การ Correlate Athena NDR กับ CrowdStrike Falcon (Third-Party)

บทนำ

Sangfor Athena NDR รองรับการ Integrate กับ CrowdStrike Falcon เพื่อดึงข้อมูล Endpoint Detection มาประกอบการวิเคราะห์ในฝั่ง Network และสั่ง Contain (Isolate) เครื่องที่ตรวจพบภัยคุกคามผ่าน CrowdStrike ได้โดยตรง

ข้อกำหนดเบื้องต้น

• CrowdStrike Falcon Tenant ที่ใช้งานอยู่ พร้อมสิทธิ์สร้าง API Client
• Athena NDR เวอร์ชันรองรับ Third-Party Correlation (3.0.64 ขึ้นไป)
• Network จาก NDR ออก Internet ไปยัง CrowdStrike Cloud API Endpoint (HTTPS)
• ทราบ Cloud Region ของ Tenant (US-1, US-2, EU-1 ฯลฯ)

ขั้นตอนที่ CrowdStrike Falcon

1. Login เข้า Falcon Console
2. ไปที่ Support and resources > API Clients and Keys
3. คลิก Create API Client
4. ตั้งชื่อ Client เช่น Sangfor-AthenaNDR
5. กำหนด Scope ที่จำเป็น:
   • Detects: Read
   • Hosts: Read, Write (สำหรับ Contain)
   • Incidents: Read
6. บันทึก Client ID และ Secret ไว้ (Secret จะแสดงครั้งเดียว)

ขั้นตอนที่ Athena NDR

1. Login เข้า Athena NDR Console
2. ไปที่ System > Integration > Third-Party Correlation
3. คลิก Add แล้วเลือก CrowdStrike Falcon
4. กรอกข้อมูล:
   • Name
   • Cloud Region (เช่น https://api.crowdstrike.com)
   • Client ID
   • Client Secret
5. คลิก Test Connection
6. Save เมื่อการเชื่อมต่อสำเร็จ

การตั้งค่า Response Action

1. ไปที่ Response > Response Policies
2. สร้าง Policy ใหม่ เลือก Action Contain Host via CrowdStrike
3. กำหนดเงื่อนไขและ Severity ที่ต้องการ
4. Save และ Enable

การตรวจสอบ

• สถานะ Integration ต้องเป็น Online / Connected
• ตรวจสอบว่า Detection ของ CrowdStrike เริ่มปรากฏใน Incident ของ Athena NDR
• ทดสอบสั่ง Contain จาก NDR แล้วตรวจสอบใน Falcon ว่า Host เข้าสู่สถานะ Network Contained

หมายเหตุ

• Client Secret ของ CrowdStrike ไม่สามารถดูซ้ำได้หากไม่ได้บันทึกไว้ ให้ Regenerate ใหม่
• การ Contain ผ่าน CrowdStrike ควรจำกัดเฉพาะ Incident ที่มั่นใจเพื่อป้องกันผลกระทบต่อ User