Conecte sua instância do SentinelOne ao Factorial IT e o agente do SentinelOne é implantado automaticamente em dispositivos macOS, Windows e Linux. Este guia também cobre exclusões, atualizações de agentes, desinstalação, renovação de token e mudança para outro console do SentinelOne.

Funcionalidade

Visão geral

Tipo de implantação: automática. Assim que a integração estiver conectada e o controle ativado, o agente é enviado através do MDM para cada dispositivo alvo. Ninguém instala nada manualmente, e os colaboradores não precisam fazer nada.

Pré-requisitos

• Factorial IT MDM
• Uma licença do SentinelOne, adquirida através do Factorial IT ou uma que você já possui

Precisa de uma instância do SentinelOne? Entre em contato conosco ou envie um e-mail para support@factorial.it.

Qual configuração se aplica a você

De onde vem sua instância do SentinelOne muda três coisas. Encontre seu caso antes de começar.

Conecte sua instância do SentinelOne

Até que a integração esteja conectada, os cartões EDR - SentinelOne estão desativados no catálogo de controle. Então comece com a conexão.

Instância fornecida pelo Factorial IT

Nós a conectamos para você. Enquanto fazemos isso, SentinelOne mostra Está sendo configurado na seção Integrações de MDM > Configurações.

Sua própria instância

1. Vá para MDM > Configurações. Em Integrações, clique em Adicionar integração, depois Conectar no cartão SentinelOne.
2. A janela Conectar SentinelOne pede três valores:

• URL do SentinelOne: https://xxxxxxxxx.sentinelone.net
• ID do Site: no SentinelOne, vá para Política & Configurações > Sites, clique no site para conectar e copie seu ID do Site.
• Token do Usuário de Serviço: no SentinelOne, vá para Política & Configurações > Usuários de Serviço > Novo Usuário de Serviço, limite o usuário ao seu site, dê a ele o papel de Admin e copie o token. O SentinelOne mostra o token apenas uma vez, quando é criado, então copie-o antes de fechar esse diálogo.

3. Clique em Conectar. Você sabe que funcionou quando:

• SentinelOne aparece no menu principal do Factorial IT como um link direto para seu console.
• Os cartões EDR - SentinelOne podem ser selecionados no catálogo de controle.

Como usar: implantar SentinelOne na sua frota

A implantação passa pelos controles do seu MDM.

1. Vá para MDM > Controles > Adicionar novo controle e escolha a plataforma.
2. Ative o cartão que corresponde aos seus dispositivos. Cada cartão cobre uma plataforma e uma arquitetura:

3. Defina o direcionamento: todos os dispositivos, grupos específicos de dispositivos ou um alvo personalizado. Você não precisa de um grupo de dispositivos por arquitetura. Um cartão se aplica apenas a dispositivos de sua própria plataforma e arquitetura, então grupos mistos funcionam bem.
4. Confirme. O agente é instalado automaticamente em cada dispositivo que o controle cobre.

Perfil do sistema macOS

No macOS, o agente precisa de um perfil de sistema que conceda a extensão do sistema, Acesso Total ao Disco, notificações e o filtro de rede. Sem o perfil, o agente é instalado, mas permanece parcialmente inativo, e o macOS pede ao colaborador que aprove as ações.

• Instância fornecida pelo Factorial IT: nada a fazer. O controle envia o perfil junto com o agente, então não há .mobileconfig para construir ou carregar.
• Sua própria instância (BYO): você fornece o perfil. Construa-o a partir dos payloads que o SentinelOne publica para sua versão do agente, depois abra seu controle macOS em MDM > Controles e carregue-o como um Arquivo Personalizado. Funciona da mesma forma que para o CrowdStrike Falcon.

Excluir o agente Factorial IT do SentinelOne

O SentinelOne pode bloquear, desacelerar ou colocar em quarentena o agente Factorial IT. Quando isso acontece, os dispositivos aparecem como Agente ausente ou offline no Factorial IT, mesmo que as pessoas estejam usando-os (veja Resolver problemas de inscrição).

Em instâncias fornecidas pelo Factorial IT, essas exclusões já estão na política do SentinelOne. Você só precisa desta seção com sua própria instância (BYO), onde você as adiciona para macOS e Windows.

No seu console do SentinelOne, adicione os caminhos abaixo como exclusões de Caminho. Escopo-os para o site conectado ao Factorial IT, ative Incluir subpastas e defina o modo como Interoperabilidade.

Agentes Linux estão sob os mesmos caminhos /opt/orbit que o macOS.

Atualizar o agente

Factorial IT implanta o agente, mas não tem configuração para sua versão. As versões do agente são gerenciadas no console do SentinelOne, com uma política de atualização para cada plataforma.

1. Abra as políticas de atualização. No console do SentinelOne, defina o escopo para o site conectado ao Factorial IT. Na barra lateral, sob Configurar, clique em Gerenciamento de Agentes e abra a aba Política de Atualização.
2. Escolha a plataforma. Selecione Windows, macOS ou Linux. Repita os próximos passos para cada plataforma que você implanta.
3. Crie a política. Se Herdar Política de Atualização estiver ativado, desative-o primeiro; caso contrário, o site mantém a política herdada e a sua é ignorada. Em seguida, clique em Nova Política de Atualização e escolha a versão do agente alvo.
4. Verifique o resultado. Em Gerenciamento de Agentes > Endpoints, cada agente mostra a versão alvo assim que sua atualização é concluída.

A política permanece na versão que você escolheu e não segue novas liberações. Quando o SentinelOne publica uma nova versão, edite a política e altere a versão alvo.

Dispositivos que se inscrevem depois recebem o pacote que o Factorial IT carregou quando você ativou o controle pela primeira vez, que era a versão mais recente disponível na época. Se esse pacote falhar ao instalar em uma nova versão do SO, entre em contato com nossa equipe.

Nossa equipe também pode configurar a política para você: envie um e-mail para support@factorial.it.

Modificar ou remover o controle

Desative o cartão nas configurações de controle. Isso interrompe a aplicação em novos dispositivos, mas o agente permanece nos dispositivos onde já está em execução.

Desinstalar o agente de um dispositivo

A anti-tampering bloqueia qualquer remoção não aprovada pelo console. Se um colaborador executar o desinstalador, tudo o que ele faz é enviar uma solicitação de desinstalação para você aprovar ou rejeitar.

1. Obtenha a frase secreta. No console do SentinelOne, vá para Gerenciamento de Agentes > Endpoints, abra o endpoint e clique em Ações > Ações do Agente > Mostrar Frase Secreta.
2. Desinstale o agente. Seja pelo console (Ações > Desinstalar) ou pela linha de comando com direitos de administrador local:

macOS:

1. sudo sentinelctl unprotect --passphrase "frasesecreta"
   sudo sentinelctl uninstall --local

Linux: execute como root, pois sudo por si só não é suficiente. Deixe de fora --unquarantine e arquivos em quarentena são excluídos em vez de restaurados.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "frasesecreta" --unquarantine

Windows: use o pacote baixado do console, não o que está em Program Files. Reinicie o dispositivo depois.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="frasesecreta"

Sem frase secreta? Para um agente que nunca se conectou a um console, use uma string vazia. Para um agente que sobrou de um console que foi desligado, obtenha a frase secreta daquele console se você ainda puder fazer login. Se não, no macOS inicie o dispositivo em Modo de Recuperação e siga o procedimento de desinstalação do SentinelOne a partir daí. No Windows e Linux, peça ajuda ao Suporte do SentinelOne em vez de usar um script de um fórum.

Renovar o Token do Usuário de Serviço

Os tokens de usuário de serviço do SentinelOne expiram; sua duração é escolhida quando o usuário de serviço é criado. Quando o token expira, a integração para de sincronizar e os status de proteção no Factorial IT ficam desatualizados.

Crie um novo usuário de serviço em Política & Configurações > Usuários de Serviço, então peça à nossa equipe para trocar o token no Factorial IT. A integração conectada do SentinelOne em MDM > Configurações não possui campo para editá-lo.

Migrar para outro console do SentinelOne

Para mover endpoints de um console do SentinelOne para outro, primeiro atualize os scripts de instalação, depois migre os endpoints.

Um endpoint só pode ser movido se estiver online, não tiver ameaças abertas e não estiver no meio de uma varredura completa do disco. Endpoints offline aguardam até que se conectem novamente. Você precisa de permissões de nível Global ou de Conta no console de origem. Se um parceiro fornecer o console, esse nível pode pertencer ao parceiro em vez de a você.

