×
ข้ามไปยังเนื้อหาหลัก

ตั้งค่า FortiGate Coordinated Response บน Athena XDR: REST API Admin, Broker และการสั่งบล็อกจาก XDR

ปรับปรุงเมื่อ

บทความนี้อธิบายการเปิด Coordinated Response ให้ FortiGate รับคำสั่งบล็อกจาก Sangfor Athena XDR ผ่าน XDR Broker เมื่อตั้งค่าแล้ว ผู้ดูแลระบบและทีม SOC สั่ง FortiGate บล็อก IP และโดเมนได้จากหน้า Responses, ให้ Auto Containment บล็อกให้เอง หรือใช้ใน SOAR Playbook และ Execute SOAR Action โดยไม่ต้องเข้า Web UI ของ FortiGate ทีละรายการ ใช้กับ FortiGate ที่เชื่อมเป็น Third-Party Device แล้ว (ดู การส่ง Log จาก FortiGate เข้า Athena XDR ผ่าน XDR Broker สำหรับการส่ง Log)

สิ่งที่ต้องเตรียม

  • FortiGate เชื่อมกับ Athena XDR เป็น Third-Party Device ผ่าน XDR Broker แล้ว และ Broker ขึ้น Online ที่ Configuration › Connection › Device Connection › Broker Settings (ดู การเชื่อมต่ออุปกรณ์ Third-Party)
  • License SOAR รุ่นที่สั่งงานอุปกรณ์ของผู้ผลิตอื่นได้ ตรวจที่ Configuration › Basic Configuration › Licensing กลุ่ม App Center
  • FortiOS 6.0.4 ขึ้นไป และ Broker เข้าถึงพอร์ต HTTPS ของ FortiGate ได้ (ค่าเริ่มต้น 443)

สร้าง REST API Admin บน FortiGate

  1. ล็อกอิน FortiGate ไปที่ System › Administrators กด Create New › REST API Admin

  2. กรอก Username สำหรับ XDR โดยเฉพาะ และกรอก Comments ตามต้องการ

  3. ที่ Administrator profile เลือก Create เพื่อสร้าง Profile ที่มีสิทธิ์ตามรายการ Minimum Required Permissions ใน Operation Guide ของ XDR: User Management (Read/Write), Firewall Policy (Write), Endpoint Management (Write) และ Audit Logs (Read) FortiGate แนะนำให้ใช้ Profile ที่มีเฉพาะสิทธิ์ที่จำเป็นแทน super_admin

  4. ปิด PKI Group เพื่อให้ระบบสร้าง API Key และตั้ง Trusted Hosts เป็น IP ของ XDR Broker แบบ /32 เพื่อรับคำสั่งจาก Broker เครื่องเดียว

  5. กด OK ระบบสร้าง API Key ซึ่งแสดงเพียงครั้งเดียว ให้คัดลอกเก็บไว้

หน้า System › Administrators บน FortiGate แสดงบัญชี REST API Administrator และ Trusted Hosts

API Key เทียบเท่ารหัสผ่านของบัญชีที่สั่งไฟร์วอลล์ได้ เก็บเป็นความลับ อย่าส่งผ่านช่องทางแชตหรืออีเมล และสร้างใหม่ทันทีหากสงสัยว่ารั่วไหล

เปิด Coordinated Response บน Athena XDR

  1. ไปที่ Configuration › Connection › Device Connection แท็บ Third-Party Devices ที่แถวของ FortiGate กด Edit

    แท็บ Third-Party Devices แสดงแถว FortiGate พร้อม Capability Status และลิงก์ Test Connectivity, Edit

  2. ขั้น Capability Selection: Device Type = Fortinet/Fortinet FW, Name, Connection Mode = Broker Connection และเลือก Broker แล้วติ๊กทั้ง Log Ingestion และ Coordinated Response กด Next

    ขั้น Capability Selection เลือก Broker Connection และติ๊ก Log Ingestion กับ Coordinated Response

  3. ขั้น Log Ingestion คงค่า Syslog ที่ตั้งไว้ (Connection Method, Src IP, Reporting Error) แล้วกด Next

    ขั้น Log Ingestion ของ Edit Device คงค่า Connection Method เป็น Syslog พร้อมแผง Operation Guide

  4. ขั้น Response Capability Management: กรอก Device IP (IP ของ FortiGate ที่ Broker เข้าถึงได้), Device Port 443, Is Admin Account = No (เพราะเป็นบัญชี REST API), Username = ชื่อ REST API Admin และ Password = API Key แผง Operation Guide ด้านขวาสรุป Configuration Items, Network Connectivity Matrix, Connection Requirements, Minimum Required Permissions และขั้นตอนบน FortiGate ไว้ให้ กด OK

    ขั้น Response Capability Management พร้อมแผง Operation Guide หัวข้อ Minimum Required Permissions

  5. กลับมาที่แถวของ FortiGate กด Test Connectivity ควรขึ้น Connectivity test successful และคอลัมน์ Capability Status ขึ้นทั้ง Log Ingestion และ Coordinated Response

    ผล Test Connectivity ของ FortiGate ขึ้น Connectivity test successful

FortiGate จะปรากฏเป็น Resource ในแอป FortiGate ที่ Responses › SOAR › Apps คลิกการ์ด FortiGate เพื่อดู Resources และ Actions ที่ Playbook เรียกใช้ได้ เช่น Block Infected Endpoint IP Address / Unblock Infected Endpoint IP Address, Block Domain Name / Unblock Domain Name, Block Domain Name Use Address Group, Add Blocked IP / Undo IP Address Blocking และ New Threat Source Entry

