Conecte sua instância do SentinelOne ao Factorial IT e o agente do SentinelOne será implantado automaticamente em dispositivos macOS, Windows e Linux. Este guia também cobre exclusões, atualizações de agentes, desinstalação, renovação de token e mudança para outro console do SentinelOne.

Funcionalidade

Visão Geral

Tipo de implantação: automática. Assim que a integração estiver conectada e o controle ativado, o agente é enviado através do MDM para cada dispositivo alvo. Ninguém instala nada manualmente, e os colaboradores não precisam fazer nada.

Pré-requisitos

• Factorial IT MDM
• Uma licença do SentinelOne, comprada através do Factorial IT ou uma que você já possui

Precisa de uma instância do SentinelOne? Entre em contato conosco ou envie um e-mail para support@factorial.it.

Qual configuração se aplica a você

De onde vem sua instância do SentinelOne muda três coisas. Encontre seu caso antes de começar.

Conecte sua instância do SentinelOne

Até que a integração esteja conectada, os cartões EDR - SentinelOne estão desativados no catálogo de controle. Portanto, comece pela conexão.

Instância fornecida pelo Factorial IT

Nós conectamos para você. Enquanto fazemos isso, SentinelOne mostra Configurando na seção Integrações de MDM > Configurações.

Sua própria instância

1. Vá para MDM > Configurações. Em Integrações, clique em Adicionar integração, em seguida, Conectar no cartão do SentinelOne.
2. A janela Conectar SentinelOne solicita três valores:

• URL do SentinelOne: https://xxxxxxxxx.sentinelone.net
• ID do Site: no SentinelOne, vá para Política & Configurações > Sites, clique no site para conectar e copie seu ID do Site.
• Token do Usuário do Serviço: no SentinelOne, vá para Política & Configurações > Usuários do Serviço > Novo Usuário do Serviço, limite o usuário ao seu site, atribua o papel de Admin e copie o token. O SentinelOne mostra o token apenas uma vez, quando é criado, então copie-o antes de fechar esse diálogo.

3. Clique em Conectar. Você sabe que funcionou quando:

• SentinelOne aparece no menu principal do Factorial IT como um link direto para seu console.
• Os cartões EDR - SentinelOne podem ser selecionados no catálogo de controle.

Como usar: implantar o SentinelOne na sua frota

A implantação passa pelos seus controles de MDM.

1. Vá para MDM > Controles > Adicionar novo controle e escolha a plataforma.
2. Ative o cartão que corresponde aos seus dispositivos. Cada cartão cobre uma plataforma e uma arquitetura:

3. Defina o direcionamento: todos os dispositivos, grupos de dispositivos específicos ou um alvo personalizado. Você não precisa de um grupo de dispositivos por arquitetura. Um cartão se aplica apenas a dispositivos de sua própria plataforma e arquitetura, então grupos mistos funcionam bem.
4. Confirme. O agente é instalado automaticamente em cada dispositivo que o controle cobre.

Perfil do sistema macOS

No macOS, o agente precisa de um perfil do sistema que concede a extensão do sistema, Acesso Completo ao Disco, notificações e o filtro de rede. Sem o perfil, o agente é instalado, mas permanece parcialmente inativo, e o macOS pede que o colaborador aprove as coisas.

• Instância fornecida pelo Factorial IT: nada a fazer. O controle envia o perfil junto com o agente, então não há .mobileconfig para construir ou carregar.
• Sua própria instância (BYO): você fornece o perfil. Construa-o a partir dos payloads que o SentinelOne publica para a versão do seu agente, então abra seu controle macOS em MDM > Controles e carregue-o como um Arquivo Personalizado. Funciona da mesma forma que para o CrowdStrike Falcon.

Excluir o agente Factorial IT do SentinelOne

O SentinelOne pode bloquear, desacelerar ou colocar em quarentena o agente do Factorial IT. Quando isso acontece, os dispositivos aparecem como Agente ausente ou offline no Factorial IT, mesmo que as pessoas estejam usando-os (veja Resolver problemas de inscrição).

Em instâncias fornecidas pelo Factorial IT, essas exclusões já estão na política do SentinelOne. Você só precisa desta seção com sua própria instância (BYO), onde você as adiciona para macOS e Windows.

