×
ข้ามไปยังเนื้อหาหลัก

Security Logs บน Athena XDR: เลือกประเภท Log ตั้งเงื่อนไข และอ่านผลการค้นหา

ปรับปรุงเมื่อ

หน้า Security Logs ของ Sangfor Athena XDR รวม Log ที่ส่งเข้ามาจากอุปกรณ์ทุกตัวที่เชื่อมต่อไว้ ทั้งอุปกรณ์ของ Sangfor (เช่น Athena NGFW, Athena STA, Athena EPP) และอุปกรณ์ของผู้ผลิตอื่นที่ส่งผ่าน XDR Broker ไว้ในที่เดียว ผู้ดูแลระบบและทีม SOC ใช้หน้านี้เมื่อต้องการดูข้อมูลดิบเบื้องหลัง Incident หรือ Alert ตรวจสอบว่าเหตุการณ์หนึ่งลามไปถึงเครื่องใดบ้าง หรือออกล่าภัยคุกคาม (Threat Hunting) ก่อนที่ระบบจะแจ้งเตือน บทความนี้อธิบายการเลือกประเภท Log การตั้งช่วงเวลาและเงื่อนไข การอ่านผล และการเก็บคำค้นไว้ใช้ซ้ำ

เปิดหน้า Security Logs

ไปที่ Detections › Security Logs

หน้า Security Logs ที่เปิดจากเมนู Detections พร้อมช่อง SPL ป้ายประเภท Log ป้ายช่วงเวลา และปุ่ม Search

แถบด้านบนของหน้าประกอบด้วยส่วนต่าง ๆ ดังนี้

ส่วน หน้าที่
ช่อง SPL พิมพ์คำค้นภาษา SPL ได้โดยตรง (ข้อความในช่องว่าง: "Enter an SPL statement or click the filter icon on the right")
ไอคอนรูปกรวย เปิดตัวสร้างเงื่อนไข (Condition Builder) เลือกฟิลด์ ตัวดำเนินการ และค่า โดยไม่ต้องจำคำสั่ง
ป้ายประเภท Log เลือกว่าจะค้นใน Log ประเภทใด
ป้ายช่วงเวลา เลือกช่วงเวลาของ Log ที่จะค้น
Search เริ่มค้นหา
ปุ่มรูปดาว และลูกศร ⌄ บันทึกคำค้นเข้า Favorites และเปิดแผง Favorites | Search History

เลือกประเภท Log

คลิกป้ายประเภท Log เพื่อเปิดแผงเลือก ในแผงมี 2 แท็บ

  • Normalized Logs — Log ที่ระบบแยกฟิลด์และปรับให้เป็นรูปแบบเดียวกันแล้ว ไม่ว่าจะมาจากอุปกรณ์ของ Sangfor หรือของผู้ผลิตอื่น จึงค้นด้วยชื่อฟิลด์ชุดเดียวกันได้ เหมาะกับการสืบสวนและการล่าภัย
  • Raw Logs — Log ต้นฉบับจากอุปกรณ์ของผู้ผลิตอื่นที่ยังไม่ได้แยกฟิลด์ (ป้ายจะแสดงเป็น Unparsed Logs) ใช้เทียบกับ Log บนตัวอุปกรณ์เองได้

แท็บ Normalized Logs จัด Log ไว้เป็น 4 กลุ่ม และมีช่อง Search ไว้พิมพ์หาชื่อประเภท Log ได้ทันที

กลุ่ม ตัวอย่างประเภท Log ใช้ตอบคำถาม
Security Detection Logs Network Security Logs, Endpoint Security Logs ระบบตรวจเจออะไร ด้วยกฎใด (คอลัมน์ Rule Name, Reporting Device)
Traffic Audit Logs DNS Logs, HTTP Logs, SMB Logs, RDP Logs, TCP Audit Logs และ Log ตามโปรโตคอลอื่น ๆ เครื่องใดถามหาโดเมนอะไร เข้าเว็บใด เชื่อมต่อไปเครื่องอื่นผ่าน SMB หรือ Remote Desktop
Behavior Logs Endpoint Behavior Logs, aTrust Login / Access / Security Log โปรแกรมใดรันบนเครื่อง ด้วยคำสั่งใด และโปรเซสแม่คืออะไร
Third-Party Logs Firewall ACL Logs, VPN User Logs, Admin Logs, Windows Event Audit Log, Entra ID Login Log Connection ที่ผ่านไฟร์วอลล์ของผู้ผลิตอื่น การล็อกอิน และเหตุการณ์จากระบบอื่น
แผงเลือกประเภท Log แท็บ Normalized Logs และ Raw Logs พร้อมกลุ่ม Security Detection Logs และ Traffic Audit Logs

