Collega la tua istanza di SentinelOne a Factorial IT e l'agente di SentinelOne viene distribuito automaticamente su dispositivi macOS, Windows e Linux. Questa guida tratta anche delle esclusioni, della disinstallazione, del rinnovo del token e del passaggio a un'altra console di SentinelOne.

Funzionalità

Panoramica

Tipo di distribuzione: automatica. Non appena l'integrazione è connessa e il controllo è attivato, l'agente viene inviato tramite MDM a ogni dispositivo target. Nessuno installa nulla manualmente e i dipendenti non devono fare nulla.

Prerequisiti

• Factorial IT MDM
• Una licenza di SentinelOne, acquistata tramite Factorial IT o una che possiedi già

Hai bisogno di un'istanza di SentinelOne? Contattaci o invia un'email a support@factorial.it.

Quale configurazione si applica a te

Da dove proviene la tua istanza di SentinelOne cambia tre cose. Trova il tuo caso prima di iniziare.

Collega la tua istanza di SentinelOne

Fino a quando l'integrazione non è connessa, le schede EDR - SentinelOne sono disattivate nel catalogo di controllo. Quindi inizia con la connessione.

Istanza fornita da Factorial IT

La colleghiamo per te. Mentre lo facciamo, SentinelOne mostra In fase di configurazione nella sezione Integrazioni di MDM > Impostazioni.

La tua istanza

1. Vai su MDM > Impostazioni. In Integrazioni, fai clic su Aggiungi integrazione, quindi Collegati sulla scheda SentinelOne.
2. La finestra Collega SentinelOne richiede tre valori:

• URL di SentinelOne: https://xxxxxxxxx.sentinelone.net
• ID Sito: in SentinelOne, vai su Politica & Impostazioni > Siti, fai clic sul sito da connettere e copia il suo ID Sito.
• Token Utente di Servizio: in SentinelOne, vai su Politica & Impostazioni > Utenti di Servizio > Nuovo Utente di Servizio, limita l'utente al tuo sito, assegnagli il ruolo di Admin e copia il token. SentinelOne mostra il token solo una volta, quando viene creato, quindi copialo prima di chiudere quel dialogo.

3. Fai clic su Collega. Sai che ha funzionato quando:

• SentinelOne appare nel menu principale di Factorial IT come un collegamento diretto alla tua console.
• Le schede EDR - SentinelOne possono essere selezionate nel catalogo di controllo.

Come usare: distribuisci SentinelOne alla tua flotta

La distribuzione avviene attraverso i controlli MDM.

1. Vai su MDM > Controlli > Aggiungi nuovo controllo e scegli la piattaforma.
2. Attiva la scheda che corrisponde ai tuoi dispositivi. Ogni scheda copre una piattaforma e un'architettura:

3. Imposta il targeting: tutti i dispositivi, gruppi di dispositivi specifici o un target personalizzato. Non hai bisogno di un gruppo di dispositivi per architettura. Una scheda si applica solo ai dispositivi della propria piattaforma e architettura, quindi i gruppi misti funzionano bene.
4. Conferma. L'agente si installa automaticamente su ogni dispositivo coperto dal controllo.

Profilo di sistema macOS

Su macOS, l'agente ha bisogno di un profilo di sistema che conceda l'estensione di sistema, Accesso Completo al Disco, notifiche e il filtro di rete. Senza il profilo, l'agente si installa ma rimane parzialmente inattivo, e macOS chiede al dipendente di approvare le cose.

• Istanza fornita da Factorial IT: nulla da fare. Il controllo invia il profilo insieme all'agente, quindi non c'è un .mobileconfig da costruire o caricare.
• La tua istanza (BYO): fornisci tu il profilo. Costruiscilo dai payload pubblicati da SentinelOne per la tua versione dell'agente, quindi apri il tuo controllo macOS in MDM > Controlli e caricalo come un File personalizzato. Funziona allo stesso modo di CrowdStrike Falcon.

Escludi l'agente di Factorial IT da SentinelOne

SentinelOne potrebbe bloccare, rallentare o mettere in quarantena l'agente di Factorial IT. Quando ciò accade, i dispositivi vengono visualizzati come Agente mancante o offline in Factorial IT anche se le persone li stanno usando (vedi Risolvi problemi di registrazione).

Su istanze fornite da Factorial IT, queste esclusioni sono già presenti nella politica di SentinelOne. Hai bisogno solo di questa sezione con la tua istanza (BYO), dove le aggiungi per macOS e Windows.

Nella tua console di SentinelOne, aggiungi i percorsi qui sotto come esclusioni di Percorso. Limitali al sito connesso a Factorial IT, attiva Includi sottocartelle e imposta la modalità su Interoperabilità.

Gli agenti Linux si trovano sotto gli stessi percorsi /opt/orbit di macOS.

Modifica o rimuovi il controllo

Disattiva la scheda nelle impostazioni di controllo. Questo interrompe l'applicazione sui nuovi dispositivi, ma l'agente rimane sui dispositivi dove è già in esecuzione.

Disinstalla l'agente da un dispositivo

Le protezioni anti-manomissione bloccano qualsiasi rimozione non approvata dalla console. Se un dipendente esegue il disinstallatore, tutto ciò che fa è inviarti una richiesta di disinstallazione da approvare o rifiutare.

1. Ottieni la passphrase. Nella console di SentinelOne, vai su Gestione agenti > Endpoint, apri l'endpoint e fai clic su Azioni > Azioni agente > Mostra passphrase.
2. Disinstalla l'agente. Sia dalla console (Azioni > Disinstalla) sia dalla riga di comando con diritti di amministratore locale:

macOS:

1. sudo sentinelctl unprotect --passphrase "passphrase"
   sudo sentinelctl uninstall --local

Linux: eseguilo come root, perché sudo da solo non è sufficiente. Escludi --unquarantine e i file messi in quarantena vengono eliminati piuttosto che ripristinati.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "passphrase" --unquarantine

Windows: utilizza il pacchetto scaricato dalla console, non quello in Program Files. Riavvia il dispositivo dopo.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="passphrase"

Nessuna passphrase? Per un agente che non si è mai connesso a una console, utilizza una stringa vuota. Per un agente rimasto da una console che è stata chiusa, ottieni la passphrase da quella console se riesci ancora ad accedere. In caso contrario, su macOS avvia il dispositivo in modalità di recupero e segui la procedura di disinstallazione di SentinelOne da lì. Su Windows e Linux, chiedi supporto a SentinelOne invece di utilizzare uno script da un forum.

Rinnova il Token Utente di Servizio

I token degli utenti di servizio di SentinelOne scadono; la loro durata è scelta quando l'utente di servizio viene creato. Quando il token scade, l'integrazione smette di sincronizzarsi e gli stati di protezione in Factorial IT diventano obsoleti.

Crea un nuovo utente di servizio in Politica & Impostazioni > Utenti di Servizio, poi chiedi al nostro team di sostituire il token in Factorial IT. L'integrazione SentinelOne connessa in MDM > Impostazioni non ha campi per modificarlo.

Migra a un'altra console di SentinelOne

Per spostare gli endpoint da una console di SentinelOne a un'altra, prima aggiorna gli script di installazione, poi migra gli endpoint.

Un endpoint può essere spostato solo se è online, non ha minacce aperte ed è in fase di scansione completa del disco. Gli endpoint offline aspettano fino a quando non si registrano di nuovo. Hai bisogno di permessi a livello globale o di account sulla console di origine. Se un partner fornisce la console, quel livello potrebbe appartenere al partner piuttosto che a te.

Prepara prima il sito di destinazione. Le politiche di SentinelOne non possono essere esportate, quindi le ricostruisci lì. Per una migrazione completa del tenant, il supporto di SentinelOne può copiare la configurazione per te.

1. Aggiorna gli script di installazione in Fleet.
   1. Apri la tua istanza di Fleet.
   2. Apri la scheda Software e cerca Sentinel (SentinelOne, Agente Sentinel e simili).
   3. Per ogni pacchetto, fai clic su Modifica, apri Mostra opzioni avanzate e sostituisci il vecchio token del sito con il nuovo nello script di installazione.
2. Migra gli endpoint esistenti. Nella tua console di SentinelOne, seleziona gli endpoint, vai su Azioni > Azioni endpoint > Migra endpoint, inserisci il nuovo token del sito e conferma.

Il token deve provenire da un sito sulla console di destinazione. Un token dalla console di origine fallisce senza alcun errore, e gli endpoint rimangono dove erano.

La migrazione non causa danni: se un agente non riesce a raggiungere la nuova console entro pochi minuti, rimane registrato su quella vecchia.

1. Conferma, poi riordina la console di origine. Segui i progressi con il filtro Stato Migrazione Console sotto Altri filtri: N/A, In attesa o Migrato. Il registro delle attività della console di origine registra anche l'URL di destinazione di ogni agente che si è spostato.

Gli endpoint migrati rimangono nella console di origine, disattivati, e non scompaiono da soli. Dismettili una volta che la console di destinazione li mostra come attivi, o accorcia la finestra di dismissione in modo che gli agenti offline vengano eliminati automaticamente. Fino ad allora, gli stessi dispositivi contano su entrambe le console, quindi concorda questo con il tuo fornitore prima di iniziare.

1. Aggiorna l'integrazione di Factorial IT. Chiedi al nostro team di cambiare l'ID Sito, l'URL e il Token Utente di Servizio dell'integrazione alla nuova console. L'integrazione SentinelOne connessa in MDM > Impostazioni non ha campi per modificarli.

Piattaforme non supportate

Se la tua piattaforma non è nelle tabelle sopra, puoi comunque installare SentinelOne manualmente: scarica l'installer dalla console di SentinelOne e distribuiscilo come software personalizzato.

Risoluzione dei problemi e FAQ

Risoluzione dei problemi

• Le schede EDR - SentinelOne sono disattivate. L'integrazione non è ancora connessa. Collegala in MDM > Impostazioni, o aspetta il nostro team se forniamo l'istanza.
• I dispositivi mostrano come Agente mancante o offline ma sono in uso. SentinelOne sta probabilmente bloccando l'agente di Factorial IT. Aggiungi le esclusioni di percorso sopra.
• macOS continua a chiedere al dipendente approvazioni. Il profilo di sistema è mancante. Nella tua istanza, caricalo come un File personalizzato nel tuo controllo macOS.
• Gli stati di protezione hanno smesso di aggiornarsi. Il Token Utente di Servizio è probabilmente scaduto. Crea un nuovo utente di servizio e chiedi al nostro team di sostituire il token.
• Gli endpoint non si sono spostati dopo una migrazione. Controlla che il token appartenga a un sito sulla console di destinazione. Un token della console di origine fallisce senza preavviso.

FAQ

1. Disattivare il controllo rimuove l'agente?
   No. Ferma l'applicazione sui nuovi dispositivi, ma l'agente rimane dove è già installato.
    
2. Un dipendente può disinstallare l'agente?
   No. Eseguire il disinstallatore invia solo una richiesta da approvare o rifiutare.
    
3. Posso cambiare il Token Utente di Servizio da solo?
   No. L'integrazione non ha un campo per questo. Chiedi al nostro team di sostituirlo.
    
4. Ho bisogno di gruppi di dispositivi separati per dispositivi Intel e Arm?
   No. Ogni scheda si applica solo ai dispositivi della propria piattaforma e architettura.