Inaktivera Tamper Protection i Sophos Fusion (tidigare Sophos Central) säkert

Tamper Protection skyddar Sophos-tjänster, inställningar och avinstallation mot lokala ändringar. Det är en viktig spärr mot angripare som först vill stänga av Endpoint-skyddet. Det är ingen bekvämlighetsinställning.

Den aktuella agenten använder också Enhanced Tamper Protection från Sophos Endpoint Defense. Skyddet förhindrar inte bara ändringar via Sophos-gränssnittet: det skyddar även Sophos-processer, tjänster, filer, mappar och registernycklar mot lokala administratörer och program, inklusive verktyg för programvarudistribution. Det räcker därför inte att bara stoppa en Windows-tjänst eller ändra dess starttyp.

Vid underhåll och felsökning ska skyddet därför inaktiveras så kortvarigt och begränsat som nödvändigt. Lokal Override i högst fyra timmar räcker oftast. För en godkänd enhetsmängd kan API:t begränsa ändringen till uttryckliga enhets-ID:n. Global avstängning berör däremot alla hanterade enheter och ska bara övervägas om hela denna omfattning verkligen behövs.

⚠️ Förväxla inte med en Policy: Tamper Protection skyddar själva agenten. Threat Protection, Web Control och andra Endpoint-funktioner styrs av egna policies.

Vilken metod passar?

För en automatisering som redan är konfigurerad och godkänd beskriver Endpoint-API-flödet för Tamper Protection riktat ID-urval, enhetsstöd, behörigheter och felutvärdering. HTTP 202 bekräftar bara acceptans, inte att ändringen har utförts på enheten. Inaktivering via API är ingen fyratimmars Override: återaktivering och kontroll per enhet måste planeras. Lösenordsregenerering ersätter inte heller denna väg tillbaka.

Ändringar i Sophos Fusion kräver en roll med nödvändiga administratörsrättigheter. Funktionen finns för Windows och macOS, men inte Linux.

Inaktivera Tamper Protection för en enhet

Logga in på fusion.sophos.com. Den aktuella vägen i Sophos Fusion är My Environment > Computers & Servers.

1. Öppna berörd enhet.
2. Välj Tamper Protection i enhetsområdet.
3. Bekräfta Turn off tamper protection.
4. Vänta tills enheten har hämtat ändringen.
5. Kontrollera lokalt att underhållsåtgärden är möjlig.

Ändringen kvarstår tills Tamper Protection återaktiveras. En offline-enhet hämtar den först vid nästa kontakt.

Visa enhetens lösenord

För lokal Override behövs enhetens individuella lösenord:

1. Öppna enheten under My Environment > Computers & Servers.
2. Rulla till Tamper Protection och välj View password details.
3. Visa lösenordet och lämna det endast till personen som utför arbetet.
4. Spara det inte i tickets, chattar eller oskyddade anteckningar.

Varje enhet har ett eget lösenord. Ett lösenord från en annan Endpoint-post fungerar inte.

Generate New Password skapar ett lösenord för just denna enhet. Sophos Fusion erbjuder inget gemensamt lösenord för alla endpoints och servrar.

Windows: inaktivera lokalt i fyra timmar

1. Öppna Sophos Endpoint via sköldikonen.
2. Välj Admin sign-in eller Admin-Login.
3. Ange enhetens Tamper Protection-lösenord.
4. Öppna Settings.
5. Aktivera Override Sophos Central Policy for up to 4 hours för felsökning.
6. Stäng av Tamper Protection under lokal användarkontroll.

Override upphör automatiskt efter högst fyra timmar. Det är oftast den säkraste varianten för diagnostik, reparation och kontrollerad avinstallation.

Under Override tillämpar enheten inga nya eller ändrade Central-policyer. Avsluta den direkt efter arbetet i stället för att vänta fyra timmar.

Windows: styra Tamper Protection med SEDcli

Om lokalt Sophos-gränssnitt inte öppnas finns SEDcli.exe på aktuella Windows-endpoints och Windows-servrar som hanteras i Sophos Fusion. Det gäller inte macOS eller Linux. Öppna Kommandotolken som administratör och byt till C:\Program Files\Sophos\Endpoint Defense. SEDcli.exe -h visar alternativen som den installerade agenten stöder; -v visar programversionen.

