การ Integration ระหว่าง Athena NDR กับ Sangfor Endpoint Secure (On-Prem)

บทนำ

Athena NDR สามารถ Integrate กับ Sangfor Endpoint Secure แบบ On-Premise เพื่อรวมข้อมูลภัยคุกคามจากฝั่ง Endpoint เข้ากับการวิเคราะห์ Network และใช้ Endpoint Secure เป็นอุปกรณ์ Response สั่ง Isolate Host ที่ตรวจพบภัยคุกคาม (XDR-like experience)

ข้อกำหนดเบื้องต้น

• Sangfor Endpoint Secure Manager (On-Prem) ติดตั้งและใช้งานได้
• Endpoint Secure เวอร์ชันรองรับการ Integrate กับ Athena NDR (แนะนำเวอร์ชันล่าสุด)
• Network Path จาก NDR ถึง Endpoint Secure Manager เปิด HTTPS
• บัญชี Administrator ของ Endpoint Secure สำหรับสร้าง API User
• สำหรับ SaaS Endpoint Secure (Platform-X) ดู Integration กับ SaaS Endpoint Secure

ขั้นตอนที่ Endpoint Secure Manager

1. Login เข้า Endpoint Secure Manager
2. ไปที่ System > API / Integration
3. สร้าง API User พร้อม Permission Management / Response
4. บันทึก API Key / Secret หรือ Username / Password ไว้
5. ตรวจสอบว่า Interface ของ Manager เปิด HTTPS Access สำหรับ NDR

ขั้นตอนที่ Athena NDR

1. Login เข้า Athena NDR Console
2. ไปที่ Response > Response Devices หรือ System > Integration
3. คลิก Add เลือกประเภท Sangfor Endpoint Secure (On-Prem)
4. กรอก:
   • Name
   • IP / Hostname ของ Endpoint Secure Manager
   • Port (default 443)
   • API Key / Username และ Password
5. คลิก Test Connection เพื่อยืนยันการเชื่อมต่อ
6. Save

การตั้งค่า Response Policy

1. ไปที่ Response > Response Policies
2. สร้าง Policy ใหม่ เลือก Action Isolate Host via Endpoint Secure
3. กำหนดเงื่อนไข เช่น Incident Severity >= High หรือพบ Malware ชนิดเฉพาะ
4. Save และ Enable

การตรวจสอบ

• สถานะ Integration ที่หน้า Response Devices ต้องเป็น Online
• เมื่อเกิด Incident ที่เข้าเงื่อนไข ตรวจสอบใน Endpoint Secure ว่า Host ถูก Isolate
• ตรวจสอบ Log การสั่ง Response ใน NDR ที่ Response > Response Log

หมายเหตุ

• ควรทดสอบ Action Isolate ในกลุ่มเครื่องเล็กๆ ก่อนเปิดใช้ Production เพื่อลดผลกระทบ
• Integration นี้เฉพาะ Endpoint Secure แบบ On-Prem Manager — หากเป็น SaaS ให้ใช้บทความ SaaS แยก