Checklist งานประจำวันและประจำสัปดาห์บน Athena XDR

บทความนี้รวบรวมงานประจำวันและประจำสัปดาห์ของทีม SOC และผู้ดูแลระบบที่ใช้ Sangfor Athena XDR เป็น Checklist หน้าเดียว ทุกเช้าใช้เวลาประมาณ 10 นาทีเพื่อรู้ว่าเมื่อคืนเกิดอะไรขึ้นและควรเริ่มที่จุดไหน และสัปดาห์ละครั้งเผื่อเวลาเพิ่มประมาณ 30 นาทีเพื่อตรวจสุขภาพของระบบและความครบถ้วนของข้อมูล

Checklist สรุป

งานประจำวัน

Monitor Overview: อ่านภาพรวมของเมื่อคืน

เปิด Home › Monitor Overview แถบบนสุดแสดง Logs ที่เข้ามา จำนวนที่ XDR คัดเหลือเป็น Alerts และรวมเป็น Incidents ถัดลงมาคือ Native Devices และช่อง Offline & Alerting Devices ถ้าช่องนี้มีตัวเลข ให้กดเข้าไปดูก่อนเรื่องอื่น เพราะอุปกรณ์ที่หยุดส่ง Log คือจุดที่ทีมมองไม่เห็น

ช่องนี้พาไปที่หน้า Device Connection อุปกรณ์ที่มีปัญหาจะแสดงสถานะ Alerting พร้อมป้าย Device Alert กดที่ป้ายเพื่อดู Description, Impacts และ Recommendations ของปัญหานั้น

ถ้าตัวเลขดูผิดปกติ ให้อ่านแบบนี้:

• Logs ตกจนเกือบเป็นศูนย์: อาจมีแหล่งข้อมูลหยุดส่ง ไล่ดูที่ Configuration › Connection › Device Connection
• Alerts เพิ่มมากแต่ Incidents เท่าเดิม: ไล่ดูต่อที่ Detections › Security Alerts ว่าเป็นเรื่องอะไร
• Incidents เพิ่มขึ้นมาก: ดูว่ามาจาก Asset กลุ่มเดียวกันหรือไม่

การ์ด Pending Issues รวมงานค้าง (Pending Incidents, Risky Assets, High-Priority Vulns, Pending Tickets) พร้อมคะแนนรวม กดที่คะแนนเพื่อดูว่าแต่ละเรื่องหักคะแนนเท่าไร การ์ด Auto Containment บอกโหมดที่ทำงานและผลการบล็อกผู้โจมตีจากภายนอก รายละเอียดของหน้านี้และ Guarding Overview อยู่ที่ Guarding Overview และ Monitor Overview บน Athena XDR

ต่อด้วย Home › Guarding Overview ดูจำนวน Incident ที่ Auto-executed (Security GPT สั่ง Playbook ให้เอง) และ Manually Determined (รอคนตัดสินใจ) ส่วนช่อง Pending คืองานที่ทีมต้องเคลียร์ (นับรวม Pending, Fixing และ Suspended)

Security Incidents และ My Tickets

เปิด Detections › Security Incidents ไล่ Incident ใหม่ตามความรุนแรง เรื่องที่ต้องให้คนลงมือแก้ ให้ส่งเป็น Ticket ด้วย Fix › Initiate Ticket แล้วเปิด Responses › Ticketing System › My Tickets เคลียร์งานในช่อง Pending ดูวิธีที่ Security Incidents บน Athena XDR และ Ticketing System บน Athena XDR

ผลการบล็อกและผลของ Playbook

1. เปิด Responses › Responses แท็บ Address Blocking ตั้งช่วงเวลาเป็น 7 วันล่าสุด ช่อง Blocking Status บอกว่ารายการไหนยังบล็อกอยู่ (Blocked = อุปกรณ์รับคำสั่งแล้ว) หรือปลดบล็อกแล้ว (Unblocked) รายการที่ยังไม่ขึ้น Blocked ตามที่สั่ง ให้ไปตรวจอุปกรณ์ตัวนั้นที่ Device Connection

   

2. เปิด Responses › SOAR › Playbooks › Execution History เลื่อนไปทางขวาดูคอลัมน์ Execution Status ชี้ที่ไอคอนข้างสถานะ Failed เพื่อดูสาเหตุ แล้วกด Re-execute เมื่อแก้สาเหตุแล้ว รายละเอียดอยู่ที่ SOAR บน Athena XDR และ Responses บน Athena XDR

   

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

งานประจำสัปดาห์

1. System Check ไปที่ Configuration › System Monitor › Maintenance แท็บ System Check Sangfor แนะนำให้ตรวจสัปดาห์ละครั้ง กด Check Again แล้วรอสักครู่ รายการตรวจครอบคลุม Licensing, การเชื่อมต่ออุปกรณ์ (รวมถึงการส่ง Log ใน 24 ชั่วโมงล่าสุด), Device Policies และ Coordinated Response รายการที่ผิดปกติจะแสดงปัญหาและวิธีแก้ไว้ในหน้าเดียว แท็บ Resource Monitor มีกราฟปริมาณ Log ที่เข้ามาแต่ละวัน วันไหนกราฟตกผิดปกติให้ไล่ดูแหล่งข้อมูล

   

   

2. ความครบถ้วนของ Log ที่ Configuration › Connection › Device Connection แท็บ Third-Party Devices ดู Connection Statistics Today และคอลัมน์ Logs Ingested Today / Last Log Ingestion ส่วนแท็บ Native Devices กด Log Details เพื่อดู Log ของวันนี้แยกตามประเภท แล้วเปิดแท็บ Data Quality Analysis ดูคุณภาพข้อมูลจากทุกแหล่ง ดู การตรวจสุขภาพอุปกรณ์ที่เชื่อมต่อ และ Data Quality Analysis

   

   

   

3. Asset และช่องโหว่ ทบทวน Asset ใหม่และ Asset ที่หายไปใน Asset Center ส่วนช่องโหว่ระดับสูงใน Risk Management › Weaknesses ให้ส่งเป็น Ticket ดู Weaknesses บน Athena XDR

   

4. Whitelists ทบทวนว่าทุกรายการยังมีเหตุผลและมีเจ้าของ ดู Whitelists บน Athena XDR

   

5. รายงาน เปิด Home › Reports › Export Records ตรวจว่ารายงานประจำสัปดาห์สร้างสำเร็จ ดู Reports บน Athena XDR

   

6. Ticket เปิด Ticketing System › Overview ดูอัตราการปิดงานและ Overdue Tickets เพื่อกระจายงานที่ค้าง

   

7. API Keys ที่ Configuration › Integration › API Keys ตรวจคอลัมน์ References ว่าทุก Key ยังมีระบบที่ใช้อยู่ Key ของระบบที่เลิกใช้หรือเปลี่ยนเจ้าของให้ลบออก ดู API Keys บน Athena XDR

   

กติกาของทีม

• การแก้ค่าการเชื่อมต่อของอุปกรณ์ ให้ทำในช่วงเวลาที่ทีมตกลงกันไว้ล่วงหน้า
• ให้ทุกคนใช้บัญชีของตัวเอง และเก็บรหัสผ่าน Platform-X ไว้กับผู้รับผิดชอบเท่านั้น

• เมื่อต้องการรู้ว่าใครเปลี่ยนค่าใดเมื่อไร เปิด Configuration › System Monitor › System Logs ซึ่งบันทึกผู้ทำ เวลา และ IP ของทุกการเปลี่ยนแปลง เลือกรายการแล้วกด Export เก็บไว้ได้