การตั้งค่า Asset เริ่มต้นบน Athena XDR: IP Ranges, Owners, Asset Groups, เครื่องสำคัญ และแนวทาง Asset Governance

หลังเชื่อมอุปกรณ์เข้า Sangfor Athena XDR แล้ว XDR จะเห็นเครื่องในเครือข่ายเป็นรายการ IP แต่ยังไม่รู้ว่าวงไหนเป็นขององค์กร เครื่องไหนเป็น Server และใครเป็นเจ้าของ บทความนี้อธิบายการตั้งค่า Asset เริ่มต้นที่ผู้ดูแลระบบควรทำทันทีหลังเชื่อมอุปกรณ์ และแนวทางจัดระเบียบ Asset (Asset Governance) ตามความพร้อมขององค์กร เมื่อตั้งครบแล้ว ทุก Incident จะบอกได้ทันทีว่าโจมตีเข้าหรือออก กระทบเครื่องกลุ่มไหน และต้องติดต่อใคร

สิ่งที่ต้องตั้งและสิ่งที่เป็นทางเลือก

ภาพประกอบในบทความนี้ใช้ชื่อกลุ่มและเจ้าของตัวอย่าง ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

กำหนด IP Ranges

XDR ใช้ IP Ranges แยกว่าอะไรมาจากข้างนอก อะไรเกิดข้างใน ทุก Incident จึงบอกทิศทางได้ถูก (โจมตีเข้า โจมตีออก หรือเกิดภายใน) และการบล็อกอัตโนมัติกับ SOAR Playbook ก็ตัดสินจากทิศทางนี้เช่นกัน

1. ไปที่ Asset Center › Assets › Active Assets กด Configure IP Range แล้วเลือก IP Ranges

   

2. หน้าต่างมีวง Private IP กรอกไว้ให้แล้ว เพิ่มวง IP ของเครือข่ายภายในให้ครบ บรรทัดละหนึ่งวง ถ้าองค์กรใช้ Public IP บางวงเป็นวงภายใน ให้เพิ่มวงนั้นด้วย แล้วกด OK

   

3. วง IP ของสาขาหรือคู่ค้าที่เชื่อมเข้ามาแต่ XDR ไม่ต้องดูแล ให้กรอกที่ Configure IP Range › Unmanaged IP Ranges IP ในวงนี้จะไม่ขึ้นในรายการ Asset กด Add แล้วกรอกชื่อสาขาและวง IP

   

เครื่องในวงที่ตั้งไว้แต่ยังไม่ได้จัดกลุ่มจะเข้ากลุ่มสำเร็จรูป Managed IP Range ส่วนเครื่องนอกวงที่ยังไม่ได้จัดกลุ่มจะไปรวมที่ Uncategorized

เพิ่มเจ้าของเครื่อง (Owners)

1. ที่ Active Assets กด Owners แล้วกด Add ที่แผง Department ด้านซ้ายเพื่อสร้างแผนก (เช่น IT) แล้วกด OK

   

2. กด Add ด้านบน กรอก Name และเลือก Department (สองช่องนี้บังคับ) ส่วน Gender, Phone Number, Email Address, Position และ Remarks ไม่บังคับ แล้วกด OK

   

สร้าง Asset Group

Asset Type ที่กำหนดที่กลุ่มบอก XDR ว่าเครื่องไหนเป็น Server หรือ Endpoint ได้แม่นยำกว่าการดูจาก Traffic อย่างเดียว เครื่องใหม่ในวงนี้จะได้ประเภทที่ถูกต้องตั้งแต่แรก ส่วน Owner ของกลุ่มเป็นเจ้าของสำรอง เครื่องที่ไม่ได้กำหนดเจ้าของรายเครื่อง XDR จะแสดงชื่อนี้แทน

1. ที่แผง Asset Groups ด้านซ้ายของ Active Assets กด Add

2. ส่วน Basics: กรอก Group Name เลือก Owner (ไม่บังคับ: Parent Group สำหรับกลุ่มย่อย, Tag, Remarks)

3. ส่วน Assets: เลือก Asset Discovery

   • Group by IP Range (ค่าเริ่มต้น) – เหมาะกับเครือข่ายที่แบ่งวง IP ชัดเจน
   • Group by Device Src – เมื่อหลายสาขาใช้วง IP ซ้ำกัน แยกกลุ่มตามอุปกรณ์ที่รายงานเข้ามา
   • Group by VPC – สำหรับคลาวด์ที่แต่ละ VPC ใช้ IP ซ้ำกันได้

4. เลือก Asset Type (เช่น Server หรือ Endpoint) กรอก IP Range ของโซน แล้วกด OK ระบบแสดงข้อความว่าเพิ่มกลุ่มสำเร็จ

   

5. ทำซ้ำสำหรับโซนอื่น เช่น Server, เครื่องพนักงาน และ DMZ คลิกกลุ่มเพื่อตรวจว่าแถบด้านบนแสดงช่วง IP เจ้าของ และ Asset Type ถูกต้อง และเครื่องเข้ากลุ่มแล้ว

