การวางแผนและเตรียมการติดตั้ง Athena XDR: รายการตรวจก่อนเริ่มโครงการจนถึงส่งมอบ

บทความนี้เป็นรายการวางแผนและเตรียมการก่อนติดตั้ง Sangfor Athena XDR สำหรับเจ้าของโครงการ ทีมเครือข่าย ทีม Security และวิศวกรติดตั้ง ครอบคลุมการยืนยันความต้องการ การสำรวจสภาพแวดล้อม การวาง Asset และเซนเซอร์ เวอร์ชันและ License เส้นทางเครือข่าย Platform-X ID บทบาทในโครงการ ช่วงทดลองใช้ และเกณฑ์ตรวจรับก่อนส่งมอบ การเตรียมให้ครบก่อนวันติดตั้งช่วยให้ทุกฝ่ายพร้อมและเชื่อมอุปกรณ์ได้ทันที

ระยะของโครงการ

โครงการ XDR แบ่งเป็นสามช่วง คือ เตรียมการ ติดตั้ง และ ตรวจสอบ ช่วงติดตั้งและตรวจสอบเป็นงานบน Console ส่วนช่วงเตรียมการเกือบทั้งหมดเป็นงานวางแผนและประสานหลายฝ่าย ส่วนที่มักใช้เวลามากที่สุดคือการรออนุมัติสิทธิ์เครือข่ายและทรัพยากรจากหน่วยงานต่าง ๆ จึงควรยื่นขอตั้งแต่ต้น งานสุดท้ายของช่วงเตรียมการคือเปิด License เมื่อสภาพแวดล้อมพร้อมแล้ว

ยืนยันความต้องการและสภาพแวดล้อม

เริ่มจากถามว่าโครงการนี้ต้องแก้ปัญหาอะไร เช่น กังวลว่าการโจมตีจะหลุดรอดสายตา หรือทีมมี Alert มากจนไม่ทันดูเรื่องที่เป็นภัยจริง คำตอบบอกว่าต้องการเห็นอะไรบน Console เช่น Alert ที่ลดลง Attack Chain ที่ต่อเรื่องให้ หรือ Log ที่รวมอยู่ที่เดียว ภาพนี้คือเกณฑ์ตอนส่งมอบ และบอกว่าต้องเชื่อมอุปกรณ์ตัวใด อีกคำถามคือใครเฝ้า Asset สำคัญได้ตลอด 24 ชั่วโมง ซึ่งใช้เลือก รูปแบบการดูแลระบบ

จากนั้นสำรวจสภาพแวดล้อมร่วมกันทั้งทีม Security ทีมเครือข่าย และทีมติดตั้ง

• อุปกรณ์ความปลอดภัยทั้งของ Sangfor และของผู้ผลิตอื่น พร้อมยี่ห้อ รุ่น และเวอร์ชัน (เวอร์ชันบอกว่าเชื่อมตรงได้หรือต้องผ่าน XDR Broker)
• ปริมาณ Traffic ที่ Core Switch และที่สาขา เพื่อเลือกจุดวางและขนาดของ STA
• จำนวนเครื่องผู้ใช้และ Server และสถานะ EDR หรือ Antivirus เพื่อวางแผน EPP
• ความต้องการเก็บ Log รวมไว้ที่เดียวและระยะเวลาที่ต้องเก็บ และมีเครื่องมือ SOAR อยู่แล้วหรือไม่
• ส่งข้อมูลไปยัง Data Center ของ Sangfor ได้หรือไม่ ถ้าข้อมูลต้องอยู่ในองค์กร ให้เลือก XDR แบบ On-premises ตั้งแต่แรก สำหรับคำถามด้านความปลอดภัยของ SaaS แพลตฟอร์ม Athena XDR ผ่านการตรวจ SOC 2 Type 2 และมีรายงาน SOC 3 ที่เปิดเผยต่อสาธารณะ

วางแผน Asset

เมื่อ Alert บอกว่ามีการโจมตีจาก IP หนึ่ง XDR ใช้ช่วง IP ที่กำหนดไว้แยกว่าเป็นเครื่องขององค์กรหรือภายนอก จึงต้องจัดกลุ่ม Asset ให้ถูกต้อง

• แบ่งกลุ่มตามหน่วยงาน กำหนดเจ้าของ และระบุ Asset สำคัญ (เครื่องที่ถ้าหยุดหรือถูกเจาะ งานจะสะดุดทันที เช่น Server ที่ให้บริการธุรกิจและ Database) เมื่อเกิด Incident ทีมจะรู้ทันทีว่าเครื่องอยู่แผนกใดและต้องส่งต่อให้ใคร
• กำหนดวง IP ให้เจาะจงแยกแต่ละกลุ่ม
• หากใช้ DHCP ให้จดวงที่ใช้และระยะเวลา Lease ไว้ตั้งกฎใน Deactivation Settings เพื่อให้ระบบปลด Asset เก่าที่ค้างจาก IP เดิมออก

