การเพิ่ม Response Nodes (NGAF/IAG/ES) บน Athena NDR

บทนำ

Response Nodes คือ Action Nodes ในการสร้าง Response Policy บน Athena NDR ที่ใช้สำหรับส่งคำสั่งตอบสนองไปยังอุปกรณ์ที่เชื่อมต่อ เช่น Sangfor NGAF, IAG หรือ Endpoint Secure เพื่อให้การตอบสนองแบบ Coordinated ทำงานได้อัตโนมัติตามเงื่อนไขที่กำหนด

ข้อกำหนดเบื้องต้น

• อุปกรณ์ปลายทาง (NGAF/IAG/Endpoint Secure) เชื่อมต่อกับ Athena NDR แล้วผ่านเมนู Integration
• มีสิทธิ์ Admin เพื่อสร้าง/แก้ไข Auto Response Policy

ขั้นตอนการเพิ่ม Action Node

1. ไปที่ Response > Auto Response > Policies
2. คลิก New ที่มุมขวาบนเพื่อเข้าสู่หน้า Policy Configuration
3. ที่แถบซ้ายเลือกแท็บ Nodes แล้วลากไอคอน Action Nodes มาวางบน Canvas
4. ดับเบิลคลิกที่โหนดเพื่อเปิดหน้า Parameter Settings
5. กำหนดค่า:
   • Node Name: ชื่อของโหนด
   • Action: เลือก Application หรือ Action — สามารถเลือก By App เช่น Sangfor NGAF, IAG, Endpoint Secure หรือเลือก By Action เช่น Block IP, Quarantine Host
   • Device IP: เลือก IP ของอุปกรณ์ปลายทาง (ถ้าเชื่อมต่อหลายเครื่อง)
6. คลิก Advanced เพื่อเปิด/ปิด Delayed Execution ตามต้องการ
7. กด OK เพื่อบันทึกโหนดและกลับไปยัง Canvas

Action ที่ใช้บ่อยในแต่ละ Response Node

• Sangfor NGAF: Block Src IP, Block Dst IP, Quarantine Host, Update Address Object
• Sangfor IAG: Block User/IP, Lock Online User
• Sangfor Endpoint Secure (ES): Isolate Endpoint, Kill Process, Quarantine File

หมายเหตุ

• Action ของแต่ละ Application แตกต่างกัน โปรดตรวจสอบเวอร์ชันของอุปกรณ์ปลายทางว่ารองรับ Action ที่ต้องการ
• สามารถใช้ Policy ที่สร้างไว้แล้วเป็น Nested Action ใน Policy อื่นได้ โดยเลือก By Action แล้วเลือก Policy ที่มีอยู่
• หลังจากวาง Action Node เสร็จ อย่าลืมเพิ่ม End Node และคลิก Update Online เพื่อเปิดใช้งาน Policy