Security Incidents บน Athena XDR: รายการ สถานะ และการกรอง Incident

หน้า Security Incidents คือหน้าทำงานหลักของทีม SOC บน Sangfor Athena XDR ระบบกรอง Log จากอุปกรณ์ที่เชื่อมต่อ คัดเหลือ Alert ที่มีความมั่นใจสูง แล้วรวม Alert ที่เป็นเรื่องเดียวกันเป็น Incident ให้ทีมเปิดดูเพียงไม่กี่เรื่อง บทความนี้อธิบายการอ่านรายการ Incident สถานะทั้ง 6 ค่า การกรองและบันทึกมุมมอง และกฎที่เปลี่ยนสถานะให้อัตโนมัติ เหมาะสำหรับผู้ดูแลระบบและทีม SOC ที่ต้องเลือกว่าจะเปิดเรื่องไหนก่อนในแต่ละวัน

การเปิดหน้า Security Incidents

เปิดได้ 2 ทาง

• เมนู Detections › Security Incidents

• จาก Home › Monitor Overview การ์ด Pending Issues คลิก Pending Incidents ระบบจะเปิดหน้า Security Incidents พร้อมตัวกรองเรื่องที่ยังค้างอยู่ (Pending, Fixing, Suspended) ใน Advanced Mode ให้ทันที

  

แถบสรุปด้านบนแสดงจำนวน Alert และ Incident ของช่วงเวลาที่เลือก พร้อมสัดส่วนที่ระบบลดลงจาก Alert เป็น Incident และค่า External Attacker Block ปุ่ม Introduction มุมขวาบนเปิดภาพสรุปการทำงานของหน้านี้ (Logs → High-Confidence Alerts → Few Precise Incidents) กด Hide Introduction เพื่อพับเก็บ

การตั้งช่วงเวลา

• เลือกฐานเวลาเป็น Last Detected หรือ First Detected แล้วกำหนดช่วงวันที่
• Auto Refresh เลือกได้ Disabled, 5 mins, 1 min, 15 secs หรือ Custom เหมาะกับช่วงที่ต้องเฝ้าระวังใกล้ชิด หน้าจะอัปเดตเองโดยไม่ต้องกดรีเฟรช

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

คอลัมน์ที่ใช้ตัดสินใจ

ปรับคอลัมน์ได้ดังนี้

1. คลิกปุ่ม … ท้ายหัวตาราง แผง Show Columns จะเปิดขึ้น

   

2. ติ๊กเลือกหรือเอาคอลัมน์ออก ลากเพื่อเรียงลำดับ หรือตรึงคอลัมน์ไว้ด้านซ้าย (Left Pinned) คอลัมน์ที่เลือกเพิ่มได้ เช่น Owner, First Detected, L1 Incident Category, L2 Incident Category, Tag, Fixing Duration และ Block Duration

เหนือตารางมีปุ่ม Fix, Mark As และ Add to Whitelist ใช้กับ Incident หลายเรื่องที่เลือกพร้อมกันได้ ช่อง Unread Only แสดงเฉพาะเรื่องที่ยังไม่เปิดอ่าน (Incident ที่ยังไม่อ่านมีจุดสีแดงหน้าชื่อ) และไอคอนดาวน์โหลดใช้เก็บรายการเป็นไฟล์ คลิกชื่อ Incident เพื่อเปิดรายละเอียด ซึ่งอธิบายไว้ใน การอ่านและจัดการ Security Incident

สถานะของ Incident

เปลี่ยนสถานะเองด้วยปุ่ม Mark As (Pending, Blocked, Fixing, Fixed, Ignored) ทั้งจากรายการและจากหน้ารายละเอียด ระบบจะเปิดกล่องให้กรอกหมายเหตุใน Remarks ก่อนกด OK

การกรองและบันทึกมุมมอง

มุมมองเริ่มต้นของหน้านี้ (แถว Default ที่ติดป้าย Predefined ใน Favorites) กรองตามสถานะ FixingStatus และไม่แสดง Incident ที่อยู่ใน Whitelist หากต้องการดูเรื่องในสถานะอื่น ให้ติ๊กสถานะนั้นเพิ่มในตัวกรอง

1. คลิกช่องค้นหาด้านบน แถวบนเป็นชื่อฟิลด์ เช่น IncidentName, AffectedAsset, AssetGroup, DeviceSource, MDRIncidentID, SrcIP, DstIP เลือกมาตั้งเงื่อนไขได้

   

2. ด้านล่างเป็นกลุ่มตัวเลือกให้ติ๊ก

   • IncidentSeverity: Low, Medium, High, Critical
   • Source: Expert Hunting, Detection Engine, Incident Sample, Custom Incident
   • SecurityGPTAnalysisResult: ผลของ Security GPT
   • IncidentAssessment: ประเภทของเรื่อง เช่น APT Attack, Virus, Scanner Attack, Weakness, Business False Positive, Unknown Threat
   • Tag และ DataSource (EDR, NDR หรือ EDR & NDR คือเห็นทั้งฝั่ง Endpoint และฝั่งเครือข่าย)
   • FixingStatus: Pending, Fixing, Blocked, Fixed, Suspended, Ignored

3. กดปุ่มค้นหาสีน้ำเงิน ตัวกรองจะแสดงเป็นป้ายในแถบค้นหา ตัวอย่างด้านล่างกรองเฉพาะ Incident ที่ Security GPT สรุปว่าโจมตีสำเร็จ เครื่องถูกยึด หรือติดมัลแวร์ ซึ่งเป็นกลุ่มที่ควรเปิดก่อน

   

4. กรองละเอียดกว่านี้ได้ด้วย Basic Mode ⌄ › Advanced Mode แล้วเขียนเงื่อนไขเป็นคำสั่ง SPL

   

   ตัวอย่าง มุมมอง Pending Incidents ใช้คำสั่ง

   filter ((dealStatus in { "Pending" , "Fixing" , "Suspended" }) AND severity != toInteger("0")) AND whiteStatus != "Whitelisted"

   ไวยากรณ์ SPL อธิบายไว้ใน Threat Hunting ด้วย SPL บน Athena XDR

5. เมื่อได้ตัวกรองที่ใช้บ่อยแล้ว ให้กดรูปดาวเพื่อเก็บไว้ใน Favorites ลูกศรข้างดาวเปิดแผง Favorites | History แต่ละแถวมีคำสั่ง Set as Default (หรือ Unset Default), Delete และ Copy ตั้งตัวกรองของทีมเป็นค่าเริ่มต้นได้ ทุกครั้งที่เปิดหน้านี้จะเจอมุมมองนั้นทันที

   

กฎเปลี่ยนสถานะอัตโนมัติ (SecOps Configuration)

บางสถานะ XDR เปลี่ยนให้เองตามกฎที่ Configuration › Basic Configuration › SecOps Configuration ส่วน Fixing Status Change (เปิดจาก Detections › Security Alerts › Rules › SecOps Configuration ได้เช่นกัน)

1. Alert ที่มีเป้าหมายใหม่รอตอบสนอง และเป้าหมายเป็นชนิดที่เลือกไว้ (เช่น Public IP, Domain Name) จะเปลี่ยนสถานะกลับเป็น Pending
2. กฎเดียวกันสำหรับ Incident ทีมจึงได้กลับมาดูเรื่องที่มีเป้าหมายใหม่อีกครั้ง
3. ถ้า Log ดิบของ Alert ชนิดที่เลือก (Endpoint Security Alerts, Outbound Traffic Alerts, Inbound Traffic Alerts) ระบุว่าอุปกรณ์ Deny การเชื่อมต่อแล้ว สถานะของ Alert จะเปลี่ยนเป็น Blocked