Desinstalar un host EDR
Requisitos previos
Antes de poder desinstalar un agente EDR, asegúrate de tener:
Permiso de servicios gestionados:
Ver y editar herramientas de servicios gestionadosdebe estar habilitado en tu cuenta. Consulta Gestión de acceso de usuarios.MFA habilitada durante al menos 2 semanas: configúralo desde
Configuración de usuario>Seguridad, en el menú de la esquina inferior izquierda de la app. Consulta Protección de tu cuenta.
Desinstalar en una estación de trabajo o servidor
Ve a MDR > Activos monitorizados > Hosts. Localiza el host y haz clic en el icono de Desinstalar en su fila.
Los siguientes pasos dependen del proveedor EDR que se esté ejecutando en el host.
CrowdStrike
Con CrowdStrike, la desinstalación se ejecuta en el dispositivo. Al hacer clic en Desinstalar se abre un modal con un token de mantenimiento de un solo uso que necesitarás para eliminar el agente localmente.
Obtén el token de mantenimiento
El modal muestra el token automáticamente. Mantén este modal abierto durante la desinstalación.
Desinstalar en el dispositivo
Descarga la herramienta de desinstalación de CrowdStrike Falcon enlazada en el modal.
Ejecuta la herramienta. Cuando se te solicite, introduce el nombre del activo monitorizado y la clave de mantenimiento que se muestran en el modal.
Espera a que la herramienta confirme la eliminación.
Abre Terminal y ejecuta:
Cuando se te solicite, introduce el nombre del activo monitorizado y la clave de mantenimiento que se muestran en el modal.
Abre una terminal.
Aplica el token de mantenimiento:
Desinstala el sensor Falcon:
Debian / Ubuntu:
RHEL / CentOS / Fedora:
Confirmar en Stoïk Protect
Vuelve al modal, marca "He completado la desinstalación en el dispositivo usando el token anterior" y haz clic en Confirmar.
El host pasa a Desinstalando, consulta Después de la desinstalación.
Ver token / Cancelar desinstalación
Una vez que la desinstalación está en curso, aparecen dos iconos adicionales en la fila del host:
Ver token: vuelve a abrir el modal en modo de solo lectura para que puedas copiar de nuevo el token de mantenimiento si es necesario.
Cancelar desinstalación: borra el
Desinstalandoestado en Stoïk Protect.
SentinelOne
Con SentinelOne, la desinstalación está completamente gestionada por Stoïk Protect. No hay ningún comando que ejecutar en el dispositivo. El flujo es el mismo en Windows, macOS y Linux.
Haz clic en el icono de Desinstalar en la fila del host.
Comprueba el nombre del activo en el modal y haz clic en Confirmar.
El host pasa a Desinstalando inmediatamente, y luego en Inactivo una vez que SentinelOne deje de informar del agente.
Desinstalar en un dispositivo móvil
El flujo móvil no usa Stoïk Protect. El EDR se elimina directamente en el dispositivo.
Elimina la app EDR de la gestión de apps o de Ajustes del dispositivo, como cualquier otra app.
Abre Ajustes > General > VPN y gestión de dispositivos y elimina el perfil EDR, luego elimina la app EDR.
Después de la desinstalación
El agente se elimina del dispositivo inmediatamente, pero el registro del host permanece visible en Stoïk Protect durante un poco más de tiempo. La duración depende del EDR.
El host permanece en CrowdStrike durante 45 días después de la desinstalación. Durante ese período, su estado en Stoïk Protect es Desinstalando. Después de 45 días, CrowdStrike purga el host y el estado pasa a ser Inactivo.
El host permanece en SentinelOne hasta la próxima vez que el dispositivo se conecte. Mientras está sin conexión, su estado en Stoïk Protect es Desinstalando; cuando se reconecta, SentinelOne elimina el host y el estado pasa a ser Inactivo. Si el dispositivo nunca vuelve a conectarse (perdido, robado, dado de baja), el host permanece Desinstalando indefinidamente.
Para preguntas sobre los estados de los hosts, consulta Cómo leer la tabla de hosts.
Última actualización
¿Te fue útil?