Responses บน Athena XDR: บล็อก IP/โดเมน, แยกเครื่อง, กักไฟล์, บล็อก Process และสแกนไวรัส

หน้า Responses บน Sangfor Athena XDR คือจุดที่ผู้ดูแลระบบและทีม SOC สั่งหยุดภัยไปยังอุปกรณ์ที่เชื่อมต่อไว้ ทั้งบล็อก IP, URL และโดเมนที่ไฟร์วอลล์ แยกเครื่องออกจากเครือข่าย กักไฟล์ บล็อก Process และสั่งสแกนไวรัสผ่าน Athena EPP โดยไม่ต้องสลับไปหลาย Console ทุกคำสั่งที่ XDR ส่งออกไป ไม่ว่าคนสั่งเอง Auto Containment สั่ง หรือ SOAR Playbook สั่ง จะมีบันทึกอยู่ที่หน้านี้ บทความนี้อธิบายว่าคำสั่งแต่ละแบบไปลงมือที่อุปกรณ์ใด เริ่มสั่งจากตรงไหน และตรวจผลอย่างไร

คำสั่งแต่ละแบบลงมือที่อุปกรณ์ใด

XDR เป็นผู้สั่ง ส่วนผู้ลงมือคืออุปกรณ์ที่อยู่ใกล้ภัยที่สุด ก่อนสั่งงาน ให้ตรวจที่ Configuration › Connection › Device Connection ว่าอุปกรณ์ปลายทางขึ้น Online และป้าย Coordinated Response เป็นสีเขียว (ดู การตรวจสุขภาพอุปกรณ์ที่เชื่อมต่อ)

การบล็อกฝั่ง Endpoint เหมาะกับเครื่องที่อยู่นอกเส้นทางของไฟร์วอลล์ เช่น Notebook ที่ใช้ทำงานจากบ้าน การสั่งไฟร์วอลล์ของผู้ผลิตอื่นอธิบายไว้ใน การตั้งค่า FortiGate Coordinated Response

หน้า Responses และจุดเริ่มสั่งงาน

ไปที่ Responses › Responses หน้านี้มี 7 แท็บตามชนิดคำสั่ง ได้แก่ Address Blocking, Domain Blocking, File Quarantine, Virus Scan, Custom File Detection, Asset Isolation และ Process Blocking เลือกช่วงเวลาที่มุมขวาบน กรองด้วยช่อง Select filters and press Enter คอลัมน์ Operator บอกว่าใครสั่ง (ชื่อบัญชีผู้ใช้, Coordinated Auto Containment หรือ Auto Playbook Execution) และปุ่ม Export ใช้ส่งออกบันทึกให้ผู้ตรวจสอบ

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ในการทำงานจริง ส่วนใหญ่จะเริ่มสั่งจากเรื่องที่กำลังตรวจสอบอยู่ ไม่ต้องพิมพ์ IP เอง

• จาก Security Incident – เปิดรายละเอียด Incident แล้วไปที่แท็บ Entity Fixing ด้านบนเป็น Recommendations from Auto Containment ที่สรุปว่ารายการใดถูกบล็อกแล้ว และรายการใดมี Traffic ของ CDN หรือของธุรกิจปนอยู่ (บล็อกแล้วอาจกระทบบริการ) ด้านล่างแยกเป็นแท็บย่อย Public IPs, Internal IPs, Domain Names, Hosts, Files และ Processes เลือกแถวแล้วกดปุ่มของแท็บนั้น เช่น Block Address, Block Domain Name, Isolate Host, Quarantine File หรือ Block Process
• จาก Security Alert – ติ๊กเลือก Alert แล้วกดเมนู Fix จะมี Block Address, Isolate Host, Quarantine File, Trust File, Execute SOAR Playbook, Execute SOAR Action และ Initiate Ticket (สำหรับ Alert ฝั่งเครือข่าย เมนูจะแสดงคำสั่งฝั่งเครือข่าย)

เมนู Fix ระดับ Incident ใช้บล็อก IP และโดเมนของเรื่องนั้นด้วย Block (Recommended), สั่งงานหลายขั้นด้วย Execute SOAR Playbook, สั่งงานเดียวไปยังแอปที่เชื่อมไว้ด้วย Execute SOAR Action หรือส่งงานต่อให้เจ้าของระบบด้วย Initiate Ticket (ดู SOAR บน Athena XDR และ การจัดการ Security Incidents)

บล็อก IP, URL และโดเมน

สร้างกฎบล็อกได้ที่แท็บ Address Blocking › Add หรือจากปุ่ม Block Address ใน Entity Fixing (ระบบเติมค่าให้)

1. กรอก Rule Name ให้จำง่าย แล้วเลือก Block Type เป็น IP Address, URL หรือ Domain Name

