Data Ingestion และ Data Quality Analysis บน Athena XDR (ช่องทางรับ Log, Supported Device Types, GPT Parser)

เมื่อ Sangfor Athena XDR รับ Log จากอุปกรณ์ของผู้ผลิตอื่น (Third-Party) ระบบจะแปลง Log ของแต่ละยี่ห้อให้อยู่ในรูปแบบเดียวกันก่อน แล้วจึงนำไปวิเคราะห์ สร้าง Alert และเชื่อมโยงเป็น Incident คุณภาพของ Log จึงกำหนดว่า XDR นำข้อมูลไปใช้ได้มากเพียงใด บทความนี้อธิบายช่องทางรับข้อมูล รายการ Supported Device Types การติดตามสถานะใน Connected Devices หน้า Data Quality Analysis และ GPT Parser สำหรับผู้ดูแลระบบและทีม SOC ที่เชื่อมต่ออุปกรณ์ Third-Party

XDR นำ Log ของผู้ผลิตอื่นมาใช้อย่างไร

• รับ: อุปกรณ์ส่ง Log มาที่ XDR Broker ในเครือข่ายขององค์กร Broker ส่งต่อขึ้น XDR โดยไม่แปลงข้อมูล (ดู การติดตั้ง XDR Broker)
• แปลง (Parsing): XDR ใช้กฎแปลง Log ของประเภทอุปกรณ์นั้น แยกฟิลด์ เช่น Src IP, Dst IP, ชื่อกฎ, URL ให้เป็นรูปแบบมาตรฐาน หากไม่มีกฎสำเร็จรูปจะใช้ GPT Parser
• เสริมข้อมูล (Enrichment): เติมข้อมูล เช่น ตำแหน่งของ IP ประเภทเครือข่าย และ Asset
• วิเคราะห์: นำ Log ไปสร้าง Alert รวม Alert เข้ากับ Alert จากอุปกรณ์อื่น (รวมถึงอุปกรณ์ Sangfor) และสร้าง Incident

ที่ Detections › Security Logs มีทั้ง Normalized Logs (Log ที่แปลงแล้ว) และ Raw Logs (Log ดิบ) โดย Log ของอุปกรณ์ผู้ผลิตอื่นอยู่ในกลุ่ม Third-Party Logs ดูวิธีค้นหาที่ Security Logs บน Athena XDR ส่วนกฎวิเคราะห์ Log ที่ผู้ดูแลกำหนดเองอยู่ที่ Configuration › Basic Configuration › Custom Detection Rules แท็บ SIEM Rules (ดู Custom Detection Rules)

ช่องทางรับข้อมูลและความสามารถของอุปกรณ์

อุปกรณ์แต่ละประเภทรองรับความสามารถต่างกัน ซึ่งเลือกได้ตอนเพิ่มอุปกรณ์:

• Log Ingestion: รับ Log เข้ามาวิเคราะห์ (มีกฎแปลง Log สำเร็จรูป)
• Coordinated Response: ให้ XDR สั่งตอบสนองที่อุปกรณ์แบบกึ่งอัตโนมัติหรืออัตโนมัติ เช่น บล็อก IP
• Asset Sync: ดึงรายการ IT Asset จากระบบต้นทาง
• Identity Sync: เชื่อมข้อมูลผู้ใช้กับ Asset เพื่อระบุเจ้าของเครื่อง

Supported Device Types

ไปที่ Configuration › Connection › Device Connection › Third-Party Devices แท็บย่อย Supported Device Types รายการนี้มีอุปกรณ์มากกว่า 300 ประเภท