จุดวาง STA, NGFW และ EPP

STA วางแบบ Bypass รับสำเนา Traffic จากสวิตช์ จึงไม่ขวางทางของระบบงาน และควรวางให้สอดคล้องกับ Athena NDR หากมี

จุด Mirror ที่จำเป็นและที่แนะนำ การตั้ง Mirror ให้ครบทั้งขาไปและขากลับ ชนิด Traffic ที่ STA อ่านได้ และพอร์ตที่ต้องเตรียมบน Core Switch ดูที่ วิธีเชื่อม Athena STA กับ Athena XDR (SaaS) สรุปสิ่งที่ต้องวางแผนเพิ่มมีดังนี้

• เลือกจุดที่ยังเห็นเครื่องต้นทางตัวจริง คือก่อนถึง NAT ก่อนถึง Proxy และหน้า DNS Server เพื่อให้ Alert แสดง IP ของเครื่องจริง และตรวจการตั้งค่า DHCP, DNS และ NAT ของเครือข่ายไว้ด้วย
• หากต้องการให้ STA ถอดรหัส HTTPS เพื่อตรวจเนื้อหา ให้เตรียม Private Key ของเครื่องปลายทาง และเผื่อกำลังเครื่องของ STA สำหรับงานถอดรหัสตั้งแต่ตอนเลือกขนาด
• เลือกขนาด STA จากปริมาณ Traffic ที่ Mirror และตรวจว่า Bandwidth ขาออกเพียงพอสำหรับส่ง Log ขึ้น SaaS
• NGFW ที่จะใช้สั่งบล็อกต้องวางบนเส้นทางที่ Traffic วิ่งผ่านจริง เช่น แบบ Transparent

Endpoint ช่วงทดลองใช้ Sangfor แนะนำให้ติดตั้ง EPP อย่างน้อย 20 เครื่อง โดยเริ่มจากเครื่องเสี่ยงสูง เช่น Server สำคัญและเครื่องที่มีช่องโหว่ และให้ Traffic ของเครื่องเหล่านี้ผ่าน STA หรือ NGFW เพื่อให้ Alert จากเครื่องกับจากเครือข่ายรวมเป็น Incident เดียวแบบ E+N

• เครื่องที่มี Antivirus ตัวอื่นอยู่แล้วติดตั้ง EPP Lite คู่กันได้ ส่วน EPP รุ่นเต็มให้ติดตั้งแบบ Compatible Mode หากต้องการ Real-time Protection บนเครื่องนั้น Sangfor แนะนำให้ถอนตัวเดิมออกก่อนติดตั้ง EPP
• เครื่องที่เพิ่งติดตั้ง EPP ให้ตั้ง Virus Scan และ Real-time Protection เป็นแบบรายงานอย่างเดียวไว้ก่อน เพิ่มโปรแกรมที่ใช้ทำงานเข้า Whitelist แล้วจึงเปิดบล็อก ระบบงานจะไม่สะดุด

เวอร์ชันและ License

• ตรวจตารางฉบับล่าสุดในเอกสารออนไลน์ของ Athena XDR ทุกครั้งก่อนวางแผน และดาวน์โหลดแพ็กเกจอัปเกรดจาก Sangfor Technical Support
• STA ดูเลขท้ายของเวอร์ชันเพื่อรู้สายสถาปัตยกรรม เลขคี่คือสายใหม่ เลขคู่คือสายเดิม และอัปเกรดต่อในสายเดิมของเครื่อง
• การอัปเกรด Firewall หน้าเครือข่ายอาจทำให้ระบบงานสะดุดชั่วครู่ จึงนัดช่วง Maintenance กับทุกฝ่ายไว้ก่อน อุปกรณ์ที่เชื่อมไว้แล้ว เมื่ออัปเกรดเสร็จให้ตรวจแถวของอุปกรณ์ที่หน้า Native Devices อีกครั้ง
• ให้อุปกรณ์ Sangfor ต่ออินเทอร์เน็ตเพื่ออัปเดตฐานข้อมูลภัยคุกคามเอง XDR จะตรวจจับได้แม่นขึ้น

