Ticketing System บน Athena XDR: ตั้งค่า แม่แบบงาน และส่งงานจาก Incident จนปิด

Ticketing System ของ Sangfor Athena XDR ใช้ส่งงานที่ต้องให้คนลงมือ เช่น การแก้ Security Incident หรือการอัปเดตซอฟต์แวร์ที่มีช่องโหว่ ให้มีเจ้าของทุกขั้น มีกำหนดเสร็จ (SLA) และย้อนดูได้ว่าใครตัดสินใจอะไรเมื่อไร บทความนี้สำหรับผู้ดูแลระบบและทีม SOC ที่ต้องการเตรียมระบบ ปรับแม่แบบงาน และส่ง Ticket ตั้งแต่เปิดจนปิดงาน

สิ่งที่ต้องเตรียม: License และสิทธิ์ของผู้ใช้

1. License ไปที่ Configuration › Basic Configuration › Licensing แล้วดูกลุ่ม App Center ว่ามี Ticketing Workflow Management เปิดใช้งานอยู่

   

2. บัญชีผู้ใช้ สร้างบัญชีของทุกคนที่จะรับงานใน Platform-X แล้วรอให้ซิงก์เข้า XDR (ประมาณ 5–10 นาที) บัญชีใหม่จะขึ้นใน Configuration › Basic Configuration › User Accounts ด้วย Role Regular user ดูวิธีจัดการบัญชีที่ การจัดการ Accounts บน Athena XDR

   

3. Role ที่ช่อง Role ของแต่ละบัญชี ให้ Role ที่แก้ไขงานของตนได้ เช่น Role ของทีมวิเคราะห์ (แก้ไข Detections, Risk Management, Asset Center) ร่วมกับ Role ในตัว Response personnel ซึ่งมีสิทธิ์ Edit ที่ Responses › Ticketing System เลือกหลาย Role ในช่องเดียวกันได้ สิทธิ์จะรวมกัน ผู้รับงานต้องมีสิทธิ์ Edit ที่ Ticketing System จึงจะกด Process Ticket ได้ ดูสิทธิ์ของ Role ได้ที่แท็บ Roles กด View แล้วเปิดแท็บ Permissions

   

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

เมนูของ Ticketing System

เปิดที่ Responses › Ticketing System (สำหรับ Athena XDR (On-premises) อยู่ที่ App Center › Ticketing System และใช้ขั้นตอนแบบเดียวกัน)

Owners: แผนกและกลุ่มงาน

1. ไปที่ Owners › Departments ที่รายการแผนกด้านซ้าย กด Add แล้วตั้งชื่อแผนก เช่น IT

   

2. กด Add ด้านขวาเพื่อเพิ่มคน กรอก Name เลือกบัญชีในช่อง Associated Account เลือก Department ตั้ง Department Director (Yes = หัวหน้าแผนก) และกรอก Position แล้วกด OK

   

3. ถ้ามีหลายคน ใช้ปุ่ม Import นำเข้ารายชื่อจากไฟล์ Excel

   

4. หน้า Working Groups ใช้จัดกลุ่มคนข้ามแผนก เช่น ทีมดูแล Server แล้วส่งงานให้ทั้งกลุ่มได้ กด Add ด้านซ้ายเพื่อสร้างกลุ่ม แล้วกด Add ด้านขวาเพื่อเพิ่มสมาชิก

   

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

Settings: อีเมลแจ้งเตือนและชื่อปุ่ม

1. ไปที่ Settings › Notifications ติ๊ก Email ของเหตุการณ์ที่ต้องการแจ้ง ได้แก่ Pending Process Receiving (มีงานใหม่รอรับ), Process Copy Receiving (ได้รับสำเนาในฐานะ CC), Overdue Process Notification / Overdue Process Warning (การแจ้งเรื่องกำหนดเวลาของงานทั้งใบ) และ Overdue Node Notification / Overdue Node Warning (การแจ้งเรื่องกำหนดเวลาของแต่ละขั้นในงาน) แล้วกด Save

