Connectez votre instance SentinelOne à Factorial IT et l'agent SentinelOne est déployé automatiquement sur les appareils macOS, Windows et Linux. Ce guide couvre également les exclusions, la désinstallation, le renouvellement de jeton et le passage à une autre console SentinelOne.

Fonctionnalité

Aperçu

Type de déploiement : automatique. Dès que l'intégration est connectée et que le contrôle est activé, l'agent est poussé via MDM sur chaque appareil ciblé. Personne n'installe quoi que ce soit manuellement, et les employés n'ont rien à faire.

Conditions préalables

• Factorial IT MDM
• Une licence SentinelOne, soit achetée via Factorial IT, soit que vous possédez déjà

Besoin d'une instance SentinelOne ? Contactez-nous ou envoyez un email à support@factorial.it.

Quelle configuration vous concerne

La provenance de votre instance SentinelOne change trois choses. Trouvez votre cas avant de commencer.

Connectez votre instance SentinelOne

Jusqu'à ce que l'intégration soit connectée, les cartes EDR - SentinelOne sont grises dans le catalogue de contrôle. Commencez donc par la connexion.

Instance fournie par Factorial IT

Nous nous en chargeons pour vous. Pendant ce temps, SentinelOne affiche En cours de configuration dans la section Intégrations de MDM > Paramètres.

Votre propre instance

1. Allez dans MDM > Paramètres. Dans Intégrations, cliquez sur Ajouter une intégration, puis Connecter sur la carte SentinelOne.
2. La fenêtre Connecter SentinelOne demande trois valeurs :

• URL SentinelOne : https://xxxxxxxxx.sentinelone.net
• ID du site : dans SentinelOne, allez dans Politique & Paramètres > Sites, cliquez sur le site à connecter et copiez son ID de site.
• Jeton utilisateur de service : dans SentinelOne, allez dans Politique & Paramètres > Utilisateurs de service > Nouvel utilisateur de service, limitez l'utilisateur à votre site, attribuez-lui le rôle Admin et copiez le jeton. SentinelOne affiche le jeton une seule fois, lors de sa création, donc copiez-le avant de fermer ce dialogue.

3. Cliquez sur Connecter. Vous saurez que cela a fonctionné quand :

• SentinelOne apparaît dans le menu principal de Factorial IT comme un lien direct vers votre console.
• Les cartes EDR - SentinelOne peuvent être sélectionnées dans le catalogue de contrôle.

Comment utiliser : déployer SentinelOne sur votre flotte

Le déploiement passe par vos contrôles MDM.

1. Allez dans MDM > Contrôles > Ajouter un nouveau contrôle et choisissez la plateforme.
2. Activez la carte qui correspond à vos appareils. Chaque carte couvre une plateforme et une architecture :

3. Définissez le ciblage : tous les appareils, groupes d'appareils spécifiques ou une cible personnalisée. Vous n'avez pas besoin d'un groupe d'appareils par architecture. Une carte ne s'applique qu'aux appareils de sa propre plateforme et architecture, donc les groupes mixtes fonctionnent bien.
4. Confirmez. L'agent s'installe automatiquement sur chaque appareil couvert par le contrôle.

Profil système macOS

Sur macOS, l'agent a besoin d'un profil système qui accorde l'extension système, l'accès complet au disque, les notifications et le filtre réseau. Sans le profil, l'agent s'installe mais reste partiellement inactif, et macOS demande à l'employé d'approuver certaines actions.

• Instance fournie par Factorial IT : rien à faire. Le contrôle envoie le profil avec l'agent, donc il n'y a pas de .mobileconfig à créer ou à télécharger.
• Votre propre instance (BYO) : vous fournissez le profil. Construisez-le à partir des charges utiles que SentinelOne publie pour votre version d'agent, puis ouvrez votre contrôle macOS dans MDM > Contrôles et téléchargez-le en tant que Fichier personnalisé. Cela fonctionne de la même manière que pour CrowdStrike Falcon.

