Custom Detection Rules บน Athena XDR: SIEM Rules, Custom Alert Rules (IOA/IOC), Custom Incident Rules และ Alert Similarity Rules

หน้า Custom Detection Rules ของ Sangfor Athena XDR ใช้เพิ่มกฎตรวจจับให้ตรงกับความต้องการขององค์กร ทั้งกฎที่สร้าง Alert จากพฤติกรรมบน Endpoint หรือจากตัวบ่งชี้ภัย (IOC) กฎที่ยกระดับ Alert เป็น Incident อัตโนมัติ กฎรวม Alert ที่คล้ายกัน และกฎวิเคราะห์ Log ที่ส่งเข้ามา บทความนี้สำหรับผู้ดูแลระบบและทีม SOC ที่ต้องการให้ XDR เตือนเรื่องที่ทีมพบจากการล่าภัย หรือปรับการแสดง Alert และ Incident ให้ตรงกับการทำงานจริง

แท็บในหน้า Custom Detection Rules

ไปที่ Configuration › Custom Detection Rules (อยู่ในกลุ่ม Basic Configuration) หน้านี้มี 4 แท็บ

แท็บ Custom Alert Rules มีปุ่ม Add, Delete, Enable, Disable ตัวกรอง Status, Rule Type (IOA Rule / IOC Rule), Alert Severity, Alert Assessment และช่องค้นหาชื่อหรือ Rule ID เปิดหรือปิดแต่ละกฎได้ที่สวิตช์ในคอลัมน์ Status และชี้ที่ชื่อกฎเพื่อดู Rule ID ซึ่งใช้ต่อในการทำ Whitelist หรือการแปลง Alert เป็น Incident

Custom Alert Rules: IOA Rule

IOA Rule (Indicator of Attack) ตรวจพฤติกรรมที่น่าสงสัยบนเครื่องที่ติดตั้ง Agent ของ Athena EPP ซึ่งเชื่อมต่อกับ Athena XDR เมื่อพบพฤติกรรมตรงกฎ XDR จะสร้าง Security Alert ตามระดับความรุนแรงที่ตั้งไว้และติดตามโปรเซสที่เกี่ยวข้องให้

1. ไปที่ Configuration › Custom Detection Rules › Custom Alert Rules คลิก Add แล้วเลือก IOA Rule

   

2. ส่วน Basics กรอก Rule Name แล้วเลือก Confidence, Alert Severity, Applicable OS (Windows หรือ Linux) ส่วน ATT&CK และ Rule Description ไม่บังคับ

3. ส่วน Rule Defining เลือกชนิดพฤติกรรม Process Creation, File Creation, Domain Name Access หรือ Network Connection แล้วคลิก Add Attribute เพื่อกำหนดเงื่อนไข สำหรับ Process Creation กำหนดได้ทั้งโปรเซสแม่ (Parent Process) และโปรเซสลูก (Child Process) กฎจะทำงานเมื่อโปรเซสแม่ที่ตรงเงื่อนไขสร้างโปรเซสลูกที่ตรงเงื่อนไข

   

   ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

4. คลิก Save

5. คลิก Push Down Now เพื่อส่งกฎไปยัง Athena EPP ให้มีผลทันที (กดซ้ำได้เมื่อครบ 30 นาทีหลังการกดครั้งก่อน) หรือรอให้ระบบส่งกฎตามรอบ ซึ่งใช้เวลาประมาณ 1 ชั่วโมง

   

ตัวอย่างทั้งสองตั้ง Confidence และ Alert Severity เป็น High และ Applicable OS เป็น Windows ในกฎ IOA ค่าของ like ใช้ดอกจัน (*) ครอบคำที่ต้องการ

Custom Alert Rules: IOC Rule

IOC Rule (Indicator of Compromise) ตรวจการติดต่อกับตัวบ่งชี้ภัยที่ระบุ เช่น โดเมนขุดเหรียญ หรือ IP ที่ได้จาก Threat Intelligence ที่แบ่งปันกัน ตั้งกฎเดียวใน XDR แล้วใช้กับอุปกรณ์ที่เชื่อมต่อได้ทั้งหมด

