Este artículo discute la integración de datos de SentinelOne EDR para generar historias que puede revisar en el Banco de Trabajo de Historias de Cato.
"Visión general"
Usando un conector API, puedes integrar datos de incidentes de SentinelOne EDR para generar historias para dispositivos de punto final. Las historias de punto final le ayudan a obtener una imagen más completa de las amenazas potenciales en su red.
Una historia se crea en la CMA correlacionando datos de incidentes de SentinelOne EDR basados en el UUID del Agente (ID del Dispositivo) y el Hash del archivo de amenaza dentro de 90 días. Estas historias incluyen toda la evidencia relevante para los incidentes detectados por SentinelOne. El Banco de Trabajo de Historias muestra las historias de punto final junto con otros tipos de historia, y puedes ordenar y filtrar las historias para enfocarte en los incidentes de Punto Final.
Las historias de SentinelOne se crean en casi tiempo real después de que la alerta original se genera.
Para integrar datos de incidentes de SentinelOne EDR con Cato XOps, necesitas configurar los conectores API para SentinelOne EDR. Después de crear el conector, el motor de Incidentes de Punto Final recupera y analiza los datos de Incidentes de SentinelOne EDR.
Para más información sobre la revisión de historias XOps, incluidos datos de SentinelOne, consulte Drilling-Down and Analyzing XOps Security Stories
"Requisitos previos"
Debes tener una licencia Enterprise de SentinelOne, incluyendo el Singularity Data Lake
Para ver las historias Cato XOps para incidentes EDR de SentinelOne, se requiere una licencia XOps o MDR. Se generan eventos sin una licencia
Para agregar un conector, debe tener permiso de editor para Integraciones (en la sección de Recursos). Para más información, consulte Gestionando Roles de Administrador usando RBAC.
Configuración del Conector de SentinelOne EDR
Para crear el conector entre Cato y su inquilino de SentinelOne, necesita:
Crear el token API en la consola de SentinelOne
Cree el conector API en el CMA
Debes tener las credenciales correctas para autenticarte en SentinelOne.
Paso 1: Crear el Token API en la Consola de SentinelOne
En la consola de SentinelOne, crea el token API para ingresar en la CMA.
Para crear el token API:
En tu arrendatario de consola de SentinelOne, en el menú lateral, navega a Configuración > Elegir Usuarios.
En la pestaña Usuarios de Servicio, haz clic en Acciones > Crear Nuevo Usuario de Servicio.
Agrega un Nombre y una Fecha de Expiración para el Usuario de Servicio. Recomendamos establecer la fecha de expiración al menos a un año.
Nota: El Token debe ser renovado una vez que ha expirado.
Haz clic en Siguiente.
Elige el nivel de Cuenta y marca la casilla de la cuenta relevante.
Haga clic en Crear Usuario. Se te puede requerir ingresar tu código MFA.
Copia y guarda el token API para que pueda ser añadido a la CMA.
Paso 2: Crea el Conector API en el CMA
Después de tener un Token API, añade los detalles en la CMA.
Para configurar el Conector de SentinelOne EDR en la CMA:
Desde el menú de navegación, selecciona Recursos > Integraciones.
En la pestaña de Aplicaciones Integradas, haga clic en Nuevo. El panel de Nueva Integración se abre.
Desde el menú desplegable de Aplicación SaaS, selecciona SentinelOne.
Introduce un Nombre, Descripción (opcional), URL del Arrendatario (el dominio de tu arrendatario) y Token API.
Nota: Incluye https:// en el URL del arrendatario. Por ejemplo, https://<YOUR_TENANT>.sentinelone.net
(Opcional) Elige rastrear errores en la integración creando un evento.
Haz clic en Guardar.
Entender el Estado del Conector
La columna Estado en la página de Configuración de Conectores muestra el estado de la conexión entre la app de SentinelOne y tu cuenta de Cato. Estas son las explicaciones de los estados:
Conectado - Tu cuenta está conectada a la aplicación y funciona correctamente
Consentimiento de usuario pendiente - No se han otorgado permisos para permitir que Cato acceda a la aplicación SentinelOne. Para resolver este problema, refresca el navegador. Si el Estado cambia a Conectado, el problema está resuelto; si el Estado no cambia, elimine y recree el conector.
Error - Hay un problema de conectividad, permisos, licencia u otro con el conector. Eliminar y volver a crear el conector.
Visualización de la Página Banco de Trabajo de Historias
Una vez. hayas creado el conector, las historias serán visibles en el Banco de Trabajo de Historias.
Para ver la página del Banco de Trabajo de Historias:
Desde el menú de navegación, haz clic en Inicio > Banco de Trabajo de Historias.
Para obtener información sobre las columnas en el Stories Workbench, consulta Entendiendo las Columnas de Historias
Para más información sobre la revisión de las historias de configuración de DNS XOps, vea Drill-Down y Analizando Historias de Seguridad de modo de depuracion en XOps