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

เคล็ดลับ: ติ๊กเฉพาะประเภท Log ที่ตอบคำถามนั้นจริง ๆ ผลจะตรงและกลับมาเร็วกว่า แนะนำให้เลือกไม่เกิน 10 ประเภทต่อการค้นหา หากเลือกมากกว่านั้นระบบจะแจ้งว่าการค้นหาอาจใช้เวลานานขึ้น ส่วนความพร้อมของแต่ละแหล่ง Log ในการค้นหา ดูได้ที่คอลัมน์ Log query ในแท็บ Data Quality Analysis (ดู การตรวจคุณภาพข้อมูลที่ส่งเข้า Athena XDR)

ตั้งช่วงเวลา

  1. คลิกป้ายช่วงเวลาทางขวาของช่องค้นหา แล้วเลือกช่วงสำเร็จรูป Today, Last 7 days หรือ Last 30 days ด้านซ้ายของป้ายมีตัวเลือกฟิลด์เวลา (เช่น Time Recorded) ที่ใช้กรอง

    รายการช่วงเวลาสำเร็จรูป Today, Last 7 days, Last 30 days และ Custom

  2. ต้องการกำหนดช่วงเอง เลือก Custom แล้วเลือกวันเริ่มต้นและวันสิ้นสุดจากปฏิทิน (หรือกรอกวันและเวลาในช่องด้านบน) แล้วคลิก OK

    ปฏิทินของตัวเลือก Custom สำหรับกำหนดวันเริ่มต้นและวันสิ้นสุด พร้อมปุ่ม OK

แนวทางที่ใช้ได้ผลคือเริ่มจากช่วงสั้นก่อนเพื่อให้ผลกลับมาเร็ว แล้วค่อยขยายช่วงเมื่อต้องการย้อนดูเหตุการณ์ที่เก่ากว่า โดยเฉพาะเมื่อเพิ่งรู้ว่าโดเมนหรือ IP ใดเป็นอันตราย การย้อนค้นช่วงยาวช่วยบอกได้ว่าเคยมีเครื่องใดติดต่อมาก่อนหรือไม่

ตั้งเงื่อนไขด้วยตัวสร้างเงื่อนไข

  1. คลิกไอคอนรูปกรวยข้างช่องค้นหา ตัวสร้างเงื่อนไขจะเปิดขึ้นพร้อมช่อง ฟิลด์ · ตัวดำเนินการ · ค่า

  2. คลิกช่องฟิลด์ แล้วพิมพ์หาชื่อฟิลด์ รายการจะแสดงชื่อที่อ่านง่ายพร้อมชื่อจริงของฟิลด์ในวงเล็บ เช่น Src IP (srcIp), DNS Query Domain Name (dnsQueryName)

  3. เลือกตัวดำเนินการ ระบบจัดตัวที่เหมาะกับฟิลด์นั้นไว้ในกลุ่ม Recommend ด้านบน และตัวอื่นไว้ในกลุ่ม Others ให้คลิกเลือกที่สัญลักษณ์ของตัวดำเนินการ

    รายการตัวดำเนินการของฟิลด์ Src IP กลุ่ม Recommend และ Others

  4. กรอกค่าที่ต้องการค้นในช่องที่สาม

  5. ต้องการเงื่อนไขเพิ่ม คลิก Add Condition หรือคลิก Add Condition Group เพื่อสร้างกลุ่มเงื่อนไขย่อยที่มีตัวเชื่อมของตัวเอง ลบเงื่อนไขได้ที่ไอคอนถังขยะทางขวาของแถว

  6. วงเล็บด้านซ้ายของแถวเงื่อนไขคือตัวเชื่อม AND / OR คลิกเพื่อสลับ ช่อง SPL ด้านบนจะเขียนคำสั่งให้ตรงกับเงื่อนไขทันที เช่น SrcIP = "192.168.20.15" and DNSQueryDomainName like "example"

