การ Correlate Athena NDR กับ Check Point Firewall (Third-Party)

บทนำ

Sangfor Athena NDR สามารถ Integrate กับ Check Point Firewall เพื่อใช้เป็นอุปกรณ์ Response สั่ง Block IP ที่ตรวจพบ Incident จากฝั่ง NDR ผ่าน API ของ Check Point Management Server

ข้อกำหนดเบื้องต้น

• Check Point Management Server (SmartCenter) ที่เปิดใช้ Management API
• บัญชี Administrator ของ Check Point ที่สามารถเรียกใช้ Web API
• Athena NDR สามารถเชื่อมต่อไปยัง Check Point Management Server ได้ (HTTPS)
• ทราบ IP, Port ของ Management API และ Policy Package ที่ใช้งาน

ขั้นตอนที่ Check Point

1. Login เข้า SmartConsole
2. ไปที่ Manage & Settings > Blades > Management API
3. เปิดใช้งาน Management API และตั้งค่าให้รับ Request จาก All IP Addresses หรือเฉพาะ IP ของ NDR
4. Publish และ Install Policy
5. สร้าง Administrator เฉพาะสำหรับ API โดยกำหนด Permission ให้สามารถแก้ไข Policy Package ที่เกี่ยวข้อง
6. บันทึก Username / Password ไว้

ขั้นตอนที่ Athena NDR

1. Login เข้า NDR Console
2. ไปที่ System > Integration > Third-Party Correlation หรือ Response Devices
3. คลิก Add เลือก Check Point Firewall
4. กรอกข้อมูล:
   • Name
   • IP Address ของ Management Server
   • Port API (default 443)
   • Username / Password
   • Policy Package Name ที่จะ Push Rule
5. คลิก Test Connection แล้ว Save

การตั้งค่า Response Policy

1. ไปที่ Response > Response Policies
2. สร้าง Policy ใหม่ Action เป็น Block IP via Check Point
3. กำหนด Trigger Condition เช่น Severity >= High
4. Save และ Enable

การตรวจสอบ

• สถานะ Integration ต้องเป็น Online
• เมื่อเกิด Incident ตรวจสอบใน Check Point ว่า Rule Block IP ถูกสร้างและ Install เข้าสู่ Gateway
• ตรวจสอบ Log การ Response ที่ NDR

หมายเหตุ

• การ Install Policy อัตโนมัติอาจรบกวนการใช้งาน Gateway ชั่วคราว ควรวางแผนช่วงเวลา
• ควร Whitelist IP ของระบบสำคัญเพื่อป้องกันการ Block ผิดพลาด