SentinelOne Singularity

1. SentinelOne Singularity란?

Singularity XDR은 AI 기반 자율 탐지·대응(Autonomous) 플랫폼입니다. 엔드포인트, 클라우드, 네트워크를 단일 데이터 레이크로 통합하여 실시간 보안 분석을 수행합니다. AI 엔진이 위협을 자체 판단하고 차단까지 수행하는 ‘완전 자율 모드’가 핵심입니다.

2. 왜 써야 하는가?

기존 EDR/XDR 대비 AI 자율성과 데이터 엔지니어링 친화적 아키텍처가 차별점입니다.

3. 핵심 개념 & 아키텍처

에이전트 → 수집기 → AI 분석 → 자율 대응 → 데이터 레이크로 이어지는 단일 파이프라인.

Storyline : 프로세스·네트워크·파일 이벤트를 실시간 그래프로 연결. Ranger : 위협 점수를 매기는 AI 추론 엔진.

• Autonomous : 사람 개입 없이 차단·격리·롤백
• Purple AI : 자연어로 보안 쿼리 및 대시보드 생성
• DataLake : 모든 이벤트를 장기 보관, SQL-on-Lake 분석 가능

4. 퀵스타트

📦 설치 & 환경 설정

# 1. 공식 Python SDK 설치 (가상환경 권장)
pip install sentinelone-sdk

# 2. CLI 도구 설치 (선택)
# macOS / Linux
curl -sSL https://s1-public.s3.amazonaws.com/cli/install.sh | bash
s1 --version

🔐 연결 설정 (API 토큰)

# 환경 변수로 설정 (권장)
export S1_MGMT_URL="https://your-instance.sentinelone.net"
export S1_API_TOKEN="your_api_token_here"

# 또는 Python에서 직접
import sentinelone
client = sentinelone.Client(
    base_url="https://your-instance.sentinelone.net",
    token="your_api_token_here"
)

⚡ 첫 예제: 실시간 위협 이벤트 조회

import sentinelone
from sentinelone.models import ThreatStatus

client = sentinelone.Client.from_env()

# 최근 24시간 위협 조회 (자율 대응 로그)
threats = client.threats.list(
    created_at__gte="2026-03-01T00:00:00Z",
    status=ThreatStatus.UNRESOLVED,
    limit=10
)
for t in threats:
    print(f"[{t.severity}] {t.threat_name} → {t.agent_computer_name}  (AI verdict: {t.ai_verdict})")

# CLI 명령어 동등 예시
print("\n# 동등 CLI: s1 threat list --status unresolved --limit 10")

5. 핵심 설정 레퍼런스

이 외에도 sentinelone-sdk 의 Configuration 클래스를 통해 세부 파라미터를 관리할 수 있습니다.

6. 실무 팁 & 트러블슈팅

# 에이전트 상태 진단 CLI
s1 agent list --filter "isActive:false" --columns computerName,lastActiveAt

# Python SDK로 이벤트 스트림 구독
for event in client.events.stream(event_types=["Process", "Network"]):
    process_data = event.dict()
    # Kafka produce 등
    print(process_data["event_time"], process_data["process_name"])

7. 참고 자료

• 📘 공식 문서 & API 레퍼런스
• 🐍 Python SDK GitHub
• ⚡ Singularity XDR 개요
• 👥 SentinelOne 커뮤니티