×
ข้ามไปยังเนื้อหาหลัก

Security Alerts บน Athena XDR: มุมมอง ผลของ Security GPT รายละเอียด และการจัดการ Alert

ปรับปรุงเมื่อ

หน้า Security Alerts บน Sangfor Athena XDR แสดง Alert ทีละรายการที่ระบบตรวจพบจากอุปกรณ์ที่เชื่อมต่อ เช่น Athena NGFW, Athena STA, Athena EPP และอุปกรณ์ Third-Party โดย Security GPT อ่านและให้ผลวิเคราะห์ของแต่ละ Alert ไว้แล้ว บทความนี้อธิบายมุมมองสำเร็จรูป การกรอง แผงรายละเอียดของ Alert และการบันทึกผลหรือสั่งตอบสนอง สำหรับทีม SOC ที่ต้องตรวจ Alert ที่ยังไม่ถูกรวมเป็น Incident หรือต้องการดูหลักฐานระดับ Alert

มุมมองสำเร็จรูปและผลของ Security GPT

ไปที่ Detections › Security Alerts ด้านบนเป็นแท็บมุมมองสำเร็จรูป แต่ละแท็บมีตัวกรองของตัวเอง

  • Prioritized for Analysis Alert ที่ควรดูก่อน
  • Noncritical Alerts Alert ที่ไม่เร่งด่วน
  • Inbound Attacks การโจมตีจากภายนอก
  • Intranet Viruses ไวรัสที่เคลื่อนไหวในเครือข่ายภายใน
  • Incidents Generated Alert ที่รวมเป็น Incident แล้ว
  • All Alerts Alert ทั้งหมด

ปุ่ม + ท้ายแถบใช้เพิ่มแท็บของทีมเอง และตั้งตัวกรองที่บันทึกไว้เป็นค่าเริ่มต้นของแต่ละแท็บได้ มุมมองเริ่มต้นใช้ตัวกรอง WhitelistedStatus: Not Whitelisted และ NOT Action: Fixed(Mark as False Positive) คือซ่อน Alert ที่อยู่ใน Whitelist และที่ทำเครื่องหมาย False Positive ไว้แล้ว

คอลัมน์ Security GPT Analysis Result คือผลที่ GPT อ่านให้แล้ว ให้ดูคอลัมน์นี้ก่อน ค่าที่เป็นไปได้ได้แก่ Successful Attack, Endpoint Compromise, Malware Infection, Suspected Attack, Failed Attack, Insecure Access, False Positive และ Insufficient Data การใช้ค่าเหล่านี้จัดลำดับงานอธิบายไว้ใน Security GPT บน Athena XDR

หน้า Security Alerts แท็บ All Alerts พร้อมคอลัมน์ Security GPT Analysis Result

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

การกรอง Alert

  1. เลือกฐานเวลา (Last Detected หรือ First Detected) และช่วงเวลา เช่น Today, Last 24 hours, Last 7 days หรือ Custom ตั้ง Auto Refresh ได้เหมือนหน้า Security Incidents

  2. คลิกช่องค้นหา แถวบน (General Fields) เป็นชื่อฟิลด์ เช่น SrcIP, DstIP, EndpointIP, AlertName, DetectionEngine, DomainName, URL, MD5, X-Forwarded-For, WhitelistedStatus ด้านล่างเป็นกลุ่มตัวเลือกพร้อมจำนวน Alert กำกับ

    • AttackResult: Compromised, Successful, Failed, Attempted
    • AlertSeverity: Critical, High, Medium, Low, Info
    • AlertPhase: ขั้นของการโจมตี เช่น Reconnaissance, Lateral Movement, C&C Communication, Host Anomaly
    • Direction: Inbound, Lateral, Outbound, None
    • DeviceSource และ DataSource: อุปกรณ์และแหล่งข้อมูลที่รายงาน
    ตัวเลือกฟิลด์และกลุ่มตัวกรองพร้อมจำนวนในหน้า Security Alerts

  3. ติ๊กค่าที่ต้องการแล้วกดปุ่มค้นหา ตัวกรองจะแสดงเป็นป้ายในแถบค้นหา ตัวอย่างด้านล่างติ๊ก Successful ในกลุ่ม AttackResult หรือเลือกฟิลด์ DetectionEngine พิมพ์ IOA แล้วติ๊ก IOA Detection Engine เพื่อดู Alert ที่ตรวจโดยเอนจิน IOA

    รายการ Alert หลังกรอง AttackResult: Successful

  4. กรองละเอียดด้วย Advanced Mode (คำสั่ง SPL) และกดรูปดาวเก็บตัวกรองไว้ใน Favorites ได้ ดู Threat Hunting ด้วย SPL บน Athena XDR

