Conecte sua instância do SentinelOne ao Factorial IT e o agente do SentinelOne será implantado automaticamente em dispositivos macOS, Windows e Linux. Este guia também cobre exclusões, desinstalação, renovação de token e migração para outro console do SentinelOne.

Funcionalidade

Visão Geral

Tipo de implantação: automática. Assim que a integração estiver conectada e o controle ativado, o agente é enviado através do MDM para cada dispositivo alvo. Ninguém instala nada manualmente, e os funcionários não precisam fazer nada.

Pré-requisitos

• Factorial IT MDM
• Uma licença do SentinelOne, comprada através do Factorial IT ou uma que você já possui

Precisa de uma instância do SentinelOne? Entre em contato conosco ou envie um e-mail para support@factorial.it.

Qual configuração se aplica a você

De onde vem sua instância do SentinelOne muda três coisas. Encontre seu caso antes de começar.

Conecte sua instância do SentinelOne

Até que a integração esteja conectada, os cartões EDR - SentinelOne estão desativados no catálogo de controle. Então comece com a conexão.

Instância fornecida pelo Factorial IT

Nós a conectamos para você. Enquanto fazemos isso, SentinelOne mostra Está sendo configurado na seção Integrações de MDM > Configurações.

Sua própria instância

1. Vá para MDM > Configurações. Em Integrações, clique em Adicionar integração, depois em Conectar no cartão do SentinelOne.
2. A janela Conectar SentinelOne pede três valores:

• URL do SentinelOne: https://xxxxxxxxx.sentinelone.net
• ID do Site: no SentinelOne, vá para Política & Configurações > Sites, clique no site para conectar e copie seu ID do Site.
• Token do Usuário do Serviço: no SentinelOne, vá para Política & Configurações > Usuários do Serviço > Novo Usuário do Serviço, limite o usuário ao seu site, dê a ele o papel de Admin e copie o token. O SentinelOne mostra o token apenas uma vez, quando é criado, então copie-o antes de fechar esse diálogo.

3. Clique em Conectar. Você sabe que funcionou quando:

• SentinelOne aparece no menu principal do Factorial IT como um link direto para seu console.
• Os cartões EDR - SentinelOne podem ser selecionados no catálogo de controle.

Como usar: implantar o SentinelOne na sua frota

A implantação passa pelos seus controles de MDM.

1. Vá para MDM > Controles > Adicionar novo controle e escolha a plataforma.
2. Ative o cartão que corresponde aos seus dispositivos. Cada cartão cobre uma plataforma e uma arquitetura:

3. Defina o direcionamento: todos os dispositivos, grupos de dispositivos específicos ou um alvo personalizado. Você não precisa de um grupo de dispositivos por arquitetura. Um cartão só se aplica a dispositivos de sua própria plataforma e arquitetura, então grupos mistos funcionam bem.
4. Confirme. O agente é instalado automaticamente em cada dispositivo que o controle cobre.

Perfil do sistema macOS

No macOS, o agente precisa de um perfil do sistema que conceda a extensão do sistema, Acesso Completo ao Disco, notificações e o filtro de rede. Sem o perfil, o agente é instalado, mas permanece parcialmente inativo, e o macOS pede ao funcionário que aprove as ações.

• Instância fornecida pelo Factorial IT: nada a fazer. O controle envia o perfil junto com o agente, então não há .mobileconfig para construir ou fazer upload.
• Sua própria instância (BYO): você fornece o perfil. Construa-o a partir dos payloads que o SentinelOne publica para sua versão do agente, depois abra seu controle macOS em MDM > Controles e faça o upload como um Arquivo personalizado. Funciona da mesma forma que para o CrowdStrike Falcon.

Excluir o agente do Factorial IT do SentinelOne

O SentinelOne pode bloquear, desacelerar ou colocar em quarentena o agente do Factorial IT. Quando isso acontece, os dispositivos aparecem como Agente ausente ou offline no Factorial IT, mesmo que as pessoas estejam usando-os (veja Resolver problemas de inscrição).

Nas instâncias fornecidas pelo Factorial IT, essas exclusões já estão na política do SentinelOne. Você só precisa desta seção com sua própria instância (BYO), onde você as adiciona para macOS e Windows.

No seu console do SentinelOne, adicione os caminhos abaixo como exclusões de Caminho. Escopo-os para o site conectado ao Factorial IT, ative Incluir subpastas e defina o modo para Interoperabilidade.

Agentes Linux estão sob os mesmos caminhos /opt/orbit que o macOS.

Modificar ou remover o controle

Desative o cartão nas configurações de controle. Isso interrompe a aplicação em novos dispositivos, mas o agente permanece nos dispositivos onde já está em execução.

Desinstalar o agente de um dispositivo

A proteção contra manipulação bloqueia qualquer remoção não aprovada a partir do console. Se um funcionário executar o desinstalador, tudo o que acontece é que lhe envia uma solicitação de desinstalação para aprovar ou rejeitar.

1. Obtenha a frase secreta. No console do SentinelOne, vá para Gerenciamento de Agentes > Endpoints, abra o endpoint e clique em Ações > Ações do Agente > Mostrar Frase Secreta.
2. Desinstale o agente. Seja a partir do console (Ações > Desinstalar) ou a partir da linha de comando com direitos de administrador local:

macOS:

1. sudo sentinelctl unprotect --passphrase "frase_secreta"
   sudo sentinelctl uninstall --local

Linux: execute como root, porque sudo por si só não é suficiente. Deixe de fora --unquarantine e arquivos em quarentena serão excluídos em vez de restaurados.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "frase_secreta" --unquarantine

Windows: use o pacote baixado do console, não o que está em Program Files. Reinicie o dispositivo depois.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="frase_secreta"

Sem frase secreta? Para um agente que nunca se conectou a um console, use uma string vazia. Para um agente que sobrou de um console que foi desligado, obtenha a frase secreta daquele console se você ainda puder fazer login. Se não, no macOS inicie o dispositivo em Modo de Recuperação e siga o procedimento de desinstalação do SentinelOne a partir daí. No Windows e Linux, peça suporte ao SentinelOne em vez de usar um script de um fórum.

Renovar o Token do Usuário do Serviço

Os tokens de usuário do serviço do SentinelOne expiram; sua duração é escolhida quando o usuário do serviço é criado. Quando o token se esgota, a integração para de sincronizar e os status de proteção no Factorial IT ficam desatualizados.

Crie um novo usuário do serviço em Política & Configurações > Usuários do Serviço, então peça à nossa equipe para trocar o token no Factorial IT. A integração conectada do SentinelOne em MDM > Configurações não tem campo para editá-lo.

Migrar para outro console do SentinelOne

Para mover endpoints de um console do SentinelOne para outro, primeiro atualize os scripts de instalação, depois migre os endpoints.

Um endpoint só pode ser movido se estiver online, não tiver ameaças abertas e não estiver no meio de uma verificação de disco completo. Endpoints offline aguardam até que verifiquem novamente. Você precisa de permissões de nível Global ou de Conta no console de origem. Se um parceiro fornece o console, esse nível pode pertencer ao parceiro em vez de a você.

Prepare primeiro o site de destino. Políticas do SentinelOne não podem ser exportadas, então você as reconstrói lá. Para uma migração completa de inquilinos, o suporte do SentinelOne pode copiar a configuração para você.

1. Atualize os scripts de instalação no Fleet.
   1. Abra sua instância do Fleet.
   2. Abra a aba Software e procure por Sentinel (SentinelOne, Agente Sentinel e similares).
   3. Para cada pacote, clique em Editar, abra Mostrar opções avançadas e troque o antigo token do site pelo novo no script de instalação.
2. Migre os endpoints existentes. No seu console do SentinelOne, selecione os endpoints, vá para Ações > Ações de Endpoint > Migrar endpoints, insira o novo token do site e confirme.

O token deve vir de um site no console de destino. Um token do console de origem falha sem qualquer erro, e os endpoints permanecem onde estavam.

A migração não causa danos: se um agente não conseguir alcançar o novo console dentro de alguns minutos, ele permanece registrado no antigo.

1. Confirme, então organize o console de origem. Acompanhe o progresso com o filtro Status de Migração do Console em Mais filtros: N/A, Pendente ou Migrado. O log de atividades do console de origem também registra a URL de destino de cada agente que se moveu.

Endpoints migrados permanecem no console de origem, desativados, e não desaparecem sozinhos. Desative-os uma vez que o console de destino os mostre como ativos, ou reduza a janela de desativação para que agentes offline sejam limpos automaticamente. Até lá, os mesmos dispositivos contam em ambos os consoles, então concorde com seu provedor antes de começar.

1. Atualize a integração do Factorial IT. Peça à nossa equipe para alterar o ID do Site, URL e Token do Usuário do Serviço da integração para o novo console. A integração conectada do SentinelOne em MDM > Configurações não possui campos para editá-los.

Plataformas não suportadas

Se sua plataforma não estiver nas tabelas acima, você ainda pode instalar o SentinelOne manualmente: baixe o instalador do console do SentinelOne e implante-o como software personalizado.

Resolução de Problemas e FAQ

Resolução de Problemas

• Os cartões EDR - SentinelOne estão desativados. A integração ainda não está conectada. Conecte-a em MDM > Configurações, ou aguarde nossa equipe se nós fornecermos a instância.
• Dispositivos aparecem como Agente ausente ou offline, mas estão em uso. O SentinelOne provavelmente está bloqueando o agente do Factorial IT. Adicione as exclusões de caminho acima.
• macOS continua pedindo aprovações ao funcionário. O perfil do sistema está ausente. Em sua própria instância, faça o upload como um Arquivo Personalizado em seu controle macOS.
• Status de proteção pararam de atualizar. O Token do Usuário do Serviço provavelmente expirou. Crie um novo usuário do serviço e peça à nossa equipe para substituir o token.
• Endpoints não se moveram após uma migração. Verifique se o token pertence a um site no console de destino. Um token do console de origem falha sem aviso.

FAQ

1. Desligar o controle remove o agente?
   Não. Isso interrompe a aplicação em novos dispositivos, mas o agente permanece onde já está instalado.
    
2. Um funcionário pode desinstalar o agente?
   Não. Executar o desinstalador apenas envia uma solicitação para você aprovar ou rejeitar.
    
3. Posso mudar o Token do Usuário do Serviço eu mesmo?
   Não. A integração não tem campo para isso. Peça à nossa equipe para substituí-lo.
    
4. Preciso de grupos de dispositivos separados para dispositivos Intel e Arm?
   Não. Cada cartão se aplica apenas a dispositivos de sua própria plataforma e arquitetura.