Conecta tu instancia de SentinelOne a Factorial IT y el agente de SentinelOne se despliega automáticamente en dispositivos macOS, Windows y Linux. Esta guía también cubre exclusiones, desinstalación, renovación de tokens y traslado a otra consola de SentinelOne.

Funcionalidad

Descripción general

Tipo de despliegue: automático. Tan pronto como la integración esté conectada y el control esté activado, el agente se envía a través de MDM a cada dispositivo objetivo. Nadie instala nada a mano, y los empleados no tienen que hacer nada.

Requisitos previos

• Factorial IT MDM
• Una licencia de SentinelOne, comprada a través de Factorial IT o una que ya tengas

¿Necesitas una instancia de SentinelOne? Contáctanos o envía un correo a support@factorial.it.

Qué configuración se aplica a ti

De dónde proviene tu instancia de SentinelOne cambia tres cosas. Encuentra tu caso antes de comenzar.

Conecta tu instancia de SentinelOne

Hasta que la integración esté conectada, las tarjetas de EDR - SentinelOne están atenuadas en el catálogo de control. Así que comienza con la conexión.

Instancia proporcionada por Factorial IT

Nosotros la conectamos por ti. Mientras lo hacemos, SentinelOne muestra Siendo configurado en la sección de Integraciones de MDM > Configuración.

Tu propia instancia

1. Ve a MDM > Configuración. En Integraciones, haz clic en Agregar integración, luego Conectar en la tarjeta de SentinelOne.
2. La ventana de Conectar SentinelOne pide tres valores:

• URL de SentinelOne: https://xxxxxxxxx.sentinelone.net
• ID de Sitio: en SentinelOne, ve a Política & Configuración > Sitios, haz clic en el sitio para conectar y copia su ID de Sitio.
• Token de Usuario del Servicio: en SentinelOne, ve a Política & Configuración > Usuarios del Servicio > Nuevo Usuario del Servicio, limita el usuario a tu sitio, dale el rol de Admin y copia el token. SentinelOne muestra el token solo una vez, cuando se crea, así que cópialo antes de cerrar ese diálogo.

3. Haz clic en Conectar. Sabes que funcionó cuando:

• SentinelOne aparece en el menú principal de Factorial IT como un enlace directo a tu consola.
• Las tarjetas de EDR - SentinelOne pueden ser seleccionadas en el catálogo de control.

Cómo usar: desplegar SentinelOne en tu flota

El despliegue pasa a través de tus controles de MDM.

1. Ve a MDM > Controles > Agregar nuevo control y elige la plataforma.
2. Activa la tarjeta que coincide con tus dispositivos. Cada tarjeta cubre una plataforma y una arquitectura:

3. Establece la segmentación: todos los dispositivos, grupos de dispositivos específicos o un objetivo personalizado. No necesitas un grupo de dispositivos por arquitectura. Una tarjeta solo se aplica a dispositivos de su propia plataforma y arquitectura, así que los grupos mixtos funcionan bien.
4. Confirma. El agente se instala automáticamente en cada dispositivo que cubre el control.

Perfil del sistema macOS

En macOS, el agente necesita un perfil del sistema que otorgue la extensión del sistema, Acceso Completo al Disco, notificaciones y el filtro de red. Sin el perfil, el agente se instala pero permanece parcialmente inactivo, y macOS pide al empleado que apruebe cosas.

• Instancia proporcionada por Factorial IT: nada que hacer. El control envía el perfil junto con el agente, así que no hay .mobileconfig que construir o subir.
• Tu propia instancia (BYO): tú proporcionas el perfil. Construye a partir de los payloads que publica SentinelOne para tu versión de agente, luego abre tu control de macOS en MDM > Controles y súbelo como un Archivo personalizado. Funciona de la misma manera que para CrowdStrike Falcon.

Excluir el agente de Factorial IT de SentinelOne

SentinelOne puede bloquear, ralentizar o poner en cuarentena al agente de Factorial IT. Cuando lo hace, los dispositivos aparecen como Agente faltante o fuera de línea en Factorial IT aunque las personas los estén usando (ver Resolver problemas de inscripción).

En las instancias proporcionadas por Factorial IT, estas exclusiones ya están en la política de SentinelOne. Solo necesitas esta sección con tu propia instancia (BYO), donde las agregas para macOS y Windows.

En tu consola de SentinelOne, agrega las rutas a continuación como exclusiones de Ruta. Ámbito a el sitio conectado a Factorial IT, activa Incluir subcarpetas y establece el modo en Interoperabilidad.

Los agentes de Linux se encuentran bajo las mismas rutas /opt/orbit que macOS.

Modificar o eliminar el control

Desactiva la tarjeta en la configuración del control. Esto detiene la aplicación en nuevos dispositivos, pero el agente permanece en los dispositivos donde ya está en funcionamiento.

Desinstalar el agente de un dispositivo

La protección contra manipulación bloquea cualquier eliminación no aprobada desde la consola. Si un empleado ejecuta el desinstalador, lo único que hace es enviarte una solicitud de desinstalación para aprobar o rechazar.

