การตอบสนองแบบ Manual Response ต่อ Alert บน Athena NDR

บทนำ

Manual Response คือการให้ผู้ดูแลปรับสถานะของ Security Alert ด้วยตนเอง หรือสั่งดำเนินการเฉพาะรายการ เช่น Mark as Fixed, Suspend หรือเพิ่ม Whitelist เพื่อตัด Noise Alert ออก บทความนี้อธิบายสองวิธีหลักในการทำ Manual Response

วิธีที่ 1: Direct Response จากหน้า Alert List

1. ไปที่ Response > Security Alerts
2. เลือก Alert ที่ต้องการและคลิกไอคอนในคอลัมน์ Operation
3. เลือกการกระทำ: Mark as Fixed, Mark as Fixing, Suspend หรือ Whitelist
4. สถานะจะเปลี่ยนทันทีและไอคอน Bell ที่มุมขวาบนจะแสดงความคืบหน้า

วิธีที่ 2: Response จากหน้า Alert Details

1. คลิกชื่อภัยคุกคามใน Security Alerts เพื่อเข้าสู่หน้า Alert Details
2. คลิกไอคอน More ที่มุมขวาบนของหน้า Details
3. เลือกการกระทำเช่นเดียวกับวิธีที่ 1

Response สำหรับ Risky Asset รายการเดียว

1. ในหน้า Alert Details คลิกแท็บ Risky Assets-Target
2. เลือก Risky Asset ที่ต้องการและคลิก Mark as Fixed
3. สถานะจะเปลี่ยนเฉพาะสินทรัพย์รายการนั้น ไม่กระทบ Alert โดยรวม

การเพิ่ม Whitelist

1. เลือก Alert ที่ต้องการ คลิกไอคอน Operation แล้วเลือก Whitelist
2. ในกล่อง Add Security Alert Whitelist ระบบจะเติม Src IP และ Dst IP ให้โดยอัตโนมัติ
3. ระบุ Apply To และ Schedule ตามต้องการ แล้วบันทึก

หมายเหตุ

• วิธีที่ 1 และ 2 ให้ผลลัพธ์เหมือนกัน และมีผลกับ Risky Assets ทุกรายการของ Alert
• ใช้ Whitelist ด้วยความระมัดระวัง เนื่องจากอาจทำให้ไม่ได้รับการแจ้งเตือนในอนาคต