Weaknesses บน Athena XDR: จัดลำดับและติดตามการแก้ช่องโหว่ (Priority, Mark As, Ticket)

เมนู Weaknesses ของ Sangfor Athena XDR รวมจุดอ่อนของเครื่องในองค์กรไว้ที่เดียว ได้แก่ ช่องโหว่ (Vulnerabilities) และรหัสผ่านที่ไม่แข็งแรง (Weak Passwords) แล้วจัดลำดับความสำคัญให้ เมื่อรายการยาวแต่ทีมแก้ได้ไม่กี่เรื่องต่อสัปดาห์ XDR จะชี้ว่าเรื่องใดต้องแก้ก่อน บทความนี้อธิบายวิธีอ่าน จัดลำดับ มอบหมาย และติดตามการแก้ สำหรับผู้ดูแลระบบและทีม SOC

ข้อมูลมาจากไหน

XDR รับข้อมูลจุดอ่อนจากอุปกรณ์ Sangfor ที่เชื่อมไว้ที่ Configuration › Connection › Device Connection ตัวกรอง Data Source ของหน้านี้แสดงแหล่ง Endpoint Secure (Athena EPP), Cyber Command (Athena NDR), Stealth Threat Analytics (Athena STA) และ Manual Recording (รายการที่เพิ่มหรือนำเข้าเอง)

• เมื่อใช้ Athena EPP ข้อมูลช่องโหว่ของซอฟต์แวร์ฝั่งเซิร์ฟเวอร์มาจาก Agent ของ EPP บนเครื่อง Linux โดย Group Policy ของ EPP ต้องเปิด Basic Config › Advanced Threat Detection and Log Collection ให้เก็บและส่งข้อมูลไปยัง Athena XDR ในแท็บ Linux (ตั้งแยกจากแท็บ Windows) ดู การเชื่อมต่อ Athena EPP กับ Athena XDR
• ผลสแกนจะเข้ามาเมื่อ EPP ตรวจพบ เช่น หลังรันงานสแกนที่ Risk Assessment › Vulnerabilities › Scan Tasks บนคอนโซล EPP

หน้า Weaknesses

ไปที่ Risk Management › Weaknesses หน้านี้ดูได้ 2 มุม: แท็บ Risks ตอบว่าช่องโหว่ตัวไหนอันตรายที่สุดและกระทบกี่เครื่อง ส่วนแท็บ Assets ตอบว่าเครื่องไหนควรจัดการก่อน ในแท็บ Risks มีแท็บย่อย Vulnerabilities, Weak Passwords และปุ่ม Import

• แถบด้านบนสรุป Vulnerability Overview (จำนวนช่องโหว่และเครื่องที่ได้รับผลกระทบ), Vulnerability Status (Pending, Fixing, Closed) และ Weakness Ticket
• หน้านี้กรองไว้ตั้งแต่เปิดด้วย Fixing Status: Pending และช่วงเวลา Last Detected 7 วันล่าสุด ลบหรือเปลี่ยนตัวกรองได้
• คอลัมน์สำคัญ: Priority, Vulnerability Name, Vulnerability Type, Threat Tag, Risky Asset, Attack Result, Data Source, Asset Criticality, Last Detected, Fixing Status, Ticket Progress

สองคอลัมน์ที่ช่วยตัดสินใจได้มาก

• Threat Tag – บอกว่าภายนอกมีการใช้ช่องโหว่นี้โจมตีอยู่หรือไม่ และโจมตีได้ง่ายแค่ไหน เช่น Hot Exploit (กำลังถูกใช้มากในช่วงนี้), Active Vuln, Highly Exploitable Vuln (โจมตีได้ง่ายและผลกระทบสูง), APT Exploit, Ransomware Exploit, Vuln with Attack Code Disclosure ชี้ที่ไอคอนข้างหัวคอลัมน์เพื่อดูคำอธิบายทุกแท็ก
• Attack Result – บอกว่ามี Alert ที่โจมตีช่องโหว่นี้บนเครื่องขององค์กรแล้วหรือยังและผลเป็นอย่างไร แถวที่ขึ้น Compromised หรือ Successful ให้แก้ก่อน

คอลัมน์ Asset Criticality จะขึ้น Critical Asset สำหรับเครื่องที่ตั้งเป็นเครื่องสำคัญไว้ (ดู การตั้งค่า Asset เริ่มต้น)

รายละเอียดช่องโหว่

กด Details ที่แถว แผง Vulnerability Risk Details เปิดขึ้นทางขวา มีแท็บ Vulnerability Info, Forensics, Ticket Process และ Operation Records

• Vulnerability Info – Basics (Vulnerability ID, CVE ID ใช้ค้นประกาศของผู้ผลิตต่อ, CVSS Score, Threat Tag, First/Last Detected), Introduction, การ์ด Priority, Solutions (วิธีแก้ เช่น เวอร์ชันที่ต้องอัปเดต) และ Affected Component
• Forensics – ส่วน Check Forensics แสดงหลักฐานที่ทำให้ XDR สรุปว่าเครื่องมีช่องโหว่ เช่น Process Name และ Process Path ของโปรแกรมที่ตรวจพบ ใช้ตรวจเองได้ว่าเป็นของจริงหรือ False Positive ส่วน Attack Result Forensics รวม Alert ที่โจมตีช่องโหว่นี้พร้อมผล
• Operation Records – บันทึกว่าใครเปลี่ยนสถานะเมื่อใด

Priority: เลือกว่าจะแก้อะไรก่อน

ถ้าเลือกตามคะแนนความรุนแรงอย่างเดียว ทีมอาจใช้เวลากับช่องโหว่ที่โอกาสถูกโจมตีจริงต่ำ XDR จึงจัด Priority ด้วยโมเดลตัดสินใจ SSVC (Stakeholder-Specific Vulnerability Categorization) ร่วมกับข้อมูลภัยคุกคามภายนอก ชี้ที่ไอคอนข้างหัวคอลัมน์ Priority เพื่อดูคำอธิบาย

การ์ด Priority ในแผงรายละเอียดแสดงการคิด 2 ขั้น

1. Exploitability Analysis – โจมตีได้จริงหรือไม่ จาก External Attack Intelligence, Attack Code Disclosure และ Hot Exploit
2. Vulnerability Severity Analysis – ความรุนแรง จาก Exploit Mode (เช่น Remote), Impacts และ Exploit Difficulty

ผลออกมาเป็น 3 ระดับ: High แก้ทันที · Medium รอได้แต่ต้องแก้ให้ทันเวลา · Low วางแผนแก้ภายหลัง รายการที่เพิ่มหรือนำเข้าเองจะแสดง Priority เป็น None เพราะไม่ได้จับคู่กับฐานข้อมูลช่องโหว่ของ XDR

หารายการที่ต้องลงมือทันที: เปิดแผงตัวกรอง (Fixing Status เป็น Pending อยู่แล้ว) แล้วติ๊ก Priority เป็น High

มอบหมายงานและบันทึกสถานะ

1. เปิด Ticket – กด Initiate Ticket ที่แถว หน้าเลือกขั้นตอนของ Ticket จะเปิดขึ้นพร้อมแม่แบบงานช่องโหว่ เช่น Weakness Notification และ Weakness Response and Fixing ดู Ticketing System บน Athena XDR

   

2. บันทึกว่ากำลังแก้ – ติ๊กแถว กด Mark As เลือก Fixing (ติด Fixing Tag ไว้เพื่อกรองภายหลังได้) แล้วกด OK แถวจะหายจากมุมมอง Pending และตัวเลขด้านบนย้ายไปที่ Fixing

   

3. ปิดรายการ – เมื่อแก้เสร็จหรือตัดสินใจแล้ว กด Mark As เลือก Closed แล้วเลือก Fixing Method ให้ตรงกับที่ทำ

   • Resolved – แพตช์แล้ว
   • Mitigated – ใช้วิธีอื่นลดความเสี่ยงไปก่อน
   • Risk Accepted – ฝ่ายธุรกิจยอมรับความเสี่ยง
   • Ignored – ไม่ดำเนินการ
   • False Positive – ตรวจแล้วไม่จริง

   

ช่อง Maintain fixing status if the risk is reported again ไม่ได้ติ๊กไว้โดยค่าเริ่มต้น ซึ่งหมายความว่าเมื่อช่องโหว่ถูกรายงานซ้ำ ระบบจะเปิดกลับเป็น Pending ให้ทีมดูใหม่ ติ๊กไว้เมื่อต้องการคงสถานะที่ปิดไว้ตามช่วงเวลาที่กำหนด การเลือก Fixing Method ให้ตรงช่วยให้รายงานถึงผู้บริหารบอกได้ถูกว่าแก้จริงไปกี่เรื่อง

เพิ่มหรือนำเข้าผลสแกนจากเครื่องมืออื่น

• กด Add เพื่อเพิ่มทีละรายการ กรอก Vulnerability Name, Severity, Affected Asset, Time Detected และ Vulnerability Type (ไม่บังคับ: CVE ID, Threat Tag, Weakness Description, Recommendations, Forensics)

  

• กด Import เลือก Report Type (Custom Vulnerability Report หรือ Custom Weak Password Report) และไฟล์ (.xls, .xlsx, .xml ไม่เกิน 20 MB) ใช้ Download Sample เป็นแม่แบบ

  

Weak Passwords

แท็บย่อย Weak Passwords แสดงรายการรหัสผ่านที่ไม่แข็งแรงที่ XDR ได้รับจากแหล่งข้อมูลที่เชื่อมไว้หรือจากรายงานที่นำเข้า พร้อม Priority, Risky Asset, Data Source และ Fixing Status ใช้ Mark As และ Initiate Ticket แบบเดียวกับช่องโหว่ เนื่องจากข้อมูลรหัสผ่านเป็นข้อมูลอ่อนไหว การดูรายละเอียดต้องเปิดการยืนยันตัวตนแบบ TOTP ของบัญชีก่อน ดู การจัดการ Accounts บน Athena XDR

มุมมอง Assets และการ์ดบน Monitor Overview

แท็บ Assets แสดงจุดอ่อนจากมุมของเครื่อง: แผนภูมิวงกลมแบ่งเครื่องตาม Priority, Top 5 Weaknesses จัดอันดับเครื่องที่มีจุดอ่อนมากที่สุด และรายการเครื่องพร้อมคอลัมน์ Latest Assessment Priority ของเครื่องมาจากจุดอ่อนที่ Priority สูงสุดบนเครื่องนั้น คลิกเครื่องเพื่อดูช่องโหว่ทั้งหมดของเครื่องในหน้าเดียว ให้ผู้ดูแลนัดแก้ครั้งเดียวได้ครบทั้งเครื่อง

การ์ด Risk Management บน Home › Monitor Overview สรุปเรื่องเดียวกันสำหรับทั้งองค์กร: จำนวนช่องโหว่ Priority สูงเทียบกับทั้งหมด, Top 5 Attacks, Top 5 Vulnerable Assets (สลับดู All, Server, Endpoint, Other) และการ์ด Asset Check งานที่ปิดได้จะสะท้อนบนการ์ดนี้ ใช้ตอบผู้บริหารว่าปิดจุดอ่อนไปได้แค่ไหน ส่วนหน้า Detections › Risky Assets คอลัมน์ Attack Surface แสดงช่องโหว่ที่โจมตีได้ง่ายเทียบกับทั้งหมดของเครื่องคู่กับจำนวน Incident เครื่องที่มีทั้ง Incident และช่องโหว่ที่โจมตีง่ายให้แก้ก่อน (ดู Risky Assets)

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

งานประจำสัปดาห์

1. เปิดรายการ Priority High ที่ยัง Pending หรือ Fixing แล้วตามรายการที่ค้างนาน
2. ถ้าองค์กรมีรอบแพตช์รายเดือน ใช้รายการ Priority High เป็นตัวตั้งของแผนแพตช์
3. หลังแพตช์และ Agent รายงานรอบใหม่ ปิดรายการด้วย Closed › Resolved แล้วสั่ง Asset Check ซ้ำกับเครื่องที่เพิ่งแก้
4. หากใช้รูปแบบ Hybrid ทีม Sangfor MDR ช่วยยืนยันว่าจุดอ่อนใดเสี่ยงจริงบนเครื่องสำคัญที่ตกลงให้ดูแล และติดตามงานแก้ร่วมกับทีมขององค์กร