Risky Apps บน Athena XDR: ตรวจหา Hacktool และโปรแกรม Remote Access บนเครื่อง

Risky Apps ใน Sangfor Athena XDR ตรวจหาแอปพลิเคชันเสี่ยงที่ติดตั้งอยู่บนเครื่องในองค์กร ทั้งเครื่องมือของผู้โจมตี (Hacktool) และเครื่องมือดูแลระบบ (O&M Tool) อย่างโปรแกรม Remote Desktop ที่ทีม IT ใช้ช่วยผู้ใช้ได้สะดวก แต่ผู้โจมตีก็ใช้ควบคุมเครื่องจากระยะไกลได้เช่นกัน บทความนี้อธิบายการอ่านหน้า Risky Apps และการจัดการเมื่อพบแอปเสี่ยง สำหรับผู้ดูแลระบบและทีม SOC

ข้อมูลมาจากไหน

• XDR เทียบรายชื่อซอฟต์แวร์ที่ Agent ของ Athena EPP ส่งมา กับรายการแอปเสี่ยงที่ Sangfor เตรียมไว้ ต้องใช้ Agent ที่เชื่อมกับ XDR และทำงานปกติ
• Agent ส่งรายการซอฟต์แวร์ตามรอบการเก็บข้อมูล Endpoint ของ EPP (ปกติวันละครั้ง) หน้า Risky Apps จึงอัปเดตตามรอบนั้น

อ่านหน้า Risky Apps

1. ไปที่ Risk Management › Risky Apps ส่วน Overview นับจำนวน Risky Assets, Risky Apps และ Supported Apps ด้านขวาเป็นชื่อแอปพร้อมจำนวนเครื่อง ชื่อสีแดงคือแอปที่ยังพบอยู่ตอนนี้

2. รายการด้านล่างแสดงเครื่องที่พบแอปเสี่ยง พร้อม Asset Type, OS, Agent Status, Last Updated และจำนวน Risky Apps ที่ยังติดตั้งอยู่ (นับเฉพาะแอปที่ยังไม่ถูกถอนออก) กรองได้ตาม Asset Type, Risky Apps, Src Platform และ Asset IP

   

3. กดตัวเลขใต้ Supported Apps เพื่อดูรายการแอปที่ตรวจได้ทั้งหมด แบ่งเป็น 2 กลุ่ม แต่ละตัวมีคำอธิบายว่าคืออะไรและผู้โจมตีนำไปใช้อย่างไร

   • Hacktool – เช่น Mimikatz (ดึงรหัสผ่านจากหน่วยความจำ), PsExec (รันคำสั่งบนเครื่องอื่น), CobaltStrike, Masscan, Fscan, NLBrute และ DefenderControl
   • O&M Tool – ToDesk, TeamViewer, SunLogin, Rdp_Connector และ AnyDesk

   

4. กด Details ที่แถวของเครื่อง แผง Risky Asset Details แสดงชื่อแอป (Risky App), ที่อยู่ไฟล์ (App Path), Last Installed และ Last Uninstalled ถ้า Last Uninstalled เป็นขีด แปลว่าแอปยังติดตั้งอยู่ ไฟล์ติดตั้งที่ค้างอยู่ในโฟลเดอร์อื่น (เช่น Temp) อาจขึ้นเป็นอีกแถวหนึ่ง

   

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

การดำเนินการเมื่อพบแอปเสี่ยง

1. ตรวจว่าองค์กรอนุญาตโปรแกรมนี้หรือไม่ และใครเป็นผู้ติดตั้ง
2. Hacktool ที่ไม่ได้รับอนุญาต: ถอนออกทันที และตรวจ Security Alert กับ Incident ของเครื่องนั้นต่อ (ดู Risky Assets) เพื่อหาร่องรอยการโจมตีอื่น
3. O&M Tool ที่อยู่นอกนโยบาย: ถอนออกด้วยตัวถอนติดตั้งของโปรแกรมเอง ถ้าอนุญาต ให้จำกัดผู้ใช้และบันทึกเหตุผลไว้ เพราะหากรหัสเชื่อมต่อหลุดออกไป ผู้โจมตีก็เข้าควบคุมเครื่องได้
4. หลังถอนออก เมื่อถึงรอบที่ Agent ส่งรายการซอฟต์แวร์ ช่อง Last Uninstalled จะมีเวลาขึ้น และแอปนั้นไม่นับเป็นความเสี่ยงของเครื่องอีก
5. ตรวจหน้านี้ทุกสัปดาห์เพื่อดูแอปเสี่ยงตัวใหม่ และสั่ง Asset Check กับเครื่องสำคัญ ผลตรวจจะนับแอปเสี่ยงเป็นส่วนหนึ่งของระดับความเสี่ยงของเครื่อง