关于 SentinelOne Rollback 炸飞我的系统的事

coolcfan

NB，我只遇到过S1在Fedora跑dnf update的时候把关键脚本给干掉了导致我系统直接少了不知道多少程序文件的问题……

wuming_bpnes

这也能太能回滚了。。。
建议SentinelOne开个数据恢复业务。。

18qaz

flyingyoung 发表于 2024-11-24 17:23
草，都不开是吧，也没人提醒我（x

我记得回滚s1默认就是不开的，当时我还在样本区问过为啥我没回滚来着

kaba777

hakuhaku 发表于 2024-11-25 16:08
这种机制在对抗勒索感觉非常强大啊。LZ方便PM一下入正渠道吗，想研究下S1这方面的机制实现方式，以及Data ...

强大吗，s1一回滚，勒索是回滚了，但是最近几天修改的数据也全没了个人猜测实现方式类似虚拟机快照，直接做个镜像的概念，只要是和镜像不匹配的全都回滚到镜像状态

神龟Turmi

kaba777 发表于 2024-12-10 20:05
强大吗，s1一回滚，勒索是回滚了，但是最近几天修改的数据也全没了个人猜测实现方式类似虚拟机快照 ...

不 它的回滚是基于EDR记录到的操作和windows提供的卷影（VSS）的
它会单独建立一个卷影 占用最大硬盘的10%空间（可调整）记录最近的所有文件/服务/驱动变更
在装了S1的机器上cmd执行vssadmin list shadows /for=%systemdrive%
就可以看到S1建立的卷影（但是别想着删 受保护的 谁删主防干谁）
然后触发回滚的时候是看这个需要回滚的程序它做了什么修改 只会回滚它所做的修改
从实际效果来说和卡巴的PDM触发的回滚是一样的 不会影响正常数据
只不过S1有云端的EDR DataLake作为支撑所以可以回滚的周期更长而已

yangjiangh2

切实强大的一B，不过没怎么用过这软件

zzfaye

看完我喜欢上了uninstall tool

saky20008

flyingyoung 发表于 2024-11-24 18:55
它要是一开始就一堆误报让我知难而退就好了，谁知道它平时安安静静结果一下爆个大的（我排除列表只加了一 ...

用BCUninstaller和HiBitUninstaller