1. ไปที่ Configuration › Custom Detection Rules › Custom Alert Rules คลิก Add แล้วเลือก IOC Rule

2. ส่วน Basics กรอก Rule Name แล้วเลือก Alert Assessment (เช่น Viruses, APT Attacks), Confidence, Alert Severity และ Alert Category ส่วน Rule Description ไม่บังคับ

3. ส่วน Rule Defining เลือกชนิด

   • Domain Name Access — กรอกชื่อโดเมน
   • Network Connection — กฎทำงานเมื่อ Asset ภายในติดต่อไปยังหรือถูกติดต่อจากเครือข่ายที่ระบุ กรอก IP ในช่อง Dst IP
   • URL Access — กรอก URL

   เพิ่มหลายรายการพร้อมกันได้ด้วย Bulk Import

4. คลิก Save แล้วคลิก Push Down Now หรือรอการส่งกฎตามรอบ

ตัวอย่าง: กฎ "Cryptomining Domain Access" ตั้ง Alert Assessment เป็น Viruses, Confidence และ Alert Severity เป็น High เลือก Domain Name Access แล้วกรอกโดเมนขุดเหรียญที่ต้องการเฝ้าระวัง เมื่อเครื่องในองค์กรเข้าถึงโดเมนนั้น XDR จะสร้าง Alert ให้

สร้างกฎจากหน้า Security Alerts และ Security Logs

ไม่จำเป็นต้องเริ่มจากหน้า Custom Detection Rules เสมอ

• หน้า Security Alerts — เลือก Alert แล้วเปิดเมนู Custom Rule ⌄ มี 3 ตัวเลือก คือ Custom IOC Alert Rule (ตั้งกฎ IOC เพื่อให้ตรวจจับได้ครอบคลุมและทันเวลายิ่งขึ้น), Create Incident (แปลง Alert ที่เลือกเป็น Incident ทันที) และ Custom Incident Rule (ตั้งกฎให้ Alert ในอนาคตที่ตรงเงื่อนไขกลายเป็น Incident อัตโนมัติ)
• หน้า Security Logs — ติ๊กแถว Log ที่ได้จากการล่าภัย แล้วคลิก Create Alert กรอก Alert Name, Alert Severity, Alert Phase, Alert Category, Alert Assessment, Attack Result และ Description (ช่อง Detection Engine ระบบกรอก XDR custom rule engine ให้) แล้วคลิก OK XDR จะแจ้งเตือนในหน้า Security Alerts ทุกครั้งที่พบเหตุการณ์ที่ตรงกัน (ดู Threat Hunting ด้วย SPL บน Athena XDR)

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

Custom Incident Rules

ใช้เมื่อต้องการให้ Alert ที่มีความมั่นใจสูง หรือ Alert จากกฎที่องค์กรสร้างเอง ถูกยกระดับเป็น Security Incident อัตโนมัติ

1. ไปที่ Configuration › Custom Detection Rules › Custom Incident Rules แล้วคลิก Add

2. เลือก Alert Type และกรอก Rule Name

3. กำหนด Rule Criteria (ฟิลด์ · in · ค่า) เพิ่มได้หลายข้อด้วย Add ทุกข้อเชื่อมกันแบบ AND ฟิลด์ที่ใช้ได้ เช่น Src IP, Src Port, Dst IP, Dst Port, Alert Rule ID, Log Rule IDs, Domain Name, URL, File MD5, File Path, X-Forwarded-For, Alert Severity, Confidence, Detection Engine, Risk Tag, Attack Result, Data Source - Raw, Direction และ Alert Assessment

4. เลือก Applicable Host เป็น Custom (กรอก IP ของเครื่อง) หรือ All

5. กรอก Incident Name (ไม่บังคับ หากเว้นว่าง ระบบตั้งชื่อให้) เลือก Incident Severity และกรอก Remarks ตามต้องการ แล้วคลิก OK

