets avsedda uppladdning.

Produkter saknas efter –registeronly

Omregistrering återställer inte automatiskt alla komponenter. Kontrollera Agent Mode och Manage device software under My Environment > Computers & Servers och låt enheten hämta full konfiguration och updates.

Vanliga frågor