×
ข้ามไปยังเนื้อหาหลัก

Risky Assets บน Athena XDR: ดูความเสี่ยงรายเครื่องและ MITRE ATT&CK

ปรับปรุงเมื่อ

หน้า Risky Assets บน Sangfor Athena XDR จัดกลุ่ม Incident และ Alert ตามเครื่อง ช่วยตอบคำถามว่า "เครื่องไหนเสี่ยงที่สุด" แทนที่จะไล่ดูทีละ Alert เหมาะกับทีม SOC ที่ต้องจัดลำดับการดูแลเครื่อง และผู้ดูแลระบบที่ต้องสรุปให้เจ้าของระบบเห็นว่าเครื่องหนึ่งโดนอะไรไปบ้าง โดยมีแถบ MITRE ATT&CK ช่วยอธิบายว่าการโจมตีไปถึงขั้นไหน

รายการ Risky Assets

ไปที่ Detections › Risky Assets ตั้งช่วงเวลา (Last Detected) และ Auto Refresh ได้เหมือนหน้า Security Incidents ใช้ช่องค้นหาแบบ Basic Mode เพื่อกรองรายการ และกดรูปดาวเก็บตัวกรองไว้ใน Favorites

คอลัมน์ ความหมาย
Affected Asset IP เจ้าของ และกลุ่มของเครื่อง (จุดสีแดง = ยังไม่เปิดอ่าน)
Severity ระดับความเสี่ยงของเครื่องจาก Incident ที่เกิดขึ้น
Tag ป้ายของพฤติกรรมที่พบ เช่น Port Scan, RDP Scan, Cryptomining
Asset Type ชนิดของเครื่อง เช่น Endpoint, Server
Incidents จำนวน Incident ของเครื่อง แยกจุดสีตามความรุนแรง
Attack Surface Highly Exploitable/Total Vulnerabilities และ Weak Passwords ของเครื่อง
Last Detected / Data Source เวลาที่พบล่าสุด และแหล่งข้อมูลที่เห็นความเสี่ยง
หน้า Risky Assets แสดงความรุนแรง ป้าย จำนวน Incident และ Attack Surface ของแต่ละเครื่อง

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

Severity ในหน้านี้คือระดับความเสี่ยงที่ XDR ประเมินจากเหตุการณ์ ต่างจากการกำหนดเครื่องสำคัญด้วย Mark Asset › As Critical ใน Asset Center ซึ่งเป็นการกำหนดความสำคัญทางธุรกิจของเครื่อง

เหนือตารางมีปุ่ม Export สำหรับเก็บรายการเป็นไฟล์ และ Unread Only สำหรับแสดงเฉพาะเครื่องที่ยังไม่เปิดดู

Risky Asset Details

คลิกเครื่องในรายการเพื่อเปิด Risky Asset Details

  • ส่วนหัวสรุประดับความเสี่ยง จำนวน Incident แยกตามความรุนแรง ช่องโหว่ที่โจมตีได้ง่าย รหัสผ่านอ่อน และแหล่งข้อมูล
  • แถบ MITRE ATT&CK เรียง 12 Tactic ตั้งแต่ Initial Access ถึง Impact ชี้ที่ช่องใดจะเห็น Tactic ID คำอธิบาย และลิงก์แหล่งอ้างอิง เช่น Credential Access คือขั้นที่ผู้โจมตีขโมยรหัสผ่าน และ Command and Control คือขั้นที่เครื่องติดต่อกลับไปหาผู้โจมตี ใช้ประเมินว่าควรเสริมมาตรการป้องกันที่ขั้นใด
Risky Asset Details แสดงส่วนหัวและคำอธิบาย Tactic ของ MITRE ATT&CK
  • แท็บ Security Incidents รวม Incident ทั้งหมดของเครื่องนี้ เลือก Incident แล้วใช้ปุ่ม Fix สั่งตอบสนองได้จากหน้านี้ คลิกชื่อเพื่อเปิดรายละเอียด (ดู การอ่านและจัดการ Security Incident)
  • แท็บ Security Alerts รวม Alert ทุกรายการของเครื่องเดียวกัน พร้อม Alert Assessment, Src IP และ Dst IP
แท็บ Security Alerts ในหน้า Risky Asset Details

ใช้หน้านี้ในงานประจำ

  • เริ่มวันด้วยการเรียงตาม Severity แล้วเปิดเครื่องที่มีทั้ง Severity สูงและ Incident หลายเรื่องก่อน
  • เมื่อเจ้าของระบบถามว่าเครื่องหนึ่งโดนอะไรไปบ้าง เปิด Risky Asset Details ของเครื่องนั้นให้ดูได้ทันที ทั้ง Incident, Alert และขั้นของ MITRE ATT&CK
  • ถ้าช่อง Attack Surface มีช่องโหว่ที่โจมตีได้ง่ายหรือรหัสผ่านอ่อน ให้จัดการต่อที่ Weaknesses

บทความที่เกี่ยวข้อง

ข้อคิดเห็น

0 ข้อคิดเห็น

โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น