Sei già un cliente NinjaOne? Effettua il login per visualizzare le altre guide e gli ultimi aggiornamenti.

Risoluzione dei problemi di SentinelOne: Il componente NinjaOne rilevato come minaccia

Problema

In rari casi, SentinelOne rileva NinjaOne Patcher o altri componenti di NinjaOne (lockhart.exe, Ninja Remote o altri) come minacce.

Ambiente

  • Integrazioni NinjaOne
  • SentinelOne

Causa

SentinelOne identifica erroneamente gli eseguibili firmati di NinjaOne come minacce poiché il certificato di NinjaOne (NINJAONE, LLC o NINJARMM, LLC) non è incluso per impostazione predefinita nell'elenco delle esclusioni di SentinelOne.

Risoluzione

Si consiglia di creare un'esclusione del certificato nel portale di gestione web di SentinelOne. Se si utilizza un'esclusione unificata, fare riferimento alla sezione di questo articolo intitolata Creazione di esclusioni degli avvisi nella gestione delle esclusioni unificate.

Per creare l’esclusione, procedere come segue:

  1. Accedere alla console di gestione web di SentinelOne a livello di account.
  2. Fare clic su " Sentinels " nel menu di navigazione a sinistra.
  3. Fare clic su " Esclusioni " nel menu di navigazione in alto.
  4. Fare clic su " Nuova esclusione " → " Crea esclusione".
S1 new exclusion.png
Figura 1: Crea una nuova esclusione in SentinelOne (clicca per ingrandire)

  1. Inserisci i dati esattamente come indicato di seguito:

    • Tipo di esclusione: Certificato
    • Sistema operativo: Windows
    • Identità del firmatario: NINJAONE, LLC
    Se si utilizza un ambiente gestito da NinjaOne, è necessario aggiungere alle esclusioni entrambi i certificati firmati da NINJARMM, LLC e NINJAONE, LLC. Le nuove console non gestite da NinjaOne possono consentire solo i certificati di NINJAONE, LLC. L’agente SentinelOne 23.4 SP2 introduce esclusioni per i file eseguibili di NinjaOne.
  2. Fare clic su "Minacce" per verificare che i prodotti NinjaOne siano correttamente esclusi.
  3. Fare clic su “Salva”.
S1_new exclusion certificate.png
Figura 2: Configurazione della nuova esclusione (clicca per ingrandire)

Creazione di esclusioni dagli avvisi nella Gestione unificata delle esclusioni

Per creare l’esclusione degli avvisi, procedere come segue:

  1. Impostare i dettagli generali dell’esclusione:
    1. Accedere alla Console di gestione web di SentinelOne a livello di account.
    2. Fare clic su Sentinels nel menu di navigazione a sinistra.
    3. Fare clic su " Esclusioni " nel menu di navigazione in alto.
    4. Fare clic su " Nuova esclusione " → " Crea esclusione".
    5. Assegnare all'esclusione un identificatore univoco nel campo " Nome esclusione".
    6. Per quanto riguarda "Ambito", si consiglia di creare l'esclusione con l'ambito più ristretto possibile. Per modificare l'ambito, selezionare "Globale", un account, un sito o un gruppo.
    7. Inserisci i dati esattamente come indicato di seguito:
      • Tipo di esclusione: Avvisi
      • Sistema operativo: selezionare la piattaforma a cui si applica l'esclusione (Windows, macOS o Linux).
    8. Se il sistema operativo selezionato è Windows, selezionare l’origine dell’avviso che si desidera sopprimere:
      • EDR: sopprime gli avvisi relativi ai motori di Rilevamento e risposta degli endpoint (EDR).
      • Identità: sopprime gli avvisi relativi ai motori di rilevamento delle identità.
    9. Fare clic su Continua.
S1 new exclusion_unified exclusion.png
Figura 3: Configurazione dell’esclusione degli avvisi in SentinelOne (clicca per ingrandire)

Un riepilogo dei dettagli dell’esclusione mostra l’opzione per creare una condizione e impostare motori di rilevamento specifici.

  1. Impostare le condizioni per l’esclusione degli avvisi.
    1. Nella pagina dei dettagli sull’esclusione, fare clic su Crea condizione.
S1 exclusion_condition creation_create condition.png
Figura 4: Crea una condizione per un'esclusione (clicca per ingrandire)
Per rendere più specifiche le esclusioni degli avvisi EDR, impostare l’agente in modo che sopprima gli avvisi provenienti solo da determinati motori.
  1. Nella pagina Creazione condizione, fare clic su Editore (noto anche come "Certificato").
S1 condition creation_publisher.png
Figura 5: Seleziona " Editore " per il parametro della condizione (clicca per ingrandire)
  1. Inserisci il valore per il parametro, esattamente come segue: "NINJAONE LLC."
S1 condition creation_publisher name and specific engines.png
Figura 6: Inserisci il nome dell’editore per la condizione e, se lo desideri, specifica i motori di rilevamento (clicca per ingrandire)
  1. Fare clic su Salva.
  2. Per applicare l’esclusione, fare clic su Pubblica.

Risorse aggiuntive

I seguenti contenuti formativi ti aiuteranno a sfruttare appieno le funzionalità di SentinelOne.

Domande frequenti

Passi successivi