Blocked Activities และ Risk Investigation – บริษัท ซังฟอร์ เทคโนโลยี (ประเทศไทย) จำกัด

บทนำ

Blocked Activities และ Risk Investigation เป็นหน้าวิเคราะห์ใน Secured Global Access ที่ช่วยให้ผู้ดูแลระบบติดตาม log การเข้าถึง Internet ที่ถูกบล็อก และตรวจสอบความเสี่ยงของ Endpoint ที่ตรวจพบภัยคุกคาม เพื่อระบุและตอบสนองต่อเหตุการณ์ความปลอดภัยได้อย่างทันท่วงที

ข้อกำหนดเบื้องต้น (Prerequisites)

มีสิทธิ์ administrator ของ Sangfor Access Secure
มี Threat Protection policies (C2, URL Filtering, Antivirus, IPS) เปิดใช้งานเพื่อให้มี log ที่ถูกบล็อก
Endpoint ติดตั้ง Access Client และส่ง traffic ผ่าน SGA

ขั้นตอนการใช้งาน Blocked Activities

เข้าสู่ Sangfor Access Secure console
ไปที่ Core Features > Secured Global Access > Analytics > Blocked Activities
ที่มุมซ้ายบน เลือกช่วงเวลาในการ query log: Current Day, Last 24 hours, Last 7 days, Last 30 days หรือ Specified สำหรับช่วงเวลาที่กำหนดเอง
ในช่อง Search ด้านบน ระบุตัวกรอง: Keyword, User/Department, Location หรือ App เพื่อกรอง log ตามต้องการ
ดูรายการ log ที่ถูกบล็อก ซึ่งแสดงข้อมูล Time, Username, Display Name, Endpoint Type, App Category, App Name, Status และ Policy Hit

ขั้นตอนการใช้งาน Risk Investigation

ไปที่ Core Features > Secured Global Access > Analytics > Risk Investigation
หน้าจะแสดงสถิติ Endpoints (Unresolved/Resolved), Severity (Compromised, High, Med, Low) และ Blocks (C2 Activity, Antivirus, IPS, URL Filtering)
ดูรายการ Endpoint ที่มีความเสี่ยงในตารางด้านล่าง พร้อมข้อมูล Severity, Last Detected, MAC Address, Last Login User, Department, Access Location, IP Address, Logs และ Threat Type
คลิก Publish เพื่อเผยแพร่เหตุการณ์ หรือคลิก Mark as Resolved เมื่อได้แก้ไขปัญหาแล้ว

การตรวจสอบ (Verification)

หลังจากแก้ไขปัญหาที่พบ ตรวจสอบว่าสถานะใน Risk Investigation เปลี่ยนเป็น Resolved และไม่มี log ใหม่ใน Blocked Activities ที่เกิดจาก Endpoint เดียวกัน

หมายเหตุ (Notes)

หากไม่พบภัยคุกคามใน 30 วัน Endpoint จะถูก mark เป็น Resolved โดยอัตโนมัติ
ควรตรวจสอบ Risk Investigation อย่างน้อยสัปดาห์ละครั้งเพื่อจัดการกับ Endpoint ที่มีความเสี่ยง
การ mark ว่า Resolved ควรทำหลังจากตรวจสอบและแก้ไขสาเหตุของปัญหาแล้วเท่านั้น