วิธีเชื่อม Athena STA กับ Athena XDR (SaaS): จุดวาง, Mirror และ Log Sync Destination

Athena STA (Stealth Threat Analytics) เป็นเซนเซอร์ที่รับสำเนา Traffic จาก Core Switch มาวิเคราะห์ อ่านได้ทั้ง HTTP, DNS และ SMB จึงเห็นทั้งการโจมตีเว็บและการเคลื่อนที่ภายในองค์กร บทความนี้สำหรับผู้ดูแลระบบที่ติดตั้ง STA และต้องการส่ง Log เข้า Sangfor Athena XDR (SaaS) ครอบคลุมการเลือกจุดวาง การตั้ง Mirror การตรวจว่า Traffic เข้าถึง STA และการเชื่อม STA กับ XDR ด้วย Connection Key ภาพรวมของอุปกรณ์ Native ทุกชนิดอยู่ที่ การเชื่อมต่ออุปกรณ์ Sangfor (Native Devices) กับ Athena XDR

จุดวาง STA

STA เห็นเฉพาะ Traffic ที่ Mirror มาให้ จุดที่ Mirror จึงกำหนดว่า XDR จะเห็นอะไร

• ถ้าเครือข่ายมี NAT, VPN หรือ Load Balancer ให้วาง STA ที่ Core Switch ภายใน ซึ่งยังเห็น IP จริงของเครื่อง และตรวจการตั้งค่า DHCP, DNS และ NAT ขององค์กร เพราะมีผลกับการระบุ IP ต้นทางของการโจมตี
• ถ้า Traffic ที่ต้องการวิเคราะห์เข้ารหัสอยู่ ให้วางแผนเปิด SSL Decryption และเผื่อกำลังเครื่องของ STA ไว้ตั้งแต่ตอนเลือกขนาด
• STA อ่าน Traffic ใน VLAN, VXLAN, MPLS, PPPoE, GRE, ERSPAN และ SRv6 ได้
• เตรียมพอร์ตบน Core Switch 2 พอร์ต สำหรับพอร์ตจัดการและพอร์ตรับ Mirror พร้อม IP แบบ Static สำหรับพอร์ตจัดการ จดชนิดพอร์ต (UTP, 1G SFP, 10G SFP) และพื้นที่ Rack สำหรับเครื่องจริงไว้ในรายการเตรียมงาน
• STA ส่งข้อมูลขึ้น XDR บนคลาวด์ตลอดเวลา จึงต้องเผื่อแบนด์วิดท์ขาออกไว้ และถ้าองค์กรมี Athena NDR อยู่เดิม ให้วางจุดของ STA ให้สอดคล้องกับ NDR

ตั้ง Mirror และตรวจ Traffic ที่ STA

ตั้ง Mirror ให้ครบทั้งขาไปและขากลับ เพราะ STA ต้องเห็นทั้งคำขอและคำตอบจึงค้นพบ Asset และสร้าง Log ความปลอดภัยได้ครบ STA แบบเครื่องจริงให้ต่อพอร์ตมอนิเตอร์เข้ากับพอร์ต Mirror บน Core Switch ส่วน STA แบบ VM ให้ส่ง Mirror เข้าการ์ดเครือข่ายสำหรับมอนิเตอร์ของ VM นั้น (บน Sangfor HCI ตั้งได้ที่ Traffic Mirroring ในเมนู Networking)

ก่อนเชื่อมกับ XDR ให้ตรวจที่ Web UI ของ STA ว่า Traffic เข้ามาจริง

1. ไปที่ Network › Physical Interfaces ตรวจว่าพอร์ตจัดการอยู่ในโซน Mgmt และพอร์ตที่รับสำเนา Traffic ตั้ง Type เป็น Mirror

   

2. ไปที่ Status ดูกราฟ Throughput ซึ่งเลือกดูได้ทั้ง All mirror ports หรือทีละพอร์ต เส้น Inbound ต้องมี Traffic วิ่งต่อเนื่อง ส่วน App Distribution แยกโปรโตคอลที่เห็น เช่น SMB, SSL, DNS และไอคอน Interface ด้านล่างต้องเป็นสีเขียวทุกพอร์ต

   

ถ้ากราฟของพอร์ต Mirror ยังนิ่ง ให้ตรวจการตั้ง Mirror บนสวิตช์หรือบน HCI ก่อน ถ้า Traffic ผ่าน Proxy หรือ Load Balancer ก่อนถึงจุด Mirror ให้เปิด X-Forwarded-For ที่อุปกรณ์ตัวนั้น แล้วกำหนดลำดับ Header ที่ XDR ใช้ดึง IP ได้ที่ Detections › Security Alerts › Rules › X-Forwarded-For Value Priorities ดูเพิ่มเติมที่ Special Assets บน Athena XDR