   

2. กดไอคอนข้างช่อง Email เพื่อแก้หัวข้อ ไฟล์แนบ และเนื้อหาของอีเมล ตัวแปรในรูปแบบ ${...} ระบบเติมค่าให้เอง เช่น ชื่อแม่แบบและชื่อ Ticket กด Save ที่หน้า Notifications ก่อนเปิดหน้าแม่แบบอีเมล มิฉะนั้นค่าที่ติ๊กไว้จะไม่ถูกบันทึก

   

3. แท็บ Custom Actions ใช้เปลี่ยนชื่อปุ่ม Countersign (ขอความเห็นเพิ่ม), Reply, Forward (โอนงาน) และ Close (ปิดงาน) ให้เป็นคำที่ทีมคุ้นเคย ในช่อง Custom Name แล้วกด Save

   

Process Templates: ปรับแม่แบบงานและ SLA

หน้า Process Templates มีแม่แบบสำเร็จรูป (Source = Predefined) มากกว่า 10 แบบ แยกตามประเภทงาน เช่น Security Incident Fixing, Security Incident Response and Fixing (Basic Process), Security Alert Response and Fixing, Weakness Response and Fixing, Security Notification และ Asset Lifecycle Management ใช้แม่แบบสำเร็จรูปได้ทันที หรือ Copy ออกมาปรับเป็นของทีม (แม่แบบสำเร็จรูปเป็นต้นแบบให้ Copy ปุ่ม Edit ของแม่แบบกลุ่มนี้จึงเป็นสีเทา)

1. ที่แถวของแม่แบบที่ต้องการ กด More › Copy (เมนู More มี Copy · Export · Delete) ถ้าต้องการสร้างแม่แบบใหม่ตั้งแต่ต้น ให้กด Add ด้านบนแล้วเลือกประเภทแม่แบบ

   

2. Basics กรอก Template Name ให้บอกว่าใช้กับงานอะไร ตรวจ Category แล้วตั้งค่าในแท็บ Node Action:

   • Authorized Initiator ผู้ที่เปิด Ticket จากแม่แบบนี้ได้ (ลบ All Users ออกแล้วเลือกคน) Sangfor แนะนำให้เป็นทีมวิเคราะห์
   • CC Recipient ผู้รับสำเนา เช่น ผู้จัดการ จะเห็นความคืบหน้าทุกขั้น
   • Advanced Action Permission สิทธิ์โอนงาน (Authorized Transferor) และปิดงาน (Authorized Closer) ใช้ค่าที่ระบบตั้งไว้ได้

   

3. แท็บ Overdue Task Settings คือ SLA ของทั้งงาน ตั้ง Overdue Option เป็น Enabled กำหนด Overdue Time (เช่น After the process is initiated for 3 days) แล้วเลือก Overdue Policy: Overdue Notification (แจ้งเมื่อเลยกำหนด ตั้ง Trigger, Recipient และ Frequency Once / Multiple Times) และ Overdue Warning (เตือนล่วงหน้าก่อนครบกำหนด)

   

4. กด Next ไปที่ Form Design ฟอร์มที่มากับแม่แบบใช้ได้ทันที ฝั่งซ้ายมีช่องข้อมูลที่เพิ่มได้ (General Fields, Advanced Fields และช่องของประเภทงานนั้น) เช่น Drop-Down, Attachment, Checkbox, Date, Single-Line Text และช่องขั้นสูงอย่าง Playbook, Incident, Alert, Asset, Weakness ลากช่องที่ต้องการไปวางในฟอร์ม

   

5. กด Next ไปที่ Process Design แผนผังแสดงเส้นทางของงาน แต่ละกล่องคือ Node: Input Node (ขั้นกรอกข้อมูล/ลงมือ), Approval Node (ขั้นตรวจ/อนุมัติ) และ Parallel Node (ขั้นที่ทำคู่ขนาน) ลาก Node จากแผง Nodes ด้านซ้ายมาวางเพื่อเพิ่มขั้น

