Asset Center บน Athena XDR: Overview, Active Assets, Pending Review และ Inactive Assets

Asset Center คือที่รวมข้อมูลทุกเครื่องที่ Sangfor Athena XDR รู้จัก ทั้ง Server เครื่องพนักงาน อุปกรณ์เครือข่าย และ IoT ที่มี IP โดย XDR ค้นพบเครื่องเหล่านี้เองจากอุปกรณ์ที่ส่งข้อมูลเข้ามา (เช่น Athena EPP, Athena STA, Athena NGFW และอุปกรณ์ Third-Party) แล้วรวมไว้ในเมนูนี้ ทุก Security Incident ใช้ข้อมูลชุดนี้บอกทิศทางการโจมตี บอกว่าต้องติดต่อใคร และให้ Security GPT ใช้ประกอบการวิเคราะห์ บทความนี้อธิบายหน้าจอ Asset Center สำหรับผู้ดูแลระบบและทีม SOC ที่ต้องตรวจและจัดการรายการเครื่องเป็นประจำ

เมนูใน Asset Center

การตั้งค่าเริ่มต้น (IP Ranges, เจ้าของ, กลุ่ม Asset, เครื่องสำคัญ) ดูที่ การตั้งค่า Asset เริ่มต้นและแนวทาง Asset Governance ส่วนกฎใน Asset Configuration และหน้า Fingerprints ดูที่ Asset Configuration และ Fingerprints

หน้า Overview

ไปที่ Asset Center › Overview หน้านี้สรุปเครื่องทั้งหมดเป็นการ์ด เปิดดูเป็นประจำ ถ้าจำนวนเครื่องขยับผิดปกติจะเห็นได้ทันที

• Asset Statistics – จำนวน Active Assets, Critical Assets, To Be Inactive (in 7 Days) และ Pending Review (เครื่องที่ยังรอยืนยัน)
• Asset Sources – จำนวนเครื่องที่แต่ละแหล่งรายงาน ผลรวมอาจมากกว่าแถวบน เพราะเครื่องเดียวอาจมาจากหลายแหล่ง แต่ XDR นับเป็นเครื่องเดียว
• Asset Types – แยกเป็น Servers, Endpoints และ Other (สลับดูเฉพาะ Critical ได้)
• Asset Protection Status – แยกตามสถานะ Agent ช่อง Unprotected คือเครื่องที่ยังไม่ได้ติดตั้ง Agent ของ Athena EPP ใช้ตัวเลขนี้วางแผนติดตั้ง EPP เพิ่ม
• การ์ดอื่นด้านล่าง เช่น Internet Exposure, Fingerprints, High-Risk Apps และ Top 5 Special Accounts

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

Active Assets

เครื่องที่ XDR ดูแลแล้วอยู่ที่ Asset Center › Assets › Active Assets แผงด้านซ้ายสลับมุมมองได้ระหว่าง Asset Groups, Business Groups และ OUs คลิกกลุ่มใดกลุ่มหนึ่ง แถบด้านบนจะแสดงช่วง IP เจ้าของ (Owner) และ Asset Type ของกลุ่มนั้น

แถบเครื่องมือด้านบนมีปุ่ม Configure IP Range, Owners, Import / Export, Custom Attributes, Tags และ Auth Info Sync สำหรับการตั้งค่า Asset (ดูบทความการตั้งค่า Asset เริ่มต้น)

รายละเอียดของเครื่อง (Asset Details)

คลิก IP ของเครื่องเพื่อเปิดหน้า Asset Details ซึ่งมี 4 แท็บ

• Basics – Asset ID, Asset Criticality, Tag, Hostname, Asset Group, Activation Method (บอกว่าเครื่องเข้ารายการด้วยกฎข้อไหน) และ Associated IPs พร้อมลิงก์ Historical IPs
• Asset Fingerprints – พอร์ตที่เปิด แอป บัญชี Process และข้อมูลอื่นบนเครื่องนี้
• Hardware Info – ข้อมูลฮาร์ดแวร์ที่ Athena EPP ส่งมา
• Data Sources – อุปกรณ์แต่ละตัวที่รายงานเครื่องนี้ พร้อมชื่ออุปกรณ์ เวอร์ชัน และเวลาอัปเดตล่าสุด

มุมขวาบนมีปุ่ม Move to Inactive และ Delete Asset

ค้นหาและจัดการหลายเครื่องพร้อมกัน

เมื่อเครื่องมีจำนวนมาก ให้ค้นแบบระบุเงื่อนไข

1. คลิกช่อง Select filters แถวบนเป็นฟิลด์ให้ค้น เช่น IP Address, Hostname, Owner, OS หรือ Asset Criticality แถวล่างติ๊กเลือกได้ทันที ทั้ง Data Source, Asset Type, Agent Status และ Internet Exposure

   

2. ติ๊กเลือกเครื่องในรายการ ปุ่มบนแถบเครื่องมือจะใช้กับทุกเครื่องที่เลือกพร้อมกัน ได้แก่ Edit, Delete, Move to Inactive, Mark Asset และ Move to Group

   

3. กด Edit เพื่อแก้ Asset Type, Owner, Asset Group, Business Group, Special Asset Tag หรือ Asset Tag ของทุกเครื่องที่เลือกในครั้งเดียว เหมาะกับช่วงเริ่มระบบที่ต้องจัดเครื่องจำนวนมาก

   

4. กด Mark Asset แล้วเลือก As Critical หรือ As Noncritical เพื่อกำหนดว่าเครื่องใดเป็นเครื่องสำคัญ เครื่องที่ตั้งเป็น Critical จะมีไอคอนดาว

   

Pending Review

เครื่องที่เพิ่งถูกรายงานเข้ามาแต่ยังไม่ตรงกับกฎ Auto Activation จะพักอยู่ที่แท็บ Pending Review เพื่อให้ทีมยืนยันก่อน การ์ดด้านบนช่วยคัดว่าเครื่องไหนควรดูก่อน ได้แก่ Reported by High-Accuracy Data Sources, Assets with Open Ports, Recent Active Assets, Recent Risky Assets และ Associated Asset Groups แท็บนี้ดูแยกตาม Asset Group หรือแยกตาม IP Range ก็ได้

การรับเครื่องเข้ารายการดูแล

1. ติ๊กแถวของเครื่องที่ต้องการ
2. กด Move to Active แล้วกด OK ยืนยัน เครื่องจะย้ายไปอยู่ใน Active Assets ตามกลุ่มที่ตรงกับช่วง IP

เครื่องที่องค์กรไม่ต้องดูแล เลือกแล้วกด Delete ออกจากรายการนี้ได้ ปุ่ม Analyze ใช้ตั้งเกณฑ์คัดกรองเอง (เช่น แหล่งข้อมูลที่ถือว่าแม่นยำ) และปุ่ม Activation Settings พาไปยังกฎรับเครื่องเข้าใน Asset Configuration

Inactive Assets และการลบเครื่อง

เครื่องที่หายไปจากเครือข่ายนานเกินเกณฑ์ของกฎ Deactivation จะย้ายไปอยู่ที่แท็บ Inactive Assets โดยอัตโนมัติ ถ้าเครื่องกลับมามีข้อมูลใหม่และไม่ตรงกับกฎข้อใด XDR จะย้ายกลับไป Active Assets หรือ Pending Review ให้เอง ในแท็บนี้เลือกเครื่องแล้วย้ายกลับหรือลบได้ และปุ่ม Deactivation Settings พาไปยังกฎย้ายเครื่องออก

ย้ายเครื่องกลับหรือลบเครื่อง

1. เปิดแท็บ Inactive Assets ติ๊กเครื่องที่ต้องการ แล้วกด Move to Active เพื่อรับกลับเข้ารายการดูแล หรือกด Delete เพื่อลบ (ปุ่ม Delete ใช้ได้ทั้งในแท็บนี้และใน Active Assets)

2. เมื่อกด Delete หน้าต่างยืนยันจะแจ้งว่าข้อมูลของเครื่องจะถูกลบไปด้วย ถ้าไม่ต้องการให้ IP นี้กลับมาเป็น Asset อีก ให้ติ๊ก Add the asset IP address to Excluded Assets แล้วกด OK