2. เลือก Block Method

   • Network-Side Block (IP-Level Block) – ให้ไฟร์วอลล์บล็อก เลือกอุปกรณ์ในช่อง Connected Device (ติ๊ก All เพื่อส่งคำสั่งเดียวกันไปทุกไฟร์วอลล์)
   • Endpoint-Side Block (Port-Level Block) – ให้ Agent ของ EPP บล็อก เลือกเครื่องในช่อง Applicable Asset แล้วกำหนด Port เป็น All หรือ Specified (สำหรับ URL ให้ใช้ Network-Side Block)

3. เลือก IP Type: Src IP เมื่อไม่ต้องการให้ IP นั้นเข้ามาหาเรา เช่น ผู้โจมตีจากอินเทอร์เน็ต หรือ Dst IP เมื่อไม่ต้องการให้เครื่องของเราออกไปหา IP นั้น เช่น เครื่อง C&C (ฝั่ง Endpoint ติ๊กได้ทั้งสองแบบพร้อมกัน)

4. กรอก IP, URL หรือโดเมน บรรทัดละหนึ่งรายการ (สูงสุด 100 รายการ) การบล็อกเป็นช่วง IP หรือ Subnet ใช้กับการบล็อกแบบถาวรบน Athena NGFW ปล่อยสวิตช์ Filter out active assets (internal IPs) and special assets (IPs) เปิดไว้ ระบบจะข้าม IP ภายในและ Special Asset เช่น DNS Server หรือ Proxy ให้เอง

5. เลือก Block Duration เป็น Permanently block หรือ Temporary block แล้วตั้งเวลาและหน่วย (days / hrs / mins) การบล็อกชั่วคราวจะปลดเองเมื่อครบเวลา เหมาะกับรายการที่ยังไม่ยืนยัน ส่วนรายการที่ยืนยันแล้วว่าอันตรายบล็อกถาวรได้ หากบล็อกซ้ำ ระบบใช้ระยะเวลาที่ยาวกว่า

6. กรอกเหตุผลในช่อง Remarks แล้วกด OK ระบบแจ้ง Task pushed successfully แถวใหม่ขึ้นสถานะ Blocking… แล้วเปลี่ยนเป็น Blocked

   

ตรวจผลที่ไฟร์วอลล์ – บน Athena NGFW ไปที่ SOC › Blacklist/Whitelist › Blacklist การบล็อกชั่วคราวอยู่ใน Temporary Blacklist ช่อง Triggered Module ขึ้น XDR IP Blocking ซึ่งยืนยันว่าคำสั่งมาจาก XDR ส่วนการบล็อกถาวรดูได้ที่ Global Blacklist

บล็อกโดเมน

บล็อกโดเมนใช้หน้าต่าง Block Address เดียวกับการบล็อก IP บน Athena NGFW 8.0.107 ขึ้นไป (รุ่นที่แนะนำ) การบล็อกโดเมนแบบถาวรจะตัดตั้งแต่ตอนเครื่องส่งคำขอ DNS (ชื่อโดเมนมีคำนำหน้า [DNS]) ส่วนการบล็อกชั่วคราวจะตัดตอน DNS ตอบกลับ

1. ที่แท็บ Address Blocking กด Add กรอก Rule Name แล้วเลือก Block Type เป็น Domain Name

2. เลือก Block Method เป็น Network-Side Block แล้วเลือกไฟร์วอลล์ในช่อง Connected Device

3. กรอกโดเมนบรรทัดละหนึ่งรายการ ปล่อย Filter out special assets (domain names) เปิดไว้ เลือก Block Duration กรอก Remarks แล้วกด OK

   

การบล็อกโดเมนฝั่งเครือข่ายแสดงในแท็บ Address Blocking (คอลัมน์ Block Type = Domain Name) ส่วนแท็บ Domain Blocking เก็บบันทึกการบล็อกโดเมนที่ Agent ของ EPP พร้อมปุ่ม Unblock และ Block Again

ปลดบล็อก

1. ที่แท็บ Address Blocking (หรือ Domain Blocking) ติ๊กเลือกแถวแล้วกด Unblock

2. กด OK เพื่อยืนยัน สถานะในคอลัมน์ Blocking Status เปลี่ยนเป็น Unblocked และใช้ Block Again บล็อกใหม่ได้ทันที

   

แยกเครื่อง กักไฟล์ และบล็อก Process

Isolate Host

เมื่อเครื่องติดมัลแวร์ ทางที่เร็วที่สุดคือแยกเครื่องออกจากเครือข่ายก่อน

1. เปิดรายละเอียด Incident ไปที่แท็บ Entity Fixing › Hosts แล้วกด Isolate Host ที่แถวของเครื่อง

2. หน้าต่างยืนยันแสดง Host IP, Asset Group และ Owner ระบบเลือก Endpoint Security Device ที่ดูแลเครื่องนั้นให้ เลือก Port เป็น All แล้วกด OK

   

3. ระบบแจ้ง Pushdown successful ไปที่ Responses › Responses แท็บ Asset Isolation แถวใหม่แสดง Isolation Period = Permanent และ Fixing Status = Isolated

   