Exclure l'agent Factorial IT de SentinelOne

SentinelOne peut bloquer, ralentir ou mettre en quarantaine l'agent Factorial IT. Lorsque cela se produit, les appareils apparaissent comme Agent manquant ou hors ligne dans Factorial IT même si des personnes les utilisent (voir Résoudre les problèmes d'inscription).

Sur les instances fournies par Factorial IT, ces exclusions sont déjà sur la politique SentinelOne. Vous avez seulement besoin de cette section avec votre propre instance (BYO), où vous les ajoutez pour macOS et Windows.

Dans votre console SentinelOne, ajoutez les chemins ci-dessous en tant qu'exclusions de Chemin. Limitez-les au site connecté à Factorial IT, activez Inclure les sous-dossiers et définissez le mode sur Interopérabilité.

Les agents Linux se trouvent sous les mêmes chemins /opt/orbit que macOS.

Modifier ou supprimer le contrôle

Désactivez la carte dans les paramètres de contrôle. Cela arrête l'application sur les nouveaux appareils, mais l'agent reste sur les appareils où il est déjà en cours d'exécution.

Désinstaller l'agent d'un appareil

Les protections anti-manipulation bloquent toute suppression non approuvée depuis la console. Si un employé exécute le désinstalleur, tout ce qu'il fait est de vous envoyer une demande de désinstallation à approuver ou rejeter.

1. Obtenez la phrase secrète. Dans la console SentinelOne, allez dans Gestion des agents > Points de terminaison, ouvrez le point de terminaison et cliquez sur Actions > Actions de l'agent > Afficher la phrase secrète.
2. Désinstallez l'agent. Soit depuis la console (Actions > Désinstaller), soit depuis la ligne de commande avec des droits d'admin locaux :

macOS :

1. sudo sentinelctl unprotect --passphrase "phrase_secrète"
   sudo sentinelctl uninstall --local

Linux : exécutez-le en tant que root, car sudo à lui seul n'est pas suffisant. Omettez --unquarantine et les fichiers mis en quarantaine seront supprimés plutôt que restaurés.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "phrase_secrète" --unquarantine

Windows : utilisez le package téléchargé depuis la console, pas celui dans Program Files. Redémarrez l'appareil ensuite.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="phrase_secrète"

Pas de phrase secrète ? Pour un agent qui ne s'est jamais connecté à une console, utilisez une chaîne vide. Pour un agent restant d'une console qui a été arrêtée, obtenez la phrase secrète de cette console si vous pouvez encore vous connecter. Sinon, sur macOS, démarrez l'appareil en mode de récupération et suivez la procédure de désinstallation de SentinelOne à partir de là. Sur Windows et Linux, demandez l'assistance de SentinelOne au lieu d'utiliser un script d'un forum.

Renouveler le jeton utilisateur de service

Les jetons utilisateur de service SentinelOne expirent ; leur durée de vie est choisie lors de la création de l'utilisateur de service. Lorsque le jeton arrive à expiration, l'intégration cesse de se synchroniser et les statuts de protection dans Factorial IT deviennent obsolètes.

Créez un nouvel utilisateur de service dans Politique & Paramètres > Utilisateurs de service, puis demandez à notre équipe de remplacer le jeton dans Factorial IT. L'intégration SentinelOne connectée dans MDM > Paramètres n'a pas de champ pour l'éditer.

Migrer vers une autre console SentinelOne

Pour déplacer des points de terminaison d'une console SentinelOne à une autre, mettez d'abord à jour les scripts d'installation, puis migrez les points de terminaison.

Un point de terminaison ne peut être déplacé que s'il est en ligne, n'a aucune menace ouverte et n'est pas en train de réaliser une analyse complète du disque. Les points de terminaison hors ligne attendent jusqu'à ce qu'ils se reconnectent. Vous avez besoin de permissions au niveau global ou de compte sur la console source. Si un partenaire fournit la console, ce niveau peut appartenir au partenaire plutôt qu'à vous.

