ตรวจสุขภาพอุปกรณ์ Native บน Athena XDR และวิธีแก้เมื่ออุปกรณ์ขึ้น Offline

บทความนี้สำหรับผู้ดูแลระบบและทีม SOC ที่ดูแลอุปกรณ์ Native (Athena NGFW, Athena STA, Athena EPP, Athena NDR) ที่ส่งข้อมูลเข้า Sangfor Athena XDR (SaaS) อธิบายวิธีอ่านสถานะของอุปกรณ์ในหน้า Native Devices ความหมายของ Device Alert วิธีหาสาเหตุเมื่ออุปกรณ์ขึ้น Offline และวิธีนำอุปกรณ์กลับมาส่งข้อมูลตามปกติ ใช้เป็นงานตรวจประจำวันและหลังการอัปเกรดอุปกรณ์

อ่านสถานะในหน้า Native Devices

ไปที่ Configuration › Connection › Device Connection › Native Devices แต่ละแถวมีข้อมูลดังนี้

เมื่อมีอุปกรณ์จำนวนมาก ค้นจากชื่อ IP หรือ Gateway ID ได้ที่ช่องค้นหามุมขวาบน ตัวกรอง All Statuses ใช้คัดเฉพาะแถวที่ Offline หรือ Alerting ส่วน All Device Types ใช้คัดตามชนิดอุปกรณ์

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

Device Alert

กดช่อง Device Alert ที่แถวของอุปกรณ์ หน้าต่าง Anomaly จะแสดงหัวข้อของปัญหา พร้อม Description, Impacts (ผลกระทบต่อการตรวจจับ) และ Recommendations เช่น หัวข้อ Outdated version แนะนำรุ่นที่ควรอัปเกรดพร้อมลิงก์ดาวน์โหลด ให้เทียบกับรุ่นบนอุปกรณ์แล้วนัดอัปเกรดตามคำแนะนำ

ถ้า Device Alert ของ Athena EPP (SaaS) แจ้งเรื่อง License ของ XDR ให้ตรวจที่ Platform-X › Device Manager ว่าช่อง Connected Platform ของ EPP ยังติ๊ก Athena XDR อยู่ ดู การเชื่อม Athena EPP กับ Athena XDR

เมื่ออุปกรณ์ขึ้น Offline: เริ่มที่ XDR

1. ที่หน้า Native Devices แถวที่มีปัญหาแสดง Status Offline และ Coordinated Response เป็นสีแดง

   

2. กด Test Connectivity ที่แถวนั้น XDR เปิดหน้าต่าง Anomaly หัวข้อ Device offline พร้อมรหัสข้อผิดพลาด (เช่น XlinkOffline) ส่วน Impacts บอกว่า SSO, การบล็อก Address และการ Isolate เครื่องจะใช้ได้อีกครั้งเมื่ออุปกรณ์เชื่อมกลับ ส่วน Recommendations ให้ตรวจว่า

   • อุปกรณ์ตั้งค่าเชื่อมต่อกับ XDR ไว้ถูกต้อง
   • เครือข่ายของอุปกรณ์ไม่ถูกไฟร์วอลล์ระหว่างทางบล็อก
   • อุปกรณ์เชื่อมต่อไปที่ x.sangfor.com (443), device.sangfor.com (443, 5000) และ device.scloud.sangfor.com (443) ได้ ทดสอบด้วย telnet จากตัวอุปกรณ์

   

3. สำหรับอุปกรณ์ที่ใช้ Connection Key (เช่น STA) กด Edit ที่แถวเดียวกัน ส่วน Auth Info มีปุ่ม Generate Connection Key สำหรับสร้างคีย์ชุดใหม่เมื่อต้องการ แล้วนำไปวางที่อุปกรณ์ คีย์ชุดใหม่ใช้แทนชุดเดิมที่อุปกรณ์ใช้อยู่ จึงกดเฉพาะเมื่อจะตั้งค่าคีย์ใหม่ที่อุปกรณ์ด้วย

ถ้าอุปกรณ์ Offline เพราะไม่มี Log ส่งขึ้นไป ให้สร้าง Traffic หรือเหตุการณ์ให้อุปกรณ์มี Log แล้วกด Test Connectivity อีกครั้ง

