ภาพรวม Sangfor Athena XDR: องค์ประกอบ การตรวจจับ และรูปแบบการติดตั้ง

Sangfor Athena XDR (Extended Detection and Response) คือแพลตฟอร์มที่รวบรวมข้อมูลจาก Endpoint, เครือข่าย และอุปกรณ์ของผู้ผลิตอื่นไว้ในที่เดียว วิเคราะห์ว่าสัญญาณใดเกี่ยวข้องกัน แล้วสรุปเป็น Incident ที่ทีม SOC ตัดสินใจได้ทันที พร้อมสั่งตอบสนองกลับไปที่อุปกรณ์จาก Console เดียว บทความนี้เหมาะสำหรับผู้ดูแลระบบและทีม SOC ที่ต้องการเข้าใจแนวคิด องค์ประกอบ และรูปแบบการติดตั้งของ Athena XDR ก่อนวางแผนโครงการ

XDR ช่วยแก้ปัญหาอะไร

ในหลายองค์กร Firewall, EPP และอุปกรณ์อื่นต่างแจ้งเตือนกันคนละ Console ทีมต้องต่อเรื่องเองว่าแจ้งเตือนใดเป็นการโจมตีเดียวกัน เริ่มจากเครื่องไหน และลามไปถึงไหน ตัวอย่างเช่น อีเมลหลอกลวงทำให้มีสคริปต์ทำงานบนเครื่อง จากนั้นเครื่องเริ่มติดต่อออกไปข้างนอกและสแกนเครื่องอื่น Email Gateway, Endpoint และ Firewall ต่างเห็นคนละส่วน

Athena XDR ทำงานเป็นสามส่วนร่วมกัน คือ แพลตฟอร์ม ที่วิเคราะห์และเชื่อมโยงข้อมูล อุปกรณ์ อย่าง Athena EPP และ Athena NGFW ที่ส่งข้อมูลขึ้นมาและรับคำสั่งตอบสนองกลับไป และ บริการ จากผู้เชี่ยวชาญของทีม Sangfor MDR สำหรับองค์กรที่ต้องการคนช่วยเฝ้าระวัง ผลคือทีมเริ่มงานจาก Incident ที่คัดกรองมาแล้ว แทนการไล่เปิด Alert ทีละรายการ

ที่หน้า Detections › Security Incidents กด Introduction ที่มุมขวาบน จะเห็นภาพสรุปเส้นทางจาก Log ของทุกแหล่งไปจนเป็น Incident

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

XDR เทียบกับ EDR, NDR และ SIEM

สรุปสั้น ๆ EDR เห็นลึกในแต่ละเครื่อง NDR เห็นความเคลื่อนไหวบนเครือข่าย SIEM ช่วยตอบว่าเกิดอะไรขึ้น ส่วน XDR นำทุกมุมมาต่อเป็นเรื่องเดียว บอกว่าเรื่องใดสำคัญ และช่วยจัดการต่อ โดยองค์กรไม่ต้องทิ้งระบบเดิม

องค์ประกอบและแหล่งข้อมูล

อุปกรณ์ของ Sangfor ทั้งหมดเพิ่มได้ที่ Configuration › Connection › Device Connection แท็บ Native Devices ดูขั้นตอนได้ที่ การเชื่อมต่อ Native Device กับ Athena XDR

ความลึกของการใช้ Log จากแต่ละแหล่งขึ้นกับรายละเอียดที่อุปกรณ์ส่งมา XDR แบ่งเป็นสามระดับ

• Level 1 อ่าน Log ได้ จัดเก็บ และค้นหาได้
• Level 2 สร้างและรวม Alert ได้ และช่วยแยกเรื่องที่เป็นการเตือนผิด
• Level 3 เชื่อมกับแหล่งอื่นจนเป็น Incident ได้ รวมถึงการเชื่อมฝั่ง Endpoint กับฝั่งเครือข่าย

สำหรับรูปแบบ Log อื่นนอกเหนือจาก Parser สำเร็จรูป Security GPT ช่วยอ่านรูปแบบ Log และร่างตัวแปลงให้อัตโนมัติ (GPT Parser) โดยทีมวิจัยและพัฒนาของ Sangfor ตรวจทานผลอีกชั้น คุณภาพข้อมูลของแต่ละแหล่งดูได้ที่แท็บ Data Quality Analysis ในหน้า Device Connection (วิธีอ่านผล Data Quality Analysis)

การตรวจจับสามชั้นและ E+N Correlation

เมื่อ Log เข้ามา XDR จัดให้อยู่ในรูปแบบเดียวกัน เติมบริบท เช่น ประเทศของ IP และ Asset ที่เกี่ยวข้อง แล้วกรองเป็นสามชั้น

1. ตรวจ Log ดิบด้วยหลายเอนจิน ทั้ง Signature, Threat Intelligence, พฤติกรรมการโจมตีแบบ IOA และการเทียบกับ Baseline พฤติกรรมปกติของเครือข่าย รวมถึงกฎที่ทีมเขียนเพิ่มเอง ผลคือสัญญาณน่าสงสัยจำนวนมาก

2. เชื่อมโยงสัญญาณที่เกี่ยวข้องกัน ด้วย Knowledge Graph และเอนจินของ Sangfor เหลือเป็น Alert ที่น้อยลงแต่ชัดขึ้น

3. รวม Alert จากหลายแหล่งที่เป็นการโจมตีเดียวกันเป็น Incident เดียว โดยใช้ Attack Chain และการเชื่อมฝั่ง Endpoint กับฝั่งเครือข่าย (E+N)

ผลของการกรองดูได้ที่แถบด้านบนของ Home › Monitor Overview ซึ่งเรียง Logs, Alerts และ Incidents จากซ้ายไปขวา พร้อมเปอร์เซ็นต์ที่ลดลงในแต่ละขั้น

E+N Correlation คือการนำสิ่งที่ฝั่งเครือข่ายเห็น เช่น การสแกน การเจาะช่องโหว่ หรือการติดต่อเซิร์ฟเวอร์ควบคุม มาต่อกับสิ่งที่ฝั่ง Endpoint เห็น เช่น Process หรือสคริปต์ที่ทำงานบนเครื่องปลายทาง เมื่อแยกดูอาจเป็นเหตุการณ์เล็ก ๆ แต่เมื่อต่อกันจะยืนยันได้ว่าถูกโจมตีจริงหรือไม่ เงื่อนไขคือเครื่องที่ติดตั้ง EPP ต้องใช้เส้นทางที่ผ่าน STA หรือ NGFW นอกจากนี้ XDR ยังรวม Alert ที่เกิดห่างกันนานเข้าเป็นเรื่องเดียว จึงตามจับภัยที่แฝงตัวอยู่ได้

ในหน้ารายละเอียดของ Incident แท็บ Attack Chain วาดเส้นทางการโจมตีเป็นภาพ กด Legend จะเห็นหมวด Behavior Type ซึ่งมี On-Chain Behavior, Cross-Chain Behavior และ E-N Correlation ส่วนแท็บ Timeline เรียง Alert ตามเวลา โดยการ์ดที่มีป้าย First Alert คือจุดเริ่มต้นของเรื่อง

Security GPT

Security GPT ทำงานในหน้าจอที่ทีมใช้ทุกวัน ก่อนรวม Alert เป็น Incident ระบบให้ Security GPT ประเมินซ้ำทีละ Alert ผลแสดงในคอลัมน์ Security GPT Analysis Result ของหน้า Detections › Security Alerts

• False Positive ตรวจแล้วไม่ใช่ภัยจริง
• Failed Attack มีการโจมตีแต่ไม่สำเร็จ
• Suspected Attack ยังน่าสงสัย ควรเปิดดูต่อ
• Endpoint Compromise และ Malware Infection เครื่องถูกโจมตีสำเร็จแล้ว ควรจัดการทันที

ในหน้า Incident แท็บ Security GPT Analysis สรุปเรื่องเป็นภาษาที่อ่านง่าย มี Incident Analysis ที่เล่าทีละขั้น, Summary, Key Alert Analysis ที่ให้ย้อนดูหลักฐาน ประวัติเหตุการณ์คล้ายกัน และ Playbook ที่แนะนำ งานซ้ำ ๆ ให้ AI ทำ ส่วนเรื่องที่ต้องตัดสินใจยังเป็นของทีม ดูการใช้งานเพิ่มเติมที่ Security GPT บน Athena XDR

รูปแบบการติดตั้ง: SaaS และ On-premises

ทั้งสองแบบมีงานหลักเหมือนกัน คือตรวจจับ สืบสวน และตอบสนอง การเลือกให้พิจารณาว่าข้อมูลต้องเก็บที่ใด ออกอินเทอร์เน็ตได้หรือไม่ และใครจะดูแลระบบ ดูรายการสิ่งที่ต้องเตรียมได้ที่ การวางแผนและเตรียมการติดตั้ง Athena XDR

การตอบสนองและผู้ดูแลระบบ

เมื่อยืนยันว่าเป็นภัยจริง XDR สั่งงานไปยังอุปกรณ์ที่เหมาะสมจากที่เดียว คำสั่งทั้งหมดอยู่ที่เมนู Responses

• Responses แท็บละหนึ่งคำสั่ง ได้แก่ Address Blocking, Domain Blocking, File Quarantine, Virus Scan, Asset Isolation และอื่น ๆ เช่น NGFW บล็อก IP ส่วน EPP แยกเครื่องหรือกำจัดไฟล์ Process และ Registry อันตราย (Responses บน Athena XDR)
• Auto Containment ใช้ผลวิเคราะห์ของ Security GPT ประกอบกับการเรียนรู้ Traffic ของเครือข่าย แล้วบล็อกผู้โจมตีจากภายนอกที่ยืนยันแล้ว รายการที่อาจกระทบบริการ เช่น CDN ระบบส่งให้ทีมตัดสินใจ Sangfor แนะนำให้ใช้ Monitoring Mode ประมาณ 1 สัปดาห์ก่อนเปลี่ยนเป็น Containment Mode (Auto Containment)
• SOAR ทำงานหลายขั้นตาม Playbook และสั่งงานอุปกรณ์ของผู้ผลิตอื่นผ่านแอป (SOAR บน Athena XDR)
• Ticketing System และ Home › Reports ใช้ส่งต่องานและทำรายงานถึงผู้บริหาร

ส่วนเรื่องผู้เฝ้าระบบ Athena XDR ดูแลได้สามแบบ คือ ดูแลเอง (Self-run), Hybrid (Co-Managed AI SecOps) ที่ทีม Sangfor MDR เฝ้า Asset สำคัญที่ตกลงกันตลอด 24 ชั่วโมงและทีมขององค์กรดูแล Asset ที่เหลือด้วย XDR และ ให้ Sangfor ดูแลทั้งหมด (Fully Managed) ที่ทีม MDR เฝ้าทุก Asset ทุกแบบใช้ XDR และ Security GPT ชุดเดียวกัน ดูรายละเอียดที่ รูปแบบการดูแลระบบและการทำงานร่วมกับ Sangfor MDR

เริ่มใช้งานแบบ SaaS ได้จาก คู่มือเริ่มต้นใช้งาน Athena XDR (SaaS Quick Start)