Prečo SentinelOne?

Keď sa pozriem na nezávislé hodnotenia — MITRE ATT&CK evaluations, Gartner Magic Quadrant, Forrester Wave — S1 sa pravidelne pohybuje na vrchole. Nie z vlastnej reklamy, ale z výsledkov. V MITRE hodnoteniach dosahuje 100% detekciu bez potreby manuálnych konfigurácií, čo je v praxi presne to, čo chcete — riešenie ktoré funguje hneď po nasadení.

Okrem kvality produktu je pre mňa kľúčová ešte jedna vec — distribučná sieť, cena a integrácia. Ale k tomu sa dostanem neskôr.

Tri verzie — Core, Control, Complete

SentinelOne Singularity vychádza v troch základných variantoch. Každý ďalší stupeň obsahuje všetko z predchádzajúceho plus niečo navyše.

Detekčné enginy — čo to v praxi znamená

SentinelOne nepoužíva len signatúrovú databázu. Každý endpoint má na sebe niekoľko vrstiev detekcie, ktoré pracujú súbežne — niektoré sú AI-based, iné pravidlové:

Dôležité: tieto enginy fungujú aj bez internetového pripojenia. Endpoint nie je závislý na cloude pre základnú detekciu — AI modely sú priamo na zariadení. To je kľúčová výhoda oproti riešeniam kde bez cloudu nefunguje takmer nič.

Prečo Core bez Device Control nestačí

Toto vidím v praxi ako najčastejší omyl. Firma nasadí Core, zaplatí menej, ale v konzole nemá USB kontrolu. Zamestnanec príde s infikovaným USB kľúčom — a S1 Core zachytí hrozbu. Ale nezabrání pripojeniu. Ak by bol Control, USB zariadenia by sa dali globálne zakázať alebo obmedziť len na povolené.

S Control viete cez jednu konzolu:

• Zakázať všetky USB okrem firemných (whitelist podľa vendor ID)
• Blokovať Bluetooth periférie
• Nastaviť firewall pravidlá globálne pre všetkých zákazníkov naraz
• Vidieť zoznam nainštalovaných aplikácií s CVE zraniteľnosťami

Automatické exclusions — podceňovaná funkcia

Každý kto niekedy nastavoval exclusions v AV riešeniach vie, čo to znamená. Hodiny ladenia, false positives, volania od používateľov že "nefunguje aplikácia." SentinelOne má v Control a Complete funkciu AI-based automatických exclusions — systém sám na základe správania rozozná legitímne aplikácie a vytvorí exclusions bez manuálneho zásahu. Nie je to 100% ale v praxi dramaticky šetrí čas.

Izolácia endpointu — a remote shell

Ak S1 detekuje vážnu hrozbu, vie PC automaticky odpojiť od siete. Žiadna komunikácia von ani dnu — ransomware sa nerozsirí na ďalšie stroje. A tu je vec, ktorá ma na S1 naozaj teší: aj pri izolovanom endpointe máte cez konzolu stále prístup cez Remote Shell. Môžete spustiť príkazy, zbierať dáta, vyšetrovať incident — endpoint je izolovaný od siete ale nie od vás.

Rogue vs Ranger — sieťová viditeľnosť

Toto je oblasť kde je dobré vedieť čo dostanete zadarmo a čo nie.

Rogue (zadarmo v Console) — zobrazí vám všetky zariadenia ktoré vidí vo vašej sieti cez chránené endpointy. Jednoducho povedané: nainštalujete agenta na PC, a konzola automaticky ukáže čo ďalšie je v sieti — tlačiarne, NAS, IoT zariadenia, nechránené PC. Veľmi užitočná funkcia bez príplatku.

Ranger (platený addon) — to je väčší brat. Nielen nájde zariadenia, ale dokáže aj aktívne kontrolovať ich komunikáciu. Ten príklad s kórejskou chladničkou komunikujúcou s Kóreou — to je presne na čo Ranger slúži. Nájde neznáme zariadenie, zablokuje podozrivú komunikáciu, izoluje ho od zvyšku siete. Pre väčšinu MSP zákazníkov Rogue postačí — Ranger je na špecifické prostredia kde IoT security je kritická.

Deep Visibility — pre koho to naozaj je

Complete verzia prináša Deep Visibility — v podstate SIEM data lake priamo v S1 konzole. Každý proces, každé sieťové spojenie, každá zmena registrov — všetko sa zaznamenáva a môžete to prehľadávať pomocou PowerQuery jazyka.

