×
ข้ามไปยังเนื้อหาหลัก

วิธีเชื่อม Athena NGFW กับ Athena XDR (SaaS) ผ่าน Product Integration

ปรับปรุงเมื่อ

บทความนี้อธิบายการเชื่อม Sangfor Athena NGFW เข้ากับ Sangfor Athena XDR (SaaS) สำหรับผู้ดูแลระบบที่ต้องการให้ Security Log ของไฟร์วอลล์เข้ามาช่วย XDR ตรวจจับภัย และให้ XDR สั่งบล็อก IP หรือโดเมนกลับไปที่ไฟร์วอลล์ได้โดยตรง Athena NGFW รุ่น 8.0.107 ขึ้นไปเชื่อมกับ Platform-X จากตัวอุปกรณ์เอง ไม่ต้องตั้งค่าใดที่ฝั่ง XDR ภาพรวมของอุปกรณ์ Native ทุกชนิดอยู่ที่ การเชื่อมต่ออุปกรณ์ Sangfor (Native Devices) กับ Athena XDR

เตรียม NGFW ก่อนเชื่อม

  • รุ่น: ใช้ Athena NGFW รุ่น 8.0.107 ขึ้นไปตามที่ Sangfor แนะนำ รุ่นแสดงอยู่ที่มุมซ้ายบนของ Web UI

  • ทางออกอินเทอร์เน็ต: ที่ Network › Routes › Static Routes ตรวจว่า Default Route (0.0.0.0/0) ชี้ออกทางพอร์ต WAN เพราะ NGFW เป็นฝ่ายเชื่อมออกไปหาคลาวด์

    หน้า Network › Routes › Static Routes ของ NGFW แสดง Default Route 0.0.0.0/0

  • DNS: ที่ Network › DNS › DNS Servers ตรวจว่า DNS Server ที่ตั้งไว้ Resolve ชื่อโดเมนของ Sangfor ได้

    หน้า Network › DNS › DNS Servers ของ NGFW แสดง Preferred DNS และ Alternate DNS

  • Policy สำหรับตรวจจับ: NGFW ส่ง Security Log ได้เมื่อ Policy ตรวจพบภัย จึงควรมี Policy ที่ Policies › Network Security › Policies ครอบคลุมโซนผู้ใช้ โซน Server และ Traffic ระหว่างโซน โดยเปิด Intrusion Prevention, Content Security และ Botnet Detection พร้อมเปิด Log events ในช่วงทดลองใช้ ตั้ง Action เป็น Allow เพื่อตรวจจับและเก็บ Log ไว้ก่อน

  • DNS ภายใน: ถ้าองค์กรมี DNS Server ภายใน ให้ระบุไว้ที่ Local DNS Server ใน Policy เพื่อให้ XDR เห็นเครื่องต้นทางที่ถามหาโดเมนจริง

เชื่อม NGFW กับ Platform-X

  1. ที่ Web UI ของ NGFW ไปที่ SOC › Next-Gen Security › Product Integration แท็บ Cloud Products แล้วกด Connect ที่การ์ด Sangfor Platform-X

    หน้า Product Integration ของ NGFW ที่การ์ด Sangfor Platform-X มีปุ่ม Connect

  2. ในหน้าต่าง Connect to Platform-X เลือก Cloud Data Center ให้ตรงกับ Data Center ของ Tenant XDR (องค์กรในประเทศไทยใช้ Malaysia) รอให้ Domain Name Connectivity Check ของ Platform-X ขึ้น Passed แล้วกด Connect

    หน้าต่าง Connect to Platform-X เลือก Cloud Data Center เป็น Malaysia และผลตรวจ Domain Name Connectivity Check เป็น Passed

    ถ้าการตรวจโดเมนไม่ผ่าน ให้ตรวจ DNS และ Route ของ NGFW ตามหัวข้อการเตรียม แล้วกด Recheck

  3. ระบบเปิดหน้า Quick Connection ของ Platform-X ถ้ายังไม่ได้ Log In ให้ติ๊ก I have read and accept the EULA | DPA แล้วกด Log In to Platform-X และ Log In ด้วยบัญชี Platform-X เดียวกับที่ใช้เข้า Tenant ของ XDR (ถ้า Log In ไว้แล้ว หน้าจะแสดงบัญชีปัจจุบันให้และข้ามไปข้อถัดไปได้เลย)

    หน้า Quick Connection ของ Platform-X ก่อน Log In ติ๊กยอมรับ EULA และ DPA แล้วกด Log In to Platform-X

  4. ที่ช่อง Device Name ตั้งชื่ออุปกรณ์ตามที่ต้องการ เช่น HQ_NGFW ติ๊ก I have read and accept the EULA | DPA แล้วกด Connect Now

    หน้า Quick Connection ของ Platform-X ตั้ง Device Name ติ๊กยอมรับ EULA และ DPA แล้วกด Connect Now

    หลังเชื่อม Platform-X แล้ว ชื่ออุปกรณ์บน Web UI ของ NGFW จะถูกแทนด้วย Device Name ที่ตั้งในหน้านี้ ซึ่งเป็นชื่อถาวรของอุปกรณ์ จึงควรตั้งชื่อที่จะใช้ในระยะยาว ส่วน Alias และข้อมูลอื่นของอุปกรณ์แก้ได้ที่ Platform-X › Security Products › Device Manager

  5. Platform-X ผูกอุปกรณ์เสร็จแล้วพากลับไปที่ NGFW และแจ้งว่าเชื่อม Platform-X สำเร็จ การ์ด Sangfor Platform-X แสดง Status Normal พร้อม Device Name และ Cloud Data Center

    การ์ด Sangfor Platform-X บน NGFW แสดง Status Normal, Device Name และ Cloud Data Center Malaysia

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ตรวจผลที่ XDR

รอประมาณ 5 ถึง 10 นาทีให้ข้อมูลซิงก์ไปที่ XDR แล้วไปที่ Configuration › Connection › Device Connection › Native Devices หาแถวของ NGFW (Device Type Network Secure) แล้วตรวจ 4 จุด

  1. Status เป็น Online

  2. Log Reporting เป็นสีเขียว

  3. Coordinated Response เป็นสีเขียว XDR สั่งบล็อก IP และโดเมนผ่าน NGFW ตัวนี้ได้

    หน้า Native Devices ของ XDR แถว Network Secure สถานะ Online และ Log Reporting กับ Coordinated Response เป็นสีเขียว

  4. กด Log Details ที่แถวของ NGFW ตาราง Log Types แยกจำนวน Log ของวันนี้เป็น Network Security Logs, HTTP Audit Logs และ DNS Audit Logs โดย Network Security Logs จะนับเมื่อ Policy ของไฟร์วอลล์ตรวจพบภัยคุกคาม

    หน้าต่าง Log Details ของ NGFW แสดง Network Security Logs, HTTP Audit Logs และ DNS Audit Logs

ตรวจจากฝั่ง Platform-X ได้เช่นกัน ที่ Platform-X › Security Products › Device Manager แถวของ NGFW ต้องมี Status Connected และคอลัมน์ Connected Platform มี Athena XDR

หน้า Device Manager ของ Platform-X แถวของ NGFW สถานะ Connected และ Connected Platform มี Athena XDR

ถ้าแถวยังเป็น Offline ให้สร้าง Traffic ผ่าน NGFW เพื่อให้มี Log ส่งขึ้นไป แล้วกด Test Connectivity ที่แถวนั้น ถ้าขึ้น Device Alert ให้กดดูสาเหตุและคำแนะนำ รายละเอียดอยู่ที่ การตรวจสุขภาพและแก้ไขอุปกรณ์ Native ที่ Offline ถ้าต้องเชื่อม NGFW ใหม่ ให้ทำ Product Integration ที่ตัว NGFW อีกครั้ง

เข้า Web UI ของ NGFW จาก XDR

เมื่อ Coordinated Response เป็นสีเขียว ผู้ดูแลระบบเข้า Web UI ของ NGFW จาก XDR ได้ด้วย Single Sign-On

  1. ที่หน้า Native Devices กด Log In ที่แถวของ NGFW

    ปุ่ม Log In ที่แถวของ NGFW ในหน้า Native Devices

  2. XDR ขอรหัส TOTP Authentication จากแอปยืนยันตัวตนบนมือถือ กรอกรหัส 6 หลักแล้วกด OK หลังยืนยันแล้วไม่ต้องกรอกซ้ำภายใน 10 นาที

    หน้าต่าง TOTP Authentication ให้กรอกรหัส 6 หลักแล้วกด OK

  3. Web UI ของ NGFW เปิดขึ้นมาในชื่อผู้ใช้ admin โดยไม่ต้องกรอกรหัสผ่านของไฟร์วอลล์อีก

    Web UI ของ NGFW เปิดขึ้นจาก XDR ด้วย Single Sign-On ที่หน้า Home

ขั้นต่อไป ดูการสั่งบล็อก IP หรือโดเมนจาก XDR ได้ที่ Responses บน Athena XDR

ข้อคิดเห็น

0 ข้อคิดเห็น

โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น