การใช้งาน Telemetry Hub บน Athena NDR

บทนำ

Telemetry Hub คือโมดูลบน Athena NDR สำหรับเก็บ Log จากอุปกรณ์ Third-Party มาศูนย์รวมเพื่อจัดการแบบรวมศูนย์ Log บางประเภทสามารถถูกวิเคราะห์และอัปเกรดเป็น Security Alert ใน Athena NDR ได้โดยตรง

ข้อกำหนดเบื้องต้น

• ต้องเปิดใช้ License Telemetry Hub บน Athena NDR
• Athena NDR มี Memory อย่างน้อย 96 GB จึงจะแสดงโมดูล Telemetry Hub
• หากอัปเกรดจากเวอร์ชันเก่า ต้องอัปเดต License เพื่อเปิดใช้งาน Telemetry Hub

ขั้นตอนการเพิ่ม Collector

1. ไปที่ Detection > Telemetry Hub > Collectors
2. คลิก New เพื่อเพิ่ม Data Source ใหม่
3. เลือก Type ของ Data Transmission — รองรับ Database, FTP, Kafka, SNMP, SNMP Trap, Syslog, Web Service, WinLogBeat และ WMI
4. หากเลือก Syslog ให้เลือก Parsing Rule จาก Drop-down โดยพิมพ์ Keyword เช่น "Forti" เพื่อค้นหากฎ
5. กำหนดค่า:
   • Src IP: IP ของอุปกรณ์ต้นทาง
   • Encoding: Encoding ของ Third-Party Vendor
   • TLS: เปิดใช้งานได้หากต้องการส่งข้อมูลผ่าน TLS และดาวน์โหลด Certificate มาติดตั้งที่ต้นทาง
6. ตั้งค่า Syslog Sending ที่ฝั่งอุปกรณ์ Third-Party (เช่น FortiGate) ให้ส่ง Log มายัง Athena NDR

Log Severity, Alert Rule และ Overview

• Log Severity: หน้าที่แสดง Log ที่ถูกรับและ Parse สำเร็จ พร้อมแบ่งตามระดับ Severity
• Alert Rule: กฎสำหรับ Correlate Third-Party Log ให้กลายเป็น Security Alert มี Rule Built-in จำนวนมาก คลิก View Alerts เพื่อดู Alert ที่สร้างขึ้น
• Overview: สรุปสถิติของ Telemetry Hub คลิก Details หรือ View More เพื่อดูเพิ่มเติม

หมายเหตุ

• Syslog เป็นวิธีที่ใช้บ่อยที่สุดและง่ายต่อการตั้งค่า
• หากต้องการใช้ TLS ต้องติดตั้ง Certificate ที่ฝั่งอุปกรณ์ Third-Party ด้วย
• หลังตั้งค่าเสร็จ สามารถเลือก Collector เพื่อค้นหา Log ที่ส่งเข้ามา โดยระบบจะ Redirect ไปยังหน้า Detection > Logs