6. กดจุดสามจุดที่ Node แล้วเลือก Edit หน้าตั้งค่าจะเปิดขึ้นทางขวา: Status Name, Phase, Description และแท็บ

   

   • Action: Owner ของขั้นนี้ (ตั้งไว้ในแม่แบบแล้ว ตอนเปิด Ticket ระบบเติมให้เอง), Claim (Enable = คนในกลุ่มต้องกดรับงานก่อน คนที่รับเท่านั้นทำงานต่อได้), Lock owner และปุ่ม Action ของขั้นนี้
   • Special Action Permission: อนุญาต Countersign หรือ Forward ในขั้นนี้
   • Overdue Task Settings: SLA ของ Node นี้

   

7. ตั้ง Owner ให้ครบทุกขั้นที่ต้องการ แล้วกด Save แม่แบบใหม่จะขึ้นในรายการ Source เป็น Custom และสวิตช์ Status เปิดอยู่ แม่แบบที่เลิกใช้ให้ปิดสวิตช์ Status ไว้ (เปิดกลับได้ทุกเมื่อ) การ Delete จะลบแม่แบบออกจากระบบถาวร

   

เปิด Ticket

จาก Security Incident

1. ไปที่ Detections › Security Incidents แล้วเปิด Incident ที่ต้องการ กดปุ่ม Fix ด้านบนแล้วเลือก Initiate Ticket (หรือกด Initiate ในแท็บ Ticket Process ของ Incident)

   

2. หน้า Select Ticket Process เลือกแม่แบบทางซ้าย เช่น Security Incident Fixing ฝั่งขวา (Process Preview) แสดงขั้นตอนทั้งหมด แล้วกด Next

   

3. หน้า Fill In Ticket ระบบเติม Ticket Name ข้อมูล Incident, Asset Information, Asset Group, Last Occurred และ Incident Description ให้ เลือก Priority (High / Medium / Low) และกรอก Recommendations หรือแนบ File ตามต้องการ เช่น สรุปว่าเกิดอะไร ทำอะไรไปแล้ว และงานที่ต้องทำต่อ

   

4. ที่ Assign Next Owner เลือก Owner (ผู้รับงานขั้นถัดไป) และ CC Recipient แล้วกด OK ระบบขึ้น "Ticket pushed down successfully." งานจะอยู่ในช่อง Initiated by Me ของ My Tickets และสถานะของ Incident เปลี่ยนเป็น Fixing

   

   

จากช่องโหว่ (Weaknesses)

1. ไปที่ Risk Management › Weaknesses ที่แถวของช่องโหว่ กด Initiate Ticket ในคอลัมน์ Operation (หรือติ๊กแถวแล้วกด Initiate Ticket ที่แถบเครื่องมือ)

   

2. เลือกแม่แบบประเภท Weakness ทางซ้าย ตรวจขั้นตอนใน Process Preview แล้วกด Next

   

3. ข้อมูลช่องโหว่และ Asset ที่เสี่ยงจะเติมมาให้ กรอก Ticket Name ให้บอกเครื่อง ช่องโหว่ และสิ่งที่ต้องทำ เลือก Priority ถ้าแม่แบบตั้ง Owner และ CC ไว้ ระบบจะเติมให้เองในส่วน Assign Next Owner แล้วกด OK

   

รายละเอียดการจัดการช่องโหว่อยู่ที่ Weaknesses บน Athena XDR

ช่องทางอื่น

• Processes: ค้นหาแม่แบบที่ต้องการ กด Initiate Process ที่แถวนั้น แล้วกรอกฟอร์ม Fill In Ticket และ Assign Next Owner เหมือนการเปิดจาก Incident

  

• SOAR: เพิ่มขั้นเปิด Ticket ใน Playbook ให้ระบบเปิด Ticket เอง ดูที่ SOAR บน Athena XDR

