Auto Containment บน Athena XDR: บล็อกผู้โจมตีอัตโนมัติด้วย Security GPT และการเลือกใช้กับ SOAR

Auto Containment บน Sangfor Athena XDR ให้ Security GPT วิเคราะห์ Security Alerts แยกผู้โจมตีจริงออกมาเป็น Threat Entity (IP และโดเมน) ตรวจว่าเป็นของธุรกิจหรือไม่ แล้วสั่งไฟร์วอลล์และ Athena EPP ที่เชื่อมต่อไว้บล็อกให้เอง ครอบคลุมการโจมตีผ่านเว็บทั้งขาเข้าและขาออก รวมถึงการติดต่อออกไปหาเครื่อง C&C เหมาะกับทีมที่มีคนไม่มาก และต้องการตัวช่วยบล็อกผู้โจมตีที่ชัดเจนตลอดเวลา บทความนี้อธิบายการเตรียมความพร้อม การตั้งค่า การอ่านผล และการเลือกใช้ Auto Containment หรือ SOAR

Auto Containment ตัดสินใจอย่างไร

ไปที่ Responses › Auto Containment หน้านี้มีแท็บ External Threat Entities, Allowlist และ Blocklist ด้านบนซ้ายแสดงโหมดที่ใช้อยู่และลิงก์ Settings ชี้ที่ไอคอน GPT Analyzed จะเห็นลำดับการตัดสินใจ

1. Security GPT อ่าน Security Alerts ที่อยู่ในขอบเขต แล้วแยกการโจมตีจริงออกมาเป็น Threat Entity

2. ตรวจแต่ละ Entity ต่อ: เป็น IP ของธุรกิจหรือไม่ (เช่น Broker, ทางออกอินเทอร์เน็ต, สาขา), พฤติกรรมเป็นการใช้บริการตามปกติหรือไม่, Threat Intelligence และ ATT&CK Analysis

3. ผลออกมาได้ 3 ทาง: Block (โจมตีจริงและไม่ใช่ของธุรกิจ ระบบสั่ง Coordinated Block), Allow (เช่น CDN, Service Access, No Attack Indicators) หรือ Monitor/Manually Intervene (Traffic ธุรกิจปนกับการโจมตี หรือ Log ไม่พอ) ซึ่งส่งให้คนตัดสินใจ

4. Entity ที่อยู่ใน Allowlist จะไม่ถูกบล็อกอัตโนมัติ ส่วน Entity ใน Blocklist จะถูกบล็อกเสมอ เว้นแต่อยู่ใน Allowlist

Auto Containment มี 2 โหมด: Monitoring Mode ใช้ข้อมูลจริงจำลองผลการบล็อกโดยยังไม่ส่งคำสั่งไปที่อุปกรณ์ และ Containment Mode ใช้อุปกรณ์ที่เชื่อมต่อบล็อกจริง ค่าเริ่มต้นคือ Monitoring Mode

เตรียมความพร้อมก่อนเปิดใช้

1. ตรวจ License – ไปที่ Configuration › Basic Configuration › Licensing ต้องมี Security Operation GPT และ Auto Containment (กลุ่ม Value-Added Licenses) เพราะ Auto Containment ทำงานต่อจากผลวิเคราะห์ของ GPT ส่วน License ของ SOAR อยู่ในกลุ่ม App Center ของหน้าเดียวกัน

   

2. ตรวจอุปกรณ์ – ที่ Configuration › Connection › Device Connection ไฟร์วอลล์ต้อง Online อย่างน้อย 1 ตัว และหากต้องการบล็อกที่ตัวเครื่องด้วย Athena EPP ต้อง Online เช่นกัน โดยป้าย Coordinated Response เป็นสีเขียว ไฟร์วอลล์ของผู้ผลิตอื่นใช้ได้เมื่อเปิด Coordinated Response แล้ว (ดู FortiGate Coordinated Response และภาพหน้า Device Connection ใน Responses)