    ตัวสร้างเงื่อนไขสองแถวเชื่อมด้วย AND และช่อง SPL ที่เขียนคำสั่งให้อัตโนมัติ

  7. คลิกชื่อหน้า (Security Logs) เพื่อปิดตัวสร้างเงื่อนไข แล้วคลิก Search

ตัวดำเนินการ ความหมาย
= Equal to ค่าตรงตัว
in Contained in ตรงกับค่าใดค่าหนึ่งในรายการ
like Fuzzy match ค่าที่มีคำนี้อยู่ส่วนใดก็ได้ เหมาะเมื่อรู้ค่าเพียงบางส่วน
rlike Regular expression match จับคู่ด้วย Regular Expression สำหรับรูปแบบที่ซับซ้อน
!= Not equal to · not in Not contained in · not like Fuzzy mismatch ตัดค่าที่ไม่ต้องการออกจากผล

เมื่อคุ้นกับคำสั่งที่ตัวสร้างเงื่อนไขเขียนให้แล้ว สามารถพิมพ์ SPL ในช่องค้นหาเองได้ ดูรูปแบบคำสั่งและตัวอย่างการล่าภัยได้ที่ Threat Hunting ด้วย SPL บน Athena XDR

อ่านผลการค้นหาและ Log Details

เมื่อค้นเสร็จ หน้าจะแสดง "Search complete." และจำนวนผลทั้งหมดที่มุมล่างของตาราง (N in Total)

ผลการค้นหา DNS Logs ด้วยคำสั่ง SPL สองเงื่อนไข พร้อมจำนวนผลรวมที่ท้ายตาราง
  • Expand — เปิดกราฟ Trend ชี้ที่แท่งกราฟเพื่อดูช่วงเวลาและจำนวน Log ในแท่งนั้น ช่วยให้เห็นว่าเหตุการณ์เกิดเป็นช่วงเดียวหรือกระจายต่อเนื่อง ข้างกันมีแท็บ Tags สำหรับดูจำนวน Log แยกตามแท็กการโจมตี
  • Time Recorded — คลิกหัวคอลัมน์เพื่อเรียงให้รายการล่าสุดขึ้นก่อน

  • ปุ่ม … ท้ายหัวตาราง — เปิด Show Columns เพื่อค้นหาและเลือกฟิลด์ที่จะแสดง จัดลำดับ หรือปักหมุดคอลัมน์ (Left Pinned) เช่น พิมพ์ DNS แล้วติ๊ก DNS Query Domain Name

    แผง Show Columns ที่ค้นหาฟิลด์ DNS Query Domain Name เพื่อเพิ่มเป็นคอลัมน์
  • หัวคอลัมน์ที่มีไอคอนรูปกรวย (เช่น Reporting Device) — ดูค่าทั้งหมดในคอลัมน์นั้นพร้อมจำนวน แล้วเพิ่มหรือตัดค่าออกจากเงื่อนไขได้
กราฟ Trend หลังกด Expand และแถวที่ติ๊กเลือกไว้ทำให้ปุ่ม Create Alert ใช้งานได้

คลิกแถวใดก็ได้เพื่อเปิด Log Details

  • ส่วนบนแสดงต้นทาง (Src IP และ Port) ปลายทาง (Dst IP และ Port) และโปรโตคอล
  • แท็บ Details มีตาราง Forensics แสดงฟิลด์สำคัญของ Log ประเภทนั้น เช่น DNS Logs แสดงชื่อโดเมนที่ถามในช่อง Domain Name Queried ส่วน Log จากอุปกรณ์ของผู้ผลิตอื่นจะมีบรรทัด Raw Logs เก็บข้อความต้นฉบับไว้ด้วย
  • แท็บ JSON เก็บทุกฟิลด์ของ Log นั้น ใช้เป็นหลักฐานหรือส่งต่อให้ทีมได้ บรรทัด productType บอกว่า Log มาจากอุปกรณ์ประเภทใด
  • แท็บ Detection Info แสดงข้อมูลการตรวจจับของ Log นั้น
  • Previous / Next ใช้เลื่อนดู Log ก่อนหน้าและถัดไปโดยไม่ต้องปิดหน้าต่าง
หน้าต่าง Log Details ของ DNS Log แสดงต้นทาง ปลายทาง แท็บ Details JSON Detection Info และตาราง Forensics

เก็บคำค้นด้วย Favorites และ Search History

  1. เมื่อได้คำค้นที่ใช้บ่อย คลิกปุ่มรูปดาวข้างปุ่ม Search

  2. กรอกชื่อในช่อง Filter Name แล้วคลิก OK ระบบจะแสดง "Saved successfully."

    ช่อง Filter Name สำหรับตั้งชื่อคำค้นที่จะเก็บใน Favorites

  3. คลิกลูกศร ⌄ ข้างปุ่มรูปดาวเพื่อเปิดแผง แท็บ Favorites แสดงคำค้นที่เก็บไว้พร้อมเงื่อนไขและประเภท Log คลิกเพื่อเรียกใช้ซ้ำ หรือคลิก Delete เพื่อลบ ท้ายแผงมีตัวนับ Favorited/Max (เก็บได้สูงสุด 50 รายการ)

    แผง Favorites แสดงคำค้นที่เก็บไว้สองรายการพร้อมประเภท Log

  4. แท็บ Search History จำคำค้นที่เพิ่งใช้ พร้อมประเภท Log และเวลา คลิก Add to Favorites เพื่อเก็บรายการนั้นเข้า Favorites ได้เลย หรือคลิก Clear Local History เพื่อล้างประวัติ

    แท็บ Search History แสดงคำค้นล่าสุดพร้อมเวลา ปุ่ม Add to Favorites และ Clear Local History

การตั้งชื่อ Favorites: ใช้ตัวอักษรภาษาอังกฤษ ตัวเลข และขีดล่าง (_) เท่านั้น ไม่เว้นวรรคและไม่ใช้ขีดกลาง เช่น Hunt_SuspiciousDomain หรือ Hunt_ExternalScanner มิฉะนั้นระบบจะแจ้ง "Parameter invalid" และคำค้นเดียวกันบันทึกเป็น Favorites ได้ครั้งเดียว

Export และ Create Alert

ปุ่มเหนือตารางผลการค้นหามี 2 ปุ่ม

  • Export — ส่งออก Log จากผลการค้นหาไปวิเคราะห์ต่อหรือเก็บเป็นหลักฐาน
  • Create Alert — ติ๊กแถวที่เกี่ยวข้องก่อน (ช่อง Selected (n) แสดงจำนวนแถวที่เลือก) ปุ่มจึงจะกดได้ ใช้สร้างกฎเตือนจาก Log ที่เลือก ฟอร์มประกอบด้วย Alert Name, Alert Severity, Alert Phase, Alert Category, Alert Assessment, Attack Result, Detection Engine (ระบบกรอก XDR custom rule engine ให้) และ Description เมื่อบันทึกแล้ว XDR จะแจ้งเตือนทุกครั้งที่พบเหตุการณ์ที่ตรงกันในหน้า Security Alerts รายละเอียดดูที่ Custom Detection Rules บน Athena XDR
ฟอร์ม Create Alert ที่เปิดจากหน้า Security Logs หลังติ๊กเลือก Log

Security Logs บน Athena XDR แบบ On-premises

บน Athena XDR แบบ On-premises หน้า Security Logs มี 3 โหมดการค้นหา

  • Basic Mode — ค้นด้วย Keyword ตามฟิลด์ที่เลือก เช่น ค้น Log ความเสี่ยงสูงของเครื่อง 172.17.0.1 ด้วย EndpointIP และ Severity: High

    หน้า Security Logs แบบ On-premises ใน Basic Mode ที่กรองด้วย EndpointIP และ Severity
  • Expert Mode — ค้นด้วย SPL ซึ่งขึ้นต้นด้วยคำว่า filter ตามด้วยชื่อฟิลด์ ตัวดำเนินการ และค่า (หากไม่พิมพ์ filter ระบบจะเติมให้) เพิ่มเงื่อนไขได้ 3 วิธี คือพิมพ์เอง คลิกขวาที่ค่าในคอลัมน์แล้วเลือก Add to Criteria หรือคลิกไอคอนกรองข้างชื่อคอลัมน์
  • Global Fuzzy Search — พิมพ์ Keyword เพื่อค้น Log ทุกประเภทในช่วงเวลาที่เลือก ระบบจะไฮไลต์คำนั้นในผลลัพธ์

นอกจากประเภท Log แล้ว ยังกรองตามทิศทางของ Traffic (Inbound, Outbound, Lateral) ได้ และเก็บคำค้นที่ใช้บ่อยด้วยไอคอน Favorites ที่มุมขวาบนได้เช่นกัน

บทความที่เกี่ยวข้อง

ข้อคิดเห็น

0 ข้อคิดเห็น

โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น