Collega la tua istanza di SentinelOne a Factorial IT e l'agente di SentinelOne viene distribuito automaticamente su dispositivi macOS, Windows e Linux. Questa guida copre anche esclusioni, aggiornamenti dell'agente, disinstallazione, rinnovo del token e spostamento su un'altra console di SentinelOne.

Caratteristica/Funzionalità

Panoramica

Tipo di distribuzione: automatica. Non appena l'integrazione è collegata e il controllo è attivato, l'agente viene inviato tramite MDM a ogni dispositivo target. Nessuno installa nulla manualmente e i dipendenti non devono fare nulla.

Requisiti

• Factorial IT MDM
• Una licenza di SentinelOne, acquistata tramite Factorial IT o una che già possiedi

Hai bisogno di un'istanza di SentinelOne? Contattaci o invia un'email a support@factorial.it.

Quale configurazione si applica a te

Da dove proviene la tua istanza di SentinelOne cambia tre cose. Trova il tuo caso prima di iniziare.

Collega la tua istanza di SentinelOne

Fino a quando l'integrazione non è collegata, le schede EDR - SentinelOne sono disabilitate nel catalogo di controllo. Quindi inizia con la connessione.

Istanza fornita da Factorial IT

La colleghiamo per te. Mentre lo facciamo, SentinelOne mostra In fase di configurazione nella sezione Integrazioni di MDM > Impostazioni.

Tua propria istanza

1. Vai su MDM > Impostazioni. In Integrazioni, fai clic su Aggiungi integrazione, quindi Collega sulla scheda di SentinelOne.
2. La finestra Collega SentinelOne richiede tre valori:

• URL di SentinelOne: https://xxxxxxxxx.sentinelone.net
• ID sito: in SentinelOne, vai su Politica & Impostazioni > Siti, fai clic sul sito da collegare e copia il suo ID sito.
• Token utente servizio: in SentinelOne, vai su Politica & Impostazioni > Utenti servizio > Nuovo utente servizio, limita l'utente al tuo sito, assegnagli il ruolo di Admin e copia il token. SentinelOne mostra il token solo una volta, quando viene creato, quindi copialo prima di chiudere quella finestra di dialogo.

3. Fai clic su Collega. Saprai che ha funzionato quando:

• SentinelOne appare nel menu principale di Factorial IT come un collegamento diretto alla tua console.
• Le schede EDR - SentinelOne possono essere selezionate nel catalogo di controllo.

Come usare: distribuisci SentinelOne alla tua flotta

La distribuzione avviene tramite i controlli MDM.

1. Vai su MDM > Controlli > Aggiungi nuovo controllo e scegli la piattaforma.
2. Attiva la scheda che corrisponde ai tuoi dispositivi. Ogni scheda copre una piattaforma e un'architettura:

3. Imposta il targeting: tutti i dispositivi, gruppi di dispositivi specifici o un target personalizzato. Non hai bisogno di un gruppo di dispositivi per architettura. Una scheda si applica solo ai dispositivi della propria piattaforma e architettura, quindi gruppi misti funzionano bene.
4. Conferma. L'agente si installa automaticamente su ogni dispositivo coperto dal controllo.

Profilo di sistema macOS

Su macOS, l'agente ha bisogno di un profilo di sistema che conceda l'estensione di sistema, Accesso completo al disco, notifiche e il filtro di rete. Senza il profilo, l'agente si installa ma rimane parzialmente inattivo e macOS chiede al dipendente di approvare le operazioni.

• Istanza fornita da Factorial IT: nulla da fare. Il controllo invia il profilo insieme all'agente, quindi non c'è un .mobileconfig da costruire o caricare.
• Tua propria istanza (BYO): fornisci tu il profilo. Costruiscilo dai payload che SentinelOne pubblica per la tua versione dell'agente, quindi apri il tuo controllo macOS in MDM > Controlli e caricalo come un File personalizzato. Funziona allo stesso modo di CrowdStrike Falcon.

Escludi l'agente di Factorial IT da SentinelOne

SentinelOne può bloccare, rallentare o mettere in quarantena l'agente di Factorial IT. Quando ciò accade, i dispositivi appaiono come Agente mancante o offline in Factorial IT, anche se le persone li stanno utilizzando (vedi Risolvi problemi di iscrizione).

Su istanze fornite da Factorial IT, queste esclusioni sono già impostate nella politica di SentinelOne. Hai bisogno di questa sezione solo con la tua istanza (BYO), dove le aggiungi per macOS e Windows.