กฎมีผลกับ Alert ใหม่ที่เข้ามาหลังบันทึก ในรายการกฎดูจำนวน Incident ที่เกิดจากกฎได้ที่คอลัมน์ Hit Incidents และจัดลำดับความสำคัญของกฎด้วย Set Priority

เมื่อสร้างจากหน้า Security Alerts (เลือก Alert แล้วเลือก Custom Rule › Custom Incident Rule) ระบบกรอก Alert Type, Rule Name และ Rule Criteria จาก Alert นั้นให้ เช่น Log Rule IDs, Alert Rule ID, Src IP, Dst IP, Src Port, Dst Port, File MD5, URL และ Domain Name ฟิลด์ที่ไม่มีค่าจะถูกซ่อน และหาก Alert ไม่มี Log Rule ID ระบบใช้ Alert Rule ID แทน การจัดการ Alert รายตัวดูเพิ่มที่ Security Alerts บน Athena XDR

Alert Similarity Rules

กฎในแท็บนี้กำหนดว่า Alert ใดนับเป็น Alert ที่คล้ายกัน ระบบมีกฎที่กำหนดไว้ล่วงหน้า (Predefined) อยู่แล้ว และเพิ่มกฎเองได้ด้วย Add แล้วเลือก Rule Type

• Endpoint Rule — เลือก Rule Template (Behavioral Alerts with Process Chain, File Static Information Alerts, Scanning and Brute Force Alerts) กำหนด Similarity Condition เช่น Process Path Similarity, Command Line Similarity, Process Name Similarity, Registry Name Similarity, Overall Process Tree Similarity, DNS Node, Network Connection Node, Threat Assessment, Detection Engine, Log Rule ID และกำหนด Applicable Alert เช่น Threat Assessment, Host IP, Host IP Asset Group, Alert Name, Attack Result, Direction
• Network Rule — กำหนด Similarity Condition และ Applicable Alert จากฟิลด์ เช่น Data Packet Similarity, Threat Assessment, Src IP, Source IP Asset Group, Dst IP, Dst IP Asset Group, Dst Port, Host IP, X-Forwarded-For, Asset Type, Alert Name

วิเคราะห์ Alert ให้ชัดก่อนสร้างกฎ และกรอก Remarks ได้ไม่เกิน 500 ตัวอักษร ในรายการกฎ เลือกกฎแล้วใช้ Set Priority (Top, Up, Down, Move To) เพื่อจัดลำดับ และใช้ Enable, Disable, Edit, Copy, Delete ตามต้องการ กรองรายการได้ตาม Rule Type, Status หรือค้นด้วยชื่อกฎ Rule ID หรือ Remarks คอลัมน์ Hit Alerts บอกจำนวน Alert ที่ตรงกับแต่ละกฎ

SIEM Rules

แท็บ SIEM Rules เก็บกฎวิเคราะห์ Log ที่ส่งเข้า XDR โดยจัดกลุ่มไว้ใน Rule Group ทางซ้าย (เช่น C&C Communication, Malware, Brute Force, Scan, Website Attack) และมีปุ่ม Add, Import, Export, Enable, Disable, Delete

• Basics — Rule Name, Rule Group, Status, Description และ Rule Type (Match, Statistics หรือ Association)
• Rule Configuration — เลือก Data Source (เช่น Security Logs, Audit Logs, Firewall ACL Logs) แล้วเขียนเงื่อนไขใน IF Statement หรือใช้ตัวสร้างเงื่อนไข (Add Condition, Add Condition Group)
• Output Fields — เลือก Generate alert และ/หรือ Generate incident แล้วกำหนดค่าฟิลด์ของผลลัพธ์ (ค่าคงที่ หรือ Mapping จากฟิลด์ของ Log)
• Log Aggregation — Log ที่มี Src Ip, Dst Ip, Rule Ids, Attack State และ Direction เดียวกันในช่วงเวลาที่กำหนดจะถูกรวมเป็น Alert เดียว