3. เพิ่ม Allowlist – ไปที่ Responses › Auto Containment แท็บ Allowlist ส่วน Scenario-based Settings มีการ์ด 4 ใบสำหรับ IP ที่ต้องปล่อยผ่านเสมอ ได้แก่ Public Cloud Service IPs, Branch Access IPs (สาขา, VPN Gateway), Egress Gateway IPs (ทางออกอินเทอร์เน็ตของผู้ใช้ทั้งองค์กร) และ External IPs for Internal Use กด Add Now ที่การ์ดที่ตรงกับองค์กร

   

4. ในหน้าต่าง Create Allowlist Rule กรอก IP, ช่วง IP หรือ Subnet บรรทัดละรายการ ช่อง Tag ระบบเติมให้ตามการ์ด กรอก Remarks แล้วกด OK

   

5. การ์ดเปลี่ยนเป็น Configured และแถวใหม่ขึ้นในตารางพร้อม Tag ตารางนี้มี Public DNS IP ที่ระบบเพิ่มไว้ให้แล้ว และใช้ปุ่ม Add สร้างกฎเองได้ทั้งแบบ IP และ Domain Name

   

6. ตรวจ Special Assets – DNS Server และ Proxy สื่อสารกับเครื่องจำนวนมาก Traffic จึงดูคล้ายการโจมตี ไปที่ Asset Center › Asset Configuration › Special Assets ซึ่งแยกการ์ดตามชนิด เช่น DNS Servers, Proxy Servers, Vulnerability Scanners และ CDN Node IPs แถวที่ขึ้น Auto Identified คือรายการที่ XDR ระบุให้เอง และเพิ่มรายการอื่นขององค์กรเองได้ (ดู Fingerprints และ Asset Configuration)

   

ตั้งค่า Auto Containment

1. ไปที่ Responses › Auto Containment ด้านบนซ้ายแสดงโหมดที่ใช้อยู่ กดลิงก์ Settings ข้างป้ายโหมดเพื่อเปิด Auto Containment Settings (ภาพหน้านี้อยู่ในหัวข้ออ่านผล)

2. Extraction Range – เลือกกลุ่ม Alert ที่จะส่งให้ GPT วิเคราะห์ จากตัวกรองที่บันทึกไว้ใน Favorites ของ Security Alerts › All Alerts กล่องด้านล่างแสดงเงื่อนไขในรูป SPL เช่น คัดเฉพาะ Alert ที่ GPT สรุปว่าเป็นการโจมตีหรือมัลแวร์และยังไม่อยู่ใน Whitelist

3. Business Geolocation – กำหนดประเทศหรือพื้นที่ที่ธุรกิจให้บริการ เช่น องค์กรที่ให้บริการเฉพาะในประเทศไทย Entity ขาเข้าจากนอกพื้นที่นี้จะนับว่าตำแหน่งผิดปกติ

4. Mode Selection – เลือก Monitoring Mode หรือ Containment Mode

   

5. Response Device – ฝั่ง Network Security Devices ถูกติ๊กไว้เสมอ เลือกไฟร์วอลล์ในช่อง Connected Device (เลือกหลายยี่ห้อได้ เช่น Athena NGFW และ FortiGate) และติ๊ก Endpoint Security Devices เพื่อให้ Athena EPP บล็อกที่ตัวเครื่องด้วย หากเว็บอยู่หลัง Proxy ระบบแนะนำให้ใช้ Athena NGFW ซึ่งอ่าน XFF Header และบล็อก IP จริงของผู้โจมตีได้

6. Block Duration – Temporary หรือ Permanent หากยังไม่มั่นใจ เริ่มจากบล็อกชั่วคราวสั้น ๆ แล้วค่อยยืดเวลาเมื่อผลถูกต้อง เมื่อใช้ FortiGate เป็น Response Device ให้เลือก Permanent การบล็อกโดเมนที่ Endpoint ใช้แบบถาวรเสมอ

7. Block Effective Period – All ให้ทำงานตลอดเวลา หรือ Specified เพื่อกำหนดช่วงเวลาที่ให้ระบบบล็อกเอง แล้วกด OK (ปุ่ม Restore Defaults คืนค่าเริ่มต้น)

   

   ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

อ่านผลและแก้การบล็อกผิด

1. ที่แท็บ External Threat Entities ตารางแสดง Threat Entity, Type (Src IP / Dst IP / Domain Name), จำนวน Alert, Duration, Affected Hosts, AI Analysis Result (เช่น Non-service Access คือไม่ได้เข้ามาใช้บริการแบบผู้ใช้ปกติ), AI Block Suggestion (Block / Allow / Monitor), Blocking Status, Historical Blocks และ Block Duration ตัวกรองเริ่มต้นซ่อนรายการ Allow ไว้ หากบล็อกผิด กด Unblock ที่แถวเพื่อปลดทันที หรือ Add to Allowlist เพื่อไม่ให้ถูกบล็อกอัตโนมัติอีก ทุกการบล็อกปลดด้วยมือได้เสมอ

   

2. คลิกชื่อ Entity เพื่อเปิดหน้ารายละเอียด เช่น Domain Details ซึ่งอธิบายเหตุผลของการบล็อก

   • AI Block Analysis – ผลสรุป เช่น Non-business Entity + Attack Entity → Block พร้อมเวลา Last Analyzed
   • Anti-False-Block Analysis – Environment Analysis (ตรงกับ Allowlist หรือ Special Asset หรือไม่), Business Analysis และ Disposal Record Analysis ซึ่งมีตาราง Block Address / Domain Block บอกผู้สั่ง (Coordinated Auto Containment) อุปกรณ์ที่ลงมือ สถานะ และระยะเวลาบล็อก
   • Attack Analysis – Attack Trend Analysis (Alert และเครื่องที่เกี่ยวข้อง), Attack Cycle Analysis และ Threat Intelligence Analysis

   

   

3. ยืนยันว่าอุปกรณ์ลงมือจริงที่ Responses › Responses แท็บ Address Blocking คอลัมน์ Operator ขึ้น Coordinated Auto Containment และ Connected Device บอกไฟร์วอลล์ที่บล็อก ส่วนการบล็อกโดเมนที่ EPP อยู่ในแท็บ Domain Blocking (Fixed By = Coordinated Auto Containment) และใน Incident ที่เกี่ยวข้อง แท็บ Entity Fixing จะแสดง Recommendations from Auto Containment

   

4. ดูภาพรวมที่ Home › Monitor Overview การ์ด Auto Containment แสดงโหมดที่ใช้อยู่ จำนวนผู้โจมตีภายนอกที่บล็อกแล้ว สัดส่วน External Attacker Block และเวลาบล็อกเฉลี่ย กด Go to Auto Containment เพื่อเปิดหน้า Auto Containment

   

เลือกใช้ Auto Containment, SOAR หรือสั่งเอง

ทั้งสามทางสั่งงานผ่านอุปกรณ์ที่เชื่อมต่อกับ XDR เดียวกัน และมีบันทึกในหน้า Responses

• ทีมเล็กที่ต้องการตัวช่วยบล็อกผู้โจมตีตลอดเวลา – เริ่มที่ Auto Containment
• งานหลายขั้น เช่น ตรวจ → ขออนุมัติ → บล็อก → เปิด Ticket หรือสั่งอุปกรณ์ของผู้ผลิตอื่นแบบละเอียด – ใช้ SOAR Playbook
• ใช้ร่วมกันได้: Auto Containment บล็อกรายที่ชัดเจน Playbook รับงานหลายขั้น และทีมยังสั่งเองได้เสมอเมื่อต้องตัดสินใจ (ดู Responses)

Sangfor แนะนำให้เริ่มจาก Auto Containment แล้วค่อยเพิ่ม Playbook ทีละเรื่องตามงานที่ทีมทำซ้ำบ่อย ในการใช้งานแบบ Hybrid ร่วมกับ Sangfor MDR ให้ตกลงล่วงหน้าว่างานใดบล็อกได้ทันที (เช่น IP ภายนอกที่อันตรายชัดเจน) และงานใดต้องรอเจ้าของระบบอนุมัติ (เช่น การแยกเครื่องที่ให้บริการธุรกิจ)