เลือกโมดูลใน License ให้ตรงกับเป้าหมาย: Data Fusion สำหรับรับ Log จากอุปกรณ์ของผู้ผลิตอื่น, Auto Containment สำหรับให้ XDR แนะนำและบล็อก IP หรือโดเมนอันตรายเอง, SOAR สำหรับสั่งงานอุปกรณ์ของผู้ผลิตอื่นผ่านแอป และ Security Operation GPT (Security GPT) ซึ่งควรเปิดในทุกโครงการ เปิด License ทดลองตอนท้ายช่วงเตรียมการเพื่อให้ทุกวันของช่วงทดลองใช้กับการทดสอบจริง ส่วน License ใช้งานจริงทีม Sangfor เป็นผู้เปิดให้ ควรขอไว้ล่วงหน้าประมาณ 1 วันก่อนวันเริ่มติดตั้ง

อุปกรณ์ของผู้ผลิตอื่นและ XDR Broker

XDR Broker คือ VM ตัวกลางในเครือข่ายขององค์กร รับข้อมูลจากอุปกรณ์แล้วส่งต่อขึ้น XDR ใช้กับอุปกรณ์ของผู้ผลิตอื่นและ NGFW สถาปัตยกรรมเดิม สเปกขั้นต่ำ 4 vCPU, RAM 8 GB, ดิสก์ 256 GB และ IP คงที่ อุปกรณ์ของผู้ผลิตอื่นทำงานกับ XDR ได้สองแบบ

• Log Ingestion ส่ง Log เข้ามาให้ XDR ตรวจผ่าน Broker เช่น Syslog ส่วนอุปกรณ์บางรุ่นส่งผ่าน API หรือ Kafka ระบบอ่าน Log ด้วย Parser ในตัว และรูปแบบอื่นให้ Security GPT ช่วยแปลงได้
• Coordinated Response รับคำสั่งตอบสนองผ่านแอปใน SOAR โดย Broker เป็นผู้เรียก API ของอุปกรณ์

สิ่งที่เตรียมก่อนวันติดตั้ง

• บัญชีผู้ดูแลระดับสูงสุดของอุปกรณ์ เพราะการตั้งค่า API มักต้องใช้บัญชีระดับนี้ และหากต้องการให้ XDR สั่งบล็อก บัญชี API ต้องมีสิทธิ์เขียน
• ตั้งค่าส่ง Syslog และเลือกประเภท Log ที่ต้องการที่ตัวอุปกรณ์ และตรวจว่าอุปกรณ์สร้าง Security Log จริง เช่น จาก IPS หรือ WAF ข้อมูลกลุ่มนี้คือที่มาของ Alert ส่วน Audit Log ทั่วไปใช้เป็นข้อมูลประกอบ
• หากองค์กรมี DNS Server ของตัวเอง วางแผนส่ง Log ของ DNS Server เข้า Broker ด้วย
• VM สำหรับ Broker และผู้ดูแล Server ที่ช่วยติดตั้ง หากมีอุปกรณ์เฉพาะทางที่ต้องการเชื่อมเพิ่ม ปรึกษาทีม Sangfor หรือพาร์ทเนอร์ตั้งแต่ช่วงวางแผน

ขั้นตอนการเชื่อมต่อดูที่ การเชื่อมต่ออุปกรณ์ของผู้ผลิตอื่นผ่าน XDR Broker

เส้นทางเครือข่าย

เลือก Data Center ให้ตรงกับ Tenant องค์กรในประเทศไทยใช้ Data Center มาเลเซีย (ที่อยู่ของ Console ขึ้นต้นด้วย sea) อุปกรณ์ทุกตัวรวมถึง EPP แบบ SaaS ต้องเลือก Data Center เดียวกันนี้ ทุกการเชื่อมต่อเป็น TCP ขาออกจากอุปกรณ์ในไซต์ไปหา XDR จึงไม่ต้องเปิดพอร์ตขาเข้าจากอินเทอร์เน็ต

รายการ Domain และพอร์ตของแต่ละ Data Center ที่อุปกรณ์ต้องออกไปถึง ดูที่ การเข้าใช้งาน Tenant ของ Athena XDR (SaaS) ผ่าน Platform-X และตรวจรายการฉบับล่าสุดในเอกสารออนไลน์ของ Athena XDR ก่อนส่งให้ทีมเครือข่าย

