Asset Configuration และ Fingerprints บน Athena XDR (Activation, Deactivation, Field Priority, Excluded Assets)

เมนู Asset Center › Asset Configuration ของ Sangfor Athena XDR รวมกฎทั้งหมดที่ควบคุมรายการเครื่อง ได้แก่ การรับเครื่องเข้ารายการดูแล การย้ายเครื่องที่เลิกใช้ออก การแสดงข้อมูลเครื่องบนหน้า Incident และ Alert ลำดับความเชื่อถือของแหล่งข้อมูล และรายการ IP ที่ไม่ต้องดูแล ส่วนเมนู Asset Center › Fingerprints ใช้ค้นว่าพอร์ตหรือซอฟต์แวร์ใดอยู่บนเครื่องไหน บทความนี้สำหรับผู้ดูแลระบบที่ต้องปรับกฎหลังตั้งค่า Asset เริ่มต้น (ดู การตั้งค่า Asset เริ่มต้นและแนวทาง Asset Governance)

แท็บใน Asset Configuration

Asset Configuration มี 6 แท็บ: Activation Settings · Deactivation Settings · Asset Management · Field Priority Settings · Excluded Assets · Special Assets สำหรับแท็บ Special Assets ดู Special Assets, DHCP, Proxy และ X-Forwarded-For โดยทั่วไปใช้ค่าเริ่มต้นได้ และปรับเฉพาะส่วนที่องค์กรต้องการ

Activation Settings

กำหนดว่าเครื่องที่ถูกรายงานเข้ามาจะเข้ารายการ Active Assets เองทันที หรือรอให้ทีมยืนยันใน Pending Review ก่อน

• Auto Activation – มีกฎสำเร็จรูป (Predefined) 4 ข้อ ถ้าเปิดหลายกฎ เครื่องที่ตรงกับกฎข้อใดข้อหนึ่งจะถูกรับเข้า
  • Assets Reported by Endpoint-side Devices – รับเครื่องที่มี Agent (เปิดใช้อยู่ตั้งแต่แรก แนะนำให้คงไว้)
  • Known Assets – รับเครื่องที่อยู่ในกลุ่มที่องค์กรสร้างไว้ (ไม่ใช่ Uncategorized หรือ Managed IP Range)
  • All Assets – รับทุกเครื่อง
  • Special Assets – รับเครื่องที่ติดป้ายเป็น Proxy Server, DNS Server, Vulnerability Scanner หรือ Internet Proxy Server
• ถ้ายังมีเครื่องที่ไม่รู้จักปนอยู่ กด Add สร้างกฎใหม่ Sangfor แนะนำให้ตั้ง Rule Criteria เป็น Data Source แล้วเลือกเฉพาะแหล่งที่เชื่อถือได้ เงื่อนไขหลายแถวในกฎเดียวทำงานแบบ AND กรอก Rule Name เปิด Status แล้วกด OK

  

• Manual Activation Requirements – กำหนดฟิลด์ที่ต้องมีครบก่อนรับเครื่องเข้ารายการ ตั้งแยกได้สำหรับ Server, Endpoint และอุปกรณ์อื่น

หากแก้กฎเอง ให้เปิดกฎไว้อย่างน้อย 1 กฎ

Deactivation Settings

ให้ XDR ย้ายเครื่องที่เลิกใช้ออกจากรายการเอง รายการจะได้สะอาด มีกฎสำเร็จรูปเปิดอยู่ 2 ข้อ

• Recently Undiscovered Assets – เครื่องที่ยังไม่ได้ติดตั้ง Agent และไม่ถูกพบเกิน 30 วัน ย้ายไป Inactive Assets
• Assets with Agent Installed – เครื่องที่ Agent ถูกถอดออก (Agent Status = Removed) ย้ายไป Inactive Assets

ถ้าเครื่องกลับมามีข้อมูลใหม่และไม่ตรงกับกฎข้อใด XDR จะย้ายกลับไป Active Assets หรือ Pending Review ให้เอง หากต้องการให้ทีมย้ายเครื่องออกเองทั้งหมด ให้ปิดสวิตช์ของทุกกฎ ส่วน Advanced กำหนดปลายทางเมื่อเครื่องไม่ตรงกฎอีกต่อไป และพฤติกรรมกับเครื่องที่ย้ายด้วยมือ กฎสำหรับเครือข่าย DHCP ดูที่บทความ Special Assets

สร้างกฎ Deactivation เพิ่มเอง

1. ที่แท็บ Deactivation Settings ส่วน Auto Deactivation กด Add

2. กรอก Rule Name แล้วเพิ่มเงื่อนไขใน Rule Criteria ทีละแถว เช่น Agent Status, Asset Group, Data Source หรือ Last Detected (ทุกแถวต้องตรงพร้อมกันกฎจึงทำงาน) เปิด Status แล้วกด OK

   

Asset Management (การแสดงข้อมูล)