SEDcli.exe -h
SEDcli.exe -status
SEDcli.exe -OverrideTPoff ENHETSLOSENORD
SEDcli.exe -ResumeTP
SEDcli.exe -ResumeTP ENHETSLOSENORD

Ersätt ENHETSLOSENORD med Tamper Protection-lösenordet som visas i Sophos Fusion. -status anger om SED Tamper Protection är aktiverat eller inaktiverat. -OverrideTPoff pausar Central-policyn i högst fyra timmar och inaktiverar skyddet; enhetshändelsen är Central management has been suspended. Under pausen kan inga nya eller uppdaterade policyer tillämpas.

-ResumeTP avslutar underhållet, aktiverar Tamper Protection och återupptar Central-policyn. Kör det normalt utan lösenord. Använd formen med lösenord endast om tjänsten Sophos MCS Agent inte körs; den centrala hanteringen återupptas ändå, men händelsen Central management has been resumed skapas då inte. Kontrollera sedan tillståndet igen med -status.

Spara inte lösenordet i skript: det visas som argument och kan hamna i historik, loggar eller processdata. SEDcli är för kontrollerad lokal reparation, inte permanent massavstängning.

macOS: inaktivera lokalt i fyra timmar

1. Öppna Sophos Endpoint på Mac.
2. Välj Admin Login.
3. Ange först lösenordet för den lokala Mac-administratören och bekräfta med OK.
4. Klicka på hänglåset med Sophos-ikonen och ange enhetslösenordet från Sophos Fusion.
5. Öppna Settings och aktivera Override Sophos Central Policy for up to 4 hours.
6. Stäng av Tamper Protection under underhållsfönstret och spara.

Avsluta Override direkt efter arbetet och kontrollera att skyddet är aktivt igen.

Inaktivera Tamper Protection globalt

Den exakta sökvägen är Global Settings (kugghjulsikonen) > Products and Services > Endpoint and Server > Tamper Protection. Dra reglaget åt vänster för att inaktivera. Vid senare aktivering slår du på inställningen och väljer Save uppe till höger.

Global avstängning är endast rimlig om omfattning, tidsfönster och återställning är dokumenterade. Under tiden kan lokala administratörer eller skadlig kod lättare ändra Sophos-komponenter.

Före avstängning ska minst följande vara fastställt:

• berörda enheter och underhållsorsak,
• start och planerat slut,
• ansvarig person,
• kontroll efter arbetet,
• verifiering att den globala inställningen åter är aktiv.

Den globala vägen är oproportionerlig för en enda enhet.

När den globala inställningen är avstängd skyddar Tamper Protection ingen enhet. Ett lokalt aktivt tillstånd kompenserar inte detta. Account Health Check visar både den globala inställningen och enskilda oskyddade enheter; massändringar visas i Audit Log. Inte heller ett aktiverat tillstånd i enhetsposten kompenserar för global avstängning.

Om enheten redan har raderats

Sophos Fusion sparar Tamper Protection-lösenord för raderade enheter i 120 dagar och enheter kan återställas i 30 dagar. På aktuella Windows från Windows 10 och Windows Server 2016 inaktiverar modern Core Agent normalt skyddet efter radering så att lösenordsåterställning inte behövs.

Den aktuella sökvägen är Reports > Reports > Endpoint Protection (eller Server Protection) > Restore deleted devices and recover Tamper Protection passwords. Under 30 dagar kan enheten markeras och Restore väljas. Fram till dag 120 visar Password details i kolumnen Tamper Protection password aktuellt och föregående lösenord. Därefter är återställning via Sophos Fusion inte längre tillgänglig.

Processen beror på operativsystem, agentversion och raderingstid. Aktuell återställning utan Registry-ingrepp beskrivs i Avinstallera Sophos Endpoint efter radering från Sophos Fusion.

Använd inte gamla Registry-hack: Manuell avstängning av Sophos-tjänster och Tamper Protection-nycklar i Safe Mode är inte längre en normal avinstallationsmetod och kan lämna Core Agent inkonsekvent. Det kan också försvåra senare installation eller registrering.

På Windows med Core Agent 2023.2 eller senare behövs inte gamla Recovery-steg efter radering från Sophos Fusion eller licensslut. Återställning via Windows Recovery Environment och registret är bara en sista utväg i ett versionsberoende supportärende när Sophos Fusion, lokalt lösenord, SEDcli och återställning av det raderade enhetsobjektet inte fungerar.

macOS Recovery är inte heller standard. Det ändrar skyddad produktinformation så att avinstallationsprogrammet kan köras. Eftersom volymnamn, APFS-datavolym, FileVault-status och agentversion påverkar används endast aktuella Sophos-instruktioner eller Sophos Support.

