ติดตั้ง XDR Broker และเชื่อมต่ออุปกรณ์ Third-Party กับ Athena XDR

XDR Broker คือ VM ตัวกลางที่ติดตั้งไว้ในเครือข่ายขององค์กร ทำหน้าที่รับ Log จากอุปกรณ์ของผู้ผลิตอื่น (Third-Party) เช่น FortiGate หรือ Windows DNS Server แล้วส่งต่อขึ้นไปยัง Sangfor Athena XDR (SaaS) และเป็นทางผ่านของคำสั่งตอบสนอง (เช่น การบล็อก IP) จาก XDR กลับลงมาที่อุปกรณ์ บทความนี้สำหรับผู้ดูแลระบบที่ต้องการติดตั้ง Broker ตั้งแต่การเตรียมเครื่อง การติดตั้งบน Sangfor HCI หรือ VMware การเชื่อมต่อกับ Tenant การตรวจสอบเส้นทางข้อมูล ไปจนถึงการเพิ่มอุปกรณ์ Third-Party ตัวแรก

XDR Broker ทำงานอย่างไร

อุปกรณ์ของผู้ผลิตอื่นไม่ได้ยืนยันตัวตนกับบริการของ Sangfor เอง Broker จึงทำหน้าที่นี้แทนอุปกรณ์ทุกตัว โดยยืนยันตัวตนกับ Tenant ของ XDR ด้วย Connection Key และสื่อสารกับ XDR ผ่านโปรโตคอลของ Sangfor

• Broker ส่งต่อ Log อย่างเดียว งานแปลง Log (Parsing) และเสริมข้อมูล (Enrichment) ทำที่ XDR กฎแปลง Log ของทุกยี่ห้อจึงอยู่ที่ XDR ที่เดียว
• Broker วางอยู่ใกล้อุปกรณ์ จึงเห็น IP จริงของอุปกรณ์แต่ละตัว แม้ทุกเครื่องในองค์กรจะออกอินเทอร์เน็ตผ่าน NAT ด้วย IP สาธารณะเดียวกัน XDR จึงแยกได้ว่า Log มาจากอุปกรณ์ตัวใด เส้นทางจากอุปกรณ์ถึง Broker ต้องเป็นทางตรงที่ไม่ผ่าน NAT
• ไฟร์วอลล์ขององค์กรเปิดทางออกอินเทอร์เน็ตให้ Broker เพียงตัวเดียว ไม่ต้องเปิดให้อุปกรณ์ทีละตัว และ Broker หนึ่งตัวรับ Log จากอุปกรณ์ได้หลายตัว รวมถึงอุปกรณ์ที่สาขาซึ่งส่ง Log มาทาง VPN
• Athena XDR แบบ On-premises ก็ใช้ Broker ได้เช่นกัน เมื่อมี NAT คั่นระหว่างอุปกรณ์กับ XDR เมื่อแหล่งข้อมูลอยู่คนละเครือข่าย หรือเมื่อต้องการรวม Log จากสาขาโดยไม่เปิดพอร์ตรับข้อมูลของ XDR ออกสู่ภายนอก

อุปกรณ์ Sangfor (Athena NGFW, Athena STA, Athena EPP) เชื่อมต่อกับ XDR โดยตรงแบบ Native Device ดูได้ที่ การเชื่อมต่อ Native Device กับ Athena XDR

การเตรียมความพร้อม

หน้า Configuration › Basic Configuration › Licensing แสดง License ที่ Tenant มีอยู่ ให้ตรวจว่ามี Data Fusion ในกลุ่ม Value-Added Licenses

ก่อนต่ออุปกรณ์ ให้ตรวจว่าอุปกรณ์สร้าง Log ด้านความปลอดภัย (การโจมตี การสแกน เหตุการณ์ผิดปกติ) ออกมาจริง หากอุปกรณ์เลือกรูปแบบ Log ได้ทั้งแบบย่อและแบบเต็ม ให้เลือกแบบเต็ม เพื่อให้ XDR ได้ฟิลด์ครบสำหรับสร้าง Alert และ Incident รายละเอียดเรื่องฟิลด์และคุณภาพ Log ดูที่ Data Ingestion และ Data Quality Analysis

ความต้องการด้านเครือข่าย

เตรียม IP ให้ Broker หนึ่งตัวในวงที่ไปถึงได้ทั้งอุปกรณ์ต้นทางและอินเทอร์เน็ต แล้วขอทีมเครือข่ายเปิดทางออกตรงให้ IP ของ Broker เฉพาะโดเมนและพอร์ตต่อไปนี้ (ตัวอย่างสำหรับ Data Center มาเลเซีย)

โดเมนกลุ่ม Platform-X และ XLink ใช้ชุดเดียวกันทุก Data Center ส่วนโดเมน Data Lake เป็นของแต่ละ Data Center (เช่น Data Center อินโดนีเซียใช้ idcollect.dl.sangfor.com และ idauth.dl.sangfor.com) ให้ใช้โดเมนของ Data Center ที่ Tenant อยู่

เส้นทางภายในเครือข่ายที่ต้องเปิด:

ติดตั้ง Broker VM

บน Sangfor HCI

1. ที่ HCI ไปที่ Compute กด New แล้วเลือก Create VM

   

2. อัปโหลดไฟล์ QCOW2 ของ Broker ขึ้น Datastore โดยเลือกไฟล์ที่ Image File เลือกปลายทางที่ Datastore แล้วกด Upload รอจนอัปโหลดเสร็จ

   

3. ตั้งค่า VM ดังนี้ แล้วกด OK

   • Name: ชื่อ VM ของ Broker
   • Guest OS: CentOS
   • Processor: 4 core(s) และ Memory: 8 GB
   • Disk 1: Method = Existing disk แล้วเลือก Disk File เป็นไฟล์ QCOW2 ที่อัปโหลดไว้
   • การ์ดเครือข่าย: ต่อกับวงที่เตรียมไว้สำหรับ Broker

   

4. ที่การ์ดของ VM กด Power On รอจนสถานะ Powering On หายไป แล้วกด Console รอจนระบบบูตเสร็จและขึ้นหน้าเมนู

   

บน VMware vSphere/ESXi 7 ขึ้นไป

1. ที่ vSphere Client กด Actions แล้วเลือก Deploy OVF Template

   

2. ที่ขั้น Select an OVF template เลือก Local file กด Upload Files แล้วเลือกไฟล์ทั้ง 4 ไฟล์ของ Broker (.ovf, .vmdk, .mf, .nvram)

   

3. ตั้งชื่อ VM แล้วที่ขั้น Select a compute resource เลือก Host ที่จะรัน Broker ตามด้วยขั้น Select storage เลือก Datastore

   

4. ที่ขั้น Select networks เลือก Destination Network ที่ไปถึงทั้งอุปกรณ์และอินเทอร์เน็ต

   

5. ที่ขั้น Ready to complete ตรวจค่าอีกครั้งแล้วกด Finish

   

6. รอให้งาน Import OVF package และ Deploy OVF template ใน Recent Tasks เสร็จ แล้วกด Power On และเปิด Console ของ VM

   

ตั้งค่า IP (ทั้งสองแพลตฟอร์ม)

1. ที่หน้าเมนูบน Console ของ VM เลือกข้อ 2 Configure static IPv4 address แล้วกด OK

   

2. กรอก IP address, Netmask number, Gateway และ DNS ของ Broker แล้วกด OK ระบบจะแจ้ง edit interface success เส้นทางของ Broker ต้องออกอินเทอร์เน็ตได้ และไปถึงทุกวงที่อุปกรณ์ต้นทางอยู่

   

3. SSH เข้า Backend ของ Broker ที่พอร์ต 22 ด้วยบัญชีผู้ดูแลที่ได้รับพร้อมไฟล์ติดตั้ง เมื่อ Login ครั้งแรกระบบจะให้ตั้งรหัสผ่านใหม่ ให้เก็บรหัสผ่านไว้ในที่ปลอดภัยของทีม

4. บันทึกค่า IP ลงไฟล์ตั้งค่าของ eth0 เพื่อให้ค่าคงอยู่หลังรีสตาร์ท โดยแก้ไฟล์ /etc/sysconfig/network-scripts/ifcfg-eth0 ให้มีค่าตามเครือข่ายขององค์กร เช่น

   ONBOOT=yes
   IPADDR=192.168.10.30
   PREFIX=24
   GATEWAY=192.168.10.1
   DNS1=192.168.10.10

   

5. เปิด Browser ไปที่ https://<IP ของ Broker> เพื่อทดสอบว่าเข้าหน้า Login ของ XDR Broker ได้

   

เชื่อมต่อ Broker กับ Athena XDR

1. ที่ Athena XDR ไปที่ Configuration › Connection › Device Connection เปิดแท็บ Broker Settings แล้วกด Add

   

2. ในหน้าต่าง Add Broker กรอก Broker Name (ใช้ตัวอักษร ตัวเลข และ "_" ระบบไม่รับเครื่องหมาย "-" เช่น HQ_BROKER) และ Remarks ระบุหน้าที่ของ Broker ตัวนี้ ช่อง Connection Key ระบบสร้างให้ทันที (ในภาพปิดช่องคีย์ไว้)

   

3. กด Copy Connection Key and Save แถวของ Broker จะขึ้นมาด้วยสถานะ Not Connected

   

4. เปิด Browser ไปที่ https://<IP ของ Broker> แล้ว Login เข้า Console ของ Broker หน้า Connection Settings จะแสดง Connection Status เป็น Not Connected

   

5. กด Paste Connection Key เพื่อวางคีย์ที่คัดลอกมา ระบบจะแจ้ง Paste successful. (ในภาพปิดช่องคีย์ไว้)

   

6. กด Save and Connect เมื่อเชื่อมต่อสำเร็จ Connection Status จะเปลี่ยนเป็น Connected และรายการ Allowed Domain Names and Ports กับ Connection key activation verification ขึ้นเครื่องหมายถูกครบ

   

   หากมีรายการใดไม่ผ่าน ให้ตรวจกฎขาออกของโดเมนและพอร์ตนั้นตามตารางด้านบน

7. รอประมาณ 5–10 นาที แล้วกลับไปที่แท็บ Broker Settings ใน XDR สถานะของ Broker จะเป็น Online และป้าย Log Reporting กับ Coordinated Response เป็นสีเขียว

   

ตรวจสอบ Broker และเส้นทางของ Log

ที่แท็บ Broker Settings กด Test Connectivity ที่แถวของ Broker หากปกติระบบจะแจ้ง "The broker status is normal."

สถานะ Online หมายถึง Broker คุยกับ XDR ผ่านช่อง XLink ได้ ซึ่งเป็นทางของคำสั่งตอบสนอง ส่วน Log ขึ้นไปอีกเส้นทางหนึ่งผ่านโดเมน Data Lake การยืนยันว่า Log ถึง XDR จริงจึงดูที่ตัวเลข Logs Ingested Today ของอุปกรณ์แต่ละตัวในแท็บ Third-Party Devices

เมื่อต้องการตรวจว่า Log ของอุปกรณ์มาถึง Broker แล้วหรือไม่ ให้ใช้ Packet Capture บน Console ของ Broker:

1. ที่ Console ของ Broker เปิดเมนู Packet Capture แล้วกด Add

2. ที่ Interface เลือก eth0 (ขาที่รับ Log) กรอก IP Address เป็น IP ที่อุปกรณ์ใช้ส่ง Log และ Port เป็น 514 แล้วกด OK สถานะจะเป็น Capturing

   

3. รอให้อุปกรณ์ส่ง Log สักครู่ แล้วกด Stop หากไฟล์มีขนาดมากกว่า 0 และสถานะเป็น Captured แสดงว่าแพ็กเก็ตจากอุปกรณ์มาถึง Broker แล้ว กด Download เพื่อนำไฟล์ไปเปิดดูรายละเอียดต่อได้

   