1. Obtén la frase de paso. En la consola de SentinelOne, ve a Gestión de agentes > Endpoints, abre el endpoint y haz clic en Acciones > Acciones del agente > Mostrar frase de paso.
2. Desinstala el agente. Ya sea desde la consola (Acciones > Desinstalar) o desde la línea de comandos con derechos de administrador local:

macOS:

1. sudo sentinelctl unprotect --passphrase "frase_de_paso"
   sudo sentinelctl uninstall --local

Linux: ejecútalo como root, porque sudo por sí solo no es suficiente. Omite --unquarantine y los archivos en cuarentena se eliminan en lugar de restaurarse.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "frase_de_paso" --unquarantine

Windows: usa el paquete descargado de la consola, no el que está en Program Files. Reinicia el dispositivo después.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="frase_de_paso"

¿Sin frase de paso? Para un agente que nunca se conectó a una consola, usa una cadena vacía. Para un agente que quedó de una consola que ha sido cerrada, obtén la frase de paso de esa consola si aún puedes iniciar sesión. Si no, en macOS inicia el dispositivo en Modo de Recuperación y sigue el procedimiento de desinstalación de SentinelOne desde allí. En Windows y Linux, pregunta al soporte de SentinelOne en lugar de usar un script de un foro.

Renovar el Token de Usuario del Servicio

Los tokens de usuario del servicio de SentinelOne expiran; su duración se elige cuando se crea el usuario del servicio. Cuando el token se agota, la integración deja de sincronizar y los estados de protección en Factorial IT quedan desactualizados.

Crea un nuevo usuario del servicio en Política & Configuración > Usuarios del Servicio, luego pide a nuestro equipo que cambie el token en Factorial IT. La integración conectada de SentinelOne en MDM > Configuración no tiene campo para editarlo.

Migrar a otra consola de SentinelOne

Para mover endpoints de una consola de SentinelOne a otra, primero actualiza los scripts de instalación, luego migra los endpoints.

Un endpoint solo puede moverse si está en línea, no tiene amenazas abiertas y no está en medio de un escaneo completo del disco. Los endpoints fuera de línea esperan hasta que se registren nuevamente. Necesitas permisos a nivel Global o de Cuenta en la consola de origen. Si un socio proporciona la consola, ese nivel puede pertenecer al socio en lugar de a ti.

Prepara primero el sitio de destino. Las políticas de SentinelOne no se pueden exportar, así que las reconstruyes allí. Para una migración completa de inquilinos, el soporte de SentinelOne puede copiar la configuración por ti.

1. Actualiza los scripts de instalación en Fleet.
   1. Abre tu instancia de Fleet.
   2. Abre la pestaña de Software y busca Sentinel (SentinelOne, Agente de Sentinel y similares).
   3. Para cada paquete, haz clic en Editar, abre Mostrar opciones avanzadas y cambia el token del sitio antiguo por el nuevo en el script de instalación.
2. Migra los endpoints existentes. En tu consola de SentinelOne, selecciona los endpoints, ve a Acciones > Acciones de endpoint > Migrar endpoints, ingresa el nuevo token de sitio y confirma.

El token debe provenir de un sitio en la consola de destino. Un token de la consola de origen falla sin ningún error, y los endpoints permanecen donde estaban.

La migración no causa daño: si un agente no puede alcanzar la nueva consola dentro de unos minutos, permanece registrado en la antigua.

1. Confirma, luego limpia la consola de origen. Sigue el progreso con el filtro de Estado de Migración de Consola bajo Más filtros: N/A, Pendiente o Migrado. El registro de actividad de la consola de origen también registra la URL de destino de cada agente que se movió.

Los endpoints migrados permanecen en la consola de origen, atenuados, y no desaparecen por sí mismos. Desactívalos una vez que la consola de destino los muestre como activos, o acorta la ventana de desactivación para que los agentes fuera de línea se eliminen automáticamente. Hasta entonces, los mismos dispositivos cuentan en ambas consolas, así que acuerda esto con tu proveedor antes de comenzar.

1. Actualiza la integración de Factorial IT. Pide a nuestro equipo que cambie el ID de Sitio, URL y Token de Usuario del Servicio de la integración a la nueva consola. La integración conectada de SentinelOne en MDM > Configuración no tiene campos para editarlos.

Plataformas no soportadas

Si tu plataforma no está en las tablas anteriores, aún puedes instalar SentinelOne manualmente: descarga el instalador desde la consola de SentinelOne y despliega como software personalizado.

Solución de problemas y FAQ

Solución de problemas

• Las tarjetas de EDR - SentinelOne están atenuadas. La integración aún no está conectada. Conéctala en MDM > Configuración, o espera a que nuestro equipo lo haga si proporcionamos la instancia.
• Los dispositivos aparecen como Agente faltante o fuera de línea pero están en uso. SentinelOne probablemente está bloqueando al agente de Factorial IT. Agrega las exclusiones de ruta anteriores.
• macOS sigue pidiendo aprobaciones al empleado. Falta el perfil del sistema. En tu propia instancia, súbelo como un Archivo personalizado en tu control de macOS.
• Los estados de protección han dejado de actualizarse. El Token de Usuario del Servicio probablemente ha expirado. Crea un nuevo usuario del servicio y pide a nuestro equipo que reemplace el token.
• Los endpoints no se movieron después de una migración. Verifica que el token pertenezca a un sitio en la consola de destino. Un token de la consola de origen falla sin advertencia.

FAQ

1. ¿Apagar el control elimina el agente?
   No. Detiene la aplicación en nuevos dispositivos, pero el agente permanece donde ya está instalado.
    
2. ¿Puede un empleado desinstalar el agente?
   No. Ejecutar el desinstalador solo te envía una solicitud para aprobar o rechazar.
    
3. ¿Puedo cambiar el Token de Usuario del Servicio yo mismo?
   No. La integración no tiene campo para ello. Pide a nuestro equipo que lo reemplace.
    
4. ¿Necesito grupos de dispositivos separados para dispositivos Intel y Arm?
   No. Cada tarjeta solo se aplica a dispositivos de su propia plataforma y arquitectura.