การเชื่อมต่ออุปกรณ์ Sangfor (Native Devices) กับ Athena XDR — ภาพรวม รุ่นที่แนะนำ และการตรวจผล 4 จุด

Native Devices คืออุปกรณ์ Sangfor ที่เชื่อมตรงเข้ากับ Sangfor Athena XDR (SaaS) ได้แก่ Athena NGFW, Athena STA, Athena EPP และ Athena NDR อุปกรณ์เหล่านี้ส่ง Log เข้า XDR เพื่อใช้ตรวจจับและวิเคราะห์ Incident และบางตัวรับคำสั่งตอบสนองกลับจาก XDR ด้วย บทความนี้สรุปภาพรวมสำหรับผู้ดูแลระบบที่กำลังวางแผนเชื่อมอุปกรณ์ ว่าอุปกรณ์แต่ละตัวส่งข้อมูลอะไร ต้องใช้รุ่นใด เชื่อมด้วยวิธีไหน และตรวจผลอย่างไรหลังเชื่อมเสร็จ ขั้นตอนละเอียดของแต่ละอุปกรณ์แยกไว้ในบทความเฉพาะ

อุปกรณ์แต่ละตัวส่งอะไรให้ XDR

อุปกรณ์แต่ละตัวมองเห็นคนละมุม EPP เห็นสิ่งที่เกิดบนเครื่อง ส่วน STA และ NGFW เห็นสิ่งที่วิ่งในเครือข่าย เมื่อข้อมูลทั้งสองฝั่งเข้ามาที่ XDR ระบบจะเชื่อมโยงเป็น Incident แบบ Endpoint + Network ในเรื่องเดียว

หน้ารวมของอุปกรณ์ทั้งหมดอยู่ที่ Configuration › Connection › Device Connection แท็บ Native Devices ซึ่งแสดง Device Type, Device Name, Status, ช่องสถานะความสามารถ, IP Address, Version และ Last Synced ของแต่ละตัว

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

รุ่นที่แนะนำ

ตรวจรุ่น Software ของอุปกรณ์ก่อนนัดวันติดตั้ง ดูรุ่นได้จาก Web UI ของอุปกรณ์ และหลังเชื่อมแล้วคอลัมน์ Version ในหน้า Native Devices ก็แสดงรุ่นให้ด้วย ถ้ารุ่นยังไม่ตรงกับที่ XDR แนะนำ แถวของอุปกรณ์จะขึ้น Device Alert

ไฟล์อัปเกรดดาวน์โหลดได้จากเว็บ Technical Support ของ Sangfor การอัปเกรดอุปกรณ์ที่เป็นเกตเวย์กระทบทั้งเครือข่าย จึงควรนัด Maintenance Window ไว้ล่วงหน้า และอัปเกรดให้ครบทุกตัวที่จะเชื่อมกับ XDRเพื่อให้ข้อมูลส่งเข้ามาและทำงานร่วมกันได้ครบ

วิธีเชื่อมต่อ 3 แบบ

ทุกแบบต้องเลือก Data Center ให้ตรงกับ Tenant ของ XDR (องค์กรในประเทศไทยใช้ Data Center มาเลเซีย) แล้วมาตรวจผลที่หน้า Native Devices เหมือนกัน

เมื่อกด Add ที่หน้า Native Devices รายการ Device Type มีอุปกรณ์ Sangfor ให้เลือก 6 ชนิด ได้แก่ IAG, Network Secure, Cyber Command, Endpoint Secure, Stealth Threat Analytics และ Endpoint Secure (SaaS)

สิ่งที่ต้องเตรียมก่อนเชื่อม

• Tenant ของ Athena XDR พร้อมใช้งานและเข้าถึงได้จาก Platform-X ดู การเข้าใช้งาน Athena XDR (SaaS) ผ่าน Platform-X
• บัญชีที่ใช้ตั้งค่ามี Role System administrator ปุ่ม Log In และ Delete ที่แถวของอุปกรณ์ต้องยืนยันรหัส TOTP ก่อนใช้งาน จึงควรผูก TOTP กับบัญชีไว้ก่อน
• อุปกรณ์ออกอินเทอร์เน็ตไปถึงโดเมนของ Data Center ได้ การเชื่อมต่อเป็นแบบขาออก (Outbound TCP) จากอุปกรณ์ไปยัง XDR ทางเดียว ไม่ต้องเปิดพอร์ตขาเข้าที่ตัวอุปกรณ์ DNS ของอุปกรณ์ต้อง Resolve ชื่อโดเมนของ Sangfor ได้ และ Default Route ต้องพา Traffic ออกทาง Interface ที่ถูกต้อง
• เวลาของอุปกรณ์ (Device Time) ตรงกับเวลาจริง
• วางแผนจุดวาง STA และจำนวน Agent ของ EPP ไว้แล้ว ดู การวางแผนและเตรียมความพร้อมก่อนติดตั้ง Athena XDR

