SentinelOne
De collector uitsluiten in SentinelOne met een path-exclusie in de modus Suppress Alerts. Ook: wanneer je de andere modi gebruikt.
SentinelOne kan het gedrag van de collector (veel netwerkverbindingen, draaien als SYSTEM of root) als verdacht zien. In dit artikel maak je een uitzondering die alleen de meldingen voor de collector onderdrukt. De agent blijft het proces wel bewaken.
Wat je nodig hebt
- Programma:
C:\Program Files\Obsolens\obsolens-collector.exe(Linux:/usr/local/bin/obsolens-collector) - SHA-256 van het programma, als je een hash-uitzondering wilt
Je vindt deze waarden in het portaal onder Toegang regelen bij de collector. Kies daar SentinelOne bij Stappen voor voor de stappen met ingevulde waarden.
Let op: de officiële documentatie van SentinelOne vraagt een login. De stappen hieronder komen uit een document van een MSP-partner en zijn niet bevestigd in de documentatie van de fabrikant. Menunamen kunnen per consoleversie verschillen.
Stappen
- Ga in de console naar Sentinels > Exclusions (in nieuwere consoles Settings > Exclusions).
- Klik New Exclusion.
- Kies het type Path.
- Vul het pad van het programma in:
- Windows:
C:\Program Files\Obsolens\obsolens-collector.exe - Linux:
/usr/local/bin/obsolens-collector
- Windows:
- Kies de modus Suppress Alerts.
- Sla de uitzondering op.
Welke modus kies je
| Modus | Wat het doet | Advies |
|---|---|---|
| Suppress Alerts (standaard) | Alleen de meldingen worden onderdrukt. De agent blijft het proces bewaken. | Meestal voldoende voor discovery-gedrag. |
| Interoperability | De agent bewaakt het proces minder. | Alleen bij een echt conflict. |
| Interoperability - Extended | Ook de child processes worden minder bewaakt. | Alleen bij een echt conflict. |
| Performance Focus / Performance Focus - Extended | De meest vergaande vorm. | Afraden. |
Op Windows vragen Interoperability en Performance Focus een herstart van het proces of het endpoint. De betekenis van de Interoperability- en Performance-modi is niet bevestigd in de documentatie van de fabrikant.
Andere typen uitzonderingen
SentinelOne kent ook de typen Certificate (Signer Identity), Hash, File Type en Browser.
- Certificate is normaal de beste keuze, omdat die elke versie dekt. Het programma van de collector is op dit moment niet digitaal ondertekend. Dit type kun je voor de collector dus nog niet gebruiken.
- Hash werkt, maar de hash verandert bij elke nieuwe versie van de collector. Je moet de uitzondering dan na elke update vernieuwen.
Een path-exclusie in de modus Suppress Alerts is daarom nu de praktische keuze.
Controleren
- Start in het portaal Nu scannen.
- Kijk in de SentinelOne-console of er nog meldingen of acties voor de collector zijn.
Bronnen
- https://support.guardz.com/en/articles/13428229-sentinelone-exclusions (document van een MSP-partner; de officiële documentatie van SentinelOne vraagt een login)