No seu console do SentinelOne, adicione os caminhos abaixo como exclusões de Caminho. Delimite-os para o site conectado ao Factorial IT, ative Incluir subpastas e defina o modo para Interoperabilidade.

Os agentes Linux estão sob os mesmos caminhos /opt/orbit que o macOS.

Atualizar o agente

Factorial IT implanta o agente, mas não tem configuração para sua versão. As versões dos agentes são gerenciadas no console do SentinelOne, com uma política de atualização para cada plataforma.

1. Abra as políticas de atualização. No console do SentinelOne, defina o escopo para o site conectado ao Factorial IT. Na barra lateral, em Configurar, clique em Gerenciamento de Agentes e abra a aba Política de Atualização.
2. Escolha a plataforma. Selecione Windows, macOS ou Linux. Repita os próximos passos para cada plataforma que você implantar.
3. Crie a política. Se Herdar Política de Atualização estiver ativado, desative-o primeiro; caso contrário, o site mantém a política herdada e a sua é ignorada. Em seguida, clique em Nova Política de Atualização e escolha a versão do agente alvo.
4. Verifique o resultado. Em Gerenciamento de Agentes > Endpoints, cada agente mostra a versão alvo uma vez que sua atualização é concluída.

A política permanece na versão que você escolheu e não segue novos lançamentos. Quando o SentinelOne publica uma nova versão, edite a política e altere a versão alvo.

Dispositivos que se inscrevem mais tarde recebem o pacote que o Factorial IT carregou quando você ativou o controle pela primeira vez, que era a versão mais recente geralmente disponível naquele momento. Se esse pacote falhar ao instalar em um novo lançamento do SO, entre em contato com nossa equipe.

Nossa equipe também pode configurar a política para você: envie um e-mail para support@factorial.it.

Modificar ou remover o controle

Desative o cartão nas configurações de controle. Isso interrompe a aplicação em novos dispositivos, mas o agente permanece nos dispositivos onde já está em execução.

Desinstalar o agente de um dispositivo

A anti-tampering bloqueia qualquer remoção não aprovada pelo console. Se um colaborador executar o desinstalador, tudo o que ele faz é enviar uma solicitação de desinstalação para você aprovar ou rejeitar.

1. Obtenha a frase secreta. No console do SentinelOne, vá para Gerenciamento de Agentes > Endpoints, abra o endpoint e clique em Ações > Ações do Agente > Mostrar Frase Secreta.
2. Desinstale o agente. Seja pelo console (Ações > Desinstalar) ou pela linha de comando com direitos de administrador local:

macOS:

1. sudo sentinelctl unprotect --passphrase "passphrase"
   sudo sentinelctl uninstall --local

Linux: execute como root, porque sudo por si só não é suficiente. Deixe de fora --unquarantine e arquivos em quarentena são excluídos em vez de restaurados.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "passphrase" --unquarantine

Windows: use o pacote baixado do console, não o que está em Program Files. Reinicie o dispositivo depois.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="passphrase"

Sem frase secreta? Para um agente que nunca se conectou a um console, use uma string vazia. Para um agente que sobrou de um console que foi desligado, obtenha a frase secreta desse console se ainda puder fazer login. Se não, no macOS inicie o dispositivo no Modo de Recuperação e siga o procedimento de desinstalação do SentinelOne a partir daí. No Windows e Linux, peça suporte do SentinelOne em vez de usar um script de um fórum.

Renovar o Token do Usuário do Serviço

Os tokens de usuário do serviço do SentinelOne expiram; sua duração é escolhida quando o usuário do serviço é criado. Quando o token acaba, a integração para de sincronizar e os status de proteção no Factorial IT ficam desatualizados.

Crie um novo usuário do serviço em Política & Configurações > Usuários do Serviço, então peça à nossa equipe para trocar o token no Factorial IT. A integração conectada do SentinelOne em MDM > Configurações não tem campo para editá-lo.

Migrar para outro console do SentinelOne

Para mover endpoints de um console do SentinelOne para outro, primeiro atualize os scripts de instalação, depois migre os endpoints.

Um endpoint só pode ser movido se estiver online, não tiver ameaças abertas e não estiver no meio de uma verificação completa do disco. Endpoints offline aguardam até que se conectem novamente. Você precisa de permissões de nível Global ou de Conta no console de origem. Se um parceiro fornecer o console, esse nível pode pertencer ao parceiro em vez de a você.

Prepare primeiro o site de destino. As políticas do SentinelOne não podem ser exportadas, então você as reconstrói lá. Para uma migração completa do inquilino, o suporte do SentinelOne pode copiar a configuração para você.

1. Atualize os scripts de instalação na Fleet.
   1. Abra sua instância do Fleet.
   2. Abra a aba Software e procure por Sentinel (SentinelOne, Agente Sentinel e similares).
   3. Para cada pacote, clique em Editar, abra Mostrar opções avançadas e troque o token do site antigo pelo novo no script de instalação.
2. Migre os endpoints existentes. No seu console do SentinelOne, selecione os endpoints, vá para Ações > Ações de Endpoint > Migrar endpoints, insira o novo token do site e confirme.

O token deve vir de um site no console de destino. Um token do console de origem falha sem aviso, e os endpoints permanecem onde estavam.

A migração não causa danos: se um agente não conseguir alcançar o novo console dentro de alguns minutos, ele permanece registrado no antigo.

1. Confirme, então organize o console de origem. Acompanhe o progresso com o filtro Status da Migração do Console em Mais filtros: N/A, Pendente ou Migrado. O log de atividade do console de origem também registra a URL de destino de cada agente que se moveu.

Endpoints migrados permanecem no console de origem, desativados, e não desaparecem sozinhos. Desative-os uma vez que o console de destino os mostre como ativos, ou encurte a janela de desativação para que agentes offline sejam limpos automaticamente. Até lá, os mesmos dispositivos contam em ambos os consoles, então concorde com isso com seu provedor antes de começar.

1. Atualize a integração do Factorial IT. Peça à nossa equipe para alterar o ID do Site, URL e Token do Usuário do Serviço da integração para o novo console. A integração do SentinelOne conectada em MDM > Configurações não tem campos para editá-los.

Plataformas não suportadas

Se sua plataforma não está nas tabelas acima, você ainda pode instalar o SentinelOne manualmente: baixe o instalador do console do SentinelOne e implante-o como software personalizado.

Solução de Problemas e FAQ

Solução de Problemas

• Os cartões EDR - SentinelOne estão desativados. A integração ainda não está conectada. Conecte-a em MDM > Configurações, ou aguarde nossa equipe se fornecermos a instância.
• Dispositivos aparecem como Agente ausente ou offline, mas estão em uso. O SentinelOne provavelmente está bloqueando o agente do Factorial IT. Adicione as exclusões de caminho acima.
• macOS continua pedindo aprovações ao colaborador. O perfil do sistema está faltando. Em sua própria instância, carregue-o como um Arquivo Personalizado no seu controle macOS.
• Os status de proteção pararam de atualizar. O Token do Usuário do Serviço provavelmente expirou. Crie um novo usuário do serviço e peça à nossa equipe para substituir o token.
• Os agentes não estão atualizando. Verifique se Herdar Política de Atualização está desativado para o site e a plataforma. Caso contrário, a política herdada se aplica em vez da sua.
• Um dispositivo recém-inscrito falha ao instalar o agente após uma atualização do SO. Novos dispositivos recebem o pacote carregado quando o controle foi ativado pela primeira vez. Entre em contato com nossa equipe.
• Endpoints não se moveram após uma migração. Verifique se o token pertence a um site no console de destino. Um token do console de origem falha sem aviso.

FAQ

1. Desligar o controle remove o agente?
   Não. Isso interrompe a aplicação em novos dispositivos, mas o agente permanece onde já está instalado.
    
2. Um colaborador pode desinstalar o agente?
   Não. Executar o desinstalador apenas envia uma solicitação para você aprovar ou rejeitar.
    
3. Posso escolher a versão do agente do Factorial IT?
   Não. Defina uma política de atualização por plataforma no console do SentinelOne, ou peça à nossa equipe para fazer isso por você.
    
4. Posso mudar o Token do Usuário do Serviço eu mesmo?
   Não. A integração não tem campo para isso. Peça à nossa equipe para substituí-lo.
    
5. Preciso de grupos de dispositivos separados para dispositivos Intel e Arm?
   Não. Cada cartão se aplica apenas a dispositivos de sua própria plataforma e arquitetura.