Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Einen EDR-Host deinstallieren

Voraussetzungen

Bevor Sie einen EDR-Agenten deinstallieren können, stellen Sie sicher, dass Sie Folgendes haben:

  • Berechtigung für verwaltete Dienste: Tools für verwaltete Dienste anzeigen und bearbeiten muss in Ihrem Konto aktiviert sein. Siehe Benutzerzugriffsverwaltung.

  • MFA seit mindestens 2 Wochen aktiviert: richten Sie es ein unter Benutzereinstellungen > Sicherheit, im Menü in der unteren linken Ecke der App. Siehe Sichern Ihres Kontos.

Auf einem Arbeitsplatzrechner oder Server deinstallieren

Gehen Sie zu MDR > Überwachte Assets > Hosts. Suchen Sie den Host und klicken Sie auf das Deinstallieren Symbol in seiner Zeile.

Die nächsten Schritte hängen vom EDR-Anbieter ab, der auf dem Host läuft.

CrowdStrike

Bei CrowdStrike wird die Deinstallation auf dem Gerät ausgeführt. Wenn Sie auf Deinstallieren klicken, öffnet sich ein Modal mit einem einmaligen Wartungstoken den Sie benötigen, um den Agenten lokal zu entfernen.

1

Wartungstoken abrufen

Das Modal zeigt den Token automatisch an. Lassen Sie dieses Modal während der Deinstallation geöffnet.

2

Auf dem Gerät deinstallieren

  1. Laden Sie das CrowdStrike Falcon-Deinstallationstool herunter, das im Modal verlinkt ist.

  2. Führen Sie das Tool aus. Geben Sie bei Aufforderung den Namen des überwachten Assets und den im Modal angezeigten Wartungsschlüssel ein.

  3. Warten Sie, bis das Tool die Entfernung bestätigt.

  1. Öffnen Sie das Terminal und führen Sie Folgendes aus:

  1. Geben Sie bei Aufforderung den im Modal angezeigten Namen des überwachten Assets und den Wartungsschlüssel ein.

  1. Öffnen Sie ein Terminal.

  2. Wenden Sie das Wartungstoken an:

  1. Deinstallieren Sie den Falcon-Sensor:

    Debian / Ubuntu:

    RHEL / CentOS / Fedora:

3

In Stoïk Protect bestätigen

Kehren Sie zum Modal zurück, aktivieren Sie „Ich habe die Deinstallation auf dem Gerät mithilfe des obigen Tokens abgeschlossen“ und klicken Sie auf Bestätigen.

Der Host wechselt zu Wird deinstalliert, siehe Nach der Deinstallation.

Token anzeigen / Deinstallation abbrechen

Sobald eine Deinstallation läuft, werden in der Zeile des Hosts zwei zusätzliche Symbole angezeigt:

  • Token anzeigen: öffnet das Modal erneut im schreibgeschützten Modus, sodass Sie den Wartungstoken bei Bedarf erneut kopieren können.

  • Deinstallation abbrechen: löscht den Wird deinstalliert Status in Stoïk Protect.

„Deinstallation abbrechen“ löscht nur den Status in Stoïk Protect. Der Agent wird dadurch nicht auf dem Gerät neu installiert. Wenn Sie den Deinstallationsbefehl bereits ausgeführt haben, ist der Agent bereits entfernt. Durch das Abbrechen wird der Host lediglich wieder auf Aktiv in der Tabelle, bis CrowdStrike ihn als Inaktiv.

SentinelOne

Bei SentinelOne wird die Deinstallation vollständig von Stoïk Protect verwaltet. Es muss kein Befehl auf dem Gerät ausgeführt werden. Der Ablauf ist unter Windows, macOS und Linux derselbe.

1

Klicken Sie auf das Deinstallieren Symbol in der Zeile des Hosts.

2

Überprüfen Sie den Asset-Namen im Modal und klicken Sie Bestätigen.

Der Host wechselt zu Wird deinstalliert sofort und dann auf Inaktiv sobald SentinelOne den Agenten nicht mehr meldet.

Deinstallationen über SentinelOne können nicht abgebrochen werden. Der Auftrag wird in dem Moment an SentinelOne gesendet, in dem Sie auf Bestätigen klicken, und danach gibt es in der Zeile keine Schaltfläche zum Abbrechen mehr. Überprüfen Sie den Hostnamen vor der Bestätigung noch einmal.

Auf einem Mobilgerät deinstallieren

Der mobile Ablauf verwendet Stoïk Protect nicht. Die EDR-Software wird direkt auf dem Gerät entfernt.

Entfernen Sie die EDR-App über die App-Verwaltung oder die Einstellungen des Geräts, wie jede andere App auch.

Öffnen Sie Einstellungen > Allgemein > VPN & Geräteverwaltung und löschen Sie das EDR-Profil, dann löschen Sie die EDR-App.

Nach der Deinstallation

Der Agent wird sofort vom Gerät entfernt, aber der Host-Datensatz bleibt noch eine Weile in Stoïk Protect sichtbar. Wie lange, hängt vom EDR ab.

Der Host bleibt nach der Deinstallation 45 Tage lang in CrowdStrike. Während dieses Zeitraums ist sein Status in Stoïk Protect Wird deinstalliert. Nach 45 Tagen entfernt CrowdStrike den Host und der Status wird Inaktiv.

Der Host bleibt in SentinelOne, bis das Gerät das nächste Mal online geht. Solange es offline ist, ist sein Status in Stoïk Protect Wird deinstalliert; wenn es sich wieder verbindet, entfernt SentinelOne den Host und der Status wird Inaktiv. Wenn sich das Gerät nie wieder verbindet (verloren, gestohlen, außer Betrieb genommen), bleibt der Host Wird deinstalliert auf unbestimmte Zeit.

Bei Fragen zu Host-Status siehe So lesen Sie die Host-Tabelle.

VorherigeMDR-Ergebnisse
NächstePrioritätskontakte

Zuletzt aktualisiert

War das hilfreich?