อ่านและจัดการ Security Incident บน Athena XDR (Security GPT Analysis, Attack Chain, Timeline, Entity Fixing)

เมื่อคลิกชื่อ Incident ในหน้า Detections › Security Incidents ระบบจะเปิดหน้า Security Incident Details ซึ่งรวมทุกอย่างที่ทีม SOC ต้องใช้ตัดสินใจไว้ในหน้าเดียว ตั้งแต่ข้อสรุปของ Security GPT แผนภาพการโจมตี ลำดับเหตุการณ์ เป้าหมายที่สั่งจัดการได้ ไปจนถึงการบันทึกสถานะ บทความนี้อธิบายแต่ละส่วนของหน้ารายละเอียดตามลำดับที่ควรอ่าน และขั้นตอนการตัดสินใจจัดการ Incident สำหรับผู้ดูแลระบบและทีม SOC

ส่วนหัวของ Incident

ส่วนหัวแสดงชื่อเรื่อง ระดับความรุนแรง (แถบสีหน้าชื่อ) และสถานะ ชี้ที่ชื่อเรื่องเพื่อดูสรุปสั้น ๆ ได้แก่ จำนวน Alert เครื่องที่ได้รับผลกระทบ และเวลาเริ่มกับเวลาล่าสุด มุมขวาบนมีปุ่ม Fix, Mark As และ Add to Whitelist

• Security GPT Analysis Result ข้อสรุปของ Security GPT สำหรับ Incident นี้
• Device Source อุปกรณ์ที่รายงาน ชี้ที่ (Total: n) เพื่อดูรายชื่ออุปกรณ์ทั้งหมด เช่น Athena EPP และ Athena STA ที่เห็นเรื่องเดียวกัน
• Affected Assets IP เจ้าของ และกลุ่มของเครื่องที่ได้รับผลกระทบ
• Agent Status ถ้าเป็น Online แปลว่า Agent บนเครื่องพร้อมรับคำสั่งตอบสนองฝั่ง Endpoint เช่น Isolate Host
• MITRE ATT&CK คลิกแถบนี้เพื่อกางตารางของทุก Tactic ช่องที่มีตัวเลขคือขั้นของการโจมตีที่เรื่องนี้ไปถึงแล้ว พร้อมชื่อ Technique ที่ตรวจพบ

ด้านล่างเป็นแท็บ Security GPT Analysis, Attack Chain, Timeline, Entity Fixing สำหรับสืบสวน และแท็บ SOAR Execution History, Ticket Process สำหรับประวัติ Playbook และ Ticket ของเรื่องนี้

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

แท็บ Security GPT Analysis

แท็บนี้คือรายงานที่ Security GPT สรุปไว้ให้ (ใช้ได้เมื่อ License Security Operation GPT เปิดใช้งาน ตรวจสอบได้ที่แถบ Licensed Services ในหน้า Home › Monitor Overview)

• Last Analyzed เวลาที่ GPT วิเคราะห์ล่าสุด
• Thought เหตุผลที่ AI ใช้ก่อนสรุป ไล่ตั้งแต่สายของโปรเซส คำสั่งที่รัน การเชื่อมต่อเครือข่าย ไปจนถึงผลจาก Threat Intelligence
• Incident Analysis เล่าเรื่องเป็นขั้นตามลำดับการโจมตี เช่น การเข้าถึงครั้งแรก การขโมยรหัสผ่าน การฝังตัว การดาวน์โหลดเครื่องมือ และการสแกนหาเครื่องถัดไป ปิดท้ายด้วย Summary
• แถบหัวข้อด้านขวาใช้กระโดดไปยังส่วนที่ต้องการ เช่น Key Alert Analysis (อ่าน Alert หลักทีละรายการ), Asset Information, Historical Similar Incidents (เรื่องคล้ายกันที่เคยเกิด) และ Incidents on an Asset (เรื่องอื่นของเครื่องเดียวกัน) หัวข้อที่แสดงขึ้นกับข้อมูลของแต่ละ Incident
• ท้ายรายงานคือข้อสรุป (Analysis result และ Threat severity) พร้อม Playbook ที่แนะนำให้ใช้จัดการต่อ