När Enhanced Tamper Protection måste stängas av tillfälligt

Utöver avinstallation och diagnos blockerar Sophos Endpoint Defense några legitima åtgärder: uppgradering av operativsystemet, återställning till en Windows-systemåterställningspunkt och egna skript som ändrar Sophos-tjänster, skyddade filer eller registerbehörigheter.

En avstängd inställning är ingen allmän lösning för åtgärder som förblir blockerade. I äldre agenter kunde ett numera åtgärdat fel lämna skyddet delvis aktivt efter installation från en systemavbildning eller ändring av Windows-volymens namn. För aktuella agenter uppdateras i så fall först den installerade Core Agent-versionen i stället för att använda gamla lösningar som ändrar drivrutiner eller registret.

Efter underhållet

Den kortaste säkra vägen tillbaka beror på vilken metod som användes:

• Lokal Windows Override: SEDcli.exe -ResumeTP avslutar fönstret direkt. Om gränssnittet användes ska lokal Override avslutas där i stället för att invänta fyratimmarsgränsen.
• En enhet i Sophos Fusion: My Environment > Computers & Servers > [enhet] > Tamper Protection > Turn on tamper protection.
• Riktat bulk-API: begär enabled: true för de ID:n som inaktiverades under underhållsfönstret; utvärdera acceptans per ID och verifiera faktisk återaktivering efter enhetskontakt. Skriv inte över tillstånd som avvek redan före underhållet utan att kontrollera dem.
• Globalt: aktivera först Global Settings > Products and Services > Endpoint and Server > Tamper Protection och välj Save. Korrigera sedan de enheter som fortfarande är oskyddade.

Vänta på nästa lyckade enhetskontakt och kontrollera lokalt att Tamper Protection är aktivt. Kontrollera Last activity, Health State och öppna larm i Sophos Fusion. Under My Environment > Account Health Check måste både den globala kontrollen och kontrollen för endpoints eller servrar åter vara gröna. Radera tillfälligt dokumenterade lösenord säkert.

Ändringar av Sophos-Fusion-administratörer och automatiska Health-Check-korrigeringar kan granskas under Reports > General logs > Audit Logs. Rapporten visar bland annat tidpunkt, utförande konto, ändrat objekt, beskrivning och käll-IP; som standard visas sju dagar och perioden kan omfatta upp till 90 dagar. En rent lokal Override är inte en fullständig underhållsdokumentation i Sophos Fusion: dokumentera därför även enhet, orsak, start, slut och kontrollresultat i ändrings- eller ärendesystemet.

För fullständig borttagning följer Avinstallera Sophos Endpoint i Windows.

För Mac-datorer gäller den separata processen Avinstallera Sophos Endpoint på macOS.

Vanliga problem

Lösenordet avvisas

Datornamnet och Sophos-Fusion-posten måste höra ihop exakt. Kontrollera även tangentbordslayout, kopierade blanksteg och senaste synkronisering. För en raderad enhet söks lösenordet bland raderade enheter.

Inställningen finns inte i Sophos Fusion

Kontrollera administratörsroll, produktlicens, operativsystem och aktuell enhetsstatus. Linux stöder inte Tamper Protection.

Enheten reagerar inte på ändringen

En offline-enhet kan inte ta emot Sophos-Fusion-inställningen. Kontrollera nätverk, proxy, systemtid och senaste aktivitet. På en lokalt nåbar enhet kan fyratimmars Override användas med det redan hämtade lösenordet.

Återaktivering, validering och eskalering

Om lösenordet, Sophos-Fusion-inställningen och SEDcli inte ändrar tillståndet korrekt, eller om agenten förblir oskyddad eller felaktig efter återaktivering, ska inga register-, drivrutins- eller tjänstlösningar provas. Samla enhets-ID, operativsystem, Core Agent-version, tidpunkt för senaste Sophos-Fusion-anslutning, exakt felmeddelande och berörd Audit Log-post och öppna ett ärende hos Sophos Support. För en raderad enhet anges även raderingsdatum och återställningsstatus.

Vanliga frågor