Cet article traite de l'intégration des données de SentinelOne EDR pour générer des histoires que vous pouvez consulter dans le Cato Stories Workbench.
Remarque
Remarque : XOps est la couche d'analyse unifiée de Cato pour la sécurité et les opérations, offrant des insights et des remédiations guidées. XOps a remplacé XDR, pour plus d'informations, voir XOps FAQ.
En utilisant un connecteur API, vous pouvez intégrer les données d'incidents de SentinelOne EDR pour générer des histoires pour les appareils terminaux. Les histoires de terminaux vous aident à obtenir une vue plus complète des menaces potentielles dans votre réseau.
Une histoire est créée dans le CMA en corrélant les données des incidents de SentinelOne EDR en fonction de l'UUID de l'agent (ID du dispositif) et du Hash du fichier de menace dans un délai de 90 jours. Ces histoires incluent toutes les preuves pertinentes pour les incidents détectés par SentinelOne. Le Stories Workbench montre les histoires de terminaux ainsi que d'autres types d'histoires, vous pouvez trier et filtrer les histoires pour vous concentrer sur les incidents de terminaux.
Pour intégrer les données d'incidents de SentinelOne EDR avec Cato XOps, vous devez configurer les connecteurs API pour SentinelOne EDR. Après avoir créé le connecteur, le moteur d'incidents de terminaux récupère et analyse les données d'incidents de SentinelOne EDR.
Pour plus d'informations sur l'examen des histoires XOps, y compris des données de SentinelOne, voir Exploration et Analyse des Histoires de Sécurité XOps
Pour créer le connecteur entre Cato et votre locataire SentinelOne, vous devez :
-
Créer le token API dans la console SentinelOne
-
Créer le connecteur API dans le CMA
Vous devez disposer des bonnes informations d'identification pour vous authentifier auprès de SentinelOne.
Dans la console SentinelOne, créez le token API pour l'intégrer dans le CMA.
Pour créer le token API :
-
Dans le tenant de votre console SentinelOne, dans le menu latéral, naviguez vers Paramètres > Choisir les utilisateurs.
-
Dans l'onglet Utilisateurs de service, cliquez sur Actions > Créer un nouvel utilisateur de service.
-
Ajoutez un Nom et une Date d'expiration pour l'utilisateur de service. Nous recommandons de définir la date d'expiration à au moins un an.
Remarque : Le token doit être renouvelé une fois expiré.
-
Cliquez sur Suivant.
-
Choisissez le niveau de Compte et cochez la case du compte concerné.
-
Cliquez sur Créer un utilisateur. Vous devrez peut-être saisir votre code MFA.
-
Copiez et enregistrez le jeton API afin qu'il puisse être ajouté au CMA.
Après avoir obtenu un jeton API, ajoutez les détails dans le CMA.
Pour configurer le connecteur SentinelOne EDR dans le CMA :
-
Dans le menu de navigation, sélectionnez Ressources > Intégrations.
-
Dans l'onglet Applications intégrées, cliquez sur Nouveau. Le panneau Nouvelle intégration s'ouvre.
-
Dans le menu déroulant Application SaaS, sélectionnez SentinelOne.
-
Saisissez un Nom, une Description (facultatif), une URL du locataire (le domaine de votre locataire) et un Token API.
Remarque : Incluez https:// dans l'URL du locataire. Par exemple, https://<VOTRE_LOCATAIRE>.sentinelone.net
-
(Optionnel) Choisissez de suivre les erreurs de l'intégration en créant un événement.
-
Cliquez sur Sauvegarder.
La colonne Statut sur la page des paramètres des connecteurs montre l'état de la connexion entre l'application SentinelOne et votre compte Cato. Voici les explications des statuts :
-
Connecté - Votre compte est connecté à l'application et fonctionne correctement
-
Consentement de l'utilisateur en attente - Les autorisations n'ont pas été accordées pour permettre à Cato d'accéder à l'application SentinelOne. Pour résoudre ce problème, actualisez le navigateur. Si le Statut change en Connecté, le problème est résolu, sinon, supprimez et recréez le connecteur.
-
Erreur - Il y a un probleme de connectivité, de permissions, de licence ou autre avec le connecteur. Supprimez et recréez le connecteur.
Une fois que vous avez créé le connecteur, les histoires seront visibles dans l'Atelier des Histoires.
Pour voir la page de l'Atelier des Histoires :
-
Dans le menu de navigation, cliquez sur Accueil > Stories Workbench.
Pour des informations sur les colonnes dans le banc de travail des histoires, voir Comprendre les Colonnes des Histoires
Pour plus d'informations sur l'examen des histoires XOps, y compris des données de Microsoft Defender, voir Exploration et Analyse des Histoires de Sécurité XOps
0 commentaire
Vous devez vous connecter pour laisser un commentaire.