หน้า Home › Monitor Overview และ Home › Guarding Overview คือหน้าแรกที่ทีม SOC ควรเปิดทุกเช้า Monitor Overview สรุปสถานะความปลอดภัย งานค้าง และสุขภาพของแหล่งข้อมูลไว้ในหน้าเดียว ส่วน Guarding Overview แสดงงานที่ Security GPT ช่วยทีมวิเคราะห์ บทความนี้อธิบายว่าแต่ละการ์ดบอกอะไร และควรอ่านอย่างไรเพื่อรู้ว่าวันนี้ต้องเริ่มงานที่จุดใด
สารบัญ
ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร
Monitor Overview: แถบด้านบนและแหล่งข้อมูล
- แถบ Logs › Alerts › Incidents เริ่มจาก Log ที่รับเข้ามา XDR คัดเหลือเป็น Alert แล้วรวมเรื่องที่เกี่ยวข้องเป็น Incident เปอร์เซ็นต์ระหว่างกล่องคือสัดส่วนที่ลดลงในแต่ละขั้น
- Native Devices นับอุปกรณ์ Sangfor ที่ส่งข้อมูลเข้ามา แยกตามประเภท ถัดไปคือ Offline & Alerting Devices คลิกตัวเลขเพื่อไปที่หน้า Device Connection
- Licensed Services แสดงโมดูลที่ Tenant เปิดใช้ เช่น SaaS XDR Essential, Security Operation GPT, Data Fusion, Auto Containment, SOAR และ Ticketing Workflow Management
เมื่อ Offline & Alerting Devices มีตัวเลข ให้เปิดดูก่อนเรื่องอื่น เพราะอุปกรณ์ที่หยุดส่ง Log คือจุดที่ทีมมองไม่เห็น ในหน้า Device Connection แถวที่มีปัญหาจะแสดงสถานะ Offline หรือ Alerting และอาจมีป้าย Device Alert คลิกป้ายเพื่อดู Description, Impacts และ Recommendations จากนั้นแก้ตามคำแนะนำแล้วกด Test Connectivity (การตรวจสุขภาพการเชื่อมต่ออุปกรณ์)
วิธีอ่านเมื่อตัวเลขผิดปกติ
- Logs ลดลงจนเกือบเป็นศูนย์ อาจมีแหล่งข้อมูลหยุดส่ง ไล่ดูที่ Device Connection
- Alerts เพิ่มขึ้นมากแต่ Incidents เท่าเดิม ไล่ดูที่หน้า Security Alerts ว่าเป็น Alert ประเภทใด
- Incidents เพิ่มขึ้นอย่างรวดเร็ว ตรวจว่ามาจาก Asset กลุ่มเดียวกันหรือไม่
Monitor Overview: Pending Issues และ Progress
ส่วน Overview เลือกช่วงเวลาได้ที่มุมขวาบน ได้แก่ Today, Last 7 days, Last 30 days หรือ Custom
Pending Issues รวมงานค้างไว้ที่เดียว ได้แก่ Pending Incidents, Risky Assets, High-Priority Vulns และ Pending Tickets ตรงกลางคือคะแนนรวมที่ระบบคำนวณจาก Incident และจุดอ่อนของ Asset คลิกคะแนนเพื่อเปิด Scoring Description
- ช่วงคะแนน: Excellent 91-100, Good 81-90, Medium 60-80, Poor 0-59
- Scoring Criteria บอกว่าแต่ละรายการหักกี่คะแนนและหักได้สูงสุดเท่าไร เช่น Incident หักตามระดับความรุนแรง ส่วนช่องโหว่และ Ticket ที่ยังค้างหักรายการละ 2 คะแนน
- ไอคอนดินสอใช้ปรับคะแนนหรือเกณฑ์ให้เหมาะกับองค์กร ตัวเลขในตารางจึงเป็นค่าของแต่ละ Tenant
Progress แสดงงานที่ทีมทำเสร็จ เช่น Total Risks Fixed, O&M Days, Handled Incidents (จำนวน Incident ที่จัดการแล้ว), Incident Fixing Rate (สัดส่วน Incident ที่แก้แล้วเทียบกับทั้งหมด), Protected Assets และ Security Capabilities ชี้ที่ช่องใดจะมีคำอธิบาย กดไอคอนเฟืองที่มุมขวาบนของการ์ดเพื่อเลือกช่องที่จะแสดง เช่น Blocked Hacker IPs, Blocked Domain Names, Quarantined Files หรือ Saved Time เหมาะเมื่อนำหน้านี้ไปนำเสนอผู้บริหาร
Monitor Overview: Threat Response, Asset Protection และ Risk Management
- Threat Response › Security Incidents แสดง Incident ที่รอจัดการแยกตามระดับความรุนแรง พร้อมกราฟแนวโน้ม กดสลับ Trend | List เพื่อดูเป็นรายการ
- Threat Response › Auto Containment บอกโหมดที่ใช้อยู่ (Monitoring Mode หรือ Containment Mode) จำนวน Blocked External Attackers, Average Block Time, External Attacker Block และ External Threat Entities แยกเป็น IP Addresses, Domain Names, Blocked และ Monitor/Manually Intervene ลิงก์ Go to Auto Containment พาไปหน้าตั้งค่า (Auto Containment)
- Asset Protection แสดงจำนวน Asset แยกเป็น Servers, Endpoints และ Other, Risky Assets ตามระดับความรุนแรง และ Trend of Risky Assets ปุ่ม All | Critical ใช้นับเฉพาะ Asset ที่ Mark เป็น Critical
- Risk Management สรุป Weakness Overview, Top 5 Attacks (มุมมอง Vulnerabilities หรือ Weak Passwords) และ Top 5 Vulnerable Assets (All, Server, Endpoint, Other)
- Asset Check เรียงเครื่องที่มีจุดอ่อนตามระดับความเสี่ยง พร้อมจำนวน Incident ช่องโหว่ รหัสผ่านอ่อน และ Risky Tool การตรวจนี้ใช้ข้อมูลจาก Agent ของ Athena EPP ยิ่งติดตั้ง Agent ครบก็ยิ่งเห็นความเสี่ยงละเอียด (Asset Check)
ตัวเลขส่วนใหญ่บนหน้านี้คลิกเพื่อไปยังหน้ารายละเอียดของเรื่องนั้นได้โดยตรง
Guarding Overview
Home › Guarding Overview คือภาพรวมงานของ Security GPT ข้อมูลทุกช่องนับตั้งแต่วันที่เปิดใช้ Security GPT และไม่รวมข้อมูลที่อยู่ใน Whitelist เลือกช่วงเวลาได้ด้านบน และกด Full Screen เพื่อเปิดค้างไว้บนจอใหญ่ในห้อง SOC
| ช่อง | ความหมาย |
|---|---|
| แหล่งข้อมูล (ด้านซ้าย) | อุปกรณ์ที่ส่ง Alert เข้ามา พร้อมจำนวนของแต่ละแหล่ง |
| Alert Analysis Coverage | สัดส่วน Alert ที่ Security GPT วิเคราะห์ได้เทียบกับ Alert ทั้งหมดในช่วงเวลา (Alert ที่ผลเป็น Insufficient Data หรือ Custom Type ไม่นับว่าวิเคราะห์ได้) |
| Time Saved | เวลาที่ทีมประหยัดได้จากการให้ Security GPT วิเคราะห์ Alert เทียบกับการวิเคราะห์เอง |
| Total Alerts › Total Incidents | Alert ทั้งหมดที่ GPT ประเมิน และ Incident ที่สร้างจาก Alert ประเภท Successful Attack และ Malware Infection รวมถึง Incident จาก Custom Policy |
| Auto-executed / Manually Determined | Incident ที่ Security GPT สั่ง Playbook ให้อัตโนมัติ และ Incident ที่รอคนตัดสินใจสั่ง Playbook |
| Fixed / Pending | Fixed นับ Incident สถานะ Fixed, Ignored และ Blocked ส่วน Pending นับสถานะ Pending, Fixing และ Suspended ซึ่งเป็นงานที่ทีมต้องเคลียร์ |
| การ์ดมุมขวาบนและ Realtime Broadcasting | สรุปงานของ GPT วันนี้ (Alerts Analyzed Today, Generated Incidents, Fixed) และรายการ Alert ที่กำลังวิเคราะห์แบบเรียลไทม์ |
ดูการทำงานของ Security GPT เพิ่มเติมที่ Security GPT บน Athena XDR สำหรับจอติดผนังห้อง SOC ที่สลับหลาย Dashboard ใช้ Monitors
ลำดับการอ่านทุกเช้า
ดู Offline & Alerting Devices ก่อน ถ้ามีตัวเลขให้แก้การเชื่อมต่อให้เรียบร้อย
ดูแถบ Logs › Alerts › Incidents ว่าแนวโน้มปกติหรือไม่
ดู Pending Issues และวงกลม Security Incidents ว่ามีเรื่องใดรอทีมอยู่ แล้วเปิด Incident ใหม่ตามความรุนแรง
ดูการ์ด Auto Containment ว่าระบบบล็อกอะไรไปแล้ว
เปิด Guarding Overview ดูช่อง Pending และงานที่ Security GPT ทำให้
รายการงานประจำวันและประจำสัปดาห์แบบเต็มดูที่ งานประจำวันของทีม SOC บน Athena XDR
ข้อคิดเห็น
0 ข้อคิดเห็น
โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น