Security GPT บน Athena XDR: อ่านผลวิเคราะห์ คัดกรอง Alert และปรับจูนด้วย GPT Tuning

Security GPT คือ AI ของ Sangfor Athena XDR ที่อ่าน Alert และ Incident ให้ทีม SOC แล้วสรุปว่าเป็นการโจมตีจริง เตือนผิด หรือยังต้องการหลักฐานเพิ่ม พร้อมเหตุผลประกอบ บทความนี้อธิบายความหมายของผลวิเคราะห์ วิธีใช้ผลจัดลำดับงานประจำวัน การอ่านรูปแบบของ Alert ก่อนปรับจูน และเครื่องมือปรับให้ GPT เข้าใจระบบขององค์กร คือ GPT Tuning เหมาะสำหรับทีม SOC และผู้ดูแลระบบที่ต้องคัดกรอง Alert จำนวนมากทุกวัน

Security GPT แสดงผลที่ไหน

Security GPT ใช้งานได้เมื่อ License Security Operation GPT เปิดใช้งาน ตรวจสอบได้ที่แถบ Licensed Services ในหน้า Home › Monitor Overview ผลของ GPT ปรากฏใน

• คอลัมน์และตัวกรอง Security GPT Analysis Result ในหน้า Security Incidents และ Security Alerts
• แท็บ Security GPT Analysis ในหน้ารายละเอียด Incident และแผงรายละเอียด Alert มีเหตุผล (Thought) การวิเคราะห์เป็นขั้น Summary และข้อสรุป ดู การอ่านและจัดการ Security Incident
• หน้า Home › Guarding Overview สรุปภาพรวมงานที่ Security GPT ช่วยทีม ดู Guarding Overview และ Monitor Overview

ความหมายของผลวิเคราะห์และลำดับการคัดกรอง

แบ่งผลของ GPT เป็น 4 กลุ่ม แล้วเปิดตามลำดับนี้

ในหน้า Security Incidents คลิกช่องค้นหา ในกลุ่ม SecurityGPTAnalysisResult ติ๊ก Successful Attack, Endpoint Compromise และ Malware Infection แล้วกดค้นหา จะได้รายการเรื่องที่ต้องเปิดก่อน บันทึกเป็น Favorites และตั้งเป็นค่าเริ่มต้นได้ ในหน้า Security Alerts แท็บ Prioritized for Analysis รวม Alert ที่ควรดูก่อนไว้ให้แล้ว

อ่านรูปแบบของ Alert ก่อนปรับจูน

ก่อนสร้างกฎ ให้อ่านรูปแบบของ Alert ก่อน กฎที่ได้จะพอดีกับเรื่องที่เกิดจริง

1. ในหน้า Security Alerts ตั้งช่วงเวลาประมาณ 7 วัน แล้วคลิกไอคอนตัวกรองที่หัวคอลัมน์ Src IP ค่าจะเรียงจากที่พบบ่อยที่สุดพร้อมจำนวน ถ้า IP ใดมี Alert มากกว่าตัวอื่นมาก กด ⊕ เพื่อกรองเฉพาะ IP นั้น

   

2. ทำแบบเดียวกันที่คอลัมน์ Dst IP แล้วดูชื่อ Alert ควบคู่กับต้นทาง

3. จับคู่แล้วจะเห็นรูปแบบหลัก 3 แบบ

   • ชื่อ Alert ซ้ำกันเกือบหมด แต่ต้นทางมาจากหลายที่ มักเป็นงานปกติของระบบ เช่น เว็บแอปที่ถูกมองว่าเป็น SQL Injection ทั้งที่เป็นการใช้งานจริง
   • ชื่อ Alert หลากหลาย แต่ต้นทางมีไม่กี่ตัว มักเป็นเครื่องสแกนช่องโหว่
   • ทั้งชื่อ Alert และต้นทางหลากหลาย ให้ถือว่าอาจเป็นการโจมตีจริงและตรวจต่อ

เลือกเครื่องมือให้ตรงกับเรื่อง

• เครื่องสแกนช่องโหว่ขององค์กร: กำหนดเป็น Special Asset ชนิด Vulnerability Scanners (ดู Special Assets) หรือทำ Whitelist ตาม IP ของเครื่องนั้น
• ระบบงานที่เรียกใช้กันเป็นประจำ: ตั้งกฎจาก IP หรือจาก Log Rule ID
• Alert ที่เอนจินแจ้งผิด: ตั้งกฎด้วย Log Rule ID ของ Alert นั้น
• ถ้าไม่ต้องการซ่อน Alert ของการสแกนหรือระบบงาน ให้ติด Custom Tag ที่ใช้ตัดสินแทน เช่น Business Behavior