Préparez d'abord le site de destination. Les politiques SentinelOne ne peuvent pas être exportées, donc vous devez les reconstruire là-bas. Pour une migration complète de locataire, le support de SentinelOne peut copier la configuration pour vous.

1. Mettez à jour les scripts d'installation dans Fleet.
   1. Ouvrez votre instance Fleet.
   2. Ouvrez l'onglet Logiciel et recherchez Sentinel (SentinelOne, Agent Sentinel et similaires).
   3. Pour chaque package, cliquez sur Modifier, ouvrez Afficher les options avancées et remplacez l'ancien jeton de site par le nouveau dans le script d'installation.
2. Migrez les points de terminaison existants. Dans votre console SentinelOne, sélectionnez les points de terminaison, allez dans Actions > Actions sur les points de terminaison > Migrer les points de terminaison, entrez le nouveau jeton de site et confirmez.

Le jeton doit provenir d'un site sur la console de destination. Un jeton de la console source échoue sans avertissement, et les points de terminaison restent là où ils étaient.

La migration ne cause aucun dommage : si un agent ne peut pas atteindre la nouvelle console dans quelques minutes, il reste enregistré sur l'ancienne.

1. Confirmez, puis nettoyez la console source. Suivez l'avancement avec le filtre État de migration de la console sous Plus de filtres : N/A, En attente ou Migré. Le journal d'activité de la console source enregistre également l'URL de destination de chaque agent qui a été déplacé.

Les points de terminaison migrés restent dans la console source, grisés, et ne disparaissent pas d'eux-mêmes. Désactivez-les une fois que la console de destination les affiche comme actifs, ou raccourcissez la fenêtre de désactivation afin que les agents hors ligne soient supprimés automatiquement. D'ici là, les mêmes appareils comptent sur les deux consoles, donc convenez-en avec votre fournisseur avant de commencer.

1. Mettez à jour l'intégration Factorial IT. Demandez à notre équipe de changer l'ID du site, l'URL et le jeton utilisateur de service de l'intégration pour la nouvelle console. L'intégration SentinelOne connectée dans MDM > Paramètres n'a pas de champs pour les modifier.

Plateformes non prises en charge

Si votre plateforme ne figure pas dans les tableaux ci-dessus, vous pouvez toujours installer SentinelOne manuellement : téléchargez l'installateur depuis la console SentinelOne et déployez-le en tant que logiciel personnalisé.

Dépannage et FAQ

Dépannage

• Les cartes EDR - SentinelOne sont grises. L'intégration n'est pas encore connectée. Connectez-la dans MDM > Paramètres, ou attendez notre équipe si nous fournissons l'instance.
• Les appareils apparaissent comme Agent manquant ou hors ligne mais sont en cours d'utilisation. SentinelOne bloque probablement l'agent Factorial IT. Ajoutez les exclusions de chemin ci-dessus.
• macOS continue de demander des approbations à l'employé. Le profil système est manquant. Sur votre propre instance, téléchargez-le en tant que Fichier personnalisé dans votre contrôle macOS.
• Les statuts de protection ont cessé de se mettre à jour. Le jeton utilisateur de service a probablement expiré. Créez un nouvel utilisateur de service et demandez à notre équipe de remplacer le jeton.
• Les points de terminaison n'ont pas été déplacés après une migration. Vérifiez que le jeton appartient à un site sur la console de destination. Un jeton de la console source échoue sans avertissement.

FAQ

1. La désactivation du contrôle supprime-t-elle l'agent ?
   Non. Cela arrête l'application sur les nouveaux appareils, mais l'agent reste là où il est déjà installé.
    
2. Un employé peut-il désinstaller l'agent ?
   Non. L'exécution du désinstalleur vous envoie seulement une demande à approuver ou rejeter.
    
3. Puis-je changer le jeton utilisateur de service moi-même ?
   Non. L'intégration n'a pas de champ pour cela. Demandez à notre équipe de le remplacer.
    
4. Ai-je besoin de groupes d'appareils séparés pour les appareils Intel et Arm ?
   Non. Chaque carte ne s'applique qu'aux appareils de sa propre plateforme et architecture.