คำถามที่พบบ่อย (FAQ) เกี่ยวกับ Athena XDR

แบบ SaaS ทำงานบน Cloud ของ Sangfor เข้าใช้งานผ่าน Platform-X (x.sangfor.com) › Athena XDR › Visit และเลือก Data Center ของแต่ละ Tenant ส่วนแบบ On-premises ติดตั้งเป็น Cluster บน Server ขององค์กร องค์กรดูแล Server เอง และจัดการ Node ผ่านหน้าเว็บที่พอร์ต 8443 เมนูหลักของทั้งสองแบบคล้ายกัน โดยแบบ On-premises จัด Ticketing System และ Custom Reports ไว้ในเมนู App Center ดูวิธีปิด/เปิดเครื่องแบบ On-premises ที่ วิธีปิดเครื่องและเปิดเครื่อง Server ของ Athena XDR (On-premises)

สร้างบัญชีใน Platform-X แล้วรอให้ซิงก์เข้า XDR (ประมาณ 5–10 นาที) บัญชีจะขึ้นใน Configuration › Basic Configuration › User Accounts ด้วย Role Regular user จากนั้นกำหนด Role ที่ต้องการในช่อง Role ของบัญชีนั้น ชื่อบัญชีใน Platform-X ให้ใช้ขีดล่าง (_) แทนเครื่องหมายขีด (-) เช่น soc_engineer ดู การจัดการ Accounts บน Athena XDR

ต้องอยู่ Data Center (Region) เดียวกัน เพื่อให้ทั้งสองระบบใช้ Data Lake ชุดเดียวกัน ถ้าอยู่คนละ Region ให้ปรึกษาทีม Sangfor หรือพาร์ทเนอร์เพื่อย้ายให้อยู่ Data Center เดียวกัน ดูขั้นตอนเชื่อมต่อที่ การเชื่อมต่อ Athena EPP กับ Athena XDR

สถานะ Online ยืนยันว่าการเชื่อมต่อทำงาน ให้ตรวจต่อให้ครบ 4 จุด: Status เป็น Online · ป้ายความสามารถ (Log Reporting หรือ Log Ingestion และ Coordinated Response) · Log Details มี Log ของวันนี้ (Today's Logs) · Test Connectivity ผ่าน สำหรับอุปกรณ์ของผู้ผลิตอื่นให้ดูคอลัมน์ Logs Ingested Today และค้นหา Log ใน Security Logs ดู การตรวจสุขภาพอุปกรณ์ที่เชื่อมต่อ

ใน Group Policy ของ EPP ที่ Basic Config › Advanced Threat Detection and Log Collection ให้ติ๊ก "Collect endpoint behavior data" และ "Report … to Athena XDR" โดยตั้งแยกกันทั้งแท็บ Windows และ Linux ดู การเชื่อมต่อ Athena EPP กับ Athena XDR

แนะนำ Athena NGFW 8.0.107 ขึ้นไป (เวอร์ชันขั้นต่ำสำหรับการเชื่อมต่อ Platform-X โดยตรงคือ 8.0.106) ช่อง Device Name ให้ใช้ขีดล่าง (_) แทนเครื่องหมายขีด (-) เช่น HQ_NGFW ดู การเชื่อมต่อ Athena NGFW กับ Athena XDR

ที่ System › Log Sync Destination แท็บ Athena XDR (SaaS)/Athena MDR ค่าเริ่มต้นของ Log Types คือ Intelligent logs แนวทางที่แนะนำคือ Advanced logs เพื่อให้ XDR ได้ข้อมูลสำหรับการวิเคราะห์ครบขึ้น ดู การเชื่อมต่อ Athena STA กับ Athena XDR

ตามเอกสารของ Sangfor Athena EPP ใช้ประมาณ 0.5 MB/s ต่อเครื่อง PC 1,000 เครื่อง และประมาณ 2 MB/s ต่อ Server 1,000 เครื่อง ส่วน Athena STA แบบ Advanced logs ใช้ Bandwidth ตามปริมาณ Traffic ที่ Mirror เข้ามา สำหรับการประเมินของแต่ละองค์กร ให้ปรึกษาทีม Sangfor หรือพาร์ทเนอร์ โดยเตรียมจำนวน Endpoint/Server และปริมาณ Traffic ที่ Mirror

