Verbinde deine SentinelOne-Instanz mit Factorial IT und der SentinelOne-Agent wird automatisch auf macOS-, Windows- und Linux-Geräten bereitgestellt. Dieser Leitfaden behandelt auch Ausschlüsse, Agenten-Updates, Deinstallationen, Token-Erneuerungen und den Umzug zu einer anderen SentinelOne-Konsole.

Funktion/Feature

Überblick

Bereitstellungstyp: automatisch. Sobald die Integration verbunden ist und die Kontrolle aktiviert wird, wird der Agent über MDM an jedes Zielgerät übertragen. Niemand installiert etwas manuell, und die Mitarbeitenden müssen nichts tun.

Voraussetzungen

• Factorial IT MDM
• Eine SentinelOne-Lizenz, entweder über Factorial IT erworben oder eine, die du bereits hast

Benötigst du eine SentinelOne-Instanz? Nimm Kontakt mit uns auf oder sende eine E-Mail an support@factorial.it.

Welche Einrichtung gilt für dich

Woher deine SentinelOne-Instanz stammt, verändert drei Dinge. Finde deinen Fall, bevor du beginnst.

Verbinde deine SentinelOne-Instanz

Bis die Integration verbunden ist, sind die EDR - SentinelOne-Karten im Kontrollkatalog ausgegraut. Beginne also mit der Verbindung.

Instanz bereitgestellt von Factorial IT

Wir verbinden sie für dich. Während wir das tun, zeigt SentinelOne Wird eingerichtet im Abschnitt Integrationen von MDM > Einstellungen.

Deine eigene Instanz

1. Gehe zu MDM > Einstellungen. Klicke in Integrationen auf Integration hinzufügen, dann auf Verbinden auf der SentinelOne-Karte.
2. Das Verbinde SentinelOne

• SentinelOne-URL: https://xxxxxxxxx.sentinelone.net
• Standort-ID: gehe in SentinelOne zu Richtlinie & Einstellungen > Standorte, klicke auf den Standort, den du verbinden möchtest, und kopiere die Standort-ID.
• Token des Dienstbenutzers: gehe in SentinelOne zu Richtlinie & Einstellungen > Dienstbenutzer > Neuer Dienstbenutzer, beschränke den Benutzer auf deinen Standort, gib ihm die Rolle Admin und kopiere das Token. SentinelOne zeigt das Token nur einmal an, wenn es erstellt wird, also kopiere es, bevor du diesen Dialog schließt.

3. Klicke auf Verbinden. Du weißt, dass es funktioniert hat, wenn:

• SentinelOne im Hauptmenü von Factorial IT als direkter Link zu deiner Konsole erscheint.
• Die EDR - SentinelOne-Karten im Kontrollkatalog auswählbar sind.

So verwendest du: SentinelOne in deiner Flotte bereitstellen

Die Bereitstellung erfolgt über deine MDM-Kontrollen.

1. Gehe zu MDM > Kontrollen > Neue Kontrolle hinzufügen und wähle die Plattform aus.
2. Aktiviere die Karte, die zu deinen Geräten passt. Jede Karte deckt eine Plattform und eine Architektur ab:

3. Setze das Targeting: alle Geräte, spezifische Gerätegruppen oder ein benutzerdefiniertes Ziel. Du benötigst keine Gerätegruppe pro Architektur. Eine Karte gilt nur für Geräte ihrer eigenen Plattform und Architektur, daher funktionieren gemischte Gruppen gut.
4. Bestätige. Der Agent wird automatisch auf jedem Gerät installiert, das die Kontrolle abdeckt.

macOS-Systemprofil

Auf macOS benötigt der Agent ein Systemprofil, das die Systemerweiterung, den vollständigen Festplattzugriff, Benachrichtigungen und den Netzwerkfilter gewährt. Ohne das Profil wird der Agent installiert, bleibt jedoch teilweise inaktiv, und macOS fordert die Mitarbeitenden auf, Dinge zu genehmigen.

