SentinelOne のコンソールに、今使っている Mac が1台もいなかった

Mac の調子が悪い端末を調べていて、EDR（SentinelOne）のエージェントが古いことに気づいた。管理コンソールから更新しよう、と思って探したら、その端末がコンソールのどこにもいなかった。有効な端末の一覧にも、削除済みの一覧にもない。

ある会社（Mac 約30台、JumpCloud で管理、EDR は SentinelOne を外部の監視サービス経由で契約）での話だ。1台の問題かと思って掘ると、JumpCloud で管理している Mac 26台と、SentinelOne のコンソールにいる Mac 40台を突き合わせたら、一致が0台だった。この記事では、どうしてそうなっていたか、その日のうちにどこまで直したか、まだ残っていることを書く。

▼突き合わせは、シリアル番号でやる

まず、MDM（JumpCloud）にいる Mac と、EDR のコンソールにいる Mac を、シリアル番号で突き合わせた。端末名は人が変えるし、同じ名前の端末もある。シリアル番号なら確実だ。どちらも API で一覧が取れる。

一覧	台数	中身
MDM（JumpCloud）の Mac	26	今使っている Mac（すべて同じ新しい機種）
EDR のコンソール（この会社のサイト）の Mac	40	入れ替え前の古い Mac と、MDM にいない端末
両方にいる	0	—

EDR のコンソールは「40台守られている」ように見える。だが、その40台はもう使っていない端末が中心で、今使っている Mac は1台も入っていなかった。台数だけを見ていたら気づけない。

▼原因：配布のコマンドが、3か所で壊れていた

JumpCloud には「SentinelOne をインストールする」コマンドが用意されていて、Mac に配る仕組みにはなっていた。中身を読むと、3か所が壊れていた。

場所	壊れ方	起きること
パッケージを取るための API トークン	無効（401 が返る）	毎回、ダウンロードの段階で失敗していた
どのサイトに登録するかのトークン	今のこの会社のサイトのものと一致しない（別のサイトのものか、再発行前の古いもの。どちらかは未確認）	仮に入っても、この会社のサイトには出てこない
「入っていたら何もしない」の判定	見ているファイルの場所が、今のエージェントの実際の場所と違う	入っている端末にも、毎回入れ直そうとする

しかもコマンドの実行結果は、直近の記録に1件もなかった。仕組みはあるが、一度も成功していなかった可能性が高い。誰かがコマンドを作り、トークンが切れたか変わったあと、誰も結果を見ていなかった。

▼直したこと：トークンを差し替えて、13台に配った

サイトのトークンを今のものに差し替え（コンソールの API で一致を確かめた）、判定のパスを直し、API トークンも有効なものにした。そのうえで、会社の了承を取って、EDR が入っていない Mac に配った。

1. まず1台に実行し、この会社のサイトに登録されたことをコンソールで確認
2. 残りに一斉に実行 → 11台中4台が「パッケージのパスが無効」で失敗
3. 同時にダウンロードして、壊れたパッケージをつかんだと推測。スクリプトに3つ足した：ダウンロードの開始を端末ごとにランダムにずらす、最大5回まで取り直す、pkgutil --check-signature で署名を確かめてから入れる。タイムアウトも延ばした
4. 失敗した4台に再実行 → 全台成功

結果、13台を新しく入れ、全台がこの会社のサイトに登録されて接続中になった。

▼残った9台：入っているのに、どこにも所属していない

やっかいなのは、ここからだ。エージェントは入っていて動いているのに、この会社のサイトにいない Mac が9台あった。最初に気づいた不調の端末もその1台だ。

その端末のエージェントのフォルダは、端末そのもの（数か月前に納品されたリース機）より古い日付で作られていた。前の Mac からデータを移したときに、エージェントごと持ち込まれた可能性がある（推測）。持ち込まれたエージェントは、前の端末が登録されていたサイトか、どこか別のサイトに向いたままになる。

消して入れ直せばいい、と思って端末側から削除を試した。だが、削除には、そのエージェントが所属するコンソールの管理者しか出せないパスフレーズが要ると止められた。EDR が攻撃者に勝手に消されないための仕組み（改ざん防止）なので、正しい動きだ。こちらからは消せない。

そこで、監視サービスの事業者に、9台のシリアル番号とエージェントの ID を送り、どこに所属しているかを調べてもらうよう依頼した。この会社のサイトに移してもらうか、パスフレーズをもらって入れ直す。今は返事待ちだ。

▼EDR を「入れた」で終わらせないために

EDR を導入した会社は多い。だが、「今使っている全端末が、自社のコンソールに、接続中でいるか」を定期的に見ている会社は少ないと思う。今回わかったのは、次の3つだ。

• ▶ 台数ではなく、シリアル番号で MDM と突き合わせる。台数が合っていても中身が違うことがある
• ▶ 配布の仕組みは、結果を見るまでが仕事。トークンの期限切れは、エラーを出さずに静かに止まる
• ▶ 端末の入れ替えのときに、EDR の所属を確かめる。持ち込みと、古い端末の削除の両方

監視サービスに入っていても、監視されるのはコンソールにいる端末だけだ。コンソールの外にいる端末は、誰も見ていない。

▼まとめ

• ▶ MDM の Mac 26台と EDR のコンソールの Mac 40台、シリアル番号で一致は0台だった
• ▶ 原因は配布コマンドのトークン切れ・サイト違い・判定ミス。一度も成功していなかった可能性が高い
• ▶ 一斉配布は、ずらす・取り直す・署名を確かめる。13台は全台登録できた
• ▶ 持ち込まれたエージェントは、所属先の管理者でないと消せない。9台は確認待ち