ดูแลให้ Athena XDR ทำงานต่อเนื่อง: System Check, Resource Monitor, System Logs และการแจ้งเตือนอุปกรณ์

Athena XDR ให้ผลดีเมื่อแพลตฟอร์ม อุปกรณ์ที่เชื่อมต่อ และเส้นทางส่ง Log อยู่ในสภาพพร้อมใช้ตลอดเวลา และคำสั่งตอบสนองส่งถึงอุปกรณ์ได้จริง บทความนี้อธิบายเครื่องมือดูแลระบบบน Athena XDR (SaaS) ได้แก่ การแจ้งเตือนอุปกรณ์บน Monitor Overview, หน้า Maintenance (Resource Monitor และ System Check), การตรวจ Log ของแต่ละแหล่ง และ System Logs เหมาะสำหรับผู้ดูแลระบบและทีม SOC ที่ดูแล XDR เป็นประจำ Sangfor แนะนำให้ตรวจสถานะทุกครั้งที่ Login และทำ System Check สัปดาห์ละครั้ง

ตรวจการแจ้งเตือนอุปกรณ์จาก Monitor Overview

แถบด้านบนของ Home › Monitor Overview แสดงจำนวน Native Devices และช่อง Offline & Alerting Devices เมื่อช่องนี้มีตัวเลข ให้เปิดดูก่อนเรื่องอื่น เพราะอุปกรณ์ที่หยุดส่ง Log คือจุดที่ทีมมองไม่เห็น

1. คลิกตัวเลขในช่อง Offline & Alerting Devices ระบบจะเปิด Configuration › Connection › Device Connection แท็บ Native Devices อุปกรณ์ที่มีปัญหาจะมีสถานะ Alerting หรือ Offline และอาจมีป้าย Device Alert

   

2. คลิกป้าย Device Alert หน้าต่าง Anomaly จะแสดง Description, Impacts และ Recommendations เช่น คำแนะนำให้อัปเกรดเวอร์ชันของอุปกรณ์พร้อมลิงก์ดาวน์โหลด ทำตามคำแนะนำแล้วตรวจสถานะอีกครั้ง

   

วิธีตรวจและแก้อุปกรณ์ที่ Offline หรือไม่ส่ง Log ดูที่ ตรวจสุขภาพแหล่งข้อมูลบน Athena XDR ส่วนการ์ด Pending Issues บนหน้าเดียวกันรวมงานค้าง (Incident, Asset เสี่ยง, ช่องโหว่ และ Ticket) ไว้เป็นคะแนนเดียว ดู Guarding Overview และ Monitor Overview

Resource Monitor: ปริมาณ Log ที่รับเข้า

ไปที่ Configuration › System Monitor › Maintenance แท็บ Resource Monitor ส่วน Usage › Log Ingestion แสดงกราฟปริมาณ Log ที่รับเข้าในแต่ละวัน (Ingested Logs ต่อวัน) หากกราฟตกลงผิดปกติในวันใด ให้ไล่ตรวจแหล่งข้อมูลที่ Device Connection

System Check ทุกสัปดาห์

System Check เป็นเครื่องมือตรวจสุขภาพที่ใช้ง่ายที่สุด Sangfor แนะนำให้ทำสัปดาห์ละครั้ง

1. ที่หน้า Maintenance เปิดแท็บ System Check ด้านบนแสดงผลรอบล่าสุดและเวลา Last Checked

   

2. กด Check Again แล้วรอจนตรวจเสร็จ

   

3. เลือกตัวกรอง Abnormal เพื่อดูเฉพาะรายการที่ต้องจัดการ คลิกแต่ละรายการเพื่อดูช่อง Result (พบอะไร) และ Solutions (วิธีแก้และเมนูที่ต้องไป) แล้วแก้ตามคำแนะนำ

   

4. กด Check Again อีกครั้งหลังแก้ไข เมื่อทุกรายการผ่าน ระบบจะแสดง Check is completed. No item at risk is found. และทุกรายการเป็นสีเขียว

   

ตรวจ Log ของแต่ละแหล่งข้อมูล

• อุปกรณ์ผู้ผลิตอื่น: ไปที่ Configuration › Connection › Device Connection แท็บ Third-Party Devices แถบ Connection Statistics Today สรุปสถานะการรับ Log (Normal / Abnormal/Alerting / Not Connected) และในตารางดูคอลัมน์ Logs Ingested Today กับ Last Log Ingestion ของแต่ละอุปกรณ์

  

• อุปกรณ์ Sangfor: แท็บ Native Devices กด Log Details ในแถวของอุปกรณ์ เพื่อดู Log ของวันนี้แยกตามประเภท

  

• ถ้าทุกแหล่งมี Log ของวันนี้เข้ามา แปลว่าข้อมูลยังไหลเข้าครบ หากแหล่งใดเงียบผิดปกติ ให้ตรวจการเชื่อมต่อตาม ตรวจสุขภาพแหล่งข้อมูลบน Athena XDR และคุณภาพการแยกฟิลด์ของ Log ที่ Data Quality Analysis

System Logs: ใครทำอะไรในระบบ

ไปที่ Configuration › System Monitor › System Logs แท็บ Operation Logs หน้านี้บันทึกว่าใครทำอะไรในระบบ เมื่อไร และจาก IP ใด เช่น การเปลี่ยน Role ของผู้ใช้ (Modify association between user and role) เมื่อต้องการตรวจว่าใครเปลี่ยนค่าใด ให้เปิดหน้านี้

• คอลัมน์: Time · Operator · IP Address · Operation Description · Object · Result · Business Module
• ตัวกรองเริ่มต้นเป็นช่วงเวลาของวันนี้ และกรองเพิ่มได้ด้วย Operator, IP Address, Operation Description, Result หรือ Business Module
• ติ๊กเลือกรายการแล้วกด Export เพื่อเก็บไว้เป็นหลักฐาน ผู้ตรวจสอบที่ต้องดูและ Export บันทึกนี้ใช้ Role Audit administrator ได้

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

แนวทางดูแลระบบประจำวัน

• ตรวจผลการตอบสนอง: ถ้าเปิด Auto Containment แบบ Containment Mode ให้ตรวจที่ Responses › Responses แท็บ Address Blocking ว่ารายการที่สั่งบล็อกขึ้นสถานะ Blocked หากยังไม่ขึ้น ให้ตรวจอุปกรณ์นั้นที่ Device Connection ส่วนผลของ Playbook ดูที่ Responses › SOAR › Playbooks › Execution History รายการที่ล้มเหลวให้ชี้ที่ไอคอนข้างสถานะเพื่อดูสาเหตุ แล้วกด Re-execute
• ทบทวนเป็นระยะ: รายการ Whitelist ที่เพิ่มเข้ามา แนวโน้มจำนวน Asset ช่องโหว่ร้ายแรงที่ยังไม่แก้ และตัวเลขบน Dashboard ที่ผิดปกติ
• เปลี่ยนการเชื่อมต่ออย่างมีแผน: คงการเชื่อมต่อระหว่างอุปกรณ์กับ Athena XDR ไว้ตลอด และแก้หรือลบค่าการเชื่อมต่อของอุปกรณ์เฉพาะในช่วงเวลาที่ทีมตกลงกันไว้ล่วงหน้า
• สั่งบล็อกอย่างรอบคอบ: การบล็อก IP บนไฟร์วอลล์มีผลกับการใช้งานจริงขององค์กร ให้ตรวจเป้าหมายก่อนสั่งทุกครั้ง
• Account ของแต่ละคน: รหัสผ่านของ Platform-X อยู่กับผู้รับผิดชอบเท่านั้น และให้ทุกคนใช้ Account ของตัวเอง เพื่อให้ System Logs ระบุตัวผู้ทำได้ ดู จัดการผู้ใช้ Role และ TOTP บน Athena XDR

เช็กลิสต์งานประจำวันและประจำสัปดาห์แบบรวมหน้าเดียว ดูที่ งานประจำวันและประจำสัปดาห์บน Athena XDR