• Instanz bereitgestellt von Factorial IT: nichts zu tun. Die Kontrolle sendet das Profil zusammen mit dem Agenten, sodass kein .mobileconfig erstellt oder hochgeladen werden muss.
• Deine eigene Instanz (BYO): Du stellst das Profil bereit. Erstelle es aus den Payloads, die SentinelOne für deine Agenten-Version veröffentlicht, öffne dann deine macOS-Kontrolle in MDM > Kontrollen und lade es als Benutzerdefinierte Datei hoch. Es funktioniert genau wie bei CrowdStrike Falcon.

Schließe den Factorial IT-Agenten von SentinelOne aus

SentinelOne kann den Factorial IT-Agenten blockieren, verlangsamen oder in Quarantäne stellen. Wenn dies geschieht, zeigen Geräte als Fehlender Agent oder offline in Factorial IT an, obwohl Menschen sie verwenden (siehe Probleme bei der Registrierung lösen).

In Instanzen, die von Factorial IT bereitgestellt werden, sind diese Ausschlüsse bereits in der SentinelOne-Richtlinie festgelegt. Du benötigst diesen Abschnitt nur für deine eigene Instanz (BYO), wo du sie für macOS und Windows hinzufügst.

In deiner SentinelOne-Konsole füge die untenstehenden Pfade als Pfad-Ausschlüsse hinzu. Begrenze sie auf den Standort, der mit Factorial IT verbunden ist, aktiviere Unterordner einbeziehen und stelle den Modus auf Interoperabilität ein.

Linux-Agenten befinden sich unter denselben /opt/orbit-Pfade wie macOS.

Aktualisiere den Agenten

Factorial IT stellt den Agenten bereit, hat jedoch keine Einstellung für seine Version. Agenten-Versionen werden in der SentinelOne-Konsole verwaltet, mit einer Upgrade-Richtlinie für jede Plattform.

1. Öffne die Upgrade-Richtlinien. In der SentinelOne-Konsole setze den Geltungsbereich auf den Standort, der mit Factorial IT verbunden ist. Klicke in der Seitenleiste unter Konfigurieren auf Agentenverwaltung und öffne die Registerkarte Upgrade-Richtlinie.
2. Wähle die Plattform. Wähle Windows, macOS oder Linux. Wiederhole die nächsten Schritte für jede Plattform, die du bereitstellst.
3. Erstelle die Richtlinie. Wenn Upgrade-Richtlinie übernehmen aktiviert ist, schalte sie zuerst aus; andernfalls behält der Standort die übernommene Richtlinie und deine wird ignoriert. Klicke dann auf Neue Upgrade-Richtlinie und wähle die Ziel-Agenten-Version.
4. Überprüfe das Ergebnis. In Agentenverwaltung > Endpunkte zeigt jeder Agent die Zielversion an, sobald das Upgrade abgeschlossen ist.

Die Richtlinie bleibt auf der von dir gewählten Version und folgt nicht neuen Veröffentlichungen. Wenn SentinelOne eine neue Version veröffentlicht, bearbeite die Richtlinie und ändere die Zielversion.

Geräte, die später registriert werden, erhalten das Paket, das Factorial IT hochgeladen hat, als du die Kontrolle zum ersten Mal aktiviert hast, was zu diesem Zeitpunkt die neueste allgemein verfügbare Version war. Wenn dieses Paket bei einer neuen OS-Version nicht installiert werden kann, kontaktiere unser Team.

Unser Team kann die Richtlinie auch für dich einrichten: sende eine E-Mail an support@factorial.it.

Ändere oder entferne die Kontrolle

Schalte die Karte in den Kontrolleinstellungen aus. Dadurch wird die Durchsetzung auf neuen Geräten gestoppt, aber der Agent bleibt auf Geräten, auf denen er bereits läuft.

Deinstalliere den Agenten von einem Gerät

Der Anti-Tampering-Schutz blockiert jede Deinstallation, die nicht von der Konsole genehmigt wurde. Wenn ein Mitarbeitender den Deinstaller ausführt, sendet er dir nur eine Deinstallationsanfrage zur Genehmigung oder Ablehnung.

1. Hole dir das Passwort. Gehe in der SentinelOne-Konsole zu Agentenverwaltung > Endpunkte, öffne den Endpunkt und klicke auf Aktionen > Agentenaktionen > Passwort anzeigen.
2. Deinstalliere den Agenten. Entweder von der Konsole (Aktionen > Deinstallieren) oder von der Kommandozeile mit lokalen Administratorrechten:

macOS:

1. sudo sentinelctl unprotect --passphrase "passphrase"
   sudo sentinelctl uninstall --local

Linux: führe es als root aus, da sudo allein nicht ausreicht. Lass --unquarantine weg, und quarantänisierte Dateien werden gelöscht, anstatt wiederhergestellt zu werden.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "passphrase" --unquarantine

Windows: Verwende das Paket, das von der Konsole heruntergeladen wurde, nicht das in Program Files. Starte das Gerät danach neu.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="passphrase"

Kein Passwort? Für einen Agenten, der sich nie mit einer Konsole verbunden hat, verwende einen leeren String. Für einen Agenten, der von einer Konsole übrig geblieben ist, die abgeschaltet wurde, hole dir das Passwort von dieser Konsole, wenn du dich noch einloggen kannst. Wenn nicht, starte das Gerät auf macOS im Wiederherstellungsmodus und folge von dort aus dem Deinstallationsverfahren von SentinelOne. Bei Windows und Linux kontaktiere stattdessen den Support von SentinelOne anstatt ein Skript aus einem Forum zu verwenden.

Erneuere das Token des Dienstbenutzers

Die Dienstbenutzertoken von SentinelOne laufen ab; ihre Lebensdauer wird bei der Erstellung des Dienstbenutzers festgelegt. Wenn das Token abläuft, stoppt die Integration die Synchronisierung und die Schutzstatus in Factorial IT werden veraltet.

Erstelle einen neuen Dienstbenutzer in Richtlinie & Einstellungen > Dienstbenutzer, und bitte dann unser Team, das Token in Factorial IT auszutauschen. Die verbundene SentinelOne-Integration in MDM > Einstellungen hat kein Feld zum Bearbeiten.

Migration zu einer anderen SentinelOne-Konsole

Um Endpunkte von einer SentinelOne-Konsole zu einer anderen zu verschieben, aktualisiere zuerst die Installationsskripte und migriere dann die Endpunkte.

Ein Endpunkt kann nur verschoben werden, wenn er online ist, keine offenen Bedrohungen hat und sich nicht mitten in einem vollständigen Festplattenscan befindet. Offline-Endpunkte warten, bis sie sich wieder anmelden. Du benötigst globale oder kontobasierte Berechtigungen auf der Quellkonsole. Wenn ein Partner die Konsole bereitstellt, gehört dieses Niveau möglicherweise eher dem Partner als dir.

Bereite zuerst den Zielstandort vor. SentinelOne-Richtlinien können nicht exportiert werden, also baue sie dort neu auf. Für eine vollständige Tenant-Migration kann der Support von SentinelOne die Konfiguration für dich kopieren.

1. Aktualisiere die Installationsskripte in Fleet.
   1. Öffne deine Fleet-Instanz.
   2. Öffne die Software-Registerkarte und suche nach Sentinel (SentinelOne, Sentinel-Agent und ähnliches).
   3. Für jedes Paket klicke auf Bearbeiten, öffne Erweiterte Optionen anzeigen und tausche das alte Standort-Token im Installationsskript gegen das neue aus.
2. Migriere die vorhandenen Endpunkte. Wähle in deiner SentinelOne-Konsole die Endpunkte aus, gehe zu Aktionen > Endpunktaktionen > Endpunkte migrieren, gib das neue Standort-Token ein und bestätige.

Das Token muss von einem Standort auf der Ziel-Konsole stammen. Ein Token von der Quellkonsole schlägt ohne Fehlermeldung fehl, und die Endpunkte bleiben dort, wo sie waren.

Die Migration verursacht keinen Schaden: Wenn ein Agent die neue Konsole innerhalb weniger Minuten nicht erreichen kann, bleibt er auf der alten registriert.

