Destino de SentinelOne

Este producto no es compatible con el sitio Datadog seleccionado. ().
Disponible para:

Registros

Descripción general

Utilice el destino de SentinelOne de Observability Pipelines para enviar registros a SentinelOne.

Configuración

Para la administración de secretos: solo ingrese el identificador del token. No ingrese el valor real.

Configure el destino de SentinelOne cuando configure a pipeline. Puede configurar una canalización en la interfaz de usuario, utilizando la API o con Terraform. Los pasos de esta sección se configuran en la interfaz de usuario.

Después de seleccionar el destino de SentinelOne en la UI del pipeline:

  1. Ingrese el identificador de su token. Si lo deja en blanco, se utiliza el predeterminado.
  2. Seleccione su entorno de registros de SentinelOne en el menú desplegable.
If you enter secret identifiers and then choose to use environment variables, the environment variable is the identifier entered and prepended with DD_OP_. For example, if you entered PASSWORD_1 for a password identifier, the environment variable for that password is DD_OP_PASSWORD_1.

Almacenamiento en búfer opcional

Toggle the switch to enable Buffering Options. Enable a configurable buffer on your destination to ensure intermittent latency or an outage at the destination doesn’t create immediate backpressure, and allow events to continue to be ingested from your source. Disk buffers can also increase pipeline durability by writing data to disk, ensuring buffered data persists through a Worker restart. See Destination buffers for more information.

  • If left unconfigured, your destination uses a memory buffer with a capacity of 500 events.
  • To configure a buffer on your destination:
    1. Select the buffer type you want to set (Memory or Disk).
    2. Enter the buffer size and select the unit.
      1. Maximum memory buffer size is 128 GB.
      2. Maximum disk buffer size is 5 TB.
        • Note: For Worker versions 2.20.x and older, the maximum disk buffer size is 500 GB.
    3. In the Behavior on full buffer dropdown menu, select whether you want to block events or drop new events when the buffer is full.

Valores predeterminados de Secret

These are the defaults used for secret identifiers and environment variables.

    • Identificador del token de acceso de escritura de SentinelOne:
      • El identificador predeterminado es DESTINATION_SENTINEL_ONE_TOKEN.
    • SentinelOne write access token:
      • The default environment variable is DD_OP_DESTINATION_SENTINEL_ONE_TOKEN.

    Ver registros en un clúster de SentinelOne

    Después de configurar el pipeline para enviar registros al destino de SentinelOne, puede ver los registros en un clúster de SentinelOne:

    1. Inicie sesión en la consola de S1.
    2. Navegue a la página de Singularity Data Lake (SDL) Search. Para acceder a ella desde la consola, haga clic en Visibility en el menú de la izquierda para ir a SDL y asegúrese de estar en la pestaña Search.
    3. Asegúrese de que el filtro junto a la barra de búsqueda esté configurado en All Data.
    4. Esta página muestra los registros que envió desde Observability Pipelines a SentinelOne.

    Métricas de salud

    Para métricas de componentes y métricas de búfer de destino emitidas por todos los destinos, consulte la documentación de Métricas de uso de Pipelines. Para filtrar o agrupar por métricas de destino de Splunk HEC, utilice la etiqueta component_type:splunk_hec_logs.

    Cómo funciona el destino

    Procesamiento por lotes de eventos

    Un lote de eventos se vacía cuando se cumple uno de estos parámetros. Consulte Agrupamiento de eventos de destino para obtener más información.

    Máximo de eventosTamaño máximo (MB)Tiempo de espera (segundos)
    Ninguno11

    Lecturas adicionales

    Documentación, enlaces y artículos útiles adicionales:

    Optimice los registros EDR y diríjalos a SentinelOne con Observability Pipelines.BLOG more more