Ak nastane incident, môžete robiť skutočnú digitálnu forenziku: zistiť čo sa stalo, kedy, kde, akým procesom, aké súbory boli dotknuté. Je to ako mať DVR záznam celej aktivity na endpointe niekoľko dní dozadu.

MSP konzola — jeden pohľad na všetkých zákazníkov

Toto je pre mňa jeden z najväčších dôvodov prečo S1 odporúčam MSP partnerom. Máte jeden multi-tenant dashboard kde vidíte všetkých zákazníkov. Môžete:

• Tvoriť a aplikovať polícy globálne alebo per zákazník
• Nastaviť firewall pravidlá naprieč celým portfoliom
• Vidieť alerty zo všetkých prostredí na jednom mieste
• Spravovať USB/Bluetooth polícy centrálne
• Sledovať vulnerability stav naprieč zákazníkmi

Pre MSP s 20 zákazníkmi to znamená, že namiesto 20 rôznych konzol máte jednu. A keď vyjde nový CVE, viete okamžite vidieť ktorí zákazníci sú vystavení.

Integrácie — kde S1 skutočne svieti

Tu je podľa mňa jedna z najväčších konkurenčných výhod SentinelOne voči porovnateľným riešeniam ako Sophos Intercept X alebo CrowdStrike. S1 je hlboko integrovaný v ekosystémoch ktoré MSP dennodenne používajú:

Vďaka integrácii v NinjaOne alebo N-central je deployment S1 doslova otázka pár klikov — vyberiete zariadenia, zvolíte policy, a agent sa nasadí automaticky. Nie je potrebné nič špeciálne konfigurovať. Monitorovanie alertov prebieha priamo v RMM konzole bez prepínania medzi aplikáciami.

SonicWall Capture Client je zaujímavý prípad — S1 agent je priamo zabudovaný do SonicWall ekosystému, čo znamená že zákazníci so SonicWall firewallom dostanú S1 ako prirodzenú súčasť svojej security stacku.

Porovnanie s konkurenciou

CrowdStrike je technologicky porovnateľný ale cena je výrazne vyššia a chýba automatický rollback. Sophos Intercept X je solídna alternatíva s dobrou MSP integráciou. Microsoft Defender je zadarmo pre M365 zákazníkov ale v hĺbke detekcie a MSP manageability za S1 zaostáva.

Pre MSP segment je S1 podľa môjho názoru najlepšia kombinácia kvality, ceny a ekosystémovej integrácie.

Warum SentinelOne?

Unabhängige Bewertungen — MITRE ATT&CK Evaluierungen, Gartner Magic Quadrant, Forrester Wave — zeigen S1 regelmäßig an der Spitze. In den MITRE-Bewertungen erreicht es 100% Erkennung ohne manuelle Konfigurationsänderungen. Das ist genau das, was man in der Praxis will.

Drei Versionen — Core, Control, Complete

Erkennungs-Engines

SentinelOne verwendet nicht nur eine Signaturdatenbank. Jeder Endpunkt verfügt über mehrere Erkennungsschichten, die gleichzeitig arbeiten — einige KI-basiert, andere regelbasiert:

Warum Core ohne Device Control nicht ausreicht

Das ist in der Praxis der häufigste Fehler. Ein Unternehmen setzt Core ein, zahlt weniger, hat aber keine USB-Kontrolle in der Konsole. Ein Mitarbeiter kommt mit einem infizierten USB-Stick — S1 Core erkennt die Bedrohung. Aber es verhindert nicht die Verbindung. Mit Control lassen sich USB-Geräte global sperren oder nur auf zugelassene beschränken.

Mit Control können Sie über eine Konsole:

• Alle USB-Geräte außer firmeneigenen sperren (Whitelist nach Vendor-ID)
• Bluetooth-Peripheriegeräte blockieren
• Firewall-Regeln global für alle Kunden gleichzeitig festlegen
• Eine Liste installierter Anwendungen mit CVE-Schwachstellen einsehen

Automatische Exclusions — eine unterschätzte Funktion

Jeder, der schon einmal Exclusions in AV-Lösungen konfiguriert hat, weiß was das bedeutet. Stundenlange Feinabstimmung, False Positives, Anrufe von Benutzern dass „die Anwendung nicht funktioniert". SentinelOne bietet in Control und Complete KI-basierte automatische Exclusions — das System erkennt anhand des Verhaltens legitime Anwendungen und erstellt Exclusions ohne manuellen Eingriff. Nicht 100% perfekt, aber in der Praxis deutlich zeitsparend.