• Filters › Capability ด้านซ้ายกรองตามความสามารถ เช่น เลือก Coordinated Response เพื่อดูประเภทที่ XDR สั่งงานได้
• ช่องค้นหา "Device type, vendor" ค้นตามชื่อผู้ผลิตหรือประเภท เช่น Fortinet หรือ DNS (Windows DNS Server ใช้ Windows DNS Log ส่วน BIND บน Linux ใช้ BIND9 DNS Log)
• การ์ดแต่ละใบแสดงชื่อ Vendor ป้ายความสามารถ และ Connected = จำนวนอุปกรณ์ประเภทนี้ที่เชื่อมต่อแล้ว ติ๊ก View Connected Only เพื่อดูเฉพาะประเภทที่ใช้งานอยู่
• คลิกการ์ดเพื่อเปิด Details แท็บ Log Ingestion แสดงชนิด Log และรูปแบบ Log ที่รองรับ แท็บ Coordinated Response แสดงคำสั่งที่ใช้ได้และเวอร์ชันที่รองรับ
• ปุ่ม Import ใช้นำเข้าแพ็กเกจประเภทอุปกรณ์เฉพาะที่ได้รับจาก Sangfor

ก่อนเชื่อมต่ออุปกรณ์ ให้เทียบรายการนี้กับรุ่นที่องค์กรใช้อยู่ หากเวอร์ชันของอุปกรณ์ต่างจากกฎที่มี การแปลงอาจได้เพียงบางฟิลด์ จึงควรส่ง Log จริงเข้ามาทดสอบแล้วดูผลใน Data Quality Analysis

ติดตามสถานะใน Connected Devices

แท็บย่อย Connected Devices มีภาพรวม Connection Statistics Today แยกตามความสามารถ (Log Ingestion, Coordinated Response, Asset Sync, Identity Sync) แต่ละการ์ดนับอุปกรณ์ในกลุ่ม Normal, Abnormal/Alerting และ Not Connected

Data Quality Analysis

แท็บ Data Quality Analysis ใน Device Connection ให้คะแนนคุณภาพ Log ของแต่ละอุปกรณ์จาก Log ที่ส่งมาในช่วง 7 วันล่าสุด (ระบบวิเคราะห์เฉพาะอุปกรณ์ที่มี Log เข้ามา) กด Reanalyze เพื่อประเมินใหม่

• เกจ Device quality rating สรุปคะแนนรวมของทุกอุปกรณ์ การ์ด E นับอุปกรณ์ฝั่ง Endpoint และการ์ด N นับฝั่งเครือข่าย แยกตามระดับ Excellent · Good · Fair · Poor/No Data
• ตารางจัดกลุ่มตามประเภทอุปกรณ์ แต่ละแถวมีคะแนนรวมของอุปกรณ์และแถบวัดผลสี่คอลัมน์ตามความสามารถของ XDR ที่ Log นั้นรองรับ:

ชี้เมาส์ที่แถบวัดผลเพื่อดูคำอธิบาย เช่น "Reported logs contain all required fields for this capability." หรือ "Reported logs do not contain all required fields for this capability." และกด Click here ในคำอธิบายเพื่อเปิดหลักฐานที่เกี่ยวข้อง เช่น ในคอลัมน์ Attack chain reconstruction ลิงก์จะเปิดหน้า Security Incidents ที่กรองเฉพาะ Incident ของอุปกรณ์นั้น

คะแนนขึ้นอยู่กับฟิลด์ที่อุปกรณ์ส่งมา แหล่งที่ส่ง Log ด้านความปลอดภัยครบจะมีข้อมูลได้ครบทั้งสี่คอลัมน์ ส่วนแหล่งอย่าง DNS Server หรือไฟร์วอลล์ที่ส่ง Log ของ Traffic เป็นหลัก จะมีคะแนนในคอลัมน์ Log query ซึ่งใช้ค้นหาย้อนหลังได้

ทำให้ Log มีคุณภาพสูงขึ้น

ฟิลด์ที่ XDR ใช้ในแต่ละระดับ (อุปกรณ์เครือข่าย):

สำหรับอุปกรณ์ Endpoint ฟิลด์พื้นฐานคือ Host IP, Alert Name และเวลาของ Log และระดับที่สูงขึ้นต้องการ Host ID, Host Name, Rule Name/Rule ID, Process Chain, Command Line, File Forensics, DNS, Network Connection และ IOC

