Initial SecOps Configuration บน Athena XDR: เช็กลิสต์ก่อนเปิดการตอบสนองอัตโนมัติ

หลังเชื่อมอุปกรณ์และตั้งค่า Asset แล้ว ก่อนให้ Sangfor Athena XDR บล็อกภัยคุกคามเองโดยอัตโนมัติ ผู้ดูแลระบบควรตรวจความพร้อมของระบบอีกชุดหนึ่ง ได้แก่ สุขภาพของระบบ คุณภาพ Log การสั่งงานตอบสนองไปยังอุปกรณ์ การส่งอีเมลแจ้งเตือน และการเริ่ม Auto Containment แบบ Monitoring Mode บทความนี้เป็นเช็กลิสต์การตั้งค่า SecOps เริ่มต้น (Initial SecOps Configuration) สำหรับสัปดาห์แรกหลังเริ่มใช้งานระบบ

ตรวจสุขภาพระบบด้วย System Check

1. ไปที่ Configuration › System Monitor › Maintenance เปิดแท็บ System Check แล้วกด Check Again

   

2. XDR ตรวจรายการต่าง ๆ ให้ในคลิกเดียว ได้แก่ Licensing (Log License Usage), Native Device Connection (การเชื่อมอุปกรณ์ อุปกรณ์ที่ไม่ส่ง Log ใน 24 ชั่วโมงล่าสุด และ Agent Installation Rate), Device Policies (IP Ranges, SOAR Playbook Settings) และ Coordinated Response

3. เลือกตัวกรอง Abnormal เพื่อดูเฉพาะรายการที่ต้องแก้ คลิกรายการเพื่ออ่านช่อง Result และทำตามช่อง Solutions เช่น หาก SOAR Playbook Settings ผิดปกติ ให้ไปที่ Responses › SOAR แล้วเปิดใช้ Playbook จากเทมเพลต (ดู SOAR บน Athena XDR)

   

Sangfor แนะนำให้กด Check Again ทุกสัปดาห์ แล้วไล่แก้ตาม Solutions สำหรับปัญหาการเชื่อมต่ออุปกรณ์ ดู การตรวจสุขภาพการเชื่อมต่ออุปกรณ์

ตรวจคุณภาพ Log

ไปที่ Configuration › Connection › Device Connection

• แท็บ Third-Party Devices – การ์ด Log Ingestion นับแหล่งที่รับ Log ปกติ แต่ละแถวมีป้าย Capability Status (สีเขียว = ปกติ) และช่อง Logs Ingested Today ถ้าเห็นสีส้มหรือแดง คลิกชื่ออุปกรณ์ดูรายละเอียด
• แท็บ Data Quality Analysis – ให้คะแนน Log ของ 7 วันล่าสุดของแต่ละแหล่ง 4 ระดับ คือ Excellent, Good, Fair และ Poor แยกตามความสามารถ (Log query, Alert aggregation, Security GPT analysis, Attack chain reconstruction)

แหล่งที่ใช้ตรวจจับภัยควรได้ระดับ Good หรือ Excellent ก่อนเปิดการตอบสนองอัตโนมัติ หากอุปกรณ์ส่งเฉพาะ Traffic Log ให้เปิดส่ง Log ความปลอดภัย (การโจมตี URL และชื่อกฎ) เพิ่ม คะแนนจะสูงขึ้นตาม ดูรายละเอียดที่ การตรวจคุณภาพข้อมูล Log

ทดสอบการสั่งงานตอบสนอง

Auto Containment และ SOAR สั่งงานผ่านอุปกรณ์ชุดเดียวกับการตอบสนองด้วยมือ จึงควรทดสอบด้วยคำสั่งที่ไม่กระทบระบบงานก่อน

ฝั่งเครือข่าย (Firewall)

1. ไปที่ Responses › Responses แท็บ Address Blocking กด Add

2. ตั้ง Rule Name (เช่น integration-test) คง Block Method เป็น Network-Side Block ที่ Connected Device เลือก Firewall ทุกตัวที่ต้องการทดสอบ (เช่น Athena NGFW และ FortiGate) กรอก IP ทดสอบที่สงวนไว้สำหรับเอกสาร เช่น 203.0.113.10 และตั้ง Block Duration เป็น Permanently block (เหมาะกับ FortiGate) แล้วกด OK

   

3. รายการขึ้นอุปกรณ์ละแถว สถานะ Blocking กด Refresh จนเป็น Blocked ทุกแถว (แถวที่ Rule Name ขึ้นต้นด้วย Add Blocked IP คือคำสั่งที่ไปถึง FortiGate)

   

4. ติ๊กทุกแถวของการทดสอบ กด Unblock แล้วกด OK เพื่อคืนค่า

   

ฝั่ง Endpoint (Athena EPP)

1. แท็บ Virus Scan กด Add เลือกเครื่องทดสอบที่ช่อง Host ช่อง Connected Device จะเลือก EPP ให้เอง เลือก Quick Scan และคง CPU Usage เป็น Adaptive แล้วกด OK

   

2. รอสักครู่ ช่อง Task Status จะขึ้น Completed แปลว่า XDR สั่งงาน EPP ได้

   

สุดท้ายตรวจที่ Device Connection › Native Devices ว่าป้าย Log Reporting และ Coordinated Response เป็นสีเขียว และที่แท็บ Third-Party Devices ช่อง Successful Actions Today นับคำสั่งที่อุปกรณ์ทำสำเร็จ รายละเอียดการตอบสนองแต่ละแบบดู Responses บน Athena XDR และการเชื่อม FortiGate ให้รับคำสั่งดู การตั้งค่า FortiGate ให้รับคำสั่งตอบสนองจาก Athena XDR

ตั้งค่า Email Server

อีเมลแจ้งเตือนและรายงานทั้งหมดส่งผ่าน SMTP Server ที่กำหนดไว้ที่ Configuration › Basic Configuration › Notifications แท็บ Email Server Settings

1. กรอก Sender Address, Sender (ไม่บังคับ), SMTP Server Address และ Server Port เลือก Encryption SSL ตามที่ SMTP Server รองรับ

2. หาก SMTP Server ต้องยืนยันตัวตน ติ๊ก Require SMTP server authentication แล้วกรอก Username และ Password

3. กรอกอีเมลผู้รับที่ Test Email กด Send แล้วตรวจว่าได้รับอีเมลทดสอบ จากนั้นกด Save

การส่งแจ้งเตือนตามเงื่อนไขของ Incident ตั้งที่ SOAR ดู การแจ้งเตือนด้วย SOAR

เริ่ม Auto Containment แบบ Monitoring Mode

Auto Containment ใช้ License คู่กับ Security Operation GPT ตรวจได้ที่แถบ Licensed Services ของ Home › Monitor Overview ระบบให้ AI ตรวจว่า Alert เป็นภัยจริงหรือไม่ และต้นทางเป็นบริการของธุรกิจหรือไม่ ถ้าไม่กระทบธุรกิจจึงสั่งบล็อกผ่านอุปกรณ์ที่เชื่อมไว้

1. ไปที่ Responses › Auto Containment มุมซ้ายบนแสดงโหมดที่ใช้อยู่ (ภาพตัวอย่างเป็นระบบที่เปลี่ยนเป็น Containment Mode แล้ว) กด Settings

   

2. ส่วน Alert Entity Extraction ใช้ค่าเริ่มต้นได้ ส่วน Business Geolocation คงเป็น All ไว้ก่อน (ถ้าระบุพื้นที่ธุรกิจ IP ขาเข้าจากนอกพื้นที่จะถือว่าตำแหน่งผิดปกติ)

3. ที่ Mode Selection เลือก Monitoring Mode ซึ่งใช้ข้อมูลจริงจำลองผลการบล็อกโดยไม่สั่งอุปกรณ์และไม่กระทบระบบงาน ตรวจ Response Device ว่ามีอุปกรณ์ฝั่งเครือข่ายและ Endpoint ครบ แล้วกด OK

   

4. เปิดแท็บ Allowlist ที่ Scenario-based Settings มีการ์ด Public Cloud Service IPs, Branch Access IPs, Egress Gateway IPs และ External IPs for Internal Use กด Add Now ที่การ์ด Egress Gateway IPs (ช่อง Tag ขึ้น Egress Gateway IP ให้) กรอก IP ขาออกขององค์กรบรรทัดละรายการ เขียนเหตุผลใน Remarks แล้วกด OK เพื่อไม่ให้ XDR บล็อก IP ขององค์กรเอง

   

IPv6 และ Traffic ที่เข้ารหัส

• IPv6 – หากเครือข่ายใช้ IPv6 ด้วย ที่คอนโซลของ Athena STA ไปที่ System › General แท็บ Network แล้วติ๊ก Enable IPv4 and IPv6 support ค่านี้มีผลหลังรีสตาร์ทอุปกรณ์ จึงควรตั้งตั้งแต่ตอนติดตั้ง ก่อนเริ่มรับ Traffic จริง

  

• Traffic ที่เข้ารหัส – ให้ Athena STA เห็นเนื้อหาได้สองทาง: Mirror Traffic ช่วงก่อนเข้ารหัส (ระหว่างเซิร์ฟเวอร์กับอุปกรณ์เข้ารหัส เหมาะกับเซิร์ฟเวอร์ที่ใช้การเข้ารหัสแบบ ECDHE) หรือนำใบรับรองของเซิร์ฟเวอร์เข้า STA ให้ถอดรหัสเอง โดยเผื่อทรัพยากรของ STA สำหรับงานถอดรหัสไว้ราว 30–60% ส่วน Athena EPP ตรวจพฤติกรรมและไฟล์บนเครื่องโดยตรง จึงเห็นภัยได้แม้ Traffic จะเข้ารหัส XDR รวมมุมมองเครือข่ายและ Endpoint ไว้ในเรื่องเดียว

เช็กลิสต์สัปดาห์แรก

เมื่อระบบเข้าสู่การใช้งานประจำ ดูงานรายวันและรายสัปดาห์ที่ งานประจำวันของทีม SOC บน Athena XDR ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร