Special Assets บน Athena XDR: DHCP, DNS Server, Proxy และ X-Forwarded-For เพื่อระบุเครื่องจริง

ในเครือข่ายทั่วไป เครื่องเดียวกันอาจได้ IP ใหม่ทุกวันจาก DHCP และหลายเครื่องออกอินเทอร์เน็ตหรือถามโดเมนผ่านตัวกลางเดียวกัน เช่น DNS Server, Proxy, NAT หรือ Load Balancer หากยังไม่ได้ตั้งค่าให้ Sangfor Athena XDR รู้จักตัวกลางและการเปลี่ยน IP เหล่านี้ Alert อาจชี้ไปที่ IP ของตัวกลางแทนเครื่องจริง หรือชี้ไปที่เครื่องที่ได้ IP นั้นต่อ บทความนี้อธิบายวิธีตั้งค่าให้ทุก Alert ชี้ไปที่เครื่องจริง สำหรับผู้ดูแลระบบที่ตั้งค่า Asset และวางตำแหน่งเซนเซอร์

เครือข่าย DHCP

ทางที่ดีที่สุด: ติดตั้ง Athena EPP แล้วเชื่อมกับ XDR XDR สร้างรหัสประจำเครื่องจาก Endpoint ID และติดตามเครื่องด้วยรหัสนี้แม้ IP จะเปลี่ยน รวมทั้งจับคู่ข้อมูลเครื่องฝั่งเครือข่ายกับฝั่ง Endpoint ผ่าน IP ในสาขาเดียวกัน

เปิดเครื่องที่ Asset Center › Assets › Active Assets แล้วดูแท็บ Basics ช่อง Asset ID คือรหัสประจำเครื่อง ส่วน Associated IPs รวม IP ของเครื่อง และลิงก์ Historical IPs เก็บ IP ที่เครื่องเคยใช้ เมื่อเกิด Incident จึงเห็นทั้ง IP ตอนตรวจพบและ IP ปัจจุบันของเครื่องเดียวกัน

สำหรับเครื่องที่ยังรอติดตั้ง Agent มีอีกสองทาง

1. ขยายเวลาเช่า IP เป็น 30 วัน – บน Windows DHCP Server เปิด DHCP Manager คลิกขวาที่ Scope เลือก Properties แล้วแก้ค่า Lease duration เครื่องลูกข่ายจะใช้ค่าใหม่ในการเช่า IP ครั้งถัดไป

2. สร้างกฎ Deactivation ให้ตรงกับเวลาเช่าที่ใช้อยู่ – ไปที่ Asset Center › Asset Configuration › Deactivation Settings กด Add กรอก Rule Name แล้วเพิ่มเงื่อนไขทีละแถว (ทุกแถวต้องตรงพร้อมกันกฎจึงทำงาน)

   • Asset Group contains กลุ่มที่ใช้ DHCP
   • Agent Status contains Not Installed
   • Last Detected เกินเวลาเช่า (เวลาเช่าเริ่มต้นของ Windows DHCP คือ 8 วัน)

   เปิด Status แล้วกด OK เครื่องที่เงียบไปเกินเวลาเช่าจะออกจากรายการเอง ไม่ไปปนกับเครื่องที่ได้ IP นั้นต่อ

   

วิธีเดียวกันนี้ใช้ได้กับ Athena XDR แบบ On-premises ด้วย

DNS Server และ Proxy

เมื่อเครื่องพนักงานถามหาโดเมนอันตรายผ่าน DNS Server ขององค์กร เซนเซอร์ที่ดู Traffic ขาออกจะเห็นต้นทางเป็น DNS Server แทนเครื่องพนักงาน เช่นเดียวกับ Proxy และ NAT ที่ทำให้เห็นแต่ IP ของตัวกลาง วิธีให้ได้ IP จริงมีดังนี้

• วางเซนเซอร์ (เช่น Athena STA) ที่ Core Switch ในเครือข่ายภายใน – เห็น IP จริงก่อนผ่านตัวกลาง
• ส่ง Log ของ DNS Server เข้า XDR ผ่าน XDR Broker – XDR ใช้ Log การ Resolve แก้ต้นทางให้เป็นเครื่องจริง ดูวิธีเชื่อมที่ การส่ง Log ของ Windows DNS Server เข้า Athena XDR
• บอก XDR ว่าเครื่องใดเป็น DNS Server หรือ Proxy ที่แท็บ Special Assets (หัวข้อถัดไป)

Load Balancer และ X-Forwarded-For

1. วางเซนเซอร์ไว้หลัง Load Balancer ก่อนถึงเซิร์ฟเวอร์ และเปิด X-Forwarded-For บน Load Balancer หรือ Proxy ที่อยู่หน้า Server

2. ใน XDR ไปที่ Detections › Security Alerts เปิดเมนู Rules แล้วเลือก X-Forwarded-For Value Priorities

   

3. ในหน้าต่าง X-Forwarded-For Value Priority Settings ลำดับแรกคือค่า Default กด Add เพิ่มชื่อ Header ที่อุปกรณ์ใช้ จัดลำดับ แล้วกด OK การตั้งค่านี้มีผลกับ Alert ใหม่

   

เมื่อตั้งแล้ว Alert จะแสดง IP ของผู้ใช้จริงแทน IP ของตัวกลาง

แท็บ Special Assets

ไปที่ Asset Center › Asset Configuration › Special Assets ใช้บอกว่าเครื่องใดทำหน้าที่พิเศษ เพื่อให้ Security GPT วิเคราะห์ Alert ของเครื่องกลุ่มนี้ได้ตรงขึ้น และ Auto Containment ตรวจรายการนี้ก่อนตัดสินใจบล็อก ประเภทที่กำหนดได้คือ Public IPs for Internal Use, DNS Servers, Proxy Servers (รวม Internet Proxy Servers), Vulnerability Scanners, Internet-Facing IPs, Internet-Facing Domains และ CDN Node IPs

• รายการที่ XDR ระบุเอง (Source = Auto Identified) จะผ่านช่องรอยืนยันทางซ้ายก่อนมาอยู่ที่ Confirmed Assets
• ปุ่ม Introduction มีตาราง About Asset Config อธิบายว่า Security GPT ใช้ข้อมูลแต่ละประเภทอย่างไร เช่น DNS Servers ช่วยลด False Positive จากการที่ DNS Server Resolve โดเมนอันตรายแทนเครื่องอื่น และ Vulnerability Scanners ช่วยให้จัดการ Alert ที่เครื่องสแกนสร้างขึ้นได้ทีเดียว

เพิ่ม Special Asset ด้วยตนเอง (ตัวอย่าง DNS Server)

1. คลิกการ์ด DNS Servers แล้วกด Add

2. ช่อง Validity เป็น Permanent อยู่แล้ว (เลือก Limited ได้หากต้องการกำหนดช่วงเวลา) กรอก IP, ช่วง IP หรือ Subnet ของ DNS Server บรรทัดละรายการ แล้วกด OK IP ที่กรอกจะถูกซิงก์เข้า Pending Review และเข้า Active Assets หากตรงกับกฎ Activation

   

3. กรองรายการเป็น Manually Added เพื่อตรวจว่ามีแถวที่เพิ่มแล้ว

   

เมื่อ DNS Server อยู่ในรายการนี้ Security GPT จะรู้ว่าเครื่องนี้ Resolve โดเมนแทนเครื่องอื่น งาน Resolve ปกติจึงไม่กลายเป็น False Positive ให้ทีมต้องตาม ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

หลายสาขาที่ใช้ IP ซ้ำกัน

เมื่อแต่ละสาขาใช้วง IP ที่ซ้ำกัน ให้ติดตั้ง Athena EPP บนเครื่อง หรือวางอุปกรณ์ความปลอดภัยในแต่ละสาขาเพื่อรายงาน Asset แล้วสร้าง Asset Group แบบ Group by Device Src แยกตามอุปกรณ์ของแต่ละสาขา ดูขั้นตอนสร้างกลุ่มที่ การตั้งค่า Asset เริ่มต้นและแนวทาง Asset Governance