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

เพิ่ม STA ที่ XDR

1. ที่ XDR ไปที่ Configuration › Connection › Device Connection › Native Devices กด Add แล้วเลือก Device Type เป็น Stealth Threat Analytics

   

2. ตั้ง Device Name ตามที่ต้องการ ช่องนี้ไม่รับเครื่องหมาย "-" ให้ใช้ขีดล่างแทน เช่น HQ_STA และที่ Add Method เลือก Connection Key XDR สร้าง Connection Key ให้ทันทีในส่วน Auth Info

   

3. กรอก IP Address ของ STA ในส่วน Device Info แล้วกด Copy Auth Info and Confirm เพื่อคัดลอกคีย์

   

4. แถวของ STA ขึ้นในรายการด้วยสถานะ Not Connected ระหว่างรอตั้งค่าที่ฝั่ง STA

   

ตั้งค่า Log Sync Destination ที่ STA

1. ที่ Web UI ของ STA ไปที่ System › Log Sync Destination แล้วเปิดแท็บ Athena XDR (SaaS)/Athena MDR

   

2. ติ๊ก Enable แล้วกด Yes เพื่อยืนยัน

   

3. เลือก Data Center ให้ตรงกับ Tenant ของ XDR องค์กรในประเทศไทยใช้ Malaysia Asian Data Center ตั้ง Access Method เป็น Connection Key แล้วกด Paste Connection Key เพื่อวางคีย์ที่คัดลอกมาจาก XDR และตรวจว่า Cloud Security Plan ติ๊ก Read and accept the EULA and DPA ไว้

   

4. ที่ Log Types เลือก Advanced logs ตามที่ Sangfor แนะนำ (ค่าเริ่มต้นของ STA คือ Intelligent logs) เพื่อให้ XDR ได้ Log สำคัญของ STA ครบทุกชนิดไว้ตรวจจับ

   

5. กด Test Connectivity ตาราง Network Connectivity ต้องเป็นเครื่องหมายสีเขียวครบทั้ง 4 โดเมน (datalake.sangfor.com, dlauth.sangfor.com, sea.xlink.sangfor.com, x.sangfor.com) และขึ้นข้อความ Connectivity test successful

   

6. กด Save รอสักครู่ Channel Status จะเปลี่ยนเป็น Channel Connected และ Upload Status เป็น Upload Successful เมื่อ Log เริ่มส่งขึ้นไป

   

ถ้าโดเมนใดไม่ผ่าน ให้ตรวจว่าเลือก Data Center ถูกต้อง DNS ของ STA Resolve ชื่อโดเมนของ Sangfor ได้ และ Route พา Traffic ออกอินเทอร์เน็ตทาง Interface ที่ถูกต้อง การเชื่อมต่อเป็น TCP ขาออกจาก STA ทางเดียว รายการ Domain และพอร์ตทั้งหมดของ Data Center ดูที่ การเข้าใช้งาน Tenant ของ Athena XDR (SaaS) ผ่าน Platform-X ถ้ากด Save แล้วแถวยังไม่ขึ้น Online ใน XDR ให้ไล่ตรวจการเข้าถึง Domain ในรายการนั้นทีละตัว

ตรวจผลที่ XDR

กลับมาที่หน้า Native Devices ของ XDR แล้วตรวจแถวของ STA

1. Status เป็น Online และ Log Reporting กับ Coordinated Response เป็นสีเขียวทั้งคู่

   

2. กด Log Details ต้องเห็น Log จาก STA เข้ามาใน Today's Logs

   

3. ที่ Detections › Security Logs กรองคอลัมน์ Reporting Device เป็น Stealth Threat Analytics เพื่อดู Log ของ STA และที่ Asset Center › Assets แท็บ Active Assets กรอง Data Source เป็น Stealth Threat Analytics เพื่อดูเครื่องที่ STA ค้นพบจาก Traffic ดูเพิ่มเติมที่ Security Logs บน Athena XDR และ Asset Center บน Athena XDR

STA บันทึกทุกการเชื่อมต่อที่ Mirror มา รวมถึงการเชื่อมต่อที่ไฟร์วอลล์บล็อกไปแล้ว การยืนยันผลการบล็อกให้ดูที่ Log ของไฟร์วอลล์หรือสถานะในหน้า Responses ถ้า STA ขึ้น Offline ภายหลัง ดูวิธีแก้ที่ การตรวจสุขภาพและแก้ไขอุปกรณ์ Native ที่ Offline