การดำเนินการกับ Incident (Close/Assign/Comment)

บทนำ

หลังจากวิเคราะห์ Incident แล้ว ผู้ดูแลสามารถอัปเดตสถานะ เพิ่มหมายเหตุ และส่งหลักฐานประกอบการแก้ไขได้โดยตรงจากหน้า Security Incidents รวมถึงสั่ง Coordinated Response ผ่าน Policy หรือ Action ได้

การดำเนินการแบบ Manual

1. ไปที่ Response > Security Incidents
2. เลือก Incident ที่ต้องการและคลิกไอคอน More ในคอลัมน์ Operation
3. เลือกสถานะใหม่ เช่น Mark as Fixed, Mark as Fixing, Suspend หรือ Pending
4. ในกล่องข้อความที่ปรากฏ ใส่ Remarks และอัปโหลดรูปเป็นหลักฐานได้หากจำเป็น
5. กด OK สถานะของ Incident จะเปลี่ยนตามที่เลือก

การดำเนินการแบบ Coordinated Response

1. ใน Response > Security Incidents เลือก Incident แล้วคลิกไอคอน Coordinated Response ในคอลัมน์ Operation
2. ระบบจะแสดง Policy ที่ตรงเงื่อนไขและเปิดใช้งาน เลือก Policy และกด Execute
3. หรือเลือกแท็บ By App / By Action เพื่อสั่งการตรงไปยังอุปกรณ์ที่เชื่อมต่อ เช่น บล็อก IP บน NGAF
4. ระบบจะแสดงผลการทำงานในหน้าต่างป๊อปอัป

การตรวจสอบ

ไปที่ Response > Response History > Auto Response History เพื่อดูสถานะการดำเนินการ (Execution Status), เวลา Start/End, Application และ Operation หาก Response ล้มเหลว สามารถคลิก Execute Again เพื่อสั่งรันใหม่ได้