แม่แบบที่กำหนด Authorized Initiator ไว้ จะขึ้นให้เลือกเฉพาะผู้ที่อยู่ในช่องนั้น

ดำเนินการ Ticket จนปิดงาน

1. ผู้รับงานเปิด Ticketing System › Tickets › My Tickets ช่อง Pending แสดงงานที่รอ (พร้อม Overdue, Upcoming Overdue, Reminders) ช่อง CC Me แสดงงานที่ได้รับสำเนา และ Initiated by Me แสดงงานที่ตนเปิด

   

2. คลิกชื่อ Ticket ส่วนหัวแสดงเวลาที่ใช้ในขั้นปัจจุบันและเวลารวม แผนผังด้านขวาบอกว่างานอยู่ขั้นไหน ชี้ที่ขั้นนั้นเพื่อดู Owner

   

3. กด Process Ticket เลือก Action ของขั้นนั้น กรอกคำอธิบาย แล้วเลือก Owner ของขั้นถัดไป (ต้องเลือกทุกขั้น เว้นแต่แม่แบบตั้งไว้แล้ว) และ CC ถ้าต้องการ แล้วกด OK

   

ขั้นตอนของแม่แบบ Security Incident Fixing:

ตัวอย่างขั้น Incident Fixing: เลือก Submit กรอก Fixing Conclusion แล้วเลือก Owner ของขั้นตรวจผล

เมื่อผ่านขั้นสุดท้าย แผนผังจะมาถึง Complete Ticket และ Ticket Status เป็น Completed ประวัติของทุกขั้นอยู่ในหน้า Ticket และในแท็บ Ticket Process ของ Incident

แม่แบบ Weakness Response and Fixing มีขั้น Weakness Verification (No Fixing Required / Fixing Required) → Weakness Fixing (Submit พร้อม Fixing Conclusion) → Fixing Verification (Approve / Reject) → Status Update (Submit และปุ่ม Weakness Status) งานแก้ช่องโหว่ เช่น การอัปเดตซอฟต์แวร์ ทีมดูแลเซิร์ฟเวอร์เป็นผู้ลงมือ เมื่อแก้แล้วให้สแกนช่องโหว่ซ้ำเพื่อยืนยันผล และบันทึกสถานะช่องโหว่ด้วย Mark As › Closed (Fixing Method เช่น Resolved, Mitigated หรือ Risk Accepted) ก่อนส่งงานต่อ

ผู้เปิด Ticket ปิดงานก่อนครบขั้นตอนได้ด้วยปุ่ม Close ในหน้า Ticket

ติดตามงาน: All Tickets และ Overview

• Tickets › All Tickets: คลิกช่องค้นหาเพื่อกรองตาม Ticket Name, Process Template, Time Created, Last Updated, Process Type, Current Owner, Initiated By, Ticket Status และ Overdue Status มีปุ่ม Bulk Archive, Export และ Auto Refresh

  

• Overview: เลือก Process Type และช่วงเวลา การ์ด Tickets นับ Total / In Progress / Completed / Canceled ส่วน Ticket Completion แสดงอัตราการปิดงานแยกตาม Departments หรือ Owner (Received, Completed, Pending, Completion Rate, Overdue, Overdue Rate) และ Overdue Tickets แสดง Top 5 งานที่เกินกำหนดพร้อมผู้ถืองาน ใช้ดูว่างานค้างอยู่ที่ใครและกระจายงานได้ทันที
• Home › Monitor Overview: ช่อง Pending Tickets นับงานที่ยังเปิดอยู่ และงานที่ค้างมีผลต่อคะแนนในการ์ด Pending Issues เมื่อปิดงาน คะแนนจะกลับมา

การเปิดดูงานค้างใน My Tickets เป็นส่วนหนึ่งของงานประจำวัน ดู Checklist งานประจำวันและประจำสัปดาห์บน Athena XDR