จัดการผู้ใช้ Role และ TOTP บน Athena XDR (User Accounts: Users, Roles, MFA)

บทความนี้อธิบายการจัดการผู้ใช้และสิทธิ์บน Sangfor Athena XDR (SaaS) ตั้งแต่การสร้าง Account ให้ทีมงานใน Platform-X การกำหนด Role แบบ RBAC ในเมนู User Accounts ไปจนถึงการเปิด TOTP เป็นการยืนยันตัวตนอีกชั้นก่อนงานสำคัญ เหมาะสำหรับผู้ดูแลระบบที่เพิ่งได้รับ Tenant หรือต้องเพิ่มคนเข้าทีม SOC ให้ทุกคนใช้ Account ของตัวเอง แทนการแชร์ Account หลักขององค์กร เพื่อให้ตรวจย้อนได้ว่าใครเปลี่ยนค่าอะไร

สิทธิ์ 2 ชั้น: Platform-X และ Role ใน XDR

ผู้ใช้ของ XDR แบบ SaaS สร้างเป็น Account ใน Platform-X ที่เดียว แล้วระบบซิงก์รายชื่อเข้า XDR ให้เอง ผู้ใช้ทุกคน Login ผ่าน Platform-X แล้วกด Visit ที่การ์ด Athena XDR (ดู การเข้าใช้งาน Tenant ของ Athena XDR ผ่าน Platform-X)

สร้าง Account ให้ทีมงานใน Platform-X

Sangfor แนะนำให้แยก Account ของวิศวกรที่ติดตั้งหรือดูแลระบบไว้ต่างหาก หากพาร์ทเนอร์เป็นผู้ติดตั้ง ให้องค์กรอนุญาตก่อนแล้วจึงสร้าง Account แยก

1. Login เข้า Platform-X ด้วย Account หลักขององค์กร กดรูป Avatar มุมขวาบน แล้วเลือก Corp Center

   

2. เปิดเมนู Accounts แล้วกด New Account

   

3. กรอก Username, Contact Person, Password / Confirm Password, Mobile Number และ Email Address ของผู้ใช้ แล้วกด Next โดย Username ใช้ตัวอักษร ตัวเลข และขีดล่าง _ คั่นคำ (เช่น soc_engineer) ระบบไม่รับเครื่องหมายขีด -

   

4. ในหน้า Permissions เลือก Account Type และที่ Product Permissions › Modules ติ๊ก Athena XDR แล้วกด Completed

   • Ordinary (Read-Only) สำหรับผู้ที่ดูข้อมูลอย่างเดียว
   • Admin (Read/Write) สำหรับวิศวกรที่ต้องเชื่อมต่ออุปกรณ์ เพราะอุปกรณ์บางชนิดออกคีย์เชื่อมต่อผ่าน Platform-X จึงต้องมีสิทธิ์เขียน

   

Account ใหม่จะขึ้นในรายการ Accounts และซิงก์เข้า XDR โดยอัตโนมัติ

ตรวจผู้ใช้และกำหนด Role ในแท็บ Users

1. ใน Athena XDR ไปที่ Configuration › Basic Configuration › User Accounts แท็บ Users ผู้ใช้ที่สร้างใน Platform-X จะขึ้นในรายการ พร้อม Contact Name, Phone Number และ Email Address ผู้ใช้ที่ซิงก์มาใหม่จะได้ Role เริ่มต้นเป็น Regular user ซึ่งดูได้อย่างเดียว ปุ่ม Add ⓘ ในหน้านี้ก็แนะนำให้ไปเพิ่มผู้ใช้ที่ Platform-X › Corp Center › Accounts

   

2. คลิกช่อง Role ในแถวของผู้ใช้ จะเปิดรายการให้ติ๊กได้หลาย Role ติ๊ก Role ที่ต้องการและเอา Role ที่ไม่ใช้ออก แล้วคลิกนอกรายการ ระบบจะขึ้น Saved successfully.

   

ผู้ใช้ที่มีหลาย Role จะได้สิทธิ์รวมของทุก Role ที่เลือก และจะเห็นเมนูและปุ่มตาม Role ใหม่เมื่อ Login ครั้งถัดไป ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

Built-in Role และการสร้าง Role เอง

แท็บ Roles มี Built-in Role 7 แบบ ซึ่งเปิดดูได้ด้วย View และนำไปเป็นต้นแบบได้ด้วย Copy

ถ้า Built-in Role ยังไม่พอดีกับงาน ให้สร้าง Role เอง วิธีที่สะดวกคือ Copy จาก Role ที่ใกล้เคียงที่สุด

1. ที่แท็บ Roles กด Copy ในแถวของ Role ต้นแบบ (หรือกด Add เพื่อเริ่มจากว่าง)

   

2. ในหน้าต่าง Add กรอก Role Name (ตัวอักษร ตัวเลข และขีดล่าง เช่น SOC_Analyst) และ Description

   

