คู่มือเริ่มต้นใช้งาน Athena XDR (SaaS Quick Start)

คู่มือนี้พาผู้ดูแลระบบและทีม SOC เริ่มใช้ Sangfor Athena XDR แบบ SaaS ตั้งแต่ Tenant ที่ยังว่าง เชื่อมแหล่งข้อมูล ตั้งค่า SecOps เริ่มต้น ตรวจจับและสืบสวน ตอบสนอง ไปจนถึงรายงานและงานประจำวัน แต่ละหัวข้อสรุปขั้นตอนหลักและลิงก์ไปยังบทความที่ลงรายละเอียด ใช้เป็นลำดับงานสำหรับโครงการใหม่หรือช่วงทดลองใช้ได้ทันที

วิดีโอ Quick Start

ดูภาพรวมการใช้งาน Athena XDR แบบ SaaS ตั้งแต่ต้นจนจบได้จากวิดีโอนี้

• เปิดบน YouTube: https://youtu.be/VK-_XZIfN5E
• เพลย์ลิสต์ Sangfor Athena XDR: https://www.youtube.com/playlist?list=PLTXKp9KExrls

สิ่งที่ต้องเตรียม

รายละเอียดการวางแผน เช่น จุดวาง STA, รายการ Domain และเกณฑ์ตรวจรับ ดูได้ที่ การวางแผนและเตรียมการติดตั้ง Athena XDR

เข้า Console และเตรียม Tenant

Athena XDR แบบ SaaS ไม่ต้องติดตั้ง Server เอง Tenant คือพื้นที่ของ XDR ที่แยกไว้ให้องค์กรบน Cloud องค์กรที่มี Platform-X ID อยู่แล้วเริ่มที่ขั้นตอนที่ 4 ได้เลย

1. องค์กรที่สมัคร Platform-X ID ใหม่ ให้เปิด x.sangfor.com แล้วกด Register

   

2. หน้า Basics กรอก Account, Password, Real name, Email address และ Mobile Number (ไม่ต้องกรอกเลข 0 นำหน้า) ใช้อีเมลกลางขององค์กรเพื่อให้ทีมที่ดูแลต่อเข้าถึง Account ได้เสมอ ชื่อ Account เปลี่ยนภายหลังไม่ได้ และเบอร์มือถือกับอีเมลใช้ซ้ำกับ Admin หรือ Sub-Admin อื่นไม่ได้ กด Send เพื่อรับรหัสยืนยัน กรอกรหัส ติ๊กยอมรับ EULA และ DPA แล้วกด Next

   

3. หน้า Corporation Info กรอกชื่อองค์กรเป็นภาษาอังกฤษ เลือกประเทศและจังหวัด แล้วกด Register

   

4. Login เข้า Platform-X ด้วย Account ขององค์กร ที่การ์ด Athena XDR (SaaS) ดูสถานะ License ได้ เช่น In Trial พร้อมวันหมดอายุ หรือ Expired เมื่อหมดอายุแล้ว License เชิงพาณิชย์ทีม Sangfor เป็นผู้เปิดให้

   

5. กด Visit ที่การ์ด Athena XDR (SaaS) Console จะเปิดที่หน้า Home › Monitor Overview ตัวเลข Log, Alert และ Incident จะเริ่มขึ้นเมื่ออุปกรณ์ส่งข้อมูลเข้ามา

   

6. Tenant ใหม่จะแสดง Configuration Guide ซึ่งรวมการตั้งค่าพื้นฐานที่ต้องทำให้ครบ และจะแสดงซ้ำจนกว่าจะตั้งค่าครบ เริ่มที่ Custom Settings เลือกอุปกรณ์ Sangfor และอุปกรณ์ของผู้ผลิตอื่นที่องค์กรมี (ถ้าไม่มีในรายการให้ไปขั้นถัดไปได้) จากนั้นทำตามรายการ Device Connection, Asset Management (Asset IP Ranges, Asset Groups, Activation & Deactivation, Special Assets) และ Threat Response (Auto Containment, SOAR Playbooks) ซึ่งมีขั้นตอนอยู่ในหัวข้อถัดไปของคู่มือนี้

   