Nella tua console di SentinelOne, aggiungi i percorsi qui sotto come esclusioni di Percorso. Limitati al sito collegato a Factorial IT, attiva Includi sottocartelle e imposta la modalità su Interoperabilità.

Gli agenti Linux si trovano sotto gli stessi percorsi /opt/orbit di macOS.

Aggiorna l'agente

Factorial IT distribuisce l'agente ma non ha impostazioni per la sua versione. Le versioni degli agenti sono gestite nella console di SentinelOne, con una politica di aggiornamento per ogni piattaforma.

1. Apri le politiche di aggiornamento. Nella console di SentinelOne, imposta il campo sul sito collegato a Factorial IT. Nella barra laterale, sotto Configura, fai clic su Gestione agenti e apri la scheda Politica di aggiornamento.
2. Scegli la piattaforma. Seleziona Windows, macOS o Linux. Ripeti i passaggi successivi per ogni piattaforma su cui distribuisci.
3. Crea la politica. Se Inherit Upgrade Policy è attivato, disattivalo prima; altrimenti il sito mantiene la politica ereditata e la tua viene ignorata. Quindi fai clic su Nuova politica di aggiornamento e scegli la versione target dell'agente.
4. Controlla il risultato. In Gestione agenti > Endpoint, ogni agente mostra la versione target una volta completato l'aggiornamento.

La politica rimane sulla versione scelta e non segue le nuove uscite. Quando SentinelOne pubblica una nuova versione, modifica la politica e cambia la versione target.

I dispositivi che si iscrivono successivamente ricevono il pacchetto che Factorial IT ha caricato quando hai attivato per la prima volta il controllo, che era l'ultima versione generalmente disponibile a quel punto. Se quel pacchetto non riesce a installarsi su una nuova versione del sistema operativo, contatta il nostro team.

Il nostro team può anche impostare la politica per te: invia un'email a support@factorial.it.

Modifica o rimuovi il controllo

Disattiva la scheda nelle impostazioni di controllo. Questo ferma l'applicazione sui nuovi dispositivi, ma l'agente rimane sui dispositivi su cui è già in esecuzione.

Disinstalla l'agente da un dispositivo

Il blocco anti-manomissione impedisce qualsiasi rimozione non approvata dalla console. Se un dipendente esegue il disinstallatore, tutto ciò che fa è inviarti una richiesta di disinstallazione da approvare o rifiutare.

1. Ottieni la passphrase. Nella console di SentinelOne, vai su Gestione agenti > Endpoint, apri l'endpoint e fai clic su Azioni > Azioni agente > Mostra passphrase.
2. Disinstalla l'agente. O dalla console (Azioni > Disinstalla) o dalla riga di comando con diritti di amministratore locale:

macOS:

1. sudo sentinelctl unprotect --passphrase "passphrase"
   sudo sentinelctl uninstall --local

Linux: eseguilo come root, perché sudo da solo non è sufficiente. Lascia fuori --unquarantine e i file messi in quarantena vengono eliminati anziché ripristinati.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "passphrase" --unquarantine

Windows: usa il pacchetto scaricato dalla console, non quello in Program Files. Riavvia il dispositivo dopo.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="passphrase"

Nessuna passphrase? Per un agente che non si è mai collegato a una console, usa una stringa vuota. Per un agente rimasto da una console che è stata chiusa, ottieni la passphrase da quella console se riesci ancora ad accedere. Se no, su macOS avvia il dispositivo in modalità di recupero e segui la procedura di disinstallazione di SentinelOne da lì. Su Windows e Linux, chiedi invece al Supporto di SentinelOne invece di utilizzare uno script di un forum.

Rinnova il Token Utente Servizio

I token utente servizio di SentinelOne scadono; la loro durata è scelta quando l'utente servizio viene creato. Quando il token scade, l'integrazione smette di sincronizzarsi e gli stati di protezione in Factorial IT diventano obsoleti.

Crea un nuovo utente servizio in Politica & Impostazioni > Utenti servizio, quindi chiedi al nostro team di sostituire il token in Factorial IT. L'integrazione SentinelOne collegata in MDM > Impostazioni non ha campi per modificarlo.

Migra a un'altra console di SentinelOne

Per spostare gli endpoint da una console di SentinelOne a un'altra, prima aggiorna gli script di installazione, quindi migra gli endpoint.

Un endpoint può muoversi solo se è online, non ha minacce aperte e non è in fase di scansione completa del disco. Gli endpoint offline aspettano fino a quando non controllano di nuovo. Hai bisogno di autorizzazioni a livello globale o di account sulla console di origine. Se un partner fornisce la console, quel livello potrebbe appartenere al partner piuttosto che a te.