   

Tags, Custom Attributes, Import และ Auth Info Sync

• Tags – ป้ายติดได้ทั้งระดับกลุ่มและระดับเครื่อง แล้วใช้กรองหาได้ภายหลัง
• Custom Attributes – เพิ่มช่องข้อมูลขององค์กรเอง เช่น Rack สำหรับจดตำแหน่งตู้ ตั้ง Show in Assets เป็น Yes ช่องนี้จะขึ้นในรายการเครื่องด้วย
• Import / Export › Import Asset – นำเข้าตาราง Asset ที่องค์กรมีอยู่แล้ว กด Download เพื่อรับเทมเพลต กรอกข้อมูล แล้ว Upload ไฟล์ .xlsx (ไม่เกิน 20 MB) เลือก Import Rule เมื่อข้อมูลซ้ำว่า Skip หรือ Overwrite แล้วกด Import ส่วนกลุ่ม Asset นำเข้าได้ที่ Import Asset Group
• Auth Info Sync – ถ้ามี Sangfor IAG ใช้ดึงชื่อผู้ใช้ที่ยืนยันตัวตนมาช่วยระบุเจ้าของเครื่อง เชื่อม IAG ที่ Configuration › Connection › Device Connection ก่อน หรือกด Connect Now ที่หน้านี้

ตั้งเครื่องสำคัญ (Critical Assets)

เครื่องสำคัญคือเครื่องที่ถ้าหยุดทำงานหรือถูกเจาะ งานขององค์กรจะสะดุดทันที เช่น Server ที่ให้บริการธุรกิจ ค่าเริ่มต้นของทุกเครื่องคือ Noncritical

1. ที่ Active Assets เปิดกลุ่มของเครื่องนั้น ติ๊กเครื่อง

   

2. กด Mark Asset แล้วเลือก As Critical ระบบแสดงข้อความว่าตั้งสำเร็จ และไอคอนของเครื่องมีดาว

   

เครื่องสำคัญจะขึ้นเป็น Critical Asset ในหน้า Weaknesses, Asset Check และ Fingerprints (ตัวเลือก Critical Assets Only) ช่วยให้ทีมจัดลำดับงานได้ หากใช้รูปแบบ Hybrid (Co-Managed AI SecOps) รายการเครื่องสำคัญนี้คือขอบเขตที่ทีม Sangfor MDR เฝ้าดู ดู รูปแบบการดำเนินงานของ Athena XDR

ผูกเครื่องกับระบบงาน (Business Applications)

เมื่อผูกเครื่องเข้ากับระบบงาน หากเครื่องถูกโจมตี ทีมบอกผู้บริหารได้ทันทีว่าระบบงานใดได้รับผลกระทบ

1. ไปที่ Asset Center › Business Applications กด Add

   

2. กรอก Name เลือก Group (ใช้ Uncategorized ได้) Owner และ Status (Developing, Testing, Running, Under Maintenance หรือ Not in Use)

   

3. ที่ Associated Assets เปิดหน้าต่างเลือกเครื่อง เลือกกลุ่มแล้วติ๊กเครื่องที่รันระบบงานนี้ กด OK แล้วกด OK อีกครั้งเพื่อบันทึก

   

แท็บ Mappings ใช้ผูกระบบงานกับตัวกลางอย่าง WAF หรือ Load Balancer เพื่อให้การรวม Alert แม่นยำขึ้น

แนวทาง Asset Governance ตามความพร้อมขององค์กร

ความเข้มของกฎรับเครื่องเข้า (Activation) ขึ้นกับว่าองค์กรรู้จักเครื่องของตัวเองดีแค่ไหน

• Shadow Asset – เครื่องในกลุ่ม Uncategorized คือเครื่องที่ยังหาเจ้าของไม่เจอ ตามหาเจ้าของแล้วตัดสินใจว่าจะรับเข้ามาดูแลหรือไม่
• การจัดระเบียบง่ายขึ้นเมื่อเครื่องพนักงานยืนยันตัวตนก่อนเข้าเครือข่าย และเซิร์ฟเวอร์มีผู้ดูแลกลาง
• องค์กรที่เคยใช้ Athena NDR มาก่อน คัดลอกช่วง IP จากระบบเดิมมาใช้ได้ ส่วนกลุ่ม Asset ให้ส่งออกจากระบบเดิม แปลงให้ตรงกับเทมเพลตของ XDR แล้วนำเข้าที่ Import Asset Group
• องค์กรที่มีหลายสาขา ให้ดูแล Asset จากส่วนกลางที่เดียว ข้อมูลจะตรงกันทุกสาขา
• เครื่องที่ IP เปลี่ยนบ่อย (DHCP) หรืออยู่หลังตัวกลางอย่าง DNS Server, Proxy และ Load Balancer ดู Special Assets, DHCP, Proxy และ X-Forwarded-For