7. ทำความรู้จักเมนูด้านซ้ายซึ่งเรียงตามลำดับงาน: Home (ภาพรวม) › Detections (สืบสวน) › Responses (บล็อก แยกเครื่อง เปิด Ticket) › Risk Management และ Asset Center › Configuration (การตั้งค่าทั้งหมด) กด Functions เพื่อดูทุกเมนูในหน้าเดียวพร้อมช่องค้นหา เมนูที่มีป้าย GPT คือหน้าที่ Security GPT ช่วยวิเคราะห์ ส่วนหน้าที่เปิดบ่อยกดไอคอนปักหมุดเก็บไว้ใน Favorites (แผนผังเมนูของ Console)

   

8. ตรวจ License ที่ Configuration › Basic Configuration › Licensing ช่วงทดลองใช้ช่อง License Type เป็น Evaluation และโมดูลมีป้าย Trial ได้แก่ SaaS XDR Essential (ระบบหลัก), Security Operation GPT, โมดูลเสริมอย่าง Data Fusion (รับ Log จากอุปกรณ์ของผู้ผลิตอื่น) และ Auto Containment ส่วน SOAR และ Ticketing อยู่ในกลุ่ม App Center เมนูที่ใช้ได้ขึ้นกับโมดูลในหน้านี้

   

9. สร้าง Account ให้ Engineer แยกต่างหาก: ใน Platform-X กดรูป Avatar › Corp Center › Accounts › New Account กรอก Username (ใช้ขีดล่างแทนขีดกลาง เช่น soc_engineer), รหัสผ่าน เบอร์มือถือ และอีเมล แล้วกด Next ที่หน้า Permissions ตั้ง Account Type เป็น Admin (Read/Write) ติ๊ก Athena XDR ที่ Product Permissions แล้วกด Completed

   

10. Account จะซิงก์ไปที่ XDR โดยเริ่มเป็น Role Regular user (ดูได้อย่างเดียว) ไปที่ Configuration › Basic Configuration › User Accounts แท็บ Users เลือก Role ในคอลัมน์ Role ของแถวนั้น เช่น Super administrator สำหรับ Engineer ที่ต้องตั้งค่าทั้งระบบ และเปิด Google TOTP ได้ที่แท็บ MFA (การจัดการ Accounts และ Roles)

    

11. ตั้ง Time Zone: คลิกชื่อผู้ใช้มุมล่างซ้าย › Profile ที่ช่อง Time Zone เลือก (UTC+07:00) Bangkok, Hanoi แล้วกด Save เพื่อให้ Timeline และรายงานตรงกับเวลาไทย

    

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร ขั้นตอนเต็มของการเปิด Tenant ดูที่ การเข้าใช้งาน Tenant และ Platform-X

เชื่อมต่อแหล่งข้อมูล

XDR จะเห็นการโจมตีครบเมื่อได้ข้อมูลจาก Endpoint, Firewall และเซ็นเซอร์ในเครือข่าย อุปกรณ์ของ Sangfor แสดงที่ Configuration › Connection › Device Connection แท็บ Native Devices

Athena EPP (SaaS)

1. ที่ Platform-X › Device Manager › Visit เลือกอุปกรณ์ EPP ขององค์กร กด Edit แล้วติ๊ก Athena XDR ในช่อง Connected Platform และกด Save เมื่อบันทึกแล้วทั้งสอง Console จะแสดงการเชื่อมต่อเอง คือแถวของ EPP ในแท็บ Native Devices ของ XDR และรายการ Athena XDR ที่ System › Integrated Devices ของ EPP

   

2. ที่ Console ของ EPP ไปที่ System › Integrated Devices กด Integration Settings ที่แถวของ Athena XDR ตรวจว่า Command Channel, SSO และ Log Reporting เปิดอยู่ เลือกระดับ Advanced Threat Log ที่ต้องการรายงาน เช่น Medium, High และ Critical แล้วกด OK

   

3. ที่ General Policies เลือกกลุ่มเครื่อง แท็บ Basic Config › Advanced Threat Detection and Log Collection ติ๊ก Collect endpoint behavior data และ Report endpoint behavior data ไปที่ Athena XDR แล้วกด Save (ตั้งทั้งแท็บ Windows และ Linux) มิฉะนั้น XDR จะไม่ได้ Log พฤติกรรมของเครื่อง