3. แท็บ Administrative Scope เลือกกลุ่ม Asset ที่ Role นี้มองเห็น ติ๊ก All ไว้หากต้องการให้เห็นทุกกลุ่ม

   

4. แท็บ Permissions ติ๊กคอลัมน์ Edit และ View รายเมนู แถว All ใช้ติ๊กทั้งคอลัมน์ (การติ๊ก Edit ที่แถว All จะติ๊ก View ทุกหน้าให้ด้วย และกดซ้ำอีกครั้งเพื่อล้างเฉพาะคอลัมน์ Edit) ตัวอย่างในภาพให้แก้ไขได้ที่ Detections, Risk Management และ Asset Center ส่วนหน้าอื่นดูได้อย่างเดียว

   

5. กด OK Role ใหม่จะขึ้นในรายการพร้อมปุ่ม View · Edit · Delete · Copy จึงกลับมาปรับสิทธิ์ทีหลังได้

   

แบ่งข้อมูลตามสาขาหรือทีมด้วย Administrative Scope

องค์กรที่มีหลายสาขาหรือหลายทีมใช้ Administrative Scope แยกข้อมูลตาม Asset Group ได้ เช่น ผู้ใช้ที่ได้ Role ของ Branch-A จะเห็นเฉพาะ Incident และ Alert ของ Asset ในสาขา A

• สร้าง Asset Group ของแต่ละสาขาหรือแผนกก่อน (ดู Asset Center บน Athena XDR) แล้วเลือกกลุ่มนั้นในแท็บ Administrative Scope ของ Role
• หลังแก้สิทธิ์ของ Asset Group ให้รีเฟรชหน้าจอและรอประมาณ 5 นาทีให้มีผล
• ถ้าใช้ Ticketing System ให้เพิ่มผู้ใช้เป็นสมาชิกแผนกที่ Responses › Ticketing System › Owners › Departments เพื่อให้รับ Ticket ของทีมตัวเองได้
• ตัวอย่างการแบ่งในทีม SOC: ผู้ดู Alert ระดับแรกเห็นเฉพาะ Asset ที่ตัวเองดูแล ผู้ล่าภัยคุกคามได้สิทธิ์ดู Security Logs เพิ่ม ผู้ตรวจสอบใช้ Audit administrator และผู้บริหารใช้ Role ที่ดูได้อย่างเดียว
• ถ้าทำงานร่วมกับ Sangfor MDR แบบ Hybrid ทีม Sangfor MDR เฝ้า Asset สำคัญ ส่วน Asset ที่เหลือทีมขององค์กรแบ่งกันดูแลด้วย Administrative Scope (ดู รูปแบบการดูแลระบบและการทำงานร่วมกับ Sangfor MDR)

เปิด TOTP และผูกแอป Authenticator

TOTP คือรหัส 6 หลักจากแอป Authenticator บนมือถือ ที่เปลี่ยนใหม่ทุก 30 วินาที เมื่อเปิดใช้ XDR จะขอรหัสนี้ก่อนงานสำคัญ ได้แก่ Log In และ Delete อุปกรณ์ในหน้า Native Devices และการดูรายละเอียด Weak Password ส่วนการเข้า XDR ยังทำผ่าน Platform-X ตามปกติ ซึ่งมีขั้นยืนยันตัวตนของ Platform-X เอง

ผู้ดูแลเปิด TOTP ให้ทั้ง Tenant

1. ไปที่ Configuration › Basic Configuration › User Accounts แท็บ MFA ตั้ง Google TOTP เป็น Enable แล้วกด Save

   

2. ข้อความใต้ตัวเลือกจะแจ้งว่าผู้ใช้แต่ละคนต้องผูก Account กับแอปเองที่หน้า Profile แจ้งทีมให้ผูกให้ครบ

ผู้ใช้แต่ละคนผูกแอปของตัวเอง

1. คลิกชื่อผู้ใช้ที่มุมซ้ายล่างแล้วเลือก Profile (หรือกดลิงก์ Profile ในแท็บ MFA) ที่บรรทัด TOTP กด Bind

   

2. หน้าต่าง Enable TOTP ให้ติดตั้งแอป Authenticator บนมือถือก่อน เช่น Google Authenticator หรือ Microsoft Authenticator จากนั้นสแกน QR Code หรือพิมพ์ Account และ Key ที่แสดงลงในแอป แล้วกด Enable

3. กรอกรหัส 6 หลักที่แอปแสดงอยู่ แล้วกด OK ระบบจะขึ้น Bound successfully. และบรรทัด TOTP จะเปลี่ยนเป็นปุ่ม View กับ Rebind

   

   

ทดสอบได้โดยไปที่ Configuration › Connection › Device Connection แท็บ Native Devices แล้วกด Log In ที่แถวของอุปกรณ์ หน้าต่าง TOTP Authentication จะขอรหัสจากแอป เมื่อยืนยันผ่านแล้ว ภายใน 10 นาทีถัดไปไม่ต้องกรอกซ้ำ