เชื่อม Athena NDR

องค์กรที่ใช้ Athena NDR อยู่แล้วสามารถให้ NDR ส่งต่อข้อมูลที่ STA เก็บไว้เข้า XDR ได้ XDR ใช้ข้อมูลชุดนี้สร้าง Alert และ Incident ด้วยการตรวจจับของ XDR เอง จึงควรให้ Log ระดับสูงของ STA เข้า NDR ให้ครบก่อน

1. ที่ XDR ไปที่ Configuration › Connection › Device Connection › Native Devices กด Add เลือก Device Type เป็น Cyber Command ตั้ง Device Name แล้วกด Copy Auth Info and Confirm Auth Info ประกอบด้วย CorpID, Connection ID และ Password

   

2. ที่ Web UI ของ NDR เปิดเมนูผู้ใช้มุมขวาบนแล้วเลือก System ไปที่ System › General แท็บ Privacy Options ติ๊ก Join in User Experience Improvement Program แล้วกด OK เพื่อเปิดเมนูส่งข้อมูล

   

3. ไปที่ Data Sharing › Data Upload กด Data Center Settings เลือก Data Center ให้ตรงกับ Tenant (องค์กรในประเทศไทยใช้ Malaysia Data Center) แล้วกด OK

   

4. กด Add ในหน้าต่าง Add Data Report Settings ตั้ง Device Type เป็นตัวเลือกที่ขึ้นต้นด้วย Platform-X และตั้ง Connection Method เป็น Password กด Paste Authentication Info เพื่อวาง Auth Info ที่คัดลอกจาก XDR ระบบจะกรอก CorpID, Connection ID และ Password ให้ (ถ้ากรอกเอง ให้กรอกค่าตาม Auth Info ทีละช่อง) จากนั้นกด Test Connectivity ต้องขึ้นข้อความ Connected

   

5. กด Advanced เพื่อเลือกชนิดข้อมูลที่จะส่งตามที่ Sangfor แนะนำ เช่น Security Log (Log Type เป็น All), Weakness - Weak Password และ Asset Information แล้วกด OK

   

6. แถวใหม่ในหน้า Data Upload ต้องแสดงสถานะ Normal ในคอลัมน์ Running Status

   

7. กลับมาที่ Native Devices ของ XDR แล้วตรวจผล 4 จุดตามหัวข้อถัดไป

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ตรวจผล 4 จุดหลังเชื่อมอุปกรณ์

ทุกครั้งที่เชื่อมอุปกรณ์ใหม่หรืออัปเกรดอุปกรณ์ ให้กลับมาตรวจ 4 จุดนี้ที่แถวของอุปกรณ์ในหน้า Native Devices โดยทั่วไปอุปกรณ์ใช้เวลาประมาณ 5 ถึง 10 นาทีหลังเชื่อมจึงขึ้นในรายการ

1. Status เป็น Online

2. Log Reporting เป็นสีเขียว หมายถึงช่องทางส่ง Log ของอุปกรณ์ทำงานปกติ และ XDR รับข้อมูลจากอุปกรณ์ได้

3. Coordinated Response เป็นสีเขียว หมายถึงอุปกรณ์ทำ Single Sign-On (SSO) และรับคำสั่งตอบสนอง เช่น บล็อก IP หรือ Isolate เครื่อง จาก XDR ได้

   

4. Log Details มี Log เข้ามา กด Log Details ที่แถวของอุปกรณ์ หน้าต่างแสดง Today's Logs, Last Synced และตาราง Log Types แยกจำนวนตามชนิด Log

   

กด Test Connectivity ที่แถวของอุปกรณ์เพื่อทดสอบการเชื่อมต่อได้ทุกเมื่อ ถ้าปกติจะขึ้นข้อความ The device is connected properly. (ดังภาพในข้อ 3) ช่อง Device Alert จะขึ้นเมื่ออุปกรณ์มีเรื่องที่ต้องดูแล เช่น รุ่นต่ำกว่าที่แนะนำ License ใกล้หมดอายุ หรือเวลาของระบบไม่ตรง วิธีอ่านสถานะและนำอุปกรณ์ที่ Offline กลับมาอยู่ที่ การตรวจสุขภาพและแก้ไขอุปกรณ์ Native ที่ Offline

ควรส่ง Log ชนิดไหนเข้า XDR

Sangfor แนะนำให้เริ่มจากโหมดรายงานแบบเต็มของอุปกรณ์ Native ถ้าปริมาณ Log มากเกินกว่าที่เตรียมระบบไว้ ค่อยตัดกลุ่มที่สำคัญน้อยออก แต่คง Log ระดับสูงไว้ครบเสมอ

สำหรับ STA ให้ตั้ง Log Types เป็น Advanced logs ตามที่ Sangfor แนะนำ และ Sangfor แนะนำ STA รุ่น 3.0.99 ซึ่งประมวลผล TCP, SSL และ DNS ให้ข้อมูลที่ส่งขึ้น XDR กระชับแต่ยังตรวจจับได้ครบ ปริมาณ Log ที่ XDR รับเข้ามาดูได้ที่ Configuration › System Monitor › Maintenance หน้า Resource Monitor และหัวข้อ Log License Usage ในแท็บ System Check บอกว่าปริมาณ Log ยังอยู่ในโควตาตาม License หรือไม่