Attack Result ของเอนจินกับผลของ GPT อาจต่างกันได้ เช่น เอนจินระบุว่า Successful แต่ GPT อ่านบริบทแล้วให้ผล False Positive ให้ใช้ทั้งสองค่าประกอบกัน

ปุ่มบนแถบเครื่องมือ

ปุ่ม ใช้ทำอะไร
Add Custom Tag / Copy ติดป้ายของทีมกับ Alert ที่เลือก หรือคัดลอกเนื้อหา Alert (ใช้งานได้เมื่อเลือก Alert แล้ว)
Rules GPT Tuning, Alert Whitelisting, Special Assets, X-Forwarded-For Value Priorities, SecOps Configuration
Fix Block Address, Isolate Host, Quarantine File, Trust File, Execute SOAR Playbook, Execute SOAR Action, Initiate Ticket
Mark As บันทึกสถานะของ Alert ที่เลือก
Custom Rule Custom IOC Alert Rule, Create Incident (สร้าง Incident จาก Alert ที่เลือก), Custom Incident Rule ดู Custom Detection Rules
Network Alerts with Endpoint Forensics กรองให้เหลือ Alert เครือข่ายที่มีหลักฐานฝั่ง Endpoint ประกอบ ตัดสินได้ชัดขึ้นเพราะเห็นทั้งสองฝั่ง
Unread Only / Critical Only แสดงเฉพาะ Alert ที่ยังไม่อ่าน หรือเฉพาะ Alert สำคัญตามเงื่อนไขที่ตั้งด้วยไอคอนรูปเฟืองข้าง ๆ
เมนู Rules บนแถบเครื่องมือของ Security Alerts

ไอคอนตัวกรองที่หัวคอลัมน์ (เช่น Src IP) แสดงค่าที่พบบ่อยพร้อมจำนวน กด ⊕ เพื่อกรองเฉพาะค่านั้น หรือ ⊖ เพื่อตัดค่านั้นออก

แผง Alert Details

คลิกชื่อ Alert แผง Alert Details จะเปิดทางด้านขวา ส่วนหัวแสดงชื่อ สถานะ และปุ่ม Fix, Rules, Mark As ถัดมาเป็น Security GPT Analysis Result, Custom Tag (กด + Add เพื่อติดป้าย), Last Detected, Associated Incidents (Alert นี้รวมอยู่ใน Incident ใดแล้วบ้าง) และ Affected Assets ปุ่ม Previous / Next ด้านล่างใช้เลื่อนไป Alert ก่อนหน้าหรือถัดไป

แท็บ เนื้อหา
Security GPT Analysis เหตุผลของ GPT ทีละขั้นและข้อสรุปของ Alert นี้
Details Basics (Data Source, Detection Engine, Alert Description), IP Information (ต้นทาง ปลายทาง พอร์ต โปรโตคอล), Packet Content (Request และ Response มี Code Converter และมุมมอง UTF-8 / Hex) สำหรับ Alert ฝั่ง Endpoint จะแสดงกราฟของโปรเซสและแผงรายละเอียดโปรเซส
Sub-alerts (Alert ฝั่ง Endpoint) แยกพฤติกรรมย่อยแต่ละรายการพร้อม Technique ของ MITRE ATT&CK
Similar Alerts Alert ลักษณะเดียวกันตามกฎที่ Configuration › Custom Detection Rules › Alert Similarity Rules (มีกฎสำเร็จรูปทั้งฝั่ง Endpoint และฝั่งเครือข่าย) ตัวเลขสูงแปลว่าเรื่องนี้เกิดซ้ำบ่อย ควรตรวจว่าเป็นงานปกติของระบบหรือไม่
Logs Log ดิบที่เป็นต้นเหตุของ Alert พร้อมเวลา Rule Name, Src IP, Dst IP, Dst Port, Reported By และ Attack Status
Alert Fields ฟิลด์ทั้งหมดของ Alert เช่น Alert Rule ID, Log Rule ID, Alert Assessment, Alert Phase, Confidence, ATT&CK Technique
Entity Fixing / SOAR Execution History / Ticket Process เป้าหมายที่สั่งจัดการได้ ประวัติ Playbook และ Ticket ของ Alert นี้
แผง Alert Details แท็บ Security GPT Analysis
แท็บ Details ของ Alert แสดง IP Information และ Packet Content

