Whitelists บน Athena XDR: Incident Whitelists และ Alert Whitelists

Whitelist บน Sangfor Athena XDR ใช้ซ่อน Alert หรือ Incident ที่ตรวจแล้วว่าเป็นงานปกติขององค์กร เช่น งานดูแลระบบจากระยะไกล หรือเครื่องสแกนช่องโหว่ของทีมเอง เพื่อให้ทีม SOC เห็นเฉพาะเรื่องที่ต้องจัดการจริง บทความนี้อธิบาย Incident Whitelists และ Alert Whitelists การสร้างกฎจาก Alert โดยตรง และแนวทางตั้งกฎให้แคบและมีวันหมดอายุ สำหรับผู้ดูแลระบบและทีม SOC ที่ยืนยันผลแล้วว่าเป็นงานปกติ

หน้า Whitelists

ไปที่ Detections › Whitelists ด้านบนมี 2 แท็บ

• Alert Whitelists มีแท็บย่อยอีกชั้น คือ GPT Tuning (ปรับผลวิเคราะห์ของ Security GPT โดยเก็บ Alert ไว้ ดู Security GPT บน Athena XDR) และ Alert Whitelists (ซ่อน Alert ที่ตรงกฎ)
• Incident Whitelists ซ่อน Incident ที่ตรงกฎ

Incident Whitelists

ใช้เมื่อมี Incident ซ้ำ ๆ ที่ยืนยันแล้วว่าไม่ต้องจัดการ

1. เปิดแท็บ Incident Whitelists แล้วคลิก Add (หรือกด Add to Whitelist ที่ส่วนหัวของ Incident)

   

2. ในกล่อง Create Whitelist Rule ติ๊ก Enable และกรอก Rule Name

3. ตั้ง Whitelist Rule โดยเลือกฟิลด์ (เช่น Incident Name, Incident Rule ID, Incident Engine, Incident Assessment, Tag, Device Source, Data Source) แล้วกรอกค่าทีละบรรทัด กด + Add เพื่อเพิ่มเงื่อนไข ทุกเงื่อนไขเชื่อมกันแบบ AND ต้องตรงครบกฎจึงทำงาน

   

4. เลือก Applicable Hosts เป็น Custom (ระบุเครื่อง) หรือ All (including new online ones)

5. เลือก Validity เป็น Permanent, 7 days, 14 days หรือ Custom กรอก Remarks แล้วกด OK

Alert Whitelists

1. เปิดแท็บ Alert Whitelists แล้วเลือกแท็บย่อย Alert Whitelists คลิก Add

   

2. ส่วน Basics กรอก Rule Name และเลือก Status Enabled หรือ Disabled

3. ส่วน Whitelist Rule เลือก Template Type ให้ตรงกับชนิดของเรื่อง ได้แก่ General Whitelist, Web Attack Whitelist, Virus-Infected File Whitelist, Brute-Force Attack Whitelist, IOA Whitelist หรือ Email Attack Whitelist แล้วเลือก Alert Type

4. ตั้ง Rule Criteria เช่น Alert Rule ID, Log Rule ID, Src IP, Src Port, Dst IP, Dst Port (กรอก IP เดี่ยว Subnet หรือช่วง IP ได้ทีละบรรทัด) เงื่อนไขเชื่อมกันด้วย AND ใช้ Add Condition หรือ Add Condition Group เพื่อเพิ่มเงื่อนไข เงื่อนไขแบบ Regular Expression ทดสอบได้ด้วยปุ่ม Regular Expression Test Tool

   

5. ส่วน Application Scope เลือก Applicable Hosts (Custom หรือ All) และ Validity ได้แก่ Permanent, 7 days, 14 days, Custom Range หรือ Custom Schedule

   

6. กรอก Remarks ระบุเหตุผลทางธุรกิจ แล้วกด OK

สร้างกฎจาก Alert ที่ยืนยันแล้ว

วิธีที่สะดวกที่สุดคือสร้างกฎจาก Alert โดยตรง ระบบจะเติมเงื่อนไขของ Alert นั้นมาให้ ตัวอย่างนี้คือ Alert การสั่งงานผ่าน WinRM ที่ Security GPT ให้ผลเป็น False Positive และทีมยืนยันแล้วว่าเป็นงานดูแลระบบระหว่างเซิร์ฟเวอร์ขององค์กร

1. ที่ Detections › Security Alerts เปิดแผงรายละเอียดของ Alert (หรือติ๊ก Alert ในรายการ) แล้วเลือก Rules › Alert Whitelisting

   

2. ฟอร์มเปิดมาพร้อม Template, Alert Type และ Rule Criteria ของ Alert นี้ (Alert Rule ID, Log Rule ID, Src IP, Dst IP, Dst Port, Src Port) เปลี่ยน Rule Name ให้สื่อความหมาย เช่น WinRM_Admin_MGMT01_to_DC

   

3. ลบแถว Src Port ออก (ไอคอนถังขยะ) เพราะพอร์ตต้นทางเปลี่ยนทุกครั้งที่เชื่อมต่อ ถ้าคงไว้ กฎจะตรงเฉพาะการเชื่อมต่อเดิมเท่านั้น

   

4. ตรวจ Applicable Hosts ที่ระบบเติมไว้ (Custom = เฉพาะเครื่องต้นทาง) เครื่องอื่นที่ทำพฤติกรรมเดียวกันจะยังถูกแจ้งเตือนตามปกติ

5. ตั้ง Validity ตามความจำเป็น เช่น 7 days สำหรับงานชั่วคราว หรือ Permanent สำหรับงานประจำที่ยืนยันแล้ว กรอก Remarks แล้วกด OK ระบบแจ้ง "Added successfully."

   

6. Alert ที่เกิดก่อนตั้งกฎ ให้บันทึกผลด้วย Mark As ในแผงรายละเอียดเดียวกัน

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ตรวจผลและดูแลกฎ

กฎใหม่แสดงในแท็บย่อย Alert Whitelists พร้อมคอลัมน์ Rule Name, Rule ID, Rule Criteria (ชี้เพื่อดูเงื่อนไขครบทุกข้อ), Hit Alerts (Last 30 Days / Last 90 Days), Applicable Host, Duration, Status และ Operation (Edit, Delete) ลิงก์ All Rules ในฟอร์มสร้างกฎเปิดรายการกฎทั้งหมดได้เช่นกัน

• Hit Alerts นับเฉพาะ Alert ที่เกิดหลังบันทึกกฎ ถ้างานนั้นเกิดอีก ตัวเลขจะขยับขึ้น และ Alert จะไม่แสดงในมุมมองเริ่มต้นของ Security Alerts
• ดู Alert ที่ถูก Whitelist ได้โดยกรองฟิลด์ WhitelistedStatus ในหน้า Security Alerts
• ปิดกฎชั่วคราวด้วยสวิตช์ในคอลัมน์ Status หรือลบด้วย Delete เมื่อเลิกใช้งาน