• ส่ง Log ด้านความปลอดภัย (การโจมตี การสแกน เหตุการณ์ผิดปกติ) ให้ครบ และเลือกรูปแบบ Log แบบเต็มหากอุปกรณ์มีให้เลือก เช่น Alert ของ HTTP ต้องมีข้อมูลการตอบกลับ จึงจะเข้าไปอยู่ใน Incident ได้
• หากมีกฎแปลง Log แต่ไม่เกิด Alert ให้ตรวจก่อนว่า Log ที่ส่งมาเป็น Log ด้านความปลอดภัย
• หาก Security Logs ของแหล่งใดมีชนิดภัยคุกคามน้อยมากหรือว่าง ให้เปิด Raw Logs เทียบฟิลด์ของ Log ดิบ
• เป้าหมายหลังเชื่อมต่อ: แหล่งข้อมูล Third-Party อย่างน้อยหนึ่งแหล่งมีข้อมูลในคอลัมน์ Alert aggregation หรือ Attack chain reconstruction ไม่ใช่เฉพาะ Log query และบันทึกคะแนนของทุกแหล่งไว้เป็นค่าอ้างอิง แหล่งใดต้องการคะแนนสูงขึ้น ให้ตกลงกับเจ้าของอุปกรณ์เพื่อส่ง Log ด้านความปลอดภัยเพิ่ม

GPT Parser สำหรับอุปกรณ์ที่ไม่อยู่ในรายการ

1. ที่ Connected Devices กด Add แล้วพิมพ์ GPT ในช่อง Device Type ระบบแนะนำ "Not found your device type? Select Other > Other." ให้เลือก Other/GPT-Parser

   

2. ความสามารถที่ได้คือ Log Ingestion พร้อมป้าย GPT Parsing: เมื่อไม่มีกฎแปลง Log สำเร็จรูป GPT จะเรียนรู้จาก Log ดิบและสร้างกฎแปลงให้เอง ขั้นตอนถัดไปเหมือนการเพิ่มอุปกรณ์ทั่วไป

   

3. ช่วงเรียนรู้ใช้เวลาประมาณ 1 วัน ระหว่างนี้ผลการแปลงจะค่อย ๆ ครบขึ้น และป้าย Capability Status จะเป็นสีฟ้า เมื่อครบแล้วให้ดูคะแนนของแถวนั้นใน Data Quality Analysis

หากต้องการกฎแปลงเฉพาะ รับ Log ผ่าน API หรือให้ XDR สั่งงานอุปกรณ์ที่ไม่อยู่ในรายการ ให้ส่งคำขอผ่านทีม Sangfor หรือพาร์ทเนอร์ โดยเตรียม:

• ตัวอย่าง Log ดิบให้มากที่สุด ครอบคลุมชนิดเหตุการณ์ด้านความปลอดภัยให้ได้มากที่สุด
• เอกสารรูปแบบ Log ของผู้ผลิต และเอกสาร API (กรณีรับ Log ผ่าน API)
• สำหรับการสั่งงาน: ชื่อผู้ผลิต ชื่ออุปกรณ์ ประเภทผลิตภัณฑ์ เวอร์ชัน และเอกสาร API

เมื่อได้รับแพ็กเกจประเภทอุปกรณ์จาก Sangfor ให้นำเข้าด้วยปุ่ม Import ในแท็บ Supported Device Types

การตรวจประจำสัปดาห์

• ดู Logs Ingested Today และ Last Log Ingestion ของทุกแถว และภาพรวม Log Ingestion ว่าทุกแหล่งยังอยู่ในกลุ่ม Normal แหล่งที่อยู่ใน Abnormal/Alerting หรือ Not Connected ให้ไล่ตรวจจาก Broker → Packet Capture → Src IP ตามลำดับ
• เทียบจำนวน Log กับสัปดาห์ก่อน หากลดลงมาก มักเกิดจาก IP ต้นทางเปลี่ยน หรือบริการที่ส่ง Log หยุดทำงาน
• กด Reanalyze ใน Data Quality Analysis เพื่อดูคะแนนล่าสุดของทุกแหล่ง
• ใน Security Logs หากแหล่งใดมีแต่ Log ของ Traffic ทั่วไป ให้ตรวจว่าอุปกรณ์เปิดส่ง Log ด้านความปลอดภัยไว้ด้วย
• เรียกใช้ System Check ที่ Configuration › System Monitor › Maintenance

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร