De SentinelOne-agent werkt zowel online als offline. De agent op het endpoint voert statische en dynamische gedragsanalyse vóór en tijdens de uitvoering uit.
Dit zijn de twee voornaamste preventie- en detectiemethoden en er is geen internetverbinding voor nodig. Maar wanneer de agent online is naast de lokale checks, kan de agent ook een query naar de SentinelOne-cloud sturen voor nadere controle.