เมื่อต้องหาว่า Log ติดอยู่ตรงไหน ให้ไล่ตรวจทีละช่วงตามลำดับ:

หากผ่านครบทั้งสามช่วงแล้วยังไม่พบ Log ทีม Sangfor สามารถช่วยตรวจฝั่ง Backend ของ Broker ต่อได้

วง IP ของ Docker ภายใน Broker

Broker รันส่วนประกอบต่าง ๆ ใน Docker ซึ่งใช้วง IP ภายในค่าเริ่มต้น 172.17.0.1/16 วงนี้ต้องไม่ซ้ำกับวง IP ของอุปกรณ์ที่ Broker ต้องติดต่อ มิฉะนั้นคำสั่งจาก XDR จะส่งผ่าน Broker ไปไม่ถึงอุปกรณ์ในวงนั้น

หากวงซ้ำกับเครือข่ายขององค์กร ให้เพิ่มค่า default-address-pools ในไฟล์ตั้งค่าของ Docker (daemon.json) ของ Broker โดยเลือกวงใหม่ที่ไม่ซ้ำกับเครือข่ายใดขององค์กร (หลีกเลี่ยง 172.17.0.0/16 และ 172.18.0.0/16) เช่น

"default-address-pools": [
  {
    "base": "10.25.0.0/24",
    "size": 24
  }
]

จากนั้นรีสตาร์ท Docker หนึ่งครั้ง Connection Key เดิมยังใช้งานต่อได้ ควรตัดสินใจเรื่องวงนี้ตั้งแต่ช่วงเตรียมเครือข่าย หากไม่แน่ใจขั้นตอนบน Broker รุ่นที่ใช้อยู่ ให้ปรึกษาทีม Sangfor หรือพาร์ทเนอร์

เพิ่มอุปกรณ์ Third-Party ผ่าน Broker

เมื่อ Broker เป็น Online แล้ว ให้เพิ่มอุปกรณ์ทีละตัวที่ Configuration › Connection › Device Connection › Third-Party Devices › Connected Devices กด Add ตัวช่วยตั้งค่ามีสองขั้น คือ Capability Selection และ Configuration

ตัวอย่างการเชื่อมต่อทีละขั้น:

• ส่ง Log จาก FortiGate เข้า Athena XDR ผ่าน XDR Broker และ การสั่งบล็อกที่ FortiGate จาก Athena XDR (Coordinated Response)
• ส่ง Log ของ Windows DNS Server เข้า Athena XDR ผ่าน NXLog

หากมีอุปกรณ์ของผู้ผลิตอื่นหลายตัว ให้ต่อทีละแหล่ง เริ่มจากอุปกรณ์ที่เห็นการโจมตีก่อน เช่น ไฟร์วอลล์หน้าเครือข่ายหรือ WAF แล้วตามด้วย DNS Server และผลิตภัณฑ์ Endpoint ของผู้ผลิตอื่น ต่อเสร็จแต่ละตัวให้ดูตัวเลข Log และผลใน Data Quality Analysis ก่อนต่อตัวถัดไป

การดูแล Broker หลังติดตั้ง

• คำสั่งตอบสนองไปยังอุปกรณ์ Third-Party วิ่งผ่าน Broker จึงควรให้ Broker Online อยู่ตลอด และตรวจสถานะที่แท็บ Broker Settings เป็นประจำ
• เมื่อต้องเปลี่ยน Broker เป็นเครื่องใหม่ ให้สร้างรายการใหม่ในแท็บ Broker Settings เพื่อรับ Connection Key ชุดใหม่ ย้ายแหล่งข้อมูลทุกตัว (และ Resource ของแอป SOAR ที่ใช้ Broker เป็นช่องทาง) มาใช้ Broker ใหม่ให้เรียบร้อย แล้วจึงลบรายการเดิม
• บันทึกชื่อและ IP ของ Broker และแหล่งข้อมูลทุกตัวไว้ในเอกสารส่งมอบ เพื่อให้ทีมที่ดูแลต่อไม่ต้องไล่หาใหม่

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร