การตั้งค่า Data Sharing Configuration ใน Athena NDR

บทนำ

Data Sharing Configuration ของ Athena NDR ช่วยให้สามารถส่งข้อมูลความปลอดภัย (Security Log, Alert, Incident, Asset, Weakness) ไปยังแพลตฟอร์มปลายทาง เช่น Sangfor Cyber Guardian Platform, Omni-Command หรือ SIEM/SOC Platform ของบุคคลที่สาม ผ่าน RESTful API หรือ Syslog บทความนี้อธิบายการตั้งค่า Data Sharing สำหรับทั้ง 2 scenario

ข้อกำหนดเบื้องต้น

• Athena NDR v3.0.98 ขึ้นไป
• ปลายทางที่พร้อมรับข้อมูล (ที่อยู่ IP, port และ credential)
• กรณี Cyber Guardian Platform ต้องลงทะเบียน tenant ที่ https://soc.sea.sangfor.com/
• บัญชี Administrator

การเชื่อมต่อกับ Sangfor Cyber Guardian Platform

1. เลื่อนเมาส์ไปที่ไอคอนผู้ใช้มุมขวาบน เลือก System
2. ไปที่ System > Data Sharing > Data Upload คลิก Add
3. ตั้งค่า Device Type และพารามิเตอร์ที่จำเป็น จากนั้นคลิก OK
4. ล็อกอิน Sangfor Cyber Guardian Platform console ไปที่ Customers > Integrated Devices คลิก Add และกำหนด parameter ให้ตรงกัน
5. กลับมาที่ Athena NDR ไปที่ System > System > General > Privacy Options เลือก Join in User Experience Improvement Program (จำเป็น มิเช่นนั้นข้อมูลจะไม่ถูกส่ง)

การเชื่อมต่อกับ Omni-Command (Distributed XDR)

1. ล็อกอิน Omni-Command Console ไปที่ Configuration > Device Connection > Native Devices คลิก Add เพื่อเพิ่ม Athena NDR เป็น data source
2. ที่ Athena NDR ไปที่ System > Data Sharing > Data Upload คลิก Add ตั้งค่า Device Type เป็น Distributed XDR แล้วกรอกข้อมูลเชื่อมต่อที่ match กับ Omni-Command
3. ไปที่ System > System > General > Privacy Options เลือก Join in User Experience Improvement Program
4. ตรวจสอบว่า Running Status ของ device ที่เพิ่มใหม่เปลี่ยนเป็น Normal

การเชื่อมต่อกับ Third-Party Platform (SIEM)

1. ไปที่ More > Compliance and Sharing > Data Sharing หรือ System > Data Sharing > Third-Party Platforms
2. คลิก Add เพื่อเพิ่มแพลตฟอร์มใหม่
3. กรอกข้อมูลทั่วไป
   • Platform Name: ชื่อที่ระบุได้ง่าย
   • Platform IP Address: IP ปลายทาง
   • Report Assets: asset ที่ต้องการแชร์ข้อมูล
   • Transmission Protocol: เลือก RESTful API หรือ Syslog
4. กรณี RESTful API: ระบุ Authentication Account, Authentication Password และ Data Type ที่ต้องการส่ง
5. กรณี Syslog: ระบุ Protocol (TCP/UDP, ค่า default UDP port 514), Excluded Fields, Data Type (Security Incident / Security Alert) และ Fine-grained Filter เช่น Threat Type, Severity, Data Format, Synchronization Time
6. คลิก OK เพื่อบันทึก

หมายเหตุ

• ไม่สามารถเชื่อม Athena NDR กับทั้ง Cyber Guardian Platform/SaaS XDR และ Omni-Command โดยใช้ password-based method พร้อมกัน
• กรณีใช้ connection key method เชื่อมทั้งสองปลายทางได้ แต่จะมีเพียงปลายทางเดียวที่ทำงาน
• RESTful API ไม่รองรับการส่ง Security Alert ไปยังปลายทาง Third-Party Platform (จะได้รับเฉพาะ Security Incident) โปรดเลือก protocol ให้เหมาะกับข้อมูลที่ต้องการ
• หาก troubleshoot ปัญหาการเชื่อมต่อ Cyber Guardian ตรวจ log ที่ไฟล์ /var/log/today/sis_infoshare_ci.log