ปรับแล้วติดตามผลประมาณ 24 ชั่วโมงหรือ 7 วัน แล้วค่อยปรับรอบถัดไป เรื่องที่ยังไม่ชัด ให้พักไว้ก่อนและตั้งกฎเมื่อมั่นใจ

ตัวอย่างการคัดกรองที่พบบ่อย

DNS Server เป็นต้นทางของการเรียกโดเมนอันตราย เครื่องในเครือข่ายถามโดเมนผ่าน DNS Server ก่อน Alert จึงอาจแสดงต้นทางเป็น DNS Server เมื่อ DNS Server ถูกกำหนดเป็น Special Asset ชนิด DNS Servers แล้ว Security GPT จะรู้บทบาทนี้และชี้เครื่องที่ส่งคำขอโดเมนผ่าน DNS Server ไว้ในการวิเคราะห์ หากต้องการให้เครื่องต้นทางจริงแสดงตั้งแต่แรก ให้วางเซนเซอร์ เช่น Athena STA ให้เห็น Traffic ก่อนถึง DNS Server หรือส่ง Log ของ DNS Server เข้า XDR

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

มี Proxy คั่นกลาง ไปที่ Detections › Security Alerts › Rules › X-Forwarded-For Value Priorities ตั้งลำดับฟิลด์ที่ใช้หา IP ต้นทาง Alert ใหม่จะได้ IP ต้นทางจริง ทิศทางและการรวมกลุ่มของ Alert ก็ถูกต้องขึ้น

Alert เรื่อง Certificate จาก Web UI ของอุปกรณ์ภายใน มักเกิดจากอุปกรณ์ใช้ Certificate แบบ Self-signed ยืนยันก่อนว่าเป็นอุปกรณ์ขององค์กร แล้วทำ Whitelist เฉพาะคู่ต้นทางกับปลายทางนั้น หรือติดตั้ง Certificate ที่เชื่อถือได้บน Web UI แทน

Brute-Force ผ่าน SMB จากเครื่องพิมพ์หรือไฟล์เซิร์ฟเวอร์ ระบบเหล่านี้ล็อกอินผิดซ้ำ ๆ ตามปกติจนดูเหมือนการเดารหัสผ่าน ดูแท็ก Threat Intelligence ของต้นทาง และดูว่ามีการลองจำนวนมากในเวลาสั้น ๆ หรือไม่ ถ้าเป็นระบบปกติของธุรกิจ ตั้ง Whitelist ให้เฉพาะเจาะจง ถ้ายังไม่ชัด สแกนไวรัสเครื่องต้นทางแบบ Full Scan ก่อน

GPT Tuning

GPT Tuning ใช้เมื่อไม่ต้องการซ่อน Alert แต่ต้องการให้ผลวิเคราะห์ตรงกับระบบขององค์กร ความต่างจาก Whitelist คือ Whitelist ซ่อน Alert ที่ตรงกฎ ส่วน GPT Tuning เก็บ Alert ไว้ครบ และเปลี่ยนผลวิเคราะห์ตามที่กำหนด

เปิดได้ 2 ทาง: จากแผงรายละเอียดของ Alert เลือก Rules › GPT Tuning หรือที่ Detections › Whitelists › Alert Whitelists แท็บย่อย GPT Tuning ซึ่งมีปุ่ม Add, Delete, Enable, Disable, Set Priority (เรียงลำดับกฎ) ตัวกรอง Analysis Result และคอลัมน์ Hit Alerts (จำนวน Alert ที่ตรงกฎ)

1. คลิก Add กล่อง Add GPT Tuning Rule จะเปิดขึ้น ติ๊ก Enable เลือก Alert Type และกรอก Rule Name ที่บอกวัตถุประสงค์ของกฎ

   

2. ตั้ง Rule เช่น Log Rule ID ร่วมกับ Src IP (เงื่อนไขเชื่อมกันแบบ AND กด + Add เพื่อเพิ่มฟิลด์อื่น เช่น Domain Name, URL หรือ File MD5) แล้วเลือก Applicable Host เป็น Custom หรือ All

3. เลือก Security GPT Analysis Result ที่ต้องการให้ใช้แทน เช่น False Positive สำหรับงานปกติของระบบนั้น

4. ติ๊ก Sync GPT analysis result for alerts in the last 24 hours ถ้าต้องการปรับผลของ Alert ใน 24 ชั่วโมงที่ผ่านมาด้วย และติ๊ก Re-trigger playbook execution after modifying historical analysis results ถ้าต้องการให้ Playbook ทำงานใหม่ตามผลที่แก้ แล้วกด OK

   

เมื่อ Alert ลักษณะนี้เข้ามาอีก ผลวิเคราะห์จะออกตามที่กำหนด และตัวเลข Hit Alerts ของกฎจะเพิ่มขึ้น