AI อ่านและสรุปหลักฐานให้ครบทุกขั้น ส่วนทีม SOC เป็นผู้ยืนยันผล วิธีใช้ผลของ GPT จัดลำดับงานอธิบายไว้ใน Security GPT บน Athena XDR

แท็บ Attack Chain

แท็บนี้วาด Incident เป็นแผนภาพ โดยรวมข้อมูลฝั่งเครือข่ายและฝั่ง Endpoint (E บวก N) ไว้ในภาพเดียว เมื่อเปิดแท็บ ระบบจะเปิดแผงรายละเอียดของโปรเซสสำคัญไว้ทางขวาให้ คลิกโหนดอื่นเพื่อดูรายละเอียดของโหนดนั้น

• Basics: CLI Argument (คำสั่งที่ใช้รัน กด Code Converter เพื่อถอดคำสั่งที่ Encode ไว้), File Path, Intelligence Tag / Process Attribute, เวลาสร้างโปรเซส, ผู้ใช้ที่รัน, File MD5 / SHA256 และลายเซ็นของไฟล์
• Threat Alerts: พฤติกรรมที่น่าสงสัยของโปรเซสนี้ พร้อมความรุนแรง เทคนิคของ MITRE ATT&CK และเอนจินที่ตรวจพบ
• Process Operations: โปรเซสที่โปรเซสนี้สั่งรันต่อ

ปิดแผงแล้วกด Legend มุมซ้ายบนเพื่อดูความหมายของสัญลักษณ์ ได้แก่ Attack Source, Internal Asset, Behavior Type (On-Chain Behavior, Cross-Chain Behavior, E-N Correlation), ชนิดของโหนด (Processes, Domain Name, IP, Registry Keys, Scheduled Tasks, Files และอื่น ๆ), สีตามระดับ Severity และ Aggregation Type ปุ่มข้าง Legend ใช้ซูมและจัดภาพให้พอดีจอ

ซูมออกเพื่อไล่ตามสายตั้งแต่ต้นทาง เครื่องที่ได้รับผลกระทบ จนถึงโปรเซสบนเครื่อง โหนดที่มีวงสีตามระดับ Critical หรือ High คือจุดที่ควรอ่านก่อน ใต้แผนภาพมี Historical Attacks (เรื่องก่อนหน้าของเครื่องนี้ในช่วง Last 7 days) และ Service Attack Surface Analysis (ช่องโหว่ที่โจมตีได้ง่ายและรหัสผ่านอ่อนของเครื่อง)

แท็บ Timeline

แท็บนี้ตอบคำถามว่าเรื่องเริ่มจากตรงไหน มีแท็บย่อย Timeline (การ์ดเรียงตามเวลา) และ Alerts (รายการ Alert ของเรื่องนี้) แถบ Blocking Recommendations ด้านบนสรุปสิ่งที่ Auto Containment บล็อกให้แล้ว

• การ์ดที่มีสัญลักษณ์ E มาจากฝั่ง Endpoint (เช่น Athena EPP) แสดงโปรเซสแม่ คำสั่งที่รัน โปรเซสที่ถูกสร้าง และเทคนิคของ MITRE ATT&CK
• การ์ดที่มีสัญลักษณ์ N มาจากฝั่งเครือข่าย (เช่น Athena STA) แสดง Src IP / Dst IP, จำนวน Raw Logs และ Attack Result
• ป้าย First Alert บอก Alert แรกของเรื่อง และแต่ละการ์ดมี Category, Phase, Device Source และผลของ Security GPT

แท็บ Entity Fixing และปุ่ม Fix

แท็บ Entity Fixing รวมเป้าหมายที่สั่งจัดการได้ของเรื่องนี้ ส่วน Recommendations from Auto Containment ด้านบนแสดงโหมดของ Auto Containment และสิ่งที่ระบบบล็อกให้แล้ว พร้อมช่องสรุป

• Blocked/Recommended Block และ Block Failed
• With CDN Traffic และ With Business Traffic บอกว่าเป้าหมายไหนมี Traffic ของ CDN หรือของธุรกิจ จะได้รู้ผลกระทบก่อนบล็อก
• Without Traffic Audit Logs นับเป้าหมายที่ต้องมี Traffic Audit Log ประกอบการประเมินผลกระทบ

แท็บย่อยแยกเป้าหมายตามชนิด: Public IPs และ Domain Names (Block Address, Block Again, View Intelligence พร้อม AI Block Suggestion และ Fixing Status), Hosts (Isolate Host), Files (Quarantine File) และ Processes (Block Process) IP และโดเมนบล็อกได้ทั้งที่ Athena NGFW และที่ Athena EPP ส่วนเครื่อง ไฟล์ และโปรเซสจัดการผ่าน Athena EPP

ปุ่ม Fix ที่ส่วนหัวรวมทางเลือกไว้ 4 แบบ

• Block (Recommended) ดึง IP ภายนอกและโดเมนอันตรายของ Incident มาให้อัตโนมัติ อุปกรณ์ฝั่งเครือข่ายถูกเลือกไว้ให้ ส่วนฝั่ง Endpoint เลือกเครื่องเพิ่มได้เอง ฟังก์ชันนี้ใช้กับ Athena NGFW และ Athena EPP ที่เชื่อมกับ XDR ตามรุ่นที่แนะนำ (NGFW 8.0.107 ขึ้นไป, EPP 6.0.4R4 ขึ้นไป)
• Execute SOAR Playbook สั่ง Playbook จัดการเรื่องนี้ หากรายการ Playbook แสดงน้อยกว่าที่ต้องการ (เช่น เมื่อ Incident ไม่ได้อยู่ในสถานะ Pending) ให้ยกเลิกการติ๊ก Display matched playbooks only
• Execute SOAR Action สั่ง Action เดี่ยว ๆ ของ SOAR รวมถึงการตอบสนองผ่านอุปกรณ์ Third-Party
• Initiate Ticket เปิด Ticket ตามแม่แบบเพื่อมอบหมายงาน

ผลการสั่ง Playbook และ Action อยู่ในแท็บ SOAR Execution History (ถ้า Playbook ทำงานไม่สำเร็จ หน้า Incident จะแสดงรายละเอียดพร้อมปุ่ม Re-execute) ส่วน Ticket ของเรื่องนี้อยู่ในแท็บ Ticket Process กด Initiate เพื่อเปิด Ticket ใหม่ รายละเอียดการตอบสนองแต่ละแบบอยู่ใน Responses บน Athena XDR, Auto Containment, SOAR และ Ticketing System

บล็อก IP หรือโดเมนจาก Incident

เมื่อยืนยันแล้วว่าเป้าหมายภายนอกเป็นอันตราย สั่งบล็อกจากหน้า Incident ได้ทันที โดย XDR ส่งคำสั่งไปยังอุปกรณ์ที่เชื่อมต่อไว้ เช่น Athena NGFW, FortiGate ผ่าน XDR Broker หรือ Agent ของ Athena EPP

1. เปิดแท็บ Entity Fixing เลือกแท็บย่อย Public IPs (หรือ Domain Names) ติ๊กเป้าหมายที่ต้องการ แล้วกด Block Address

   

2. หน้าต่าง Block จะแสดงเป้าหมายในส่วน Objects พร้อม AI Block Suggestion ตรวจรายการ แล้วเลือกอุปกรณ์ในช่อง Network-Side Fixing รายชื่ออุปกรณ์จัดกลุ่มตามชนิด เช่น Network Secure และ FortiGate

   

3. เลือก Block Duration เป็น Temporary block แล้วกรอกระยะเวลา (บล็อกหมดอายุเอง) หรือ Permanently block สำหรับ FortiGate ให้ใช้ Permanently block ช่อง Endpoint Assets ระบบเติมเครื่องที่ได้รับผลกระทบมาให้ เพื่อบล็อกที่ Agent ของ Athena EPP ด้วย ตรวจ Port และ IP Type แล้วกด OK

   

4. ระบบแจ้งว่าส่งคำสั่งสำเร็จ ช่อง Fixing Status ของเป้าหมายแสดง Network Blocked และ Endpoint Blocked และสถานะที่ส่วนหัวของ Incident เปลี่ยนเป็น Blocked

   

5. ตรวจผลที่ Responses › Responses แท็บ Address Blocking คอลัมน์ Blocking Status แสดง Blocked และ Block Duration แสดงเวลาที่เหลือของการบล็อกชั่วคราว ยกเลิกการบล็อกได้ด้วยปุ่ม Unblock

   

ทางลัด: ปุ่ม Fix › Block ที่ส่วนหัวดึง IP ภายนอกและโดเมนอันตรายทั้งหมดของ Incident มาไว้ในหน้าต่างเดียวกันให้อัตโนมัติ ตรวจรายการ เลือกอุปกรณ์และระยะเวลา แล้วกด OK เช่นเดียวกับขั้นตอนด้านบน

ตัดสินใจและบันทึกสถานะ

ลำดับการอ่าน Incident ที่แนะนำ

1. ถ้าต้องการเรื่องที่มีหลักฐานทั้งสองฝั่ง กรอง DataSource เป็น EDR & NDR ในหน้ารายการก่อน แล้วเปิด Incident

2. อ่านส่วนหัว: ผลของ GPT เครื่องที่ได้รับผลกระทบ และ Agent Status

3. อ่าน Summary ในแท็บ Security GPT Analysis

4. เปิด Attack Chain ดูโปรเซสที่รุนแรงที่สุดและคำสั่งที่รัน ตรวจว่าเป็นงานปกติของเครื่องนั้นหรือไม่

5. เปิด Timeline ดูว่าฝั่งไหนเห็นก่อนและหลักฐานตรงกันหรือไม่

6. ปิดท้ายที่ Entity Fixing ดูว่าเป้าหมายไหนระบบบล็อกให้แล้ว และอะไรยังรอการตัดสินใจ

จากนั้นตัดสินใจ

• เป็นการโจมตีจริง ตั้งเป็น Fixing ระหว่างจัดการ แล้วเปลี่ยนเป็น Fixed เมื่อเสร็จ
• เป็นงานปกติของระบบ ใช้ Ignored หรือสร้าง Whitelist (ดู Whitelists บน Athena XDR)
• ยังไม่แน่ใจ คงไว้ที่ Pending แล้วสอบถามเจ้าของเครื่องก่อน

วิธีบันทึกสถานะ

1. คลิก Mark As ที่ส่วนหัว (หรือเลือกหลาย Incident ในหน้ารายการ) แล้วเลือก Pending, Blocked, Fixing, Fixed หรือ Ignored

   

2. ในกล่อง Message กรอกหมายเหตุในช่อง Remarks ให้ทีมรู้ว่ากำลังทำอะไร แล้วกด OK

   

3. ระบบแสดง "Operation successful." และสถานะที่ส่วนหัวเปลี่ยนตามที่เลือก

   

ถ้าใช้บริการ Sangfor MDR แบบ Hybrid ทีม MDR จะตรวจเรื่องลักษณะนี้ของ Asset สำคัญที่ตกลงกันไว้ตลอด 24 ชั่วโมง แล้วแนะนำหรือช่วยดำเนินการจากระยะไกลตามที่องค์กรอนุญาต ความคืบหน้าดูได้จากคอลัมน์ MDR Incident ID ในหน้า Security Incidents

คลิกเมาส์ขวาที่ Incident ในหน้ารายการเพื่อเปิดเมนูคำสั่งได้เช่นกัน และแก้ชื่อหรือคำอธิบายของ Incident ได้โดยชี้ที่ชื่อแล้วคลิก Edit