Anti-Phishing GPT บน Athena SaaS XDR — ภาพรวม, License และการเชื่อมต่อ Microsoft 365 / Exchange / Gmail (BCC, API, Remediation)

ฝั่ง Microsoft 365

1. ลงทะเบียนแอปพลิเคชัน: ไปที่ Microsoft Entra admin center > Entra ID > App registrations > New registration

   

   ตั้งชื่อแอป เช่น "Exchange web server" เลือก Supported account types เป็น Single tenant แล้วกด Register

   

   เมื่อลงทะเบียนสำเร็จ ให้คัดลอก Application (client) ID และ Directory (tenant) ID เก็บไว้ใช้ในขั้นตอนถัดไป

   

2. สร้าง Client secret: ในแอปที่สร้าง ไปที่ Manage > Certificates & secrets แท็บ Client secrets กด New client secret

   

   ใส่ Description และเลือกอายุ (Expires) แล้วกด Add จากนั้นคัดลอกค่า Value ทันที เพราะจะแสดงเพียงครั้งเดียว

   

3. กำหนดสิทธิ์ API (least privilege): ไปที่ Manage > API permissions > Add a permission > เลือก Microsoft Graph

   

   เลือก Application permissions แล้วค้นหาและติ๊กสิทธิ์ตามตารางด้านล่าง

   

   

4. หลังเพิ่มสิทธิ์ครบ กด Grant admin consent ให้สถานะทุกรายการเป็น Granted

   

   สิทธิ์ IMAP อยู่คนละหมวด ให้ค้นหาคำว่า IMAP ใน Delegated permissions ตามภาพ

   

5. สร้างบัญชีอีเมลสำหรับรับ BCC: ไปที่ Entra ID > Users > New user > Create new user

   

   ตั้งชื่อบัญชี เช่น PhishingGPT กำหนดรหัสผ่าน แล้วกด Next: Properties จนสร้างเสร็จ

   

   

6. กำหนด License ให้บัญชี BCC: เลือกผู้ใช้ > Licenses > Assignments เลือก License ที่มี Exchange Online แล้วกด Assign

   

   

   

   แนะนำให้ล็อกอินบัญชีนี้ครั้งแรกที่ https://outlook.office.com/mail/ เพื่อเปลี่ยนรหัสผ่านและเปิดใช้ mailbox

7. ตั้งค่า BCC rule: ล็อกอิน Exchange admin center (https://admin.exchange.microsoft.com) ไปที่ Mail flow > Rules กด Add a rule

   

   ตั้งค่าเงื่อนไข: Name ตั้งชื่อ rule, Apply this rule if เลือกผู้รับภายใน/ภายนอกตามต้องการ, Do the following เลือก Add recipients > to the Bcc box แล้วเลือกบัญชี PhishingGPT

   

   Rule settings: Rule mode = Enforce, Severity = Not specified, เลือกเวลาเริ่มบังคับใช้ แล้วกด Next

   

   ตรวจสอบสรุปแล้วกด Finish จากนั้นเปิดใช้งาน rule (Enable) เพราะ rule ที่สร้างใหม่จะเป็น Disabled

   

   

ฝั่ง Anti-Phishing GPT

1. ล็อกอินคอนโซล Anti-Phishing GPT ไปที่ Settings > Integration > Device Connection กด Add แล้วเลือก Connection Method = BCC (same domain)

   

2. กรอกพารามิเตอร์ตามตาราง แล้วกด Test Connectivity ให้ขึ้น Connectivity test successful ก่อนกด OK

   

ตรวจสอบผล

1. กด Test Connectivity ในฟอร์มอุปกรณ์ ต้องขึ้น Connectivity test successful

   

2. ส่งอีเมลทดสอบไปยังบัญชีใดก็ได้ในระบบ Microsoft 365 แล้วดูที่เมนู Logs อีเมลฉบับนั้นต้องปรากฏพร้อมสถานะการตรวจ (ดูหัวข้อ 7)

โหมดนี้ไม่ต้องสร้างบัญชี BCC และไม่ต้องตั้ง mail flow rule ใช้เพียงแอปใน Entra ที่มีสิทธิ์ Microsoft Graph

ฝั่ง Microsoft 365

1. ลงทะเบียนแอป: Entra ID > App registrations > New registration ตั้งชื่อ เช่น "PhishingGPT-API" แล้ว Register จากนั้นคัดลอก Application (client) ID และ Directory (tenant) ID

   

   

2. สร้าง Client secret: Manage > Certificates & secrets > New client secret กำหนดอายุ แล้วคัดลอกค่า Value ทันที

   

3. กำหนดสิทธิ์ API: Manage > API permissions > Add a permission > Microsoft Graph > Application permissions เลือกสิทธิ์ตามตาราง แล้ว Grant admin consent

   

   

   

ฝั่ง Anti-Phishing GPT

1. ไปที่ Settings > Integration > Device Connection > Add เลือก Connection Method = Microsoft 365

   

2. กรอก Device Name, App ID, Directory ID, Client Secret แล้วกด OK

   

   

3. ส่งอีเมลทดสอบเข้าระบบ แล้วตรวจสอบที่เมนู Logs ว่าอีเมลถูกตรวจ (audited)

ใช้เพิ่มเติมจาก 4.1 หรือ 4.2 เพื่อให้ระบบแก้ไขอีเมลฟิชชิ่งในกล่องผู้ใช้ได้ (เติม prefix / ลบ) ต้องใช้แอป Entra แยกอีกตัว ที่มีสิทธิ์ EWS full_access_as_app

ฝั่ง Microsoft 365

1. ลงทะเบียนแอป: Entra ID > App registrations > New registration ตั้งชื่อ เช่น "API Response" แล้ว Register และคัดลอก Application ID / Directory ID

   

   

2. แก้ไข Manifest: ไปที่ Manifest แท็บ AD Graph App Manifest (Deprecating Soon) หาพารามิเตอร์ requiredResourceAccess

   

   เพิ่มออบเจ็กต์ต่อไปนี้เข้าไปในอาร์เรย์ (อย่าลืมเครื่องหมายจุลภาคคั่นกับรายการเดิม) แล้วกด Save

   ,
   { "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
     "resourceAccess": [ { "id": "dc890d15-9560-4a4c-9b7f-a736ec74ec40", "type": "Role" } ] }

   

   กลับไปที่ API permissions จะเห็นสิทธิ์ Office 365 Exchange Online > full_access_as_app ให้กด Grant admin consent

   

3. สร้าง Client secret: Manage > Certificates & secrets > New client secret แล้วคัดลอกค่า Value

   

   

ฝั่ง Anti-Phishing GPT

1. ไปที่ Settings > Integration > Device Connection > Add เลือก Connection Method = Exchange Online (หมวด Email Remediation)

   

2. กรอกค่าตามตาราง กด Test Connectivity แล้ว OK

   

ตรวจสอบผล

1. ส่งอีเมลฟิชชิ่งทดสอบ (เช่น ตัวอย่างจาก Phishing sample ของ Sangfor) เข้ากล่องผู้ใช้ ระบบจะตรวจและระบุว่าเป็น phishing พร้อมคำอธิบายจาก GPT

   

2. ในหน้า Alerts คอลัมน์ Status จะแสดง Subject Prefixed และหัวข้ออีเมลในกล่องผู้ใช้จะถูกเติม prefix ตามนโยบาย

   

ฝั่ง Microsoft Exchange

1. สร้างบัญชีสำหรับรับ BCC: Exchange admin center > recipients > mailboxes กด + สร้าง User mailbox เช่น phishingGPT

   

2. สร้าง mail flow rule: ไปที่ mail flow > rules กด + เลือก Create a new rule...

   

   ตั้งชื่อ rule, Apply this rule if = The recipient is located... > Inside the organization

   

   

   Do the following = Bcc the message to... เลือกบัญชี phishingGPT แล้วกด Save

   

ฝั่ง Anti-Phishing GPT

1. ไปที่ Settings > Integration > Device Connection > Add เลือก BCC (same domain) แล้วกรอก:

   

ตรวจสอบผล

ส่งอีเมลฟิชชิ่งทดสอบระหว่างบัญชีภายในองค์กร แล้วดูที่ Logs ว่าอีเมลถูกตรวจ (audited)

ฝั่ง Microsoft Exchange

1. ให้สิทธิ์บัญชี phishingGPT: Exchange admin center > permissions > admin roles เพิ่มบัญชีเข้า role group Server Management (สิทธิ์เรียก API) และ Hygiene Management (สิทธิ์ impersonation)

   

   

2. เปิด Basic Authentication ของ EWS: บนเซิร์ฟเวอร์ Exchange เปิด Server Manager > Tools > Internet Information Services (IIS) Manager

   

   ไปที่ Sites > Default Web Site > EWS > Authentication แล้วตั้ง Basic Authentication = Enabled

   

3. หา Internal EWS URL: Exchange admin center > servers > virtual directories เปิด EWS (Default Web Site) คัดลอก Internal URL (ลงท้ายด้วย /EWS/Exchange.asmx)

   

   

   พอร์ต 443 ของ EWS ต้องถูกแมพผ่าน DNAT ให้ Anti-Phishing GPT เข้าถึงได้ (หัวข้อ 3.3)

ฝั่ง Anti-Phishing GPT

1. ไปที่ Settings > Integration > Device Connection > Add เลือก Connection Method = Exchange Email Server (หมวด Email Remediation)

   

2. กรอกค่าตามตาราง แล้วกด OK

   

ตรวจสอบผล

ส่งอีเมลฟิชชิ่งทดสอบ ระบบต้องตรวจพบและเติม prefix เช่น [[Medium risk]] หน้าหัวข้ออีเมลในกล่องผู้รับ

ฝั่ง Google Workspace

1. สร้างบัญชีสำหรับรับ BCC ใน Google Workspace admin console เช่น sangforxdrpoc@โดเมน

2. ตั้ง BCC rule: ไปที่ Apps > Google Workspace > Gmail

   

   เลื่อนไปที่ Routing กด Add Another Rule

   

   ตั้งชื่อ rule ติ๊ก Inbound และ Internal - Receiving

   

   ในส่วน Also deliver to ติ๊ก Add more recipients ใส่บัญชี BCC ที่สร้าง แล้ว Save

   

3. สร้าง App password ให้บัญชี BCC: ล็อกอินบัญชี BCC กด Manage your Google Account

   

   ไปที่ Security > 2-Step Verification แล้วเปิดใช้งาน (จำเป็นก่อนสร้าง App password)

   

   

   

   ค้นหาคำว่า "password" เลือก App passwords ตั้งชื่อแอป เช่น sangforxdrpoc แล้วกด Create จะได้รหัส 16 ตัวอักษร ให้บันทึกไว้

   

   

ฝั่ง Anti-Phishing GPT (ในคอนโซล Athena XDR)

1. ไปที่ Anti Phishing GPT > Secure Email Access กด Add เลือก BCC (same domain) แล้วกรอกค่าตามตาราง กด Test Connectivity แล้ว OK

   

ตรวจสอบผล

เมื่อมีอีเมลเข้าระบบ หน้า Logs / Phishing Log จะแสดงรายการที่ตรวจพบพร้อมระดับความเสี่ยงและ Device Name = Gmail