การวิเคราะห์ Traffic บน Athena NDR

บทนำ

โมดูล Traffic ใน Detection ของ Athena NDR แสดงความสัมพันธ์ของ Traffic ภายในเครือข่าย (Lateral) และการเข้าถึงจาก LAN ไปสู่ Internet (Outbound) รวมทั้ง Inbound Traffic สำหรับ Service ที่เปิดให้ภายนอก ช่วยให้ผู้ดูแลเห็นภาพรวมของการจราจรทั้งหมด

Lateral Traffic

1. ไปที่ Detection > Traffic > Lateral Traffic
2. หน้านี้แสดงข้อมูล:
   • จำนวน Server และ Endpoint ที่เป็นต้นทางของ Lateral Attack
   • จำนวน Server ที่ถูกโจมตีแบบ Lateral
   • Application Traffic และ Protocol Traffic
   • Top Servers by Traffic และการเข้าถึงแต่ละ Asset Group
3. เลือกช่วงเวลา: Last 24 hours, Last 7 days หรือ Last 30 days

Outbound Traffic

1. ไปที่ Detection > Traffic > Outbound Traffic
2. เลือกช่วงเวลา Last 24 hours หรือ Last 7 days ที่มุมขวาบน
3. คลิก Settings เพื่อเปลี่ยน Asset Location
4. เลือก Src และ Location (Domestic หรือ Overseas) เพื่อดู Outbound Traffic ของ Asset Group ในตำแหน่งที่เลือก

Inbound Traffic

ไปที่ Detection > Traffic > Inbound Traffic เพื่อดู Service ที่เปิดให้ภายนอกใช้งาน หน้านี้แสดง Service ที่มีผู้เข้าชมมากที่สุด ปริมาณ Traffic ที่สูงที่สุด และข้อมูลภูมิศาสตร์ของผู้เข้าชม

หมายเหตุ

• ใช้ Lateral Traffic เพื่อทำ Baseline การสื่อสารภายในก่อน จะทำให้ตรวจจับการเปลี่ยนแปลงผิดปกติได้ง่ายขึ้น
• Outbound Traffic มีประโยชน์สำหรับการตรวจจับ Data Exfiltration และ C2 Communication