Endpoint-Isolierung — und Remote Shell

Wenn S1 eine ernste Bedrohung erkennt, kann der PC automatisch vom Netzwerk getrennt werden. Keine Kommunikation rein oder raus — Ransomware kann sich nicht auf weitere Rechner ausbreiten. Und hier ist das, was mich an S1 wirklich begeistert: Auch bei einem isolierten Endpoint haben Sie über die Konsole weiterhin Zugriff per Remote Shell. Sie können Befehle ausführen, Daten sammeln, den Incident untersuchen — der Endpoint ist vom Netzwerk isoliert, aber nicht von Ihnen.

Rogue vs Ranger — Netzwerktransparenz

Rogue (kostenlos in der Konsole) — zeigt alle Geräte, die über geschützte Endpunkte im Netzwerk sichtbar sind. Einfach gesagt: Sie installieren einen Agenten auf einem PC, und die Konsole zeigt automatisch was sonst noch im Netzwerk vorhanden ist — Drucker, NAS, IoT-Geräte, ungeschützte PCs. Eine sehr nützliche Funktion ohne Aufpreis.

Ranger (kostenpflichtiges Add-on) — das ist der große Bruder. Er findet nicht nur Geräte, sondern kann auch aktiv deren Kommunikation kontrollieren. Ein unbekanntes Gerät wird gefunden, verdächtige Kommunikation blockiert, das Gerät vom Rest des Netzwerks isoliert. Für die meisten MSP-Kunden reicht Rogue aus — Ranger ist für spezifische Umgebungen, in denen IoT-Sicherheit kritisch ist.

Deep Visibility — für wen ist das wirklich gedacht

Die Complete-Version bringt Deep Visibility — im Grunde einen SIEM-Data-Lake direkt in der S1-Konsole. Jeder Prozess, jede Netzwerkverbindung, jede Registry-Änderung — alles wird aufgezeichnet und kann mit der PowerQuery-Sprache durchsucht werden.

Bei einem Incident können Sie echte digitale Forensik betreiben: herausfinden was passiert ist, wann, wo, durch welchen Prozess, welche Dateien betroffen waren. Es ist wie ein DVR-Mitschnitt aller Aktivitäten auf dem Endpoint über mehrere Tage zurück.

MSP-Konsole — ein Blick auf alle Kunden

Das ist für mich einer der größten Gründe, warum ich S1 MSP-Partnern empfehle. Sie haben ein einziges Multi-Tenant-Dashboard, in dem Sie alle Kunden sehen. Sie können:

• Richtlinien global oder pro Kunde erstellen und anwenden
• Firewall-Regeln über das gesamte Portfolio festlegen
• Alerts aus allen Umgebungen an einem Ort sehen
• USB/Bluetooth-Richtlinien zentral verwalten
• Schwachstellenstatus über alle Kunden hinweg verfolgen

Für einen MSP mit 20 Kunden bedeutet das: statt 20 verschiedener Konsolen haben Sie eine. Und wenn ein neuer CVE veröffentlicht wird, sehen Sie sofort welche Kunden betroffen sind.

Integrationen — wo S1 wirklich glänzt

Das ist nach meiner Einschätzung einer der größten Wettbewerbsvorteile von SentinelOne gegenüber vergleichbaren Lösungen wie Sophos Intercept X oder CrowdStrike. S1 ist tief in Ökosystemen integriert, die MSPs täglich nutzen:

Dank der Integration in NinjaOne oder N-central ist der S1-Deployment buchstäblich eine Frage von wenigen Klicks — Geräte auswählen, Richtlinie wählen, Agent wird automatisch ausgerollt. Alert-Monitoring läuft direkt in der RMM-Konsole ohne Anwendungswechsel.

SonicWall Capture Client ist ein interessanter Fall — der S1-Agent ist direkt in das SonicWall-Ökosystem eingebaut, was bedeutet dass Kunden mit SonicWall-Firewall S1 als natürlichen Teil ihres Security-Stacks erhalten.