App Details ของแอป FortiGate แสดง Resource และรายการ Actions

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

สั่ง FortiGate จาก XDR

Block Address จาก Responses หรือ Auto Containment

ในหน้าต่าง Block Address ช่อง Connected Device จะมี FortiGate อยู่ใต้กลุ่ม FortiGate ข้างไฟร์วอลล์ Athena NGFW ติ๊ก All เพื่อให้ทุกตัวรับคำสั่งเดียวกันในครั้งเดียว สำหรับ FortiGate ให้เลือก Permanently block แล้วตรวจที่ Responses › Responses แท็บ Address Blocking ว่ามีแถวของแต่ละไฟร์วอลล์ขึ้น Blocked

หน้าต่าง Block Address เลือก Connected Device ทั้ง Athena NGFW และ FortiGate

Auto Containment

ที่ Responses › Auto Containment › Settings ส่วน Response Device › Network Security Devices เลือก FortiGate ใน Connected Device และตั้ง Block Duration เป็น Permanent การบล็อกจะลงที่ FortiGate พร้อมกับไฟร์วอลล์และ EPP ตัวอื่น (ดู Auto Containment)

Auto Containment Settings เลือก FortiGate เป็น Response Device และตั้ง Block Duration เป็น Permanent

SOAR Playbook

  1. Clone Playbook บล็อก IP สำเร็จรูป เช่น Auto Blocking Internet IP from Which Inbound Attacks Failed (ดู SOAR บน Athena XDR)

  2. ขั้น Modify Settings เปิดรายการ Firewall application แล้วติ๊ก FortiGate ใต้กลุ่ม FortiGate Playbook จะใช้ Action Block Infected Endpoint IP Address และใช้ Node ปลดบล็อกที่หน่วงเวลาไว้สำหรับการบล็อกชั่วคราว

    ขั้น Modify Settings เปิดรายการ Firewall application ซึ่งมี FortiGate อยู่ใต้กลุ่ม FortiGate

Playbook ที่สร้างเองเลือก Action ของ FortiGate ได้โดยตรงใน Action Node

Execute SOAR Action

  1. ที่ Alert หรือ Incident กด Fix › Execute SOAR Action

  2. เลือก Network Security App › FortiGate › Add Blocked IP กรอก Block IP Address เลือก FortiGate ในช่อง Device แล้วกด Execute

    หน้าต่าง Execute Action เลือก Add Blocked IP และอุปกรณ์ FortiGate

  3. ตรวจที่ Responses › SOAR › Playbooks › Execution History แท็บ Actions คำสั่งล่าสุดขึ้นแถวแรก Resource เป็น FortiGate ถอนการบล็อกด้วยปุ่ม Undo หรือ Action Undo IP Address Blocking

    Execution History แท็บ Actions แถวแรกเป็นคำสั่งที่ FortiGate พร้อมลิงก์ View และ Undo

ตรวจผลบน FortiGate และแก้ปัญหา

Action จาก XDR ผลบน FortiGate
Block / Unblock Infected Endpoint IP Address IP อยู่ในรายการ Banned IP ที่ Dashboard › Asset and Identities แท็บ Quarantine โดย Source = Administrative
Add Blocked IP / Undo IP Address Blocking Address Object ชื่อขึ้นต้นด้วย SoarAutoAddressIpv4- ใน Policy & Objects › Addresses อยู่ใน Address Group ของ SOAR ที่ใช้กับ Deny Policy (Comments: SOAR automatically creates the address object) เมื่อ Undo รายการจะถูกลบออก
การบล็อกโดเมน (เช่น จาก Auto Containment) Address Object แบบ FQDN ที่ SOAR สร้าง ผ่าน Action Block Domain Name Use Address Group
หน้า Addresses บน FortiGate แสดง Address Object ที่ SOAR สร้างให้
แท็บ Quarantine บน FortiGate แสดง Banned IP ที่ XDR สั่ง โดย Source เป็น Administrative

Address Object และ Banned IP ที่ SOAR สร้างให้ ควรจัดการผ่าน XDR (Unblock, Undo) เพื่อให้สถานะใน XDR ตรงกับอุปกรณ์

แก้ปัญหา

  • Test Connectivity ไม่ผ่าน – ตรวจว่า Broker Online, Trusted Hosts ของ REST API Admin เป็น IP ของ Broker, API Key ถูกต้อง และพอร์ต HTTPS จาก Broker ถึง FortiGate เปิดอยู่
  • แถวขึ้น Block Failed – ที่แท็บ Address Blocking ชี้ไอคอนข้างสถานะเพื่อดู Cause หากสาเหตุเป็น Action การบล็อกแบบชั่วคราว (TemporaryBlocking) ให้ใช้ Permanently block สำหรับ FortiGate แล้วกด Block Again (ดู Responses)
    หน้าต่าง Connected Devices ของแถว Block Failed แสดงชื่ออุปกรณ์และสาเหตุในช่อง Cause
  • Playbook ไม่บล็อกที่ FortiGate – ดูผลทีละ Node ใน Execution History ว่า Filter คัด IP ออกหมดหรือไม่ และตรวจว่าเลือก FortiGate ใน Firewall application แล้ว

ข้อคิดเห็น

0 ข้อคิดเห็น

โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น