本文讨论将SentinelOne EDR的数据集成，以生成您可以在Cato事件工作台中查看的事件。
概概览
使用API连接器，您可以集成来自SentinelOne EDR的事件数据，以生成终端设备的事件。 这些终端事件帮助您更全面地了解网络中的潜在威胁。
在CMA中，事件是通过关联SentinelOne EDR事件的数据（基于代理UUID（设备ID）和威胁文件哈希）在90天内创建的。 这些事件包括由SentinelOne检测到的事件的所有相关证据。 事件工作台将终端事件与其他事件类型一起显示，您可以对事件进行排序和过滤，以专注于终端事故。
SentinelOne事件是在原始警报生成后近实时创建的。
要将SentinelOne EDR事件数据与Cato XOps集成，您需要设置SentinelOne EDR的API连接器。 创建连接器后，终端事件引擎将从SentinelOne EDR中检索和分析事件数据。
查看更多有关审核 XOps 事件的信息，包括来自 SentinelOne 的数据，请参见 深入研究和分析 XOps 安全性事件
Prerequisites
您必须拥有包含Singularity Data Lake的SentinelOne企业许可证
查看 SentinelOne EDR 事件的 Cato XOps 事件，需要 XOps 或 MDR 许可证。 事件生成无需许可证
要添加连接器，您必须具有编辑者权限在集成（在资源部分）。 有关详细信息，请参阅 使用RBAC管理管理员角色。
配置SentinelOne EDR连接器
要在 Cato 和您的 SentinelOne 租户之间创建连接器，您需要：
在SentinelOne控制台中创建API令牌
在 CMA 中创建 API 连接器
您必须具备正确的凭据才能认证到SentinelOne。
第1步：在SentinelOne控制台中创建API令牌
在SentinelOne控制台中，创建要输入到CMA中的API令牌。
创建API令牌：
在您的SentinelOne控制台租户中，在侧边菜单中，导航到设置 > 选择用户。
在服务用户选项卡上，单击动作 > 创建新服务用户。
为服务用户添加名称和到期日。 我们建议将到期日设为至少一年。
注意：令牌必须在过期后续订。
单击下一步。
选择账户级别，并勾选相关账户的复选框。
点击创建用户。 您可能需要输入您的MFA代码。
复制并保存API令牌，以便可以将其添加到CMA。
步骤 2: 在CMA中创建API连接器
获取API令牌后，在CMA中添加详细信息。
要在CMA中配置SentinelOne EDR连接器：
从导航菜单中选择资源 > 集成。
在 集成应用 标签页上，单击 新建。 新集成面板开启。
从SaaS应用程序下拉菜单中，选择SentinelOne。
输入名称、描述（可选）、租户URL（您租户的域）和API令牌。
注意：在租户URL中包含https://。 例如，https://<YOUR_TENANT>.sentinelone.net
（可选）选择通过创建事件来跟踪集成中的错误。
应用程序在 集成的应用程序 表中显示，状态为 已连接。
了解连接器状态
在连接器设置页面的状态列显示SentinelOne应用和您的Cato账户之间连接的状态。 以下是状态的解释：
已连接 - 您的账户已连接到应用并正常工作
等待用户同意 - 尚未授予权限使Cato访问SentinelOne应用。 为解决此问题，请刷新浏览器。 如果状态变为已连接，问题已解决；如果状态不变，请删除并重新创建连接器。
错误 - 与连接器有连接性、权限、许可证或其他问题。 删除并重新创建连接器。
查看故事工作台页
一旦您创建了连接器，故事将在故事工作台中可见。
查看事件仪表板页面：
从导航菜单中，单击主页 > 事件仪表板。
有关故事工作台中列的信息，请参见理解故事列
有关审查XOps事件的更多信息，请参见深入分析和调查XOps安全事件。