1. Bestätige, und räume dann die Quellkonsole auf. Verfolge den Fortschritt mit dem Filter Konsole-Migrationsstatus unter Weitere Filter: N/A, Ausstehend oder Migriert. Das Aktivitätsprotokoll der Quellkonsole zeichnet auch die Ziel-URL jedes migrierten Agenten auf.

Migrierte Endpunkte bleiben in der Quellkonsole, ausgegraut, und verschwinden nicht von selbst. Schalte sie ab, sobald die Zielkonsole sie als aktiv anzeigt, oder verkürze das Deaktivierungsfenster, damit offline-Agenten automatisch gelöscht werden. Bis dahin zählen dieselben Geräte auf beiden Konsolen, daher stimme dies mit deinem Anbieter ab, bevor du beginnst.

1. Aktualisiere die Factorial IT-Integration. Bitte unser Team, die Standort-ID, URL und das Token des Dienstbenutzers der Integration auf die neue Konsole zu ändern. Die verbundene SentinelOne-Integration in MDM > Einstellungen hat keine Felder zum Bearbeiten.

Nicht unterstützte Plattformen

Wenn deine Plattform nicht in den obigen Tabellen aufgeführt ist, kannst du SentinelOne trotzdem manuell installieren: Lade den Installer von der SentinelOne-Konsole herunter und stelle ihn als benutzerdefinierte Software bereit.

Fehlerbehebung und FAQ

Fehlerbehebung

• Die EDR - SentinelOne-Karten sind ausgegraut. Die Integration ist noch nicht verbunden. Verbinde sie in MDM > Einstellungen, oder warte auf unser Team, wenn wir die Instanz bereitstellen.
• Geräte werden als fehlender Agent oder offline angezeigt, sind aber in Gebrauch. SentinelOne blockiert wahrscheinlich den Factorial IT-Agenten. Füge die oben genannten Pfadausschlüsse hinzu.
• macOS fragt die Mitarbeitenden ständig nach Genehmigungen. Das Systemprofil fehlt. Lade es in deiner eigenen Instanz als Benutzerdefinierte Datei in deiner macOS-Kontrolle hoch.
• Die Schutzstatus haben aufgehört, sich zu aktualisieren. Das Token des Dienstbenutzers ist wahrscheinlich abgelaufen. Erstelle einen neuen Dienstbenutzer und bitte unser Team, das Token zu ersetzen.
• Agenten werden nicht aktualisiert. Überprüfe, ob Upgrade-Richtlinie übernehmen für den Standort und die Plattform deaktiviert ist. Andernfalls gilt die übernommene Richtlinie anstelle deiner.
• Ein neu registriertes Gerät kann den Agenten nach einem OS-Update nicht installieren. Neue Geräte erhalten das Paket, das hochgeladen wurde, als die Kontrolle zum ersten Mal aktiviert wurde. Kontaktiere unser Team.
• Endpunkte wurden nach einer Migration nicht verschoben. Überprüfe, ob das Token zu einem Standort auf der Zielkonsole gehört. Ein Token von der Quellkonsole schlägt ohne Vorwarnung fehl.

FAQ

1. Wird der Agent entfernt, wenn die Kontrolle deaktiviert wird?
   Nein. Es stoppt die Durchsetzung auf neuen Geräten, aber der Agent bleibt dort, wo er bereits installiert ist.
    
2. Kann ein Mitarbeitender den Agenten deinstallieren?
   Nein. Das Ausführen des Deinstallationsprogramms sendet dir nur eine Anfrage zur Genehmigung oder Ablehnung.
    
3. Kann ich die Agenten-Version von Factorial IT wählen?
   Nein. Setze eine Upgrade-Richtlinie pro Plattform in der SentinelOne-Konsole, oder bitte unser Team, dies für dich zu tun.
    
4. Kann ich das Token des Dienstbenutzers selbst ändern?
   Nein. Die Integration hat kein Feld dafür. Bitte unser Team, es zu ersetzen.
    
5. Benötige ich separate Gerätegruppen für Intel- und Arm-Geräte?
   Nein. Jede Karte gilt nur für Geräte ihrer eigenen Plattform und Architektur.