Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Désinstaller un hôte EDR

Prérequis

Avant de pouvoir désinstaller un agent EDR, assurez-vous d’avoir :

  • Autorisation des services gérés: Consulter et modifier les outils des services gérés doit être activé sur votre compte. Voir Gestion des accès utilisateur.

  • MFA activée depuis au moins 2 semaines: configurez-le depuis Paramètres utilisateur > Sécurité, dans le menu en bas à gauche de l’application. Voir Sécurisation de votre compte.

Désinstaller sur un poste de travail ou un serveur

Accédez à MDR > Actifs surveillés > Hôtes. Localisez l’hôte et cliquez sur l’ Désinstaller icône sur sa ligne.

Les étapes suivantes dépendent du fournisseur EDR exécuté sur l’hôte.

CrowdStrike

Avec CrowdStrike, la désinstallation s’exécute sur l’appareil. Cliquer sur Désinstaller ouvre une fenêtre modale avec un jeton de maintenance à usage unique, dont vous aurez besoin pour supprimer l’agent localement.

1

Obtenir le jeton de maintenance

La fenêtre modale affiche automatiquement le jeton. Laissez cette fenêtre ouverte pendant la désinstallation.

2

Désinstaller sur l’appareil

  1. Téléchargez l’ outil de désinstallation CrowdStrike Falcon lié dans la fenêtre modale.

  2. Exécutez l’outil. Lorsque vous y êtes invité, saisissez le nom de l’actif surveillé et la clé de maintenance affichés dans la fenêtre modale.

  3. Attendez que l’outil confirme la suppression.

  1. Ouvrez Terminal et exécutez :

  1. Lorsque vous y êtes invité, saisissez le nom de l’actif surveillé et la clé de maintenance affichés dans la fenêtre modale.

  1. Ouvrez un terminal.

  2. Appliquez le jeton de maintenance :

  1. Désinstallez le capteur Falcon :

    Debian / Ubuntu :

    RHEL / CentOS / Fedora :

3

Confirmez dans Stoïk Protect

Revenez à la fenêtre modale, cochez « J’ai terminé la désinstallation sur l’appareil à l’aide du jeton ci-dessus » et cliquez sur Confirmer.

L’hôte passe à Désinstallation en cours, voir Après la désinstallation.

Afficher le jeton / Annuler la désinstallation

Une fois la désinstallation lancée, deux icônes supplémentaires apparaissent sur la ligne de l’hôte :

  • Afficher le jeton: rouvre la fenêtre modale en mode lecture seule afin que vous puissiez recopier le jeton de maintenance si nécessaire.

  • Annuler la désinstallation: efface le Désinstallation en cours statut dans Stoïk Protect.

« Annuler la désinstallation » efface uniquement le statut dans Stoïk Protect. Cela ne réinstalle pas l’agent sur l’appareil. Si vous avez déjà exécuté la commande de désinstallation, l’agent a déjà été supprimé. L’annulation ramènera simplement l’hôte à Actif dans le tableau jusqu’à ce que CrowdStrike le marque comme Inactif.

SentinelOne

Avec SentinelOne, la désinstallation est entièrement gérée par Stoïk Protect. Aucune commande à exécuter sur l’appareil. Le flux est le même sous Windows, macOS et Linux.

1

Cliquez sur l’ Désinstaller icône sur la ligne de l’hôte.

2

Vérifiez le nom de l’actif dans la fenêtre modale et cliquez sur Confirmer.

L’hôte passe à Désinstallation en cours immédiatement, puis sur Inactif une fois que SentinelOne cesse de signaler l’agent.

Les désinstallations SentinelOne ne peuvent pas être annulées. La demande est envoyée à SentinelOne dès que vous cliquez sur Confirmer, et il n’y a ensuite aucun bouton Annuler sur la ligne. Vérifiez une dernière fois le nom de l’hôte avant de confirmer.

Désinstaller sur un appareil mobile

Le processus mobile n’utilise pas Stoïk Protect. L’EDR est supprimé directement sur l’appareil.

Supprimez l’application EDR depuis la gestion des applications ou les Paramètres de l’appareil, comme n’importe quelle autre application.

Ouvrez Réglages > Général > VPN et gestion de l’appareil et supprimez le profil EDR, puis supprimez l’application EDR.

Après la désinstallation

L’agent est supprimé immédiatement de l’appareil, mais l’enregistrement de l’hôte reste visible dans Stoïk Protect un peu plus longtemps. La durée dépend de l’EDR.

L’hôte reste dans CrowdStrike pendant 45 jours après la désinstallation. Pendant cette période, son statut dans Stoïk Protect est Désinstallation en cours. Après 45 jours, CrowdStrike purge l’hôte et le statut devient Inactif.

L’hôte reste dans SentinelOne jusqu’à la prochaine mise en ligne de l’appareil. Lorsqu’il est hors ligne, son statut dans Stoïk Protect est Désinstallation en cours; lorsqu’il se reconnecte, SentinelOne supprime l’hôte et le statut devient Inactif. Si l’appareil ne se reconnecte jamais (perdu, volé, retiré du service), l’hôte reste Désinstallation en cours indéfiniment.

Pour toute question sur les statuts des hôtes, voir Comment lire le tableau des hôtes.

PrécédentRésultats MDR
SuivantContacts prioritaires

Mis à jour

Ce contenu vous a-t-il été utile ?