Threat Protection: ตั้งค่า C2 Activity Detection และ URL Filtering

บทความนี้อธิบาย 2 Engine ของ Threat Protection ใน Secure Web Gateway (SWG) ของ Sangfor Athena SASE คือ Command and Control (C2) Activity Detection ที่ตรวจและบล็อกการติดต่อจากเครื่องที่ติดมัลแวร์ไปยัง C2 Server และ URL Filtering ที่จำกัดการเข้าเว็บตาม URL Category และ Malicious URL Database พร้อมวิธีเพิ่มหมวดเว็บที่ต้องการบล็อกเอง การใช้ Monitor เพื่อสำรวจก่อนบล็อก และการตรวจผลใน Security Logs เหมาะสำหรับผู้ดูแลระบบที่วาง Baseline ด้านความปลอดภัยของการใช้อินเทอร์เน็ต

ก่อนเริ่ม: สวิตช์ของ Engine และ Forward DNS Traffic

ไปที่ Core Features › Secure Web Gateway › Policies › Threat Management แท็บ Threat Protection ส่วน Best Practice ของหน้าแนะนำให้เปิด C2 Activity Detection และ URL Filtering และระบุว่า Global Synchronization of New Threats เปิดไว้โดย Default

• แต่ละการ์ดมีสวิตช์ที่มุมขวาบนและลิงก์ Security Logs การ์ด C2, URL Filtering และ IPS มีปุ่ม Configure Policies เพิ่ม สวิตช์มีผลกับผู้ใช้ทุกคนในองค์กรพร้อมกัน
• C2 Activity Detection ต้องเปิด Forward DNS Traffic ก่อน เพราะระบบต้องเห็น DNS Query ของเครื่องจึงจะรู้ว่าเครื่องพยายาม Resolve Domain ของ C2 ตั้งค่าที่ Platform Management › System › Connections › Traffic Forwarding Policies › Advanced ช่อง Forward DNS Traffic และแนะนำให้ติ๊ก IPv6 DNS Resolution Requests: Enable blocking เพื่อให้ Traffic ถูกตรวจสอบได้ครบ
• เมื่อเปิด Forward DNS Traffic แล้ว Domain ภายในองค์กรต้องตั้งเป็น Do not forward traffic ใน Traffic Forwarding Policy มิฉะนั้นการ Resolve ชื่อภายในอาจกระทบการใช้งานระบบภายใน ดูวิธีตั้งค่าใน Traffic Forwarding Policies
• URL Filtering, Antivirus และ IPS ทำงานได้โดยไม่ต้องอาศัย Forward DNS Traffic

C2 Activity Detection

C2 (Command and Control) คือ Server ที่มัลแวร์บนเครื่องที่ติดเชื้อติดต่อกลับไปรับคำสั่ง Engine นี้ใช้ Global Threat Intelligence ตรวจทั้ง Domain และ IP ของ C2 การ์ดสรุป Threat Category (C2 Domain Name, C2 IP Address) ระดับ Severity และ Action ที่ใช้อยู่

1. เปิดสวิตช์ที่การ์ด Command and Control (C2) Activity Detection (หากยังปิดอยู่) แล้วกด OK เพื่อยืนยัน

2. กด Configure Policies ที่การ์ด จะเปิดหน้าต่างตั้งค่าซึ่งมี Threat Intelligence Source (Global Threat Intelligence), สวิตช์ C2 Domain Name และ C2 IP Address สำหรับเปิดการตรวจแต่ละแบบ และ Schedule (All day)

3. ที่ Action เลือก Tile ที่ต้องการ

   • Block Mode บล็อกภัยตามระดับที่ติ๊ก (High, Med, Low)
   • Monitor Mode บันทึก Log อย่างเดียว ไม่บล็อก (Log only, block no threats)

   

4. กด OK เพื่อบันทึก

เมื่อ Block Mode บล็อก Domain ของ C2 ผู้ใช้จะเห็น Browser แจ้งว่าเปิดหน้านี้ไม่ได้และไม่พบ Domain (เช่น DNS_PROBE_FINISHED_NXDOMAIN) แทนที่จะเป็น Block Page เพราะการบล็อกเกิดที่ขั้น DNS ทั้งนี้การเปิดหน้าเว็บหนึ่งหน้าอาจทำให้เกิด Log หลายรายการ

URL Filtering: หมวด Predefined

การ์ด URL Filtering สรุปจำนวนหมวด Predefined และหมวด Custom ที่ถูกบล็อกอยู่ และเวลาอัปเดต Malicious URL Database กด Configure Policies แล้วหน้าต่าง URL Filtering จะเปิดขึ้นในหน้าเดิม

• ข้อความด้านบนระบุว่า URL & App Control มี Priority สูงกว่า URL Filtering หาก URL & App Control บล็อก URL นั้นแล้ว Action ของ URL Filtering จะไม่มีผล และเมื่อผู้ใช้เข้า URL ในรายการ URL Filtering จะมี Log ใน Security Logs ที่ Threat Type เป็น URL Filtering
• ตาราง Predefined URL Categories มีคอลัมน์ URL Category และ Action แต่ละหมวดมี Action เป็น Allowed (อนุญาตโดยไม่เก็บ Log เหมาะกับเว็บที่ถูกต้อง เพื่อลดปริมาณ Log), Monitor (อนุญาตและเก็บ Log) หรือ Rejected (บล็อกและเก็บ Log)
• หากต้องการเปลี่ยน Action ให้ติ๊กหมวดที่ต้องการ (ติ๊กได้หลายหมวด) แล้วกดปุ่ม Allowed, Monitor หรือ Rejected ด้านบนตาราง จากนั้นกด OK ที่ท้ายหน้าต่าง

หมวดที่ควรตั้งเป็น Rejected คือกลุ่มความเสี่ยง เช่น Network Security (Fake Site, Phishing, Malicious Website), Malware และ Malicious Script ส่วนหมวดเนื้อหาไม่เหมาะสม เช่น Adult Content และ Illegality & Immorality (รวม Gambling) ให้กำหนดตามนโยบายขององค์กร ตรวจ Action ปัจจุบันของแต่ละหมวดใน Console ขององค์กรก่อนเปลี่ยน

Custom Blocked URL Categories

ใช้บล็อกเว็บที่องค์กรกำหนดเอง เช่น Domain อันตรายที่พบจากการสอบสวนในหน้า Risk Investigation

1. ในหน้าต่าง URL Filtering เปิดสวิตช์ Custom Blocked URL Categories จะมีปุ่ม + Add (Add from Existing) และลิงก์ Add New › แสดงขึ้น

2. หากยังไม่มีหมวดของเว็บที่ต้องการ กด Add New › ระบบจะพาไปที่ Platform Management › Objects › URL Categories และเปิดฟอร์ม Add ให้ทันที กรอก Name, Description, URLs (บรรทัดละหนึ่งรายการ ไม่ต้องขึ้นต้นด้วย http(s):// รองรับ Wildcard *) และ Domain Name Keywords (Domain ที่มีคำที่กำหนดจะถูกนับอยู่ในหมวดนี้ด้วย) แล้วกด OK

   

3. กลับไปที่ Threat Management กด Configure Policies ของ URL Filtering อีกครั้ง การตั้งค่าในหน้าต่างนี้จะถูกบันทึกเมื่อกด OK ท้ายหน้าต่าง หากสวิตช์ Custom Blocked URL Categories ยังปิดอยู่ ให้เปิดอีกครั้ง

4. กด + Add จะเปิดหน้าต่าง Add from Custom URL Categories ที่แสดงหมวด Custom ทั้งหมด ติ๊กหมวดที่ต้องการแล้วกด OK หมวดที่เลือกจะแสดงในตารางของหน้าต่าง URL Filtering

   

5. กด OK ที่หน้าต่าง URL Filtering ระบบจะแจ้ง Operation successful และการ์ด URL Filtering จะแสดงจำนวน Custom URL Categories ที่เลือก

ผู้ใช้ที่เข้าเว็บในหมวดที่บล็อกจะเห็น Block Page ของ App/URL Access Blocking ซึ่งปรับข้อความได้ที่ Page Redirection

ตรวจสอบผลใน Security Logs

1. ไปที่ Logs › Critical Feature Logs › Threat Protection Logs แท็บ Security Logs

2. กรองผู้ใช้ด้วย User Keyword แล้วที่แผงตัวกรองด้านซ้าย กดเครื่องหมาย ⊕ ข้าง Log Type C2 Activity หรือ URL Filtering แผงด้านซ้ายยังสรุป Severity, Threat Type (เช่น Botnet, Phishing, Remote Access Trojan) และ Action (Allow, Reject)

   

3. กดที่แถวเพื่อเปิด Details ส่วน General Info บอก Request Domain Name, Request URL, Website Type (หมวดของเว็บ) และ Action เช่น การเข้าเว็บในหมวดที่ตั้งเป็น Monitor จะมี Action เป็น Allow ส่วนหมวดที่บล็อกจะเป็น Reject

   

ปัญหาที่พบบ่อย