การ Correlate Athena NDR กับ Sophos Endpoint (Sophos Central)

บทนำ

Sangfor Athena NDR รองรับการ Integrate กับ Sophos Central เพื่อดึงข้อมูล Detection จากฝั่ง Sophos Endpoint มาประกอบการวิเคราะห์ใน Athena NDR และสามารถสั่ง Isolate เครื่องผ่าน Sophos Central ได้อัตโนมัติ

ข้อกำหนดเบื้องต้น

• บัญชี Sophos Central ที่ใช้งานอยู่ พร้อมสิทธิ์ Admin
• สามารถสร้าง API Credentials / Service Principal ใน Sophos Central
• Athena NDR สามารถออก Internet ไปยัง API Endpoint ของ Sophos Central
• Athena NDR เวอร์ชันรองรับ Third-Party Correlation

ขั้นตอนที่ Sophos Central

1. Login เข้า Sophos Central Admin
2. ไปที่ Global Settings > API Credentials Management
3. คลิก Add Credential
4. ตั้งชื่อ เช่น Sangfor-AthenaNDR
5. เลือก Role ที่เหมาะสม เช่น Service Principal Super Admin (หรือ Read-only หากต้องการแค่ดึงข้อมูล)
6. บันทึกค่าที่ Sophos แสดง:
   • Client ID
   • Client Secret (แสดงครั้งเดียว)
   • Tenant ID

ขั้นตอนที่ Athena NDR

1. Login เข้า Athena NDR Console
2. ไปที่ System > Integration > Third-Party Correlation
3. คลิก Add เลือก Sophos Central
4. กรอกข้อมูล:
   • Name
   • Client ID
   • Client Secret
   • Tenant ID
   • Region / API Endpoint (เลือกตาม Data Center ของ Tenant)
5. คลิก Test Connection เพื่อยืนยัน
6. Save

การรับข้อมูล Detection และสั่ง Response

• หลัง Integration สำเร็จ Athena NDR จะเริ่มดึง Alert/Detection จาก Sophos Central
• ข้อมูลจาก Sophos จะถูกใช้ประกอบการวิเคราะห์ Incident ใน NDR
• สามารถตั้ง Response Policy ให้สั่ง Isolate Host via Sophos ได้ที่ Response > Response Policies

การตรวจสอบ

• สถานะ Integration ต้องเป็น Online / Connected
• ตรวจสอบที่ Incident ว่ามี Detection ที่มาจาก Sophos ปรากฏ
• ทดสอบ Isolate เครื่องทดสอบแล้วยืนยันใน Sophos Central ว่า Endpoint เข้าสู่สถานะ Isolated

หมายเหตุ

• Client Secret ของ Sophos แสดงครั้งเดียว หากลืมต้อง Regenerate ใหม่
• ขอบเขต (Scope) ของ API Credential ควรกำหนดให้น้อยที่สุดเท่าที่จำเป็น