Vergleich mit der Konkurrenz

CrowdStrike ist technologisch vergleichbar, aber deutlich teurer und ohne automatischen Rollback. Sophos Intercept X ist eine solide Alternative mit guter MSP-Integration. Microsoft Defender ist kostenlos für M365-Kunden, aber in der Erkennungstiefe und MSP-Verwaltbarkeit hinter S1.

Für das MSP-Segment ist S1 meiner Meinung nach die beste Kombination aus Qualität, Preis und Ökosystem-Integration.

Why SentinelOne?

Independent evaluations — MITRE ATT&CK, Gartner Magic Quadrant, Forrester Wave — consistently place S1 at the top. In MITRE evaluations it achieves 100% detection with zero configuration changes. That's exactly what you want — a solution that works right after deployment.

Three tiers — Core, Control, Complete

Detection engines — what this means in practice

SentinelOne doesn't rely on signature databases alone. Every endpoint runs several detection layers simultaneously — some AI-based, others rule-based:

Why Core without Device Control isn't enough

This is the most common mistake I see in practice. A company deploys Core, pays less, but has no USB control in the console. An employee brings in an infected USB drive — S1 Core detects the threat. But it doesn't prevent the connection. With Control, USB devices can be blocked globally or restricted to approved ones only.

With Control you can manage from a single console:

• Block all USB devices except company-approved ones (whitelist by vendor ID)
• Block Bluetooth peripherals
• Set firewall rules globally across all customers at once
• View a list of installed applications with CVE vulnerabilities

Automatic exclusions — an underrated feature

Anyone who has ever configured exclusions in AV solutions knows what that means. Hours of fine-tuning, false positives, calls from users saying "the application doesn't work." SentinelOne in Control and Complete offers AI-based automatic exclusions — the system identifies legitimate applications based on behaviour and creates exclusions without manual intervention. Not 100% perfect, but in practice it saves significant time.

Endpoint isolation — and remote shell

When S1 detects a serious threat, it can automatically disconnect the PC from the network. No communication in or out — ransomware can't spread to other machines. And here's what genuinely impresses me about S1: even with an isolated endpoint, you still have console access via Remote Shell. You can run commands, collect data, investigate the incident — the endpoint is isolated from the network but not from you.

Rogue vs Ranger — network visibility

Rogue (free in the console) — shows all devices visible in your network via protected endpoints. Simply put: install an agent on a PC and the console automatically shows everything else on the network — printers, NAS, IoT devices, unprotected PCs. A very useful feature at no extra cost.

Ranger (paid add-on) — the big brother. It doesn't just find devices, it can actively control their communication. An unknown device is found, suspicious communication blocked, the device isolated from the rest of the network. For most MSP customers Rogue is sufficient — Ranger is for specific environments where IoT security is critical.

Deep Visibility — who it's really for

The Complete tier brings Deep Visibility — essentially a SIEM data lake directly inside the S1 console. Every process, every network connection, every registry change — all recorded and searchable using PowerQuery.

When an incident occurs you can perform real digital forensics: find out what happened, when, where, by which process, which files were affected. It's like having a DVR recording of all endpoint activity going back several days.

MSP console — one view across all customers

This is one of the biggest reasons I recommend S1 to MSP partners. You have a single multi-tenant dashboard where you see all customers. You can:

• Create and apply policies globally or per customer
• Set firewall rules across the entire portfolio
• See alerts from all environments in one place
• Manage USB/Bluetooth policies centrally
• Track vulnerability status across all customers

For an MSP with 20 customers that means instead of 20 different consoles you have one. And when a new CVE is published you can immediately see which customers are exposed.

Integrations — where S1 truly shines

This is in my opinion one of SentinelOne's biggest competitive advantages over comparable solutions like Sophos Intercept X or CrowdStrike. S1 is deeply integrated into ecosystems MSPs use every day:

Thanks to integration in NinjaOne or N-central, S1 deployment is literally a matter of a few clicks — select devices, choose a policy, agent deploys automatically. Alert monitoring runs directly inside the RMM console without switching applications.

SonicWall Capture Client is an interesting case — the S1 agent is built directly into the SonicWall ecosystem, meaning customers with a SonicWall firewall get S1 as a natural part of their security stack.

Comparison with competitors

CrowdStrike is technically comparable but significantly more expensive and lacks automatic rollback. Sophos Intercept X is a solid alternative with good MSP integration. Microsoft Defender is free for M365 customers but lags behind S1 in detection depth and MSP manageability.

For the MSP segment S1 is in my opinion the best combination of quality, price and ecosystem integration.