Prepara prima il sito di destinazione. Le politiche di SentinelOne non possono essere esportate, quindi le ricostruisci lì. Per una migrazione completa del tenant, il Supporto di SentinelOne può copiare la configurazione per te.

1. Aggiorna gli script di installazione in Fleet.
   1. Apri la tua istanza di Fleet.
   2. Apri la scheda Software e cerca Sentinel (SentinelOne, Agente Sentinel e simili).
   3. Per ogni pacchetto, fai clic su Modifica, apri Mostra opzioni avanzate e sostituisci il vecchio token del sito con il nuovo nello script di installazione.
2. Migra gli endpoint esistenti. Nella tua console di SentinelOne, seleziona gli endpoint, vai su Azioni > Azioni endpoint > Migra endpoint, inserisci il nuovo token del sito e conferma.

Il token deve provenire da un sito sulla console di destinazione. Un token dalla console di origine fallisce senza alcun errore e gli endpoint rimangono dove erano.

La migrazione non causa danni: se un agente non riesce a raggiungere la nuova console entro pochi minuti, rimane registrato su quella vecchia.

1. Conferma, quindi riordina la console di origine. Segui il progresso con il filtro Stato migrazione console sotto Ulteriori filtri: N/A, In attesa o Migrato. Il registro delle attività della console di origine registra anche l'URL di destinazione di ogni agente che si è spostato.

Gli endpoint migrati rimangono nella console di origine, disabilitati, e non scompaiono da soli. Disattivali una volta che la console di destinazione li mostra come attivi, oppure accorcia la finestra di disattivazione in modo che gli agenti offline vengano cancellati automaticamente. Fino ad allora, gli stessi dispositivi contano su entrambe le console, quindi concorda questo con il tuo fornitore prima di iniziare.

1. Aggiorna l'integrazione di Factorial IT. Chiedi al nostro team di cambiare l'ID sito, l'URL e il token utente servizio dell'integrazione nella nuova console. L'integrazione SentinelOne collegata in MDM > Impostazioni non ha campi per modificarli.

Piattaforme non supportate

Se la tua piattaforma non è nelle tabelle sopra, puoi comunque installare SentinelOne manualmente: scarica l'installatore dalla console di SentinelOne e distribuiscilo come software personalizzato.

Risoluzione dei problemi e FAQ

Risoluzione dei problemi

• Le schede EDR - SentinelOne sono disabilitate. L'integrazione non è ancora collegata. Collegala in MDM > Impostazioni, o aspetta il nostro team se forniamo l'istanza.
• I dispositivi appaiono come Agente mancante o offline ma sono in uso. SentinelOne sta probabilmente bloccando l'agente di Factorial IT. Aggiungi le esclusioni di percorso sopra.
• macOS continua a chiedere approvazioni al dipendente. Il profilo di sistema è mancante. Nella tua istanza, caricalo come un File personalizzato nel tuo controllo macOS.
• Gli stati di protezione hanno smesso di aggiornarsi. Il Token Utente Servizio è probabilmente scaduto. Crea un nuovo utente servizio e chiedi al nostro team di sostituire il token.
• Gli agenti non si aggiornano. Controlla che Inherit Upgrade Policy sia disattivato per il sito e la piattaforma. Altrimenti, si applica la politica ereditata invece della tua.
• Un dispositivo appena iscritto non riesce a installare l'agente dopo un aggiornamento del sistema operativo. I nuovi dispositivi ricevono il pacchetto caricato quando il controllo è stato attivato per la prima volta. Contatta il nostro team.
• Gli endpoint non si sono spostati dopo una migrazione. Controlla che il token appartenga a un sito sulla console di destinazione. Un token della console di origine fallisce senza preavviso.

FAQ

1. Disattivare il controllo rimuove l'agente?
   No. Ferma l'applicazione sui nuovi dispositivi, ma l'agente rimane dove è già installato.
    
2. Un dipendente può disinstallare l'agente?
   No. Eseguire il disinstallatore invia solo una richiesta da approvare o rifiutare.
    
3. Posso scegliere la versione dell'agente da Factorial IT?
   No. Imposta una politica di aggiornamento per piattaforma nella console di SentinelOne, o chiedi al nostro team di farlo per te.
    
4. Posso cambiare il Token Utente Servizio da solo?
   No. L'integrazione non ha un campo per questo. Chiedi al nostro team di sostituirlo.
    
5. Ho bisogno di gruppi di dispositivi separati per dispositivi Intel e Arm?
   No. Ogni scheda si applica solo ai dispositivi della propria piattaforma e architettura.