• DNS ที่อุปกรณ์ใช้ต้อง Resolve Domain เหล่านี้ได้
• อุปกรณ์ Sangfor ต้องออกอินเทอร์เน็ตไปถึง Domain เหล่านี้ได้โดยตรง หากนโยบายองค์กรให้ทุกเครื่องออกผ่าน Proxy ให้ปรึกษาทีม Sangfor ตั้งแต่ช่วงวางแผน
• ก่อนวันเข้าไซต์ ให้ทีมเครือข่ายทดสอบการเชื่อมต่อ TCP จากวง IP ของอุปกรณ์ไปยังทุก Domain และพอร์ตในตาราง (ทดสอบแบบ TCP แทนการ Ping) ถ้าผ่านครบ วันติดตั้งก็เชื่อมอุปกรณ์ได้ทันที

Platform-X ID

ก่อนเปิดระบบ องค์กรต้องมี Platform-X ID ของตัวเองหนึ่งชุด ทั้ง License และข้อมูลการเชื่อมต่อของทุกระบบผูกอยู่กับ ID นี้ ข้อมูลขององค์กรจึงแยกจาก Tenant ขององค์กรอื่นอย่างชัดเจน

• องค์กรใหม่ลงทะเบียน Platform-X แล้วดู ID ได้ทันที (ขั้นตอนการสมัครดูที่ คู่มือเริ่มต้นใช้งาน Athena XDR) องค์กรที่มีบัญชีอยู่แล้ว (เช่น ใช้ EPP แบบ SaaS) ใช้ ID เดิม
• หากใช้บริการ Sangfor MDR อยู่แล้ว ให้ขอ ID จากทีม MDR มาใช้ร่วมกัน เพื่อให้ XDR, MDR และตัวจัดการ Endpoint ใช้ข้อมูลร่วมกันในที่เดียว
• EPP และ NDR ที่เคยเชื่อมกับบริการ MDR ให้ย้ายมาเชื่อมกับ XDR ตรวจข้อมูลอีกครั้งหลังเริ่มระบบใหม่ และ NDR ใช้ข้อมูลเชื่อมต่อชุดใหม่ที่ XDR ออกให้

ขั้นตอนการเปิด Tenant ดูที่ การเข้าใช้งาน Tenant และ Platform-X

สิ่งที่ต้องเตรียมเพิ่มสำหรับแบบ On-premises

• องค์กรจัดหาเครื่องเอง จึงต้องคำนวณขนาดระบบก่อนซื้อ โดยใช้จำนวน Endpoint ปริมาณ Traffic และจำนวน Log ต่อวันจากอุปกรณ์ของผู้ผลิตอื่น ปรึกษาทีม Sangfor หรือพาร์ทเนอร์พร้อมตัวเลขชุดนี้
• วางแผน IP ให้ครบทุก Interface ตั้งแต่วันแรก และกัน Subnet อีกสองวงสำหรับ Container และ Service ของระบบ โดยเลือกวงที่ไม่ซ้ำกับเครือข่ายขององค์กร
• เตรียมพอร์ตสวิตช์ความเร็ว 10 Gbps ให้เพียงพอสำหรับทุก Node และขอไฟล์ License ไว้ก่อนวันติดตั้ง
• Security GPT ติดตั้งในองค์กรได้ (ใช้เครื่องที่มีการ์ด GPU แยกอีกชุด ซึ่งต้องจัดหาล่วงหน้า) หรือใช้แบบ SaaS ผ่าน Cloud Connection เลือกร่วมกับทีม Sangfor หากเชื่อมออกอินเทอร์เน็ตได้ ตั้ง Cloud Connection ไว้เพื่อใช้ Security GPT แบบ SaaS และ Sangfor MDR
• สิทธิ์เครือข่าย Asset และจุดวางเซนเซอร์ใช้หลักเดียวกับแบบ SaaS

บทบาทในโครงการและช่วงทดลองใช้

รอให้สิทธิ์เครือข่ายและทรัพยากรผ่านการอนุมัติครบก่อนนัดวันติดตั้ง และขอช่องทางเข้าถึงระยะไกลไว้เพื่อปรับจูนต่อโดยไม่ต้องเข้าไซต์ซ้ำ

ช่วงทดลองใช้ ใช้แผนเดียวกันได้ เพิ่มเป้าหมายที่วัดผลได้

1. ตกลงว่าเมื่อจบการทดสอบต้องการเห็นอะไรบนหน้าจอ และช่วงทดลองทีมขององค์กรจะดูแลเองหรือทำแบบ Hybrid ให้ทีม Sangfor MDR เฝ้า Asset สำคัญ

2. จดตัวเลขตั้งต้น เช่น จำนวน Alert ต่อวัน เวลาที่ใช้ตรวจ และจำนวนคน เพื่อใช้เทียบตอนสรุปผล