ติดตามจาก Monitor Overview และ System Check

ที่ Home › Monitor Overview แถบด้านบนแสดงจำนวน Native Devices และ Offline & Alerting Devices ซึ่งนับทั้งอุปกรณ์ที่ Offline และอุปกรณ์ที่มี Device Alert

ที่ Configuration › System Monitor › Maintenance แท็บ System Check กด Check Again แล้วเลือก Abnormal กลุ่ม Native Device Connection มีหัวข้อ Device Connection (Device Types), (Offline Devices), (Device Versions) และ (Log Reporting) ส่วน Result บอกชื่ออุปกรณ์ที่ Offline และ Solutions แนะนำให้ตรวจว่าอุปกรณ์ยังต้องเชื่อมกับ XDR หรือไม่ ถ้าต้องเชื่อม ให้หาสาเหตุแล้วเชื่อมกลับตามขั้นตอน ดูการใช้ System Check เพิ่มเติมที่ การดูแลระบบ Athena XDR ให้พร้อมใช้งาน

แก้ที่ตัวอุปกรณ์ (ตัวอย่าง STA)

1. ที่ Web UI ของ STA ไปที่ System › Log Sync Destination แท็บ Athena XDR (SaaS)/Athena MDR ตรวจ Channel Status และ Upload Status ถ้าขึ้น Not Connected ให้ตรวจว่าติ๊ก Enable ไว้ และ Data Center ตรงกับ Tenant ของ XDR

   

2. ติ๊ก Enable กด Yes เพื่อยืนยัน แล้วกด Save รอสักครู่ Channel Status จะขึ้น Channel Connected และ Upload Status ขึ้น Upload Successful แปลว่า Log เริ่มส่งขึ้นไปแล้ว

   

3. ตรวจ Device Time ให้ตรงกับเวลาจริง แล้วกด Test Connectivity ทุกโดเมนของ Sangfor ต้องเป็นเครื่องหมายสีเขียว ถ้ามีโดเมนไม่ผ่าน ให้ตรวจว่า DNS ของอุปกรณ์ Resolve ชื่อโดเมนของ Sangfor ได้ และ Route พา Traffic ออกอินเทอร์เน็ตทาง Interface ที่ถูกต้อง ไม่ต้องเปิดพอร์ตขาเข้าที่ตัวอุปกรณ์ เพราะอุปกรณ์เชื่อมออกไปหา XDR เอง

   

4. กลับมาที่ Native Devices ของ XDR รอสักพักให้ระบบอัปเดตสถานะ แถวของอุปกรณ์จะกลับเป็น Online และ Log Reporting กับ Coordinated Response เป็นสีเขียว กด Test Connectivity อีกครั้งจะขึ้นข้อความ The device is connected properly.

   

เชื่อมกลับตามชนิดอุปกรณ์

ถ้ายังเชื่อมกลับไม่ได้ ให้ลบแถวนั้นแล้ว Add ใหม่ ก่อนลบ XDR จะขอรหัส TOTP และการลบเป็นการถอดอุปกรณ์ออกจาก XDR จึงควรเตรียมข้อมูลสำหรับเชื่อมใหม่ไว้ก่อน

งานตรวจเป็นประจำ

• ทุกเช้า เปิด Native Devices แล้วกรอง All Statuses ให้เหลือแถวที่ Offline หรือ Alerting หรือดูตัวนับ Offline & Alerting Devices ใน Monitor Overview
• ทุกสัปดาห์ กด Check Again ใน System Check เพื่อจับอุปกรณ์ที่หลุดตั้งแต่เนิ่น ๆ
• หลังอัปเกรดอุปกรณ์ทุกครั้ง ตรวจ 4 จุด (Status, Log Reporting, Coordinated Response, Log Details) และเปิดดู Device Alert ทุกแถว
• ตั้งค่าการเชื่อมต่อเสร็จแล้วปล่อยไว้ แก้เฉพาะเมื่อจำเป็น และเก็บบัญชี Platform-X เป็นความลับ