4. ระหว่างแยกเครื่อง Agent ยังสื่อสารกับ EPP ได้ จึงสั่งสแกนเครื่องจาก XDR ได้ (ดู Virus Scan) เมื่อตรวจและสแกนเสร็จ ติ๊กแถวแล้วกด Restore และกด OK สถานะเปลี่ยนเป็น Restoring แล้วเป็น Restored (กด Refresh เพื่อดูค่าล่าสุด)

   

Quarantine File และ Trust File

1. ที่ Entity Fixing › Files กด Quarantine File ที่แถวของไฟล์ หน้าต่างแสดง Endpoint IP, Path ไฟล์และ MD5 และ Connected Device กรอกเหตุผลในช่อง Remarks แล้วกด OK

   

2. ไปที่แท็บ File Quarantine แถวใหม่แสดง Fixing / Quarantining ระหว่าง EPP ทำงาน แล้วเปลี่ยนเป็น Fixed / Quarantined

   

3. หากตรวจแล้วเป็นไฟล์งานจริง เลือกแถวแล้วกด Restore เพื่อคืนไฟล์ (ระบบถามยืนยันและลบประวัติการแก้ไขของไฟล์นั้น)

ไฟล์ที่เป็นซอฟต์แวร์ธุรกิจและถูกเตือนผิด ใช้ Trust File จากเมนู Fix ของ Alert (ภาพเมนู Fix อยู่ด้านบน) และยกเลิกได้ด้วยปุ่ม Untrust ในแท็บ File Quarantine

Block Process

การบล็อก Process เป็นแบบถาวร ให้ดู Attack Chain ของ Incident ก่อนว่า Process นั้นเป็นต้นเหตุจริง

1. ที่ Entity Fixing › Processes กด Block Process หน้าต่างแสดงชื่อ Process, Path, PID และ Hash

2. เลือก Matching Condition เป็น PID+MD5 (Recommended), Process Name, MD5 หรือ Process Path กรอก Remarks แล้วกด OK

   

3. ติดตามผลที่แท็บ Process Blocking แถวใหม่แสดง Matching Condition และ Fixing Status เป็น Fixing ระหว่าง EPP บล็อก แล้วเปลี่ยนเป็น Blocked

   

Virus Scan และ Custom File Detection

Virus Scan

เครื่องเป้าหมายต้องมี Agent Online และไม่มีงานสแกนอื่นค้างอยู่

1. ที่แท็บ Virus Scan กด Add

2. ตั้งค่างานสแกน แล้วกด OK

   • Host – เลือกเครื่อง ระบบเลือก Connected Device ให้เอง
   • Task Type – Full Scan สแกนทุกไฟล์ในดิสก์ (เหมาะกับเครื่องที่สงสัยว่าติดมัลแวร์) หรือ Quick Scan สแกนเฉพาะโฟลเดอร์สำคัญของระบบ
   • CPU Usage – High CPU ใช้ CPU ได้มากที่สุด, Adaptive (ค่าเริ่มต้น) ปรับตามการใช้งาน เหมาะกับเครื่องผู้ใช้ หรือ Low CPU ใช้ CPU ไม่เกิน 10% เหมาะกับ Server ที่ต้องให้บริการต่อระหว่างสแกน

   

3. งานใหม่ขึ้นสถานะ Pushing Down แล้วเป็น Completed พร้อมผลในคอลัมน์ Task Results ใช้ Repush เพื่อส่งงานซ้ำ หรือ Cancel Scan เพื่อยกเลิกงานที่ยังไม่เสร็จ

   

Custom File Detection

ใช้เมื่อได้ MD5 ของไฟล์อันตรายจากรายงาน Threat Intelligence

1. ที่แท็บ Custom File Detection กด Add

2. ในช่อง File Hash วาง MD5 บรรทัดละหนึ่งค่า (สูงสุด 100 ค่า) เลือก Action เป็น Alert and Fix (ค่าเริ่มต้น เตือนแล้วจัดการไฟล์ให้), Alert Only หรือ Allow เลือก Connected Device ที่จะรับนโยบาย แล้วกด OK

   

เมื่อคำสั่งไม่สำเร็จ

1. ที่แท็บ Address Blocking เลือกช่วงเวลาให้ครอบคลุม แถวที่ขึ้น Block Failed ให้ชี้ที่ไอคอนข้างสถานะ หน้าต่าง Connected Devices บอกว่าอุปกรณ์ใดไม่สำเร็จ พร้อมสาเหตุในช่อง Cause

   

2. แก้ที่อุปกรณ์ตามสาเหตุ แล้วไปที่ Configuration › Connection › Device Connection กด Test Connectivity ที่แถวของอุปกรณ์ ควรขึ้น The device is connected properly

   

3. กลับมาเลือกแถวเดิมแล้วกด Block Again

หลังอัปเกรดอุปกรณ์หรือเปลี่ยนการเชื่อมต่อ ให้ตรวจสถานะ Online, ป้าย Log Reporting / Coordinated Response, Log Details และ Test Connectivity ทุกครั้ง หากต้องการให้ระบบบล็อกผู้โจมตีที่ชัดเจนให้เองตลอดเวลา ดู Auto Containment