ตัวอย่างในภาพ Packet Content แสดง User-Agent ของ CertUtil ในคำขอดาวน์โหลดไฟล์ ซึ่งเป็นหลักฐานเดียวกับที่ GPT ใช้สรุป อ่านคำขอและคำตอบประกอบกันเพื่อตัดสินผล

ติดป้ายและคัดลอก Alert

ป้าย (Custom Tag) ช่วยให้ทีมบันทึกผลการตัดสินของตัวเองไว้กับ Alert เช่น Alert จริง เตือนผิด หรือรอตรวจ

  1. ติดป้ายหลายรายการพร้อมกัน: ติ๊ก Alert ในรายการ แล้วกด Add Custom Tag เลือกป้ายที่มีอยู่ เช่น Valid Alert, False Positive, Pending Review หรือพิมพ์ป้ายใหม่ คลิก … ข้างป้ายเพื่อแก้ชื่อหรือสี

  2. ติดป้ายจากแผงรายละเอียด: กด + Add ข้าง Custom Tag

    แผง Alert Details ช่อง Custom Tag พร้อมปุ่ม Add

  3. เลือกขอบเขตของป้าย ว่าใช้กับ Alert นี้เท่านั้นหรือกับ Alert ที่คล้ายกัน และใช้กับ Alert ในช่วง 30 วันที่ผ่านมาหรือกับ Alert ใหม่ที่จะเข้ามา แล้วกด OK เมื่อใช้กับ Alert ที่คล้ายกัน แท็บ Similar Alerts จะแสดงรายการ Alert เหล่านั้น

  4. คัดลอกข้อมูลไปใช้ต่อ: ติ๊ก Alert แล้วเปิด Copy ⌄ เลือกคัดลอกเนื้อหาของ Alert หรือ Src IP ไอคอนรูปเฟืองในเมนูนี้ใช้กำหนดเนื้อหาที่คัดลอก แยกสำหรับ Alert ฝั่งเครือข่ายและฝั่ง Endpoint

คลิกเมาส์ขวาที่ Alert ในรายการเพื่อใช้เครื่องมือเสริม เช่น Copy Cell, Copy Entire Row และ Decoding Tool สำหรับถอดรหัส Payload ที่ Encode ไว้โดยไม่ต้องเปิดเว็บภายนอก

บันทึกผลและสั่งตอบสนอง

  1. ตรวจเสร็จแล้ว คลิก Mark As ในแผงรายละเอียด (หรือเลือกหลาย Alert ในรายการแล้วคลิก Mark As บนแถบเครื่องมือ)

    เมนู Mark As ของ Alert แสดง Pending, Fixing, Fixed, Blocked, False Positive, Ignored

  2. เลือกค่าตามผลการตรวจ ตามตารางด้านล่าง

ค่า ใช้เมื่อ
Pending / Fixing / Fixed / Blocked ติดตามสถานะการจัดการเหมือน Incident
False Positive ตรวจแล้วเป็นการเตือนผิด Alert จะหายจากมุมมองเริ่มต้น
Ignored รับทราบแล้ว ไม่ต้องดำเนินการต่อ

บาง Alert มีสถานะ Blocked อยู่แล้วเมื่อเปิดดู เพราะ Log ดิบระบุว่าอุปกรณ์ Deny การเชื่อมต่อไปแล้ว และกฎใน SecOps Configuration เปลี่ยนสถานะให้อัตโนมัติ (ดู Security Incidents)

  • สั่งตอบสนองด้วยปุ่ม Fix ในแผงรายละเอียด เลือก Block Address, Execute SOAR Playbook, Execute SOAR Action หรือ Initiate Ticket (ปุ่ม Fix บนแถบเครื่องมือมี Isolate Host, Quarantine File และ Trust File เพิ่มเติม) รายละเอียดอยู่ใน Responses บน Athena XDR

    เมนู Fix ในแผง Alert Details: Block Address, Execute SOAR Playbook, Execute SOAR Action, Initiate Ticket
  • Alert ที่ยืนยันแล้วว่าเป็นงานปกติและเกิดซ้ำ ใช้ Rules › Alert Whitelisting ดู Whitelists บน Athena XDR
  • หากต้องการเก็บ Alert ไว้แต่ให้ผลวิเคราะห์ตรงกับระบบขององค์กร ให้ใช้Rules › GPT Tuning ดู Security GPT บน Athena XDR
  • Alert ที่เป็นภัยจริงแต่ยังไม่ถูกรวมเป็น Incident ใช้ Custom Rule › Create Incident

บทความที่เกี่ยวข้อง

ข้อคิดเห็น

0 ข้อคิดเห็น

โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น