   

4. กลับมาที่ XDR ตรวจ 4 จุดในแถวของอุปกรณ์ (ใช้กับอุปกรณ์ Sangfor ทุกตัว): Status เป็น Online, Log Reporting เป็นสีเขียว, Coordinated Response เป็นสีเขียว และ Log Details มี Log ของวันนี้ หากยังไม่ Online กด Test Connectivity ส่วนช่อง Device Alert จะเตือนเมื่อมีเรื่องต้องตรวจ เช่น เวอร์ชันต่ำกว่าที่กำหนด (การตรวจสุขภาพการเชื่อมต่ออุปกรณ์)

   

ขั้นตอนละเอียด: การเชื่อมต่อ Athena EPP (SaaS) กับ Athena XDR และภาพรวม Native Devices

Athena NGFW

1. ตรวจที่ NGFW ว่า Default Route ออกทาง WAN และ DNS Servers Resolve Domain ของ Sangfor ได้ สร้าง Policy ที่ครอบโซนผู้ใช้ โซน Server และ Traffic ระหว่างโซน เปิด Intrusion Prevention, Content Security และ Botnet Detection พร้อม Log events

2. ไปที่ SOC › Next-Gen Security › Product Integration แล้วกด Connect ที่ Sangfor Platform-X

   

3. เลือก Cloud Data Center ให้ตรงกับ Tenant รอให้ Domain Name Connectivity Check ขึ้น Passed แล้วกด Connect

   

4. หน้า Quick Connection ของ Platform-X เปิดขึ้นมา ใช้ Account เดียวกับ Tenant ตั้ง Device Name ติ๊กยอมรับ EULA และ DPA แล้วกด Connect Now จากนั้นรอสักครู่ให้อุปกรณ์ขึ้น Online ใน Native Devices แล้วตรวจ 4 จุดเหมือน EPP (ขั้นตอนละเอียด)

   

Athena STA

1. ก่อนเชื่อม ตรวจหน้า Status ของ STA ว่ากราฟ Throughput ของพอร์ต Mirror มี Traffic และ Interface ด้านล่างเป็นสีเขียว

   

2. ที่ XDR แท็บ Native Devices กด Add เลือก Stealth Threat Analytics ตั้ง Device Name (ใช้ขีดล่าง เช่น HQ_STA เพราะช่องนี้ไม่รับขีดกลาง) ใช้ Add Method แบบ Connection Key กรอก IP Address แล้วกด Copy Auth Info and Confirm

   

3. ที่ STA ไปที่ System › Log Sync Destination แท็บ Athena XDR (SaaS)/Athena MDR ติ๊ก Enable เลือก Data Center ให้ตรงกับ Tenant ใช้ Access Method แบบ Connection Key กด Paste Connection Key เลือก Log Types เป็น Advanced logs กด Test Connectivity ให้ผ่านทุก Domain แล้วกด Save Channel Status จะเปลี่ยนเป็น Channel Connected และแถวของ STA ใน XDR จะขึ้น Online (ขั้นตอนละเอียด)

   

อุปกรณ์ของผู้ผลิตอื่นผ่าน XDR Broker

1. ที่ Device Connection แท็บ Broker Settings กด Add ตั้งชื่อ (ใช้ขีดล่าง) กรอก Remarks แล้วกด Copy Connection Key and Save แถวของ Broker จะขึ้นสถานะ Not Connected รอการตั้งค่าฝั่ง Broker

   

2. ติดตั้ง VM ของ Broker และตั้ง IP คงที่ เปิดหน้า Web ของ Broker ที่ Connection Settings กด Paste Connection Key แล้วกด Save and Connect รอให้ Connection Status เป็น Connected และรายการ Domain กับพอร์ตใน Test Connectivity ผ่านครบ

   

3. กลับมาที่ Broker Settings แถวของ Broker จะขึ้น Online พร้อม Log Reporting และ Coordinated Response สีเขียว

   

4. แท็บ Third-Party Devices กด Add เลือก Device Type เช่น Fortinet FW กรอกชื่อและเวอร์ชัน ตั้ง Connection Mode เป็น Broker Connection เลือก Broker ติ๊ก Log Ingestion แล้วกด Next

   

