การ Integration ระหว่าง Athena NDR กับ Sangfor NGAF

บทนำ

Athena NDR สามารถ Integrate กับ Sangfor NGAF (Next Generation Application Firewall) เพื่อให้ทั้งสองระบบแลกเปลี่ยนข้อมูลภัยคุกคามและสั่ง Block IP ที่ตรวจพบจาก NDR ไปยัง NGAF ได้โดยอัตโนมัติ (Auto Response)

ข้อกำหนดเบื้องต้น

• Athena NDR ต้องมี Network ที่สามารถติดต่อกับ NGAF ได้
• NGAF เปิด API / Management Access
• บัญชี admin ของ NGAF ที่ใช้เชื่อมต่อ
• ทราบ IP ของ NGAF และ Port ที่ใช้ (default HTTPS 443)

ขั้นตอนที่ NGAF

1. Login เข้า NGAF Web Console
2. ไปที่ System > Administrator สร้าง User สำหรับ API (มีสิทธิ์จัดการ Policy)
3. ตรวจสอบว่า HTTPS Management เปิดใช้งานในฝั่ง Interface ที่ NDR ติดต่อเข้ามาได้

ขั้นตอนที่ Athena NDR

1. Login เข้า Athena NDR Console
2. ไปที่ Response > Response Devices หรือ System > Integration
3. คลิก Add เลือกประเภทเป็น Sangfor NGAF
4. กรอก:
   • Name: ชื่อเรียก NGAF
   • IP Address: IP ของ NGAF
   • Username / Password ของ API User
   • Port: 443 (หรือ Custom Port)
5. คลิก Test Connection เพื่อตรวจสอบ
6. Save

การตั้งค่า Auto Response

1. ไปที่ Response > Response Policies
2. สร้าง Policy ใหม่ เลือก Action เป็น Block via NGAF
3. กำหนดเงื่อนไข Trigger เช่น Incident Severity = High
4. เลือก NGAF ที่เพิ่มไว้เป็นอุปกรณ์ Response
5. Save และ Enable Policy

การตรวจสอบ

• สถานะการเชื่อมต่อที่ Response Devices ต้องเป็น Online/OK
• เมื่อมี Incident ระดับที่กำหนด ให้ตรวจสอบ NGAF ว่ามี IP ถูกเพิ่มเข้าสู่ Block List อัตโนมัติ
• ตรวจสอบ Log ที่ NDR หน้า Response > Response Log

หมายเหตุ

• ควรทดสอบในสภาพแวดล้อม Lab ก่อนเปิดใช้ Auto Block ใน Production เพื่อป้องกันการ Block IP ของ Service สำคัญ
• ดูภาพรวม Auto Response ที่ การทำ Auto Response ร่วมกับอุปกรณ์ Sangfor