• วัตถุประสงค์: ต้องการรับ Log (Data Fusion) หรือสั่งตอบสนองผ่าน SOAR หรือทั้งสองอย่าง
• ยี่ห้อ รุ่น และรูปแบบการติดตั้งของอุปกรณ์ เช่น Gateway เดี่ยว หรือ Management Platform + Gateway
• VM สำหรับ XDR Broker อย่างน้อย 4 CPU Cores, 8 GB RAM และ Disk 256 GB บน Virtualization ที่รองรับ เช่น Sangfor HCI
• วิธีส่ง Log เช่น Syslog และ Log ด้านความปลอดภัยที่จะส่ง
• เครือข่าย: อุปกรณ์ส่ง Syslog ไปที่ Broker ทาง UDP 514 ได้, Broker เข้าถึงพอร์ตจัดการของอุปกรณ์ได้ (สำหรับ SOAR) และไม่มี NAT ระหว่างอุปกรณ์กับ Broker

ดู การติดตั้ง XDR Broker และเชื่อมต่ออุปกรณ์ Third-Party

XDR Broker ใช้ PlatOS ซึ่ง Sangfor พัฒนาและเผยแพร่เอง ใช้ Kernel Linux 4.18.0 ที่รวม Patch จากชุมชนอย่าง CentOS และ openEuler และผ่านการทดสอบด้านเสถียรภาพแล้ว

ได้ การติดตั้ง HCI VM-Tools บน Broker ไม่มีผลต่อการทำงานของ Broker

ได้ Security GPT ตีความ Log จากอุปกรณ์ของผู้ผลิตอื่น และรวม Alert จากอุปกรณ์ของ Sangfor กับของผู้ผลิตอื่นเข้าด้วยกันเพื่อวิเคราะห์ร่วมกัน

XDR คัด Alert ที่มีแนวโน้ม False Positive สูงออก และถือว่า HTTP Alert ที่ไม่มี Response Packet เป็น Noise เพื่อให้ Incident แม่นยำ แนวทางที่ช่วยให้ได้ Incident ที่ดี:

• ตั้งค่าอุปกรณ์ให้ส่ง Log แบบฉบับเต็ม มี Field ครบ
• ลด Alert ที่เกิด False Positive ง่าย เช่น การสแกนภายในสู่ภายใน
• ใช้ Parsing Rule ในตัวของ XDR ก่อน และตรวจว่า Log ด้านความปลอดภัยของอุปกรณ์สร้าง Alert ได้จริง

ดู Data Quality Analysis

ดูรายการล่าสุดที่ Responses › SOAR › Apps กลุ่ม Network Security App เช่น Network Secure (Athena NGFW), FortiGate, PaloAlto, CheckPoint FW, Hillstone Firewall, Huawei Firewall, Sophos FW, WatchGuard Firewall, Juniper SRX IPS และ Sonicos Firewall อุปกรณ์ของผู้ผลิตอื่นเชื่อมต่อเป็น Third-Party Device ที่ติ๊กความสามารถ Coordinated Response และใช้ร่วมกับ License ของ SOAR ดูตัวอย่างที่ การตั้งค่า FortiGate ให้ตอบสนองจาก Athena XDR

• อุปกรณ์ของผู้ผลิตอื่นส่ง Syslog ไปที่ XDR Broker ทาง UDP 514
• Athena NGFW และ XDR Broker ต้องเชื่อมต่อโดเมนของ Data Center ได้ ตรวจได้จาก Domain Name Connectivity Check ของ NGFW และผลตรวจโดเมน/พอร์ตในหน้า Connection Settings ของ Broker
• Athena XDR (On-premises) จัดการ Node ผ่าน HTTPS พอร์ต 8443

Auto Containment เริ่มที่ Monitoring Mode Sangfor แนะนำให้ใช้ Monitoring Mode ประมาณ 1 สัปดาห์ แล้วเพิ่ม Allowlist ให้ครบก่อนเปิด Containment Mode ถ้าใช้ FortiGate เป็นอุปกรณ์ตอบสนอง ให้ตั้ง Block Duration แบบ Permanent ดู Auto Containment บน Athena XDR

ยกเลิกการติ๊ก Display matched playbooks only รายการจะแสดง Playbook ทั้งหมด ถ้า Playbook ทำงานไม่สำเร็จ Incident จะแสดงจุดที่ล้มเหลวพร้อมปุ่ม Re-execute ดู SOAR บน Athena XDR

ในหน้าต่าง Select Owner ให้เปิดแท็บ Account ค้นชื่อบัญชี แล้วติ๊กบัญชีนั้น ดู Ticketing System บน Athena XDR

Schedule ของหน้า Reports เป็นการตั้งค่าชุดเดียวของทั้ง Tenant และส่งต่อไปตามรอบจนกว่าจะปิด ไปที่ Home › Reports › Schedule แล้วยกเลิกการติ๊ก Enable ดู Reports บน Athena XDR