การกรอง Security Alerts บน Athena NDR

บทนำ

หน้า Security Alerts แสดง Alert ที่ตรวจจับได้ก่อนที่จะถูกรวมเป็น Incident ตัวกรองที่ให้มาช่วยให้ผู้ดูแลค้นหา Alert ที่ต้องการได้ละเอียดกว่า Incident List บทความนี้อธิบายตัวกรองทั้งหมดบนหน้า Security Alerts

ขั้นตอนการใช้งาน

1. เข้า Athena NDR Console แล้วไปที่ Response > Security Alerts
2. ใช้ตัวกรองบนหน้า Alerts:
   • Status: All, Pending, Suspended, Fixing หรือ Fixed
   • Target Endpoints: All, Server, Host
   • Groups: เลือกกลุ่มสินทรัพย์หนึ่งกลุ่มหรือมากกว่า
   • Direction: All, Outbound Access, Lateral หรือ Inbound Access
   • Severity: High, Medium, Low
   • Attack Stage: Weakness, Reconnaissance, Exploitation, C&C, Propagation, Impact
   • Threat Type: ประเภทภัยคุกคาม
   • Period: Last 24 hours, Last 7 days, Last 14 days, Last 30 days หรือ Custom
   • Status Code: รหัสผลลัพธ์ของการโจมตี เช่น สำเร็จ/ล้มเหลว
3. ใช้ช่อง Search ค้นหาด้วย IP, IP segment, Description, Tag หรือ Hostname

การอ่านสถิติ

ในส่วนกลางของหน้า Security Alerts ระบบจะแสดงจำนวน Alert ในแต่ละ Severity (High/Medium/Low) และแบ่งตาม Attack Stage เพื่อให้เห็นภาพรวมของภัยคุกคามในช่วงเวลาที่เลือก

หมายเหตุ

• ตัวเลือก Direction = Lateral มีประโยชน์มากสำหรับการตรวจจับ Lateral Movement
• แนะนำให้กรองด้วย Period = Last 24 hours ในการตรวจสอบประจำวัน