ตั้งค่าอีเมลแจ้งเตือนของ SOAR บน Athena XDR (Email Server, Notification Template, Cc Recipient)

เมื่อ SOAR Playbook ทำงานเองนอกเวลางาน ทีม SOC ควรรู้ทันทีว่า Playbook บล็อกอะไรไป และรอบใดรันไม่สำเร็จ บทความนี้อธิบายการตั้งค่าอีเมลแจ้งเตือนของ SOAR บน Sangfor Athena XDR ตั้งแต่ Email Server, Notification Template, การผูก Template เข้ากับ Playbook ไปจนถึงการตรวจว่าอีเมลถูกส่งแล้ว เหมาะกับผู้ดูแลระบบที่สร้าง Playbook ตาม SOAR บน Athena XDR แล้ว

ตั้งค่า Email Server

อีเมลของ SOAR ส่งออกผ่าน Email Server ของ XDR

1. ไปที่ Configuration › Basic Configuration › Notifications แท็บ Email Server Settings

2. กรอก Sender Address, Sender (ชื่อผู้ส่งที่ผู้รับเห็น), SMTP Server Address, Server Port และเลือก Encryption (เช่น SSL) ตามที่ผู้ให้บริการอีเมลกำหนด

3. หาก SMTP Server ต้องยืนยันตัวตน ให้ติ๊ก Require SMTP server authentication แล้วกรอก Username และ Password (สำหรับบริการที่ใช้ App Password ให้กรอก App Password ที่สร้างไว้สำหรับ XDR)

4. ที่ส่วน Test Email กรอกอีเมลผู้รับแล้วกด Send เพื่อทดสอบ จากนั้นกด Save

Notification Template

ไปที่ Responses › SOAR › Configuration › Notifications หน้านี้แสดง Template Name, App Action, Threat Type, กรณีที่ส่ง (Successful Playbook Execution, Failed Playbook Execution, Failed Action Execution และกรณีเกี่ยวกับการอนุมัติ) และปุ่มในคอลัมน์ Operation

คลิกชื่อ Template สำเร็จรูป เช่น Predefined - Alert Email เพื่อดูตัวอย่าง แต่ละกรณีมีสวิตช์ของตัวเอง พร้อม Subject และ Body ที่ใช้ตัวแปร เช่น ${sla.playbookName} (ชื่อ Playbook), ${sla.status} (สถานะ), ${sla.url} (ลิงก์ไปดูผลการรัน) และ ${sla.message} (สาเหตุเมื่อไม่สำเร็จ) Template สำเร็จรูปแจ้งเฉพาะกรณีไม่สำเร็จ

สร้าง Template ขององค์กร

1. กด Add กรอก Template Name และเลือก Threat Type ให้ตรงกับ Playbook ที่จะใช้ (Security Alert, Security Incident, General หรือ weaknesses)

   

2. ช่อง Notification Method เปิดกลุ่ม Network Security App เลือกแอป Athena XDR แล้วเลือก Action Send Email กด OK จากนั้นเลือก Device เป็น Athena XDR

   

3. เปิดสวิตช์กรณี Successful Playbook Execution เพื่อให้ทีมรู้ทุกครั้งที่ Playbook ทำงาน และคงกรณีที่ไม่สำเร็จไว้

   

4. ปรับ Subject และ Body ให้บอก 3 เรื่อง: เกิดอะไรขึ้น ระบบทำอะไรไปแล้ว และทีมต้องทำอะไรต่อ เช่น "IP ต้นทางถูกบล็อกที่ไฟร์วอลล์ และจะปลดบล็อกเองใน 10 นาที" แล้วกด OK

5. ในคอลัมน์ Operation ลิงก์ Enabled / Disabled ใช้สลับสถานะของ Template ให้ Template อยู่ในสถานะ Enabled ก่อนนำไปผูกกับ Playbook

6. กด Test Connectivity เพื่อตรวจช่องทางส่ง ผู้รับจะได้อีเมลทดสอบ "The email feature of SOAR can work properly if this email is received."

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ผูก Template เข้ากับ Playbook

1. เปิด Playbook แล้วกด Playbook Settings เลื่อนลงไปที่ส่วน Notifications

2. ช่อง Notification Method เลือก Template ที่สร้างไว้ (เลือกได้เฉพาะ Template ที่ Enabled ตัวที่ Disabled จะเป็นสีเทา)

   

3. ช่อง Cc Recipient เลือกบัญชีผู้ใช้ในระบบที่ต้องการให้ได้รับด้วย อีเมลจะส่งไปที่อีเมลของบัญชีนั้น ติ๊กได้หลายบัญชี โดยปกติผู้สร้าง Playbook และผู้สั่งรันได้รับอยู่แล้ว และเมื่อระบุ Cc Recipient ต้องเลือก Notification Method ด้วย

   

4. กด OK แล้วกด Save and Update กรอก Update Purpose แล้วกด OK

นอกจากระดับ Playbook แล้ว Action Node และ Review Node ยังมีส่วน Notifications ของตัวเอง ใช้แจ้งเมื่อ Node นั้นทำงานไม่สำเร็จ หรือแจ้งเตือนผู้อนุมัติ

ตรวจว่าอีเมลถูกส่ง

ไปที่ Responses › SOAR › Playbooks › Execution History แท็บ Playbooks รอบที่มีการแจ้งเตือนจะมีลิงก์ Notifications ในช่อง Details คลิกเพื่อดูว่าส่งกรณีใดด้วย Template ใด เช่น [Successful Playbook Execution] พร้อมเวลาที่ส่ง

หากไม่ได้รับอีเมล

• ตรวจว่า Template อยู่ในสถานะ Enabled และ Threat Type ตรงกับ Playbook
• กด Test Connectivity ที่ Template และตรวจค่าใน Email Server Settings
• ตรวจว่าบัญชีผู้ใช้ที่เลือกเป็น Cc Recipient มีอีเมลที่ถูกต้อง (ดู การจัดการ Accounts) และตรวจโฟลเดอร์จดหมายขยะของผู้รับ