แท็บ Asset Info เลือกได้ว่ารายการและรายละเอียดของ Security Incident, Security Alert, Weaknesses และ Risky Apps จะแสดงอะไรไว้ข้าง IP

• Display Asset IP – แสดง IP ของเครื่อง
• Display Owner – แสดงชื่อเจ้าของตามลำดับ Owner → Auth User → Last Auth User → Asset Group Owner → Cloud Account ถ้าช่องลำดับก่อนหน้าว่าง XDR ใช้ค่าลำดับถัดไป (Auth User มาจาก Sangfor IAG)
• Display Asset Description – แสดงชื่อเครื่องตามลำดับ Asset Name → Business Group → Asset Group เครื่องที่ยังไม่ได้ตั้งชื่อจะแสดงชื่อกลุ่มแทน

ช่อง Preview in Data Table และ Preview on Details Page ด้านขวาแสดงตัวอย่างผลลัพธ์ กด Save เพื่อบันทึก แท็บ Asset Card ใช้เลือกฟิลด์ที่แสดงในการ์ดเมื่อชี้ที่ IP

Field Priority Settings

เมื่อหลายแหล่งรายงานฟิลด์เดียวกันไม่ตรงกัน (เช่น Hostname จาก Athena EPP กับจาก Athena NGFW) ตารางนี้บอกว่า XDR เชื่อแหล่งใดก่อน เลือกฟิลด์ทางซ้าย (Hostname, Owner, Asset Name, Asset Type, OS, Agent Status, Hardware Info, EIP, Public IP, Asset Fingerprint) แล้วดูลำดับ Device Type ทางขวา

• ค่าที่กรอกเอง (Manual) มาก่อนเสมอ ตามด้วยแหล่งฝั่ง Endpoint แล้วจึงเป็นฝั่ง Network เพราะ Agent บนเครื่องรู้ชื่อเครื่องและระบบปฏิบัติการได้ตรงกว่าการดูจาก Traffic
• ถ้าแหล่งลำดับก่อนเว้นฟิลด์นั้นไว้ XDR ใช้ค่าจากแหล่งถัดไป
• ลากเพื่อปรับลำดับตามแหล่งที่องค์กรไว้ใจแล้วกด Save ส่วนใหญ่ใช้ค่าเริ่มต้นได้

Excluded Assets

XDR จะไม่สร้าง Incident หรือ Alert ให้ IP ที่อยู่ในรายการ Excluded Assets ใช้กับ IP ที่แน่ใจแล้วว่าไม่ใช่เครื่องขององค์กร

1. ไปที่แท็บ Excluded Assets กด Add

   

2. กรอก IP, ช่วง IP หรือ Subnet บรรทัดละรายการในช่อง Excluded IP Addresses พร้อม Remarks แล้วกด OK

   

เมื่อลบเครื่องจาก Active Assets หน้าต่างยืนยันมีช่อง Add the asset IP address to Excluded Assets ให้ติ๊กเพื่อเพิ่ม IP เข้ารายการนี้ไปพร้อมกัน

Fingerprints

หน้า Asset Center › Fingerprints รวมข้อมูลที่พบบนแต่ละเครื่อง แยกเป็นหมวดทางซ้าย ได้แก่ Open Ports, App Assets (Apps, Databases), Web Assets (Web Services, Web Frameworks, Web Apps, Websites), Accounts, Processes, Services, Startup Programs, Scheduled Tasks และ Registry Keys ข้อมูลส่วนใหญ่มาจาก Agent ของ Athena EPP

ตรวจพอร์ตเสี่ยง

1. เลือกหมวด Open Ports แล้วคลิกพอร์ตในรายการกลาง เช่น 445, 135 หรือ 139

2. รายการทางขวาแสดงเครื่องที่เปิดพอร์ตนั้น คอลัมน์ Internet Exposure บอกว่าพอร์ตเปิดออกอินเทอร์เน็ตหรือไม่ ติ๊ก Critical Assets Only เพื่อไล่ดูเครื่องสำคัญก่อน

   

พอร์ตกลุ่ม SMB/RPC มักถูกแรนซัมแวร์ใช้แพร่ไปเครื่องอื่นในเครือข่าย ถ้าพบบนเครื่องที่ไม่ได้ใช้บริการนั้น ให้พิจารณาปิด

ตอบคำถาม "เราได้รับผลกระทบจากช่องโหว่ใหม่หรือไม่"

1. พิมพ์ชื่อซอฟต์แวร์ในช่องค้นหาด้านบน (เช่น nginx) แล้วค้นหา

   

2. เลือกหมวดที่พบ (เช่น Web Services) รายการทางขวาแสดงเครื่องที่ติดตั้ง คอลัมน์ Version บอกเวอร์ชันที่ติดตั้ง นำไปเทียบกับประกาศของผู้ผลิตเพื่อตอบว่าเครื่องใดได้รับผลกระทบ

   

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร