การตั้งค่า Response Policies บน Athena NDR

บทนำ

Response Policies บน Athena NDR ช่วยให้สามารถตอบสนองต่อ Alert/Incident ได้โดยอัตโนมัติผ่านเครื่องมือ SOAR ที่ฝังมาในแพลตฟอร์ม Policy สามารถกำหนดเงื่อนไขและการดำเนินการได้หลายมิติ เช่น ประเภทเหตุการณ์ กลุ่มสินทรัพย์ ช่วงเวลา หรือ Rule ID

ประเภทของ Policy

• BuiltIn Strategy: Policy ที่พัฒนาและ Sync มาจาก SOAR Production Line
• Advanced: Policy อัตโนมัติจากเวอร์ชันก่อนหน้าที่ถูกย้ายมาหลัง Upgrade
• Cloned: สำเนาของ BuiltIn หรือ Advanced ที่สามารถแก้ไขได้
• Custom: ประเภทที่ผู้ดูแลสร้างเองได้

ขั้นตอนการสร้าง Policy ใหม่

1. ไปที่ Response > Auto Response > Policies
2. คลิก New ที่มุมขวา เพื่อเปิดหน้า Policy Configuration
3. ในแผง Policy Settings กำหนดค่า:
   • Policy Name: ชื่อ Policy (จำเป็น)
   • Policy Description: คำอธิบาย (ไม่บังคับ)
   • Policy Type: Cloned, Advanced หรือประเภทกำหนดเอง
   • Execution Method: Execute Automatically (ทำงานเมื่อเงื่อนไขตรง) หรือ Execute Manually (ต้องกดสั่งเอง)
   • Conditions for Execution: เงื่อนไขการทำงาน — Asset Type, Group, Time Detected, IP, Rule ID, Security Incident
4. กด OK เพื่อเข้าสู่ Canvas แล้วลาก Action Node, Decision และ End Node มาวางเชื่อมกันเป็น Flow
5. คลิก Save as Draft เพื่อบันทึกหรือ Update Online เพื่อเปิดใช้งาน

หมายเหตุ

• เงื่อนไข Event Type เป็นค่าดีฟอลต์ที่ต้องกำหนดและแก้ไขไม่ได้
• หากกำหนดหลายเงื่อนไข จะใช้ตรรกะ AND แต่หากใส่หลายค่าในเงื่อนไขเดียว จะใช้ตรรกะ OR
• แต่ละมิติ (Dimension) กำหนดได้เพียงครั้งเดียวใน Policy หนึ่ง ๆ