การใช้งาน Assets Inventory ใน Athena NDR

บทนำ

Assets Inventory ของ Athena NDR เป็นศูนย์กลางในการบริหารข้อมูล asset ของ LAN ทั้ง Server, Host, IoT/IoMT และ Business System ใน UI ใหม่ของ v3.0.98 รองรับทั้งการค้นพบ asset อัตโนมัติ การจัดกลุ่ม การ import/export และการระบุผู้รับผิดชอบ (Owner) บทความนี้อธิบายการตั้งค่าและการใช้งาน Assets Inventory

ข้อกำหนดเบื้องต้น

• Athena NDR v3.0.98 ขึ้นไป
• Athena STA ส่ง traffic log เข้าระบบ
• หากต้องการระบุ IoMT Asset ต้องมี IoT Security License และเปิดใช้ IoMT บน Athena STA v3.0.63 ขึ้นไป

โครงสร้าง Assets Inventory

1. ไปที่ Assets > Assets ส่วน Overview แสดงจำนวน asset ทั้งหมดและการกระจายตาม Importance
2. เลื่อนลงเพื่อดู Business Systems/Servers โดย Server จะถูกค้นพบอัตโนมัติจาก traffic ส่วน Asset Group ต้อง add ด้วยตนเอง
3. คลิกไอคอน + เพื่อสร้าง Asset Group ใหม่
   • Group Name: ชื่อกลุ่ม
   • Parent Group: เลือก parent group หากต้องการจัดเป็น hierarchy
   • Tags: เลือก tag เช่น Business System, Branch, Security Domains, IP Groups, Headquarter
   • Type: Auto-discovered, Server, Host หรือ IoT
   • IP Range: ช่วง IP หรือ subnet (รองรับการ overlap กับ private range, ใช้ subnet ที่เฉพาะเจาะจงก่อน)
4. ใช้ปุ่ม Import และ Export เพื่อจัดการ asset เป็นจำนวนมาก

การเปิดใช้ IoMT Asset Identification

1. ที่ Athena NDR Console ไปที่ System > System > Licensing ตรวจสอบว่า IoT Security License อยู่ในสถานะ Licensed
2. ล็อกอิน Athena STA Console ไปที่ System > Log Sync Destination เลือก IoMT
3. กลับไปที่ Athena NDR ไปที่ Assets > Assets > Asset Management > Assets ตรวจดูว่า IoMT asset แสดงใน Type column อย่างถูกต้อง (เช่น Inspection Terminal)

การตั้งค่า Advanced และ Owners

1. ไปที่ Assets > Assets > Settings > Advanced
   • Asset Discovery and Approval: เปิด Auto Discover Assets เพื่อให้ระบบค้นพบ asset จาก traffic และรอการอนุมัติ
   • Excluded Gateway MAC Address: ระบุ MAC ของ gateway ที่ไม่ต้องการให้ถูกมองเป็น asset
   • Offline Endpoints: กำหนดเงื่อนไขการมาร์คเป็น offline
   • Update Time: กำหนดเวลาอัปเดตข้อมูล asset (แนะนำให้ตั้งเวลาช่วงเช้ามืดเพื่อหลีกเลี่ยง performance issue)
   • Inactive Endpoints: ช่วง offline ที่จะถือว่า inactive
   • Default Asset Name: priority ของชื่อ asset เมื่อไม่มีชื่อกำหนดไว้
2. ไปที่ Assets > Assets > Settings > Owners เพื่อระบุผู้รับผิดชอบของแต่ละ asset (ชื่อ, เบอร์, อีเมล, ตำแหน่ง)

Third-Party Data Sources

1. ไปที่ Assets > Assets > Settings > Third-Party Data Sources
2. คลิก Add Device เพื่อเพิ่ม Domain Controller
   • IP address: IP ของ AD Domain
   • Protocol: ค่า default คือ WMI
   • Domain Account / Password: บัญชี admin ของ AD
   • Event ID: คั่นด้วย comma (ค่าเริ่มต้น 4624)
3. ระบบจะ sync domain username เข้ามาแสดงใน Security Incident/Alert เพื่อระบุผู้ใช้งานที่เกี่ยวข้อง

หมายเหตุ

• ควร classify asset เป็น Server/Host/IoT ให้ถูกต้อง เพื่อให้ Dashboard และ Report แสดงข้อมูลตรงกับความเป็นจริง
• การเปิด Update Now อาจทำให้ระบบหน่วงในช่วงเวลาสั้น ๆ แนะนำให้ใช้ scheduled update
• IoMT asset จะไม่ถูก identify หากปิด IoT Security License หรือไม่ได้เปิด IoMT บน Athena STA