Suprimir Alertas vs Interoperabilidade

Entre as duas modalidades de exclusão no SentinelOne: Suprimir Alertas e Interoperabilidade. A escolha correta é fundamental para mantermos um ambiente seguro e, ao mesmo tempo, funcional.

A Diferença Fundamental: Visibilidade e Ação

Suprimir Alertas: “Estou de olho, mas não vou te incomodar.”

A opção de Suprimir Alertas é a forma mais branda de exclusão. Ao aplicá-la, estamos instruindo o SentinelOne a:

• Permitir que o processo funcione normalmente: o agente não irá finalizar, colocar em quarentena ou remediar qualquer ação do processo excluído.
• Continuar o monitoramento: o SentinelOne continua a observar as atividades do processo. Isso significa que, embora nenhuma notificação seja gerada em tempo real, os dados de telemetria (EDR) ainda são coletados. Essa visibilidade é crucial para investigações futuras.
  
  Cenário Ideal: utilize a supressão para lidar com falsos positivos de baixo risco, onde você confia na aplicação, mas deseja eliminar o “ruído” de notificações recorrentes, sem perder a capacidade de investigação.

A opção de Interoperabilidade: “Vou te dar mais espaço para trabalhar.”

A exclusão por Interoperabilidade é uma medida mais robusta, projetada para resolver conflitos entre o SentinelOne e outras aplicações legítimas (softwares de segurança, ferramentas de backup, etc.). Ao escolher esta opção:

• O processo continua funcionando: assim como na supressão, o processo não é interrompido.
• O nível de monitoramento é reduzido: o agente do SentinelOne diminui sua interação com o processo excluído, o que geralmente resolve problemas de interoperabilidade.

Cenário Ideal: opte pela interoperabilidade quando uma aplicação crítica apresenta instabilidade devido à interação com o agente SentinelOne.

Atualização Importante: a Nova Console e o Tratamento de Ameaças

É essencial notar que, na nova interface da console do SentinelOne, a antiga distinção entre “Alertas” e “Incidentes” foi unificada. Agora, todas as detecções são tratadas como parte de um fluxo de Incidentes, classificados por níveis de criticidade (ex: baixo, médio, alto, crítico).

O que muda para as exclusões?

A lógica permanece a mesma. Ao criar uma exclusão do tipo “Suprimir Alerta”, você está, na prática, suprimindo a criação de um Incidente de baixa ou média criticidade que seria gerado por aquele processo. A terminologia na console mudou, mas o efeito técnico da exclusão — permitir a execução do processo enquanto se mantém a visibilidade de EDR — continua sendo o principal diferencial.

Boas Práticas para Exclusões (em inglês):
Criando uma Exclusão de Caminho (em inglês):

Ao compreender essas diferenças, é possível tomar decisões mais eficazes, em que as exclusões sejam aplicadas de forma segura e eficaz, mantendo o equilíbrio ideal entre segurança e operacionalidade.