Il 28 settembre 2026, N‑able ha comunicato di aver identificato un problema di falsi positivi che coinvolgeva N-sight Web Protection e N-able Endpoint Detection & Response, basato sulla tecnologia SentinelOne.

Il motore Behavioral AI di SentinelOne aveva classificato erroneamente come malevola un’attività legittima collegata a Web Protection. In alcuni casi, la mitigazione automatica ha provocato la perdita della connettività Internet e la disattivazione della protezione web sugli endpoint coinvolti.

SentinelOne ha completato l’analisi e confermato che il file interessato è un componente autentico e firmato da N‑able. N‑able ha quindi applicato centralmente un’esclusione in tutte le console SentinelOne.

Situazione attuale

Stato: risolto

N‑able ha comunicato che:

• la rilevazione è stata confermata come falso positivo;
• il componente coinvolto è un file autentico firmato da N‑able;
• il file è stato aggiunto alla lista delle esclusioni;
• l’esclusione è stata distribuita in tutte le console SentinelOne;
• non è richiesta alcuna azione ai partner.

L’esclusione è stata applicata all’intera base gestita, con l’obiettivo di impedire nuove rilevazioni e nuove mitigazioni del componente legittimo.

Prodotti interessati

Il problema riguarda gli ambienti nei quali sono utilizzati contemporaneamente:

• N-sight Web Protection;

• N-able Endpoint Detection & Response.

La comunicazione non indica il coinvolgimento di altri componenti N‑sight o di endpoint sui quali Web Protection non è abilitato.

Quali sintomi potevano verificarsi

Sugli endpoint interessati potevano essere osservati uno o più dei seguenti comportamenti:

• rilevazione SentinelOne associata a N-sight Web Protection;
• mitigazione automatica di un componente legittimo;
• perdita improvvisa della connettività Internet;
• disattivazione o mancato funzionamento di Web Protection;
• endpoint apparentemente protetto dall’EDR ma privo della protezione web prevista;
• alert di sicurezza non accompagnati da ulteriori indicatori di compromissione.

La presenza di uno di questi sintomi non deve essere attribuita automaticamente al falso positivo. È necessario verificare che la rilevazione corrisponda all’evento descritto da N‑able e non a una minaccia differente.

Qual è stata la causa

Il motore Behavioral AI di SentinelOne ha interpretato erroneamente il comportamento del componente Web Protection sulla base di più indicatori di minaccia.

La classificazione non era causata dalla presenza di malware nel file. L’analisi condotta da SentinelOne ha infatti confermato che si trattava di:

• un componente legittimo di N-sight;
• un file firmato digitalmente da N‑able;
• un comportamento previsto della funzionalità Web Protection;
• una rilevazione errata del motore comportamentale.
• L’intervento automatico di SentinelOne era quindi coerente con la policy di mitigazione configurata, ma veniva applicato a un’attività lecita.

Come è stato risolto il problema

Dopo la conferma del falso positivo, N‑able ha inserito il file interessato nella lista delle esclusioni distribuita alle console SentinelOne.

L’intervento permette di:

• evitare che il componente venga nuovamente classificato come malevolo;
• impedire ulteriori mitigazioni automatiche;
• sbloccare il file nelle console gestite;
• ripristinare il normale funzionamento della funzionalità.

L’esclusione è stata applicata centralmente da N‑able e non deve essere ricreata manualmente dai partner.

È necessario intervenire manualmente?

No. N‑able specifica che non è richiesta alcuna azione da parte dei partner.

In particolare, non è necessario:

• aggiungere manualmente il file alle esclusioni;
• creare esclusioni globali o basate su cartelle;
• disabilitare il motore Behavioral AI;
• sospendere SentinelOne;
• disattivare le policy di mitigazione;
• reinstallare preventivamente Web Protection o l’agent EDR;
• modificare le configurazioni di sicurezza sugli endpoint che funzionano correttamente.

Interventi manuali non richiesti potrebbero ampliare inutilmente la superficie di esclusione o ridurre il livello di protezione dell’ambiente.

Cosa verificare sugli endpoint coinvolti

Sebbene non sia richiesta una remediation generale, è opportuno verificare gli endpoint sui quali erano stati segnalati problemi.

1. Controllare la connettività Internet

Verificare che il dispositivo riesca nuovamente a:

• raggiungere Internet;
• risolvere correttamente i nomi DNS;
• accedere ai servizi aziendali e cloud previsti;
• comunicare con la piattaforma N-sight.

2. Verificare Web Protection

Controllare nella dashboard N-sight che Web Protection risulti:

• attivo;
• correttamente associato all’endpoint;
• privo di errori;
• operativo secondo la policy prevista.

3. Controllare lo stato di SentinelOne

Verificare che l’agent Endpoint Detection & Response:

• sia online;
• comunichi correttamente con la console;
• non segnali nuove mitigazioni dello stesso componente;
• non presenti ulteriori alert che richiedono un’indagine indipendente.
• 4. Esaminare la cronologia degli alert

Confrontare:

• data e ora della rilevazione;
• endpoint interessato;
• componente coinvolto;
• motore di rilevamento;
• azione di mitigazione eseguita.

Questo controllo permette di distinguere il falso positivo confermato da eventuali alert differenti o successivi.

Cosa fare se il problema continua

Se un endpoint continua a non avere accesso a Internet oppure Web Protection rimane disabilitato, N‑able raccomanda di contattare il supporto.

Prima di aprire la richiesta è utile raccogliere:

• nome del cliente e del sito;
• nome o identificativo dell’endpoint;
• data e ora della rilevazione;
• stato attuale della connettività;
• stato di Web Protection;
• stato dell’agent SentinelOne;
• schermata o dettagli dell’alert;
• eventuali azioni manuali già eseguite.

Queste informazioni non sono indicate da N‑able come obbligatorie, ma possono facilitare la diagnosi e ridurre i tempi di gestione del caso.

Cosa non fare

In presenza di una rilevazione riconducibile a questo incidente, è consigliabile evitare di:

• creare esclusioni estese per cartelle o processi;
• autorizzare genericamente tutti i componenti N‑able;
• disattivare temporaneamente l’EDR su tutti gli endpoint;
• ignorare alert successivi senza verificarne i dettagli;
• eliminare file o componenti della soluzione;
• modificare le policy globali senza indicazioni del supporto.

La conferma di questo specifico falso positivo non significa che qualsiasi futura rilevazione relativa a N-sight debba essere considerata automaticamente innocua.