Prepare primeiro o site de destino. As políticas do SentinelOne não podem ser exportadas, então você as recria lá. Para uma migração completa de inquilinos, o Suporte do SentinelOne pode copiar a configuração para você.

1. Atualize os scripts de instalação no Fleet.
   1. Abra sua instância do Fleet.
   2. Abra a aba Software e pesquise por Sentinel (SentinelOne, Agente Sentinel e similares).
   3. Para cada pacote, clique em Editar, abra Mostrar opções avançadas e troque o token do site antigo pelo novo no script de instalação.
2. Migre os endpoints existentes. No seu console do SentinelOne, selecione os endpoints, vá para Ações > Ações de Endpoint > Migrar endpoints, insira o novo token do site e confirme.

O token deve vir de um site no console de destino. Um token do console de origem falha sem qualquer erro, e os endpoints permanecem onde estavam.

A migração não causa danos: se um agente não conseguir alcançar o novo console em alguns minutos, ele permanece registrado no antigo.

1. Confirme, então organize o console de origem. Acompanhe o progresso com o filtro Status da Migração do Console em Mais filtros: N/A, Pendente ou Migrado. O log de atividades do console de origem também registra a URL de destino de cada agente que se moveu.

Endpoints migrados permanecem no console de origem, desativados, e não desaparecem sozinhos. Desative-os assim que o console de destino os mostrar como ativos, ou reduza a janela de desativação para que agentes offline sejam limpos automaticamente. Até lá, os mesmos dispositivos contam em ambos os consoles, então concorde com seu fornecedor antes de começar.

1. Atualize a integração do Factorial IT. Peça à nossa equipe para alterar o ID do Site, URL e Token do Usuário de Serviço da integração para o novo console. A integração conectada do SentinelOne em MDM > Configurações não possui campos para editá-los.

Plataformas não suportadas

Se sua plataforma não estiver nas tabelas acima, você ainda pode instalar o SentinelOne manualmente: baixe o instalador do console do SentinelOne e implante-o como software personalizado.

Solução de Problemas e FAQ

Solução de Problemas

• Os cartões EDR - SentinelOne estão desativados. A integração ainda não está conectada. Conecte-a em MDM > Configurações, ou aguarde nossa equipe se fornecermos a instância.
• Dispositivos aparecem como Agente ausente ou offline, mas estão em uso. O SentinelOne provavelmente está bloqueando o agente Factorial IT. Adicione as exclusões de caminho acima.
• O macOS continua pedindo aprovações ao colaborador. O perfil do sistema está ausente. Na sua própria instância, carregue-o como um Arquivo Personalizado no seu controle macOS.
• Os status de proteção pararam de atualizar. O Token do Usuário de Serviço provavelmente expirou. Crie um novo usuário de serviço e peça à nossa equipe para substituir o token.
• Os agentes não estão atualizando. Verifique se Herdar Política de Atualização está desativado para o site e plataforma. Caso contrário, a política herdada se aplica em vez da sua.
• Um dispositivo recém-inscrito falha ao instalar o agente após uma atualização do SO. Novos dispositivos recebem o pacote carregado quando o controle foi ativado pela primeira vez. Entre em contato com nossa equipe.
• Endpoints não se moveram após uma migração. Verifique se o token pertence a um site no console de destino. Um token do console de origem falha sem aviso.

FAQ

1. Desligar o controle remove o agente?
   Não. Isso interrompe a aplicação em novos dispositivos, mas o agente permanece onde já está instalado.
    
2. Um colaborador pode desinstalar o agente?
   Não. Executar o desinstalador apenas envia uma solicitação para você aprovar ou rejeitar.
    
3. Posso escolher a versão do agente do Factorial IT?
   Não. Defina uma política de atualização por plataforma no console do SentinelOne, ou peça à nossa equipe para fazer isso por você.
    
4. Posso mudar o Token do Usuário de Serviço eu mesmo?
   Não. A integração não possui campo para isso. Peça à nossa equipe para substituí-lo.
    
5. Preciso de grupos de dispositivos separados para dispositivos Intel e Arm?
   Não. Cada cartão se aplica apenas a dispositivos de sua própria plataforma e arquitetura.