Asset Check บน Athena XDR: ตรวจความเสี่ยงรายเครื่องและอ่านผล

Asset Check ใน Sangfor Athena XDR ตรวจความเสี่ยงทีละเครื่อง แล้วสรุปเป็นระดับความเสี่ยงเดียวต่อเครื่อง ครอบคลุม Incident และ Alert ที่เกิดขึ้นแล้ว ช่องโหว่ แอปและพอร์ตที่เสี่ยง การเข้าถึงที่ผิดปกติ และพฤติกรรมที่ผิดไปจาก Baseline โดยแสดงร่วมกับ MITRE ATT&CK Tactic ใช้ตอบคำถามว่า "แต่ละเครื่องเสี่ยงแค่ไหน" และช่วยวางงานของทีมในแต่ละสัปดาห์ บทความนี้สำหรับผู้ดูแลระบบและทีม SOC

สิ่งที่ต้องมี

• เครื่องที่จะตรวจต้องติดตั้ง Agent ของ Athena EPP ที่เชื่อมกับ XDR แล้ว และ Agent ต้อง Online ขณะตรวจ (ดู การเชื่อมต่อ Athena EPP กับ Athena XDR)
• Asset Check ใช้ข้อมูลที่ XDR มีอยู่แล้ว (Incident, Alert, Weaknesses, Risky Apps, Fingerprints) ดังนั้นยิ่งเชื่อมแหล่งข้อมูลครบ ผลตรวจยิ่งครอบคลุม
• สำหรับเครื่องที่รอติดตั้ง Agent ให้ทยอยติดตั้ง เริ่มจากเซิร์ฟเวอร์สำคัญและเครื่องที่เสี่ยงสูงก่อน

เลือกเครื่องและสั่งตรวจ

1. ไปที่ Risk Management › Asset Check ภาพด้านบนแสดงขั้นการตรวจ กล่อง Assets for Check ทางขวาแสดงจำนวนเครื่องในรายการตรวจ

   

2. กด Configure Assets แผงซ้ายคือ Asset Groups ใช้กรองเครื่อง ติ๊ก Online Agents Only ให้เหลือเฉพาะเครื่องที่ Agent ออนไลน์ แล้วติ๊กเครื่องที่ต้องการ เครื่องที่เลือกจะไปอยู่ในช่อง Selected ทางขวา

   

3. กด OK ระบบถามว่าจะตรวจทันทีหรือไม่ กด Check Now (หรือ Check Later)

   

4. การ์ดของแต่ละเครื่องแสดงสถานะกำลังตรวจพร้อมความคืบหน้าเป็นเปอร์เซ็นต์ การตรวจใช้เวลาหลายนาที

   

ตั้งรายการเครื่องไว้ครั้งเดียว รอบต่อไปกด Check Now เพื่อตรวจซ้ำได้ทันที

โมเดลการตรวจ 4 ขั้น

กด About Check Model เพื่อดูโมเดลแบบพีระมิด

• Current Threats – Incident และ Alert ที่เกิดแล้ว (ใช้ ATT&CK Tactic และ Technique)
• Identified Risks – ช่องโหว่และรหัสผ่านที่ไม่แข็งแรง มองจากมุมของผู้โจมตี
• Potential Risks – พอร์ตที่เปิดเผย แอปเสี่ยง และการเข้าถึงที่เสี่ยง
• Abnormal Signals – Baseline ของเครื่องสำคัญ (พอร์ต บัญชี Startup Programs แอป Scheduled Tasks Services Registry) ใช้จับพฤติกรรมที่ผิดไปจากเดิม

อ่านผลการตรวจและระดับความเสี่ยง

ผลตรวจขึ้นเป็นการ์ดทีละเครื่อง มีประโยคสรุป แถบ ATT&CK Attacks (ช่องที่มีสีเข้มพร้อมตัวเลขคือ Tactic ที่ตรวจเจอจริง ชี้ที่ Tactic เพื่อดูคำอธิบาย) และส่วน Threats, Threat Entities, Weakness, Potential Risks, Risky Accesses และ Anomalies

Risk Level ดูทั้งเครื่อง รวม Incident และ Alert ที่ค้างอยู่ ส่วน Priority ในหน้า Weaknesses ดูเฉพาะจุดอ่อน ใช้ตัวกรอง Check Result และ Time Checked เหนือรายการเพื่อหาเครื่องตามระดับ

Check Details

กด Check Details บนการ์ดของเครื่องเพื่อเปิดรายละเอียด

• Security Risk Detection – ไล่ผลตรวจทีละ ATT&CK Tactic พร้อมจำนวน Incident และ Alert คลิกตัวเลขเพื่อไปยังหน้า Incident หรือ Alert นั้น
• แท็บแยกตามชนิดความเสี่ยง: Threat Entities, Vulnerabilities, Weak Passwords, Risky Apps, Risky Ports, Risky Accesses และ Anomalies

สำหรับแท็บ Anomalies ให้กด Establish Now เพื่อสร้าง Baseline ของเครื่องก่อน ระบบสร้าง Baseline จาก Fingerprint ของเครื่อง แล้วแจ้งเตือนเมื่อเครื่องทำงานผิดไปจากเดิม

รายการพอร์ตที่เปิดอยู่บนแต่ละเครื่องดูต่อได้ที่ Fingerprints และแอปเสี่ยงดูที่ Risky Apps ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

แนวทางใช้งาน

1. เริ่มรายการตรวจจากเซิร์ฟเวอร์สำคัญและเครื่องของผู้ดูแลระบบ แล้วค่อยขยายไปเครื่องผู้ใช้ทั้งหมด
2. ใช้ผลตรวจวางงานของสัปดาห์ เริ่มจากเครื่องระดับ Critical และ High ที่เป็นเครื่องสำคัญของธุรกิจ
3. สั่ง Asset Check ซ้ำกับเครื่องสำคัญทุกสัปดาห์ โดยเฉพาะเครื่องที่เพิ่งแก้ไขเสร็จ เพื่อยืนยันผล
4. การ์ด Asset Check บน Home › Monitor Overview สรุปจำนวนเครื่องแต่ละระดับให้ผู้บริหารดูได้ทันที