3. ระบุอุปกรณ์ฝั่ง Endpoint และฝั่งเครือข่ายที่จะเชื่อม และทดสอบด้วยตัวอย่างการโจมตีจำลองที่ควบคุมได้ในเครือข่ายทดสอบที่แยกจากระบบจริง

4. ตกลงเกณฑ์ผ่านก่อนเริ่ม โดยวัดจากหน้าจอ: มี Incident อย่างน้อยหนึ่งเรื่องที่ต่อเรื่องจาก Endpoint ไปถึงเครือข่าย Security GPT สรุปเรื่องนั้นและย้อนดูหลักฐานได้ สั่งบล็อกหรือแยกเครื่องในเครือข่ายทดสอบได้จริงอย่างน้อยหนึ่งครั้ง และได้รายงานที่ผู้บริหารใช้ต่อได้

5. หากผ่านไปประมาณ 1 สัปดาห์แล้ว Alert จาก Traffic จริงยังน้อย ให้เพิ่มจุด Mirror และจำลองการโจมตีในโซนทดสอบเพิ่ม แล้วปิดช่วงทดลองด้วยรายงานผลพร้อมข้อเสนอแนะ

เกณฑ์พร้อมใช้งานและการส่งมอบ

หลังติดตั้ง ตรวจความพร้อมบน Console ตามรายการนี้

• Native Devices (Configuration › Connection › Device Connection) อุปกรณ์ Sangfor ทุกตัวผ่าน 4 จุด: Status เป็น Online, Log Reporting เป็นสีเขียว, Coordinated Response เป็นสีเขียว และ Log Details มี Log ของวันนี้ หากยัง Offline ให้กด Test Connectivity (การตรวจสุขภาพการเชื่อมต่ออุปกรณ์)

  

• License เปิด XDR และ Security GPT แล้ว License ของอุปกรณ์แต่ละตัวยังใช้งานได้ และ Sangfor แนะนำให้ติดตั้ง EPP ให้ได้อย่างน้อย 30 เปอร์เซ็นต์ของจำนวน License ตรวจได้ที่ Configuration › Basic Configuration › Licensing

  

• Third-Party Devices แถวของอุปกรณ์เป็นสีเขียวทั้ง Log Ingestion และ Coordinated Response และมี Log ในช่อง Logs Ingested Today แท็บ Data Quality Analysis ควรถึง Level 2 ขึ้นไป (รวมเป็น Alert ได้) และ Level 3 เมื่อต้องการเห็น Attack Chain และลองรัน Playbook สั่งอุปกรณ์ให้สำเร็จหนึ่งครั้ง

  

  

• การตั้งค่า ช่วง IP ตรงกับเครือข่ายจริง มี Asset Group อย่างน้อยหนึ่งกลุ่ม และระบุ Special Asset แล้ว (การตั้งค่า SecOps เริ่มต้น)
• Auto Containment เมื่อเชื่อมอุปกรณ์ที่สั่งตอบสนองได้แล้ว เริ่มที่ Monitoring Mode Sangfor แนะนำให้ใช้ประมาณ 1 สัปดาห์ก่อนเปลี่ยนเป็น Containment Mode
• บัญชีและอุปกรณ์ สร้าง Sub-account ให้วิศวกรที่ดูแลระบบเมื่อเจ้าของระบบอนุญาต และลบอุปกรณ์ที่เลิกใช้ออกจากรายการ
• การตรวจระบบ ตรวจรายการใน Initial SecOps Configuration ให้ครบ เปิดทุกเมนูของ Console เพื่อให้แน่ใจว่าเปิดได้ปกติ แล้วไปที่ Configuration › System Monitor › Maintenance แท็บ System Check กด Check Again แก้รายการในแท็บ Abnormal ตามคำแนะนำจนทุกข้อเป็นสีเขียว

  

จดผลทั้งหมดลงรายการตรวจรับและใช้เป็นเอกสารส่งมอบให้ทีมที่ดูแลระบบทุกวัน วันส่งมอบให้เปิด Console ตอบเป้าหมายที่ตั้งไว้ตอนต้น: แถบ Logs › Alerts › Incidents บน Monitor Overview, Attack Chain และ Security GPT Analysis ของ Incident, การ์ด Auto Containment และรายงานสำหรับผู้บริหาร แล้วเทียบกับตัวเลขตั้งต้น จากนั้นถ่ายทอดการใช้งานให้ทีมผ่านงานจริงของแต่ละวันและวางแนวทางรับมือ Incident ร่วมกัน เก็บภาพหน้าจอและรายงานไว้เทียบในอีกไม่กี่เดือนเพื่อตัดสินใจว่าจะขยายหรือปรับอะไรต่อ

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร