วิธีเชื่อม Athena EPP กับ Athena XDR (SaaS) และเปิดการส่งข้อมูลพฤติกรรมของเครื่อง

Athena EPP บอก XDR ว่าบนเครื่องเกิดอะไรขึ้น เช่น Process ที่รัน ไฟล์และ Registry ที่ถูกแตะ และรับคำสั่งตอบสนองจาก XDR เช่น Isolate เครื่องหรือสแกนไวรัส บทความนี้สำหรับผู้ดูแลระบบที่ต้องการเชื่อม Athena EPP (SaaS) หรือ EPP ที่มี Manager ของตัวเอง เข้ากับ Sangfor Athena XDR (SaaS) และเปิดให้ Agent ส่งข้อมูลพฤติกรรมของเครื่องเข้า XDR ภาพรวมของอุปกรณ์ Native ทุกชนิดอยู่ที่ การเชื่อมต่ออุปกรณ์ Sangfor (Native Devices) กับ Athena XDR

ข้อกำหนดก่อนเชื่อม

• Athena EPP (SaaS) และ Athena XDR ต้องอยู่ภายใต้ Platform-X ID เดียวกัน และอยู่ใน Data Center เดียวกัน (องค์กรในประเทศไทยใช้มาเลเซีย)
• EPP ที่มี Manager ของตัวเองใช้รุ่น 6.0.4R4 ขึ้นไปตามที่ Sangfor แนะนำ
• ติดตั้ง Agent ของ EPP บนเครื่องที่ต้องการดูแลแล้ว เพราะ Log ฝั่งเครื่องมาจาก Agent

เชื่อม Athena EPP (SaaS)

Athena EPP (SaaS) เชื่อมกับ XDR โดยตั้งค่าที่ Device Manager ของ Platform-X ที่เดียว เมื่อบันทึกแล้วการเชื่อมต่อจะขึ้นเองทั้งที่ XDR และที่ EPP

1. Log In ที่ Platform-X (x.sangfor.com) แล้วกด Visit ที่การ์ด Device Manager

   

2. หาอุปกรณ์ EPP แบบ SaaS ในรายการ (Device Type Athena EPP) แล้วกด Edit ในคอลัมน์ Operation

   

3. ในหน้าต่าง Edit Device ที่ช่อง Connected Platform ติ๊ก Athena XDR ตั้ง Alias ได้ตามต้องการ แล้วกด Save

   

   ให้คงการติ๊กช่อง Athena XDR ไว้เสมอเพื่อให้ EPP ส่งข้อมูลเข้า XDR หากภายหลัง Device Alert แจ้งเรื่อง License ของ XDR ให้กลับมาตรวจช่องนี้ก่อน

4. ที่ Console ของ EPP ไปที่ System › Integrated Devices › Devices จะมีแถวของ XDR (Device Type ขึ้นต้นด้วย Platform-X) ขึ้นมาเอง

   

5. กด Integration Settings ที่ท้ายแถว ตรวจว่า Command Channel, SSO และ Log Reporting เป็น Enable (recommended) ทั้งหมด Command Channel ให้ XDR สั่งงานกลับมาที่ EPP ส่วน Log Reporting ส่ง Log เข้า XDR ที่ระดับ Advanced Threat Log เลือก Medium, High และ Critical แล้วกด OK

   

เปิดการส่งข้อมูลพฤติกรรมของเครื่องให้ XDR

XDR จะได้รับ Log พฤติกรรมของเครื่องเมื่อเปิดตัวเลือกใน Policy ของกลุ่มเครื่องควบคู่กับการเชื่อมต่อ มิฉะนั้น Log Details ของ EPP ที่ XDR จะไม่มี Endpoint Behavior Logs

1. ที่ Console ของ EPP ไปที่ General Policies เลือกกลุ่มเครื่องที่ต้องการ แล้วในแท็บ Basic Config เลื่อนลงไปที่หัวข้อ Advanced Threat Detection and Log Collection

   

2. ติ๊ก Collect endpoint behavior data… และติ๊ก Report endpoint behavior data… เพื่อส่งข้อมูลไปที่ Athena XDR แล้วกด Save

   

3. ตั้งค่าแยกในแท็บ Windows และแท็บ Linux ให้ครบทั้งสองแท็บ เครื่อง Linux จะส่งข้อมูลเข้า XDR เมื่อเปิดตัวเลือกในแท็บ Linux แล้ว

   

4. เปิด Endpoint Groups ตรวจว่าเครื่องที่ติดตั้ง Agent ขึ้นครบและ Agent Status เป็น Online ถ้ายังไม่ได้ติดตั้ง Agent ให้ดาวน์โหลดตัวติดตั้งจาก Console ของ EPP แล้วติดตั้งที่เครื่องเป้าหมาย

   

ตรวจผลที่ XDR

ไปที่ Configuration › Connection › Device Connection › Native Devices แถวของ EPP (Device Type Endpoint Secure (SaaS)) จะขึ้นมาเอง ปกติไม่กี่นาทีแถวก็ขึ้น Online และกด Test Connectivity เพื่อเร่งให้ขึ้น Online ได้ จากนั้นตรวจ 4 จุด

1. Status เป็น Online

2. Log Reporting เป็นสีเขียว

3. Coordinated Response เป็นสีเขียว XDR สั่ง Isolate เครื่องหรือสแกนไวรัสผ่าน EPP ได้

   

4. กด Log Details ตาราง Log Types แสดง Endpoint Security Logs และ Endpoint Behavior Logs ของวันนี้

   

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

EPP ที่มี Manager ของตัวเอง (6.0.4R4 ขึ้นไป)

EPP ที่ติดตั้ง Manager เองรุ่น 6.0.4R4 ขึ้นไป เชื่อมกับ Athena XDR (SaaS) ผ่าน Platform-X ด้วย Connection Key

1. ตรวจรุ่นของ Manager ที่ Console ของ EPP เมนู System Updates › Manager and Agent ช่อง Current Version ต้องเป็น 6.0.4R4 ขึ้นไป

   

2. ที่ Platform-X ไปที่ Security Products › Device Manager แล้วกด Visit

   

3. กด Add Device ตั้ง Device Type เป็น Athena EPP ให้ Connection Method เป็น Connection Key ตั้ง Device Name และ Alias ที่ช่อง Connected Platform ติ๊ก Athena XDR กรอกข้อมูลอื่นตามต้องการ แล้วกด Copy Connection Key and Save

   

4. ที่ Manager ของ EPP ไปที่ System › Integrated Devices › Devices แล้วกด Add Device

5. ตั้งชื่ออุปกรณ์ เลือก Device Type (Peripheral Type) เป็นตัวเลือกที่ขึ้นต้นด้วย Platform-X และเลือก Data Center ให้ตรงกับ XDR

6. กด Paste เพื่อวาง Connection Key ติ๊ก Privacy Option แล้วกด Confirm

7. ที่แถวของ XDR กด Test Connectivity ต้องขึ้นข้อความว่า Platform-X/Athena XDR (SaaS) เชื่อมต่อแล้ว (is connected) ส่วน Integration Settings ใช้ค่า Default ได้

   

8. รอประมาณ 5 ถึง 10 นาทีให้การตั้งค่าซิงก์จาก Platform-X แล้วตรวจแถวของ EPP ที่ Native Devices ของ XDR ด้วย 4 จุดเดียวกัน จากนั้นเปิด Policy ตามหัวข้อ เปิดการส่งข้อมูลพฤติกรรมของเครื่องให้ XDR

ความครอบคลุมของ Agent

• เริ่มติดตั้ง Agent ที่เครื่องความเสี่ยงสูงและ Server สำคัญก่อน แล้วค่อยขยาย ยิ่ง Agent ครอบคลุมเครื่องมาก XDR ก็ยิ่งตรวจจับได้ครบ
• ให้ Traffic ของเครื่องเหล่านี้วิ่งผ่าน Athena STA หรือ Athena NGFW ด้วย XDR จะเชื่อมข้อมูลจากเครื่องกับเครือข่ายเป็น Incident แบบ Endpoint + Network
• ช่วงทดลองใช้ Sangfor แนะนำให้ติดตั้ง Agent อย่างน้อย 20 เครื่อง และให้ Agent ออนไลน์พร้อมกันอย่างน้อย 30 เปอร์เซ็นต์ เพื่อให้ XDR มีข้อมูลพอสำหรับการตรวจจับ
• หัวข้อ Agent Installation Rate ใน Configuration › System Monitor › Maintenance › System Check บอกสัดส่วนของ Asset ที่ติดตั้ง Agent แล้ว