5. ตั้ง Connection Method เป็น Syslog กรอก Src IP เป็น IP ที่อุปกรณ์ใช้ส่ง Log แผง Operation Guide ด้านขวาอธิบายแต่ละช่อง แล้วกด OK

   

6. ที่อุปกรณ์ตั้งค่าส่ง Syslog ไปที่ IP ของ Broker (UDP 514) และให้ส่งออกจาก IP เดียวกับช่อง Src IP เมื่อ Log เข้าแล้ว ช่อง Logs Ingested Today จะขยับขึ้นและป้าย Log Ingestion เป็นสีเขียว

   

หากต้องการให้ XDR สั่งบล็อกที่อุปกรณ์ด้วย ให้เปิด Coordinated Response ในแถวของอุปกรณ์ ดู การเชื่อมต่ออุปกรณ์ของผู้ผลิตอื่น, การเชื่อมต่อ FortiGate และ การสั่งบล็อกที่ FortiGate คุณภาพ Log ของทุกแหล่งดูได้ที่แท็บ Data Quality Analysis ซึ่งคิดคะแนนจาก Log ย้อนหลัง 7 วัน

ตั้งค่า SecOps เริ่มต้น

Asset คือทุกเครื่องในเครือข่ายที่มี IP XDR ค้นพบเครื่องเองจากแหล่งข้อมูลแล้วรวมไว้ที่ Asset Center › Assets › Active Assets งานที่ต้องตั้งมีสามส่วน คือช่วง IP กลุ่ม Asset และแหล่งข้อมูล Asset ส่วนที่เหลือใช้ค่าเริ่มต้นได้

1. กด Configure IP Range › IP Ranges เพิ่มช่วง IP ภายในที่ XDR ดูแล ทีละบรรทัด (ค่าเริ่มต้นมีวง Private IP) รวมถึง Public IP ที่ใช้ในเครือข่ายภายใน แล้วกด OK ส่วน Public IP ที่สาขาใช้เชื่อมเข้ามาให้ตั้งที่ Unmanaged IP Ranges

   

2. เพิ่มเจ้าของเครื่องที่หน้า Owners: กด Add ที่แผงด้านซ้ายเพื่อสร้างแผนก แล้วกด Add ด้านบน กรอกชื่อและเลือกแผนก (สองช่องนี้บังคับ) แล้วกด OK

   

3. กลับมาที่ Active Assets แผง Asset Groups กด Add กำหนด Group Name, Owner, Asset Type และ IP Range แล้วกด OK

   

4. เพิ่ม Special Asset ที่ Asset Center › Asset Configuration แท็บ Special Assets เช่น DNS Server ภายใน Proxy หรือเครื่องสแกนช่องโหว่ เพื่อไม่ให้การวิเคราะห์เพี้ยน เลือกประเภททางซ้าย กด Add แล้วกรอก IP (รายการที่ระบบระบุเองจะขึ้นเป็น Auto Identified)

   

5. หากมี Proxy หรือ Load Balancer หน้า Server ให้เปิด X-Forwarded-For ที่อุปกรณ์ แล้วที่หน้า Security Alerts กด Rules › X-Forwarded-For Value Priorities กด Add เพิ่มชื่อ Header ที่อุปกรณ์ใช้และจัดลำดับ

   

6. Mark เครื่องที่สำคัญที่สุด: ติ๊กแถวใน Active Assets กด Mark Asset แล้วเลือก As Critical

   

7. ทดสอบการตอบสนองก่อนเปิดให้ระบบบล็อกเอง: ที่ Responses › Responses แท็บ Address Blocking กด Add ใช้ IP สำหรับเอกสารและการทดสอบ เช่น 203.0.113.10 เลือกอุปกรณ์ทั้งหมดใน Connected Device ตั้ง Block Duration เป็น Permanently block (แบบที่ใช้กับ FortiGate) รอให้ทุกแถวเป็น Blocked แล้วกด Unblock เพื่อคืนค่า ฝั่ง Endpoint ทดสอบด้วย Virus Scan แบบ Quick Scan

   

รายละเอียดเพิ่มเติม: การตั้งค่า SecOps เริ่มต้น และ Asset Center

ตรวจจับและสืบสวน

ทดสอบการตรวจจับด้วยตัวอย่างการโจมตีจำลองที่ควบคุมได้ในเครือข่ายทดสอบที่แยกจากระบบจริง (ขอชุดสคริปต์ได้จากทีม Sangfor หรือพาร์ทเนอร์ และรันสคริปต์ Clean-up ทุกครั้งหลังทดสอบ)

1. Home › Monitor Overview แถบด้านบนแสดง Log ที่ถูกกรองเป็น Alert และ Incident การ์ด Pending Issues ให้คะแนนความปลอดภัย การ์ด Threat Response บอก Incident ที่ค้าง (วิธีอ่าน Monitor Overview)

   

2. Detections › Security Incidents คือหน้าทำงานหลักของทีม รายการเริ่มต้นแสดงเรื่องที่ยังรอจัดการ กดตัวกรองที่คอลัมน์ Security GPT Analysis Result เลือกผล เช่น Endpoint Compromise กด OK แล้วคลิกชื่อ Incident

   

3. ในหน้ารายละเอียด แท็บ Security GPT Analysis สรุปเรื่อง (Incident Analysis, Summary, Key Alert Analysis) แท็บ Attack Chain วาดเส้นทางการโจมตี และแท็บ Timeline เรียง Alert ตามเวลา โดยป้าย First Alert ชี้จุดเริ่มต้น

   

   

4. Detections › Security Alerts แท็บ Prioritized for Analysis คัด Alert ที่ควรดูก่อน แท็บ All Alerts แสดงผลวิเคราะห์ของ GPT ทุกแถว กดตัวกรองที่คอลัมน์ Security GPT Analysis Result เพื่อแยก Endpoint Compromise, Malware Infection, Suspected Attack และ False Positive หากผลไม่ตรงบริบทขององค์กรใช้ Rules › GPT Tuning ส่วนงานปกติขององค์กร เช่น ระบบสแกนช่องโหว่ภายใน ใช้ Alert Whitelisting โดยตั้ง Applicable Hosts ให้แคบที่สุด (Security Alerts, Whitelists)

   

5. Detections › Risky Assets ดูความเสี่ยงรายเครื่อง คลิก IP เพื่อดูระดับความเสี่ยง แถบ MITRE ATT&CK และรายการ Security Incidents กับ Security Alerts ของเครื่องนั้น

   

6. Detections › Security Logs ค้น Log ดิบด้วยตัวกรองหรือ SPL ได้ทั้ง Log ของ Sangfor และ Third-Party Logs คอลัมน์ Reporting Device บอกว่า Log มาจากอุปกรณ์ใด (Security Logs)

   

ตอบสนองต่อภัยคุกคาม

1. จากหน้า Incident เปิดแท็บ Entity Fixing แถบด้านบนสรุปสิ่งที่ Auto Containment แนะนำให้บล็อกและบล็อกไปแล้ว การ์ดถัดมาแยกรายการที่อาจกระทบ CDN หรือธุรกิจ ด้านล่างคือ IP, Domain และเครื่องที่เกี่ยวข้องพร้อมปุ่ม Block Address

   

2. กด Block ที่แถวที่ต้องการ หน้าต่าง Block Address ดึงค่ามาให้แล้ว เลือกอุปกรณ์ใน Connected Device (เลือกได้ทั้ง NGFW และ FortiGate ที่เปิด Coordinated Response) ตั้ง Block Duration แล้วกด OK

   

3. ตรวจผลที่ Responses › Responses แท็บ Address Blocking หรือ Domain Blocking ทุกแถวต้องเป็น Blocked คอลัมน์ Connected Device บอกว่าคำสั่งลงที่อุปกรณ์ใด ส่วน File Quarantine และ Asset Isolation สั่งผ่าน EPP ได้จากหน้าเดียวกัน

   

4. แท็บ SOAR Execution History ของ Incident ใช้ Execute SOAR Playbook สำหรับงานหลายขั้น หรือ Execute SOAR Action สำหรับงานเดียว

   

5. แท็บ Ticket Process กด Initiate เพื่อส่งงานให้เจ้าของระบบ

   

6. ตั้ง Auto Containment ที่ Responses › Auto Containment กด Settings ตั้ง Extraction Range, Business Geolocation, Mode Selection, Response Device ฝั่งเครือข่ายและฝั่ง Endpoint และ Block Duration (ใช้ Permanent สำหรับ FortiGate) แล้วกด OK ต้องมี License Auto Containment และ Security Operation GPT และเพิ่ม Allowlist อย่างน้อยหนึ่งรายการก่อนเปลี่ยนโหมด Sangfor แนะนำให้ใช้ Monitoring Mode ประมาณ 1 สัปดาห์ เมื่อไม่พบการบล็อกผิดจึงเปลี่ยนเป็น Containment Mode

   

7. ผลการทำงานดูที่แท็บ External Threat Entities หากมีรายการที่บล็อกผิด เลือกแถวแล้วกด Unblock หรือ Add to Allowlist

   

8. งานตอบสนองที่ทำซ้ำ ให้ SOAR ทำแทน: ที่ Responses › SOAR เปิด Predefined Playbooks เลือก Playbook ที่ตรงกับงาน กด Clone ตั้งชื่อ แล้วเลือก Application ของอุปกรณ์ เช่น Firewall ที่เชื่อมไว้ จากนั้นกด Save และเปิดใช้ที่ My Playbooks

   

รายละเอียด: Responses, Auto Containment และ SOAR

รายงานและงานประจำ

1. Home › Reports มีรายงานสำเร็จรูป Athena XDR Security Operations Report ทั้ง PowerPoint และ PDF กด Preview เลือกช่วงเวลาและกลุ่ม Asset กด Export เพื่อได้ไฟล์ หรือ Create Copy เพื่อปรับ Component เอง การส่งอีเมลตามรอบใช้ปุ่ม Schedule โดยตั้งค่า Email Server ไว้ก่อน (Reports)

   

2. ทุกเช้าเปิด Monitor Overview ดู Incident ที่ Pending และตัวเลข Offline & Alerting Devices หากมีอุปกรณ์ Alerting ไปที่ Device Connection กด Test Connectivity ส่วนอุปกรณ์ของผู้ผลิตอื่นดู Logs Ingested Today และ Coordinated Response

3. เปิด Home › Guarding Overview ดูงานของ Security GPT ได้แก่แหล่งที่ส่ง Alert, Alert Analysis Coverage, Time Saved และ Incident ที่จัดการอัตโนมัติหรือรอคนตัดสินใจ

   

4. ทุกสัปดาห์ทำ System Check ที่ Configuration › System Monitor › Maintenance แท็บ System Check กด Check Again แล้วแก้รายการในแท็บ Abnormal ตามคำแนะนำ ครอบคลุม License การเชื่อมต่อและการส่ง Log ของอุปกรณ์ อัตราการติดตั้ง Agent และ Coordinated Response

   

5. ระบบ SIEM หรือ Ticket ขององค์กรดึง Incident, Alert, Asset และช่องโหว่ผ่าน REST API ได้ สร้าง API Key แยกตามระบบที่ Configuration › Integration › API Keys และก่อนลบ Key ให้ดูช่อง References (API Keys)

รายการงานประจำวันและประจำสัปดาห์แบบเต็มดูที่ งานประจำวันของทีม SOC บน Athena XDR

เลือกรูปแบบการดูแลระบบ

ทุกขั้นตอนข้างต้นทีมขององค์กรดูแลเองได้ทั้งหมด หากต้องการให้ Asset สำคัญมีคนเฝ้าตลอด 24 ชั่วโมง เลือกได้อีกสองแบบ

• Hybrid (Co-Managed AI SecOps) ทีม Sangfor MDR เฝ้า Asset สำคัญที่ตกลงกันตลอด 24 ชั่วโมง ส่วน Asset ที่เหลือทีมขององค์กรดูแลเองด้วย XDR
• Fully Managed ทีม Sangfor MDR เฝ้าทุก Asset ตั้งแต่เฝ้าระวังจนถึงช่วยตอบสนอง เหมาะกับองค์กรที่เพิ่งเริ่มงานด้าน Security

งานของทีม MDR ตามดูได้ที่ Security Incidents ผ่านฟิลด์ MDR Incident ID และทุกแบบใช้ Console และ Security GPT ชุดเดียวกัน ดู รูปแบบการดูแลระบบและการทำงานร่วมกับ Sangfor MDR