คำตอบสั้น ๆ: ใช้ Action Trail บน TDC Enterprise กรองเหตุการณ์ตามเวลาและบริการ เปิดดู IP กับ Request ID เก็บ JSON เป็นหลักฐาน และรู้ว่าต้องทำอะไรเมื่อพบคำสั่งที่ไม่ได้อนุญาต
คู่มือนี้อธิบาย Action Trail ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
Action Trail คือบันทึกการดำเนินการบนบัญชี TDC Enterprise ที่ระบบเก็บไว้ทุกครั้งที่มีการสั่งงานผ่านพอร์ทัล เช่น ล็อกอิน เปิดหรือปิด Cloud Server รีเซ็ตรหัสผ่าน OS แก้กฎ Security Group หรือเปิด Ticket แต่ละรายการบอกเวลา ชื่อเหตุการณ์ บริการที่เกี่ยวข้อง และ IP address ที่ส่งคำสั่งมา จึงใช้ตอบคำถามว่าใครทำอะไรกับบัญชีเมื่อไรได้โดยไม่ต้องเดา
คู่มือนี้เหมาะกับเจ้าของบัญชีและผู้ดูแลระบบที่ต้องตรวจย้อนหลังเมื่อมีสิ่งผิดปกติ เช่น เซิร์ฟเวอร์ถูกปิดกลางดึกโดยไม่มีใครยอมรับ หรือพอร์ต SSH ถูกเปิดให้ทุก IP เมื่อทำครบทุกขั้นตอน คุณจะเปิดหน้า Action Trail ได้ กรองเหตุการณ์ตามช่วงเวลาและชื่อบริการ อ่านรายละเอียดของแต่ละเหตุการณ์ เก็บหลักฐานไว้ส่งต่อ และรู้ว่าต้องทำอะไรต่อเมื่อพบการกระทำที่ไม่ได้อนุญาต
สิ่งที่ต้องเตรียม
- บัญชี TDC Enterprise ที่ล็อกอินได้ที่
https://enterprise.thaidata.cloudถ้ายังไม่มีบัญชี ดูวิธีสมัครและเข้าสู่ระบบ - ช่วงเวลาที่สงสัยโดยประมาณ เช่น เซิร์ฟเวอร์ล่มราว 22:30 ของวันที่ 10 ให้เผื่อก่อนและหลังอย่างน้อย 1 ชั่วโมง เพราะคนที่สั่งงานอาจทำหลายคำสั่งต่อเนื่องกัน
- ชื่อบริการหรือชื่อเหตุการณ์ที่เกี่ยวข้อง เช่น ชื่อเซิร์ฟเวอร์ web-01 หรือคำว่า Security Group
- Public IP ของสำนักงานและของผู้ดูแลที่ทำงานจากบ้าน เช่น 198.51.100.25 เพื่อใช้เทียบกับ IP ในบันทึก
- รายชื่อสมาชิกที่มีสิทธิ์เข้าบัญชี ดูได้จาก User Management ใช้ประกอบการไล่ว่าใครน่าจะเป็นผู้สั่งงาน
เวลาในรายการแสดงตามนาฬิกาของเครื่องที่เปิดพอร์ทัล ถ้าเปิดจากคอมพิวเตอร์ที่ตั้ง Time zone ไม่ใช่ประเทศไทย เวลาที่เห็นจะไม่ตรงกับเวลาที่ทีมพูดถึง ตรวจ Time zone ของเครื่องให้เป็น UTC+07:00 ก่อนเริ่ม
ขั้นตอนที่ 1: เปิดหน้า Action Trail
เข้าได้สองทาง ทางแรกคลิกรูปโปรไฟล์มุมขวาบนของพอร์ทัล แล้วเลือก Action Trail (ถ้าตั้งภาษาไทย เมนูนี้แสดงเป็น ประวัติการใช้งาน) ทางที่สองคือคลิกเมนู Account ที่แถบซ้าย แล้วเลือกแท็บ Action Trail ในแถบแท็บด้านบน ซึ่งอยู่ถัดจาก Account Verify
หน้าที่เปิดขึ้นมีหัวข้อ Action Trail พร้อมคำอธิบาย An audit log of the operations performed on your THAI DATA CLOUD account ด้านขวามีปุ่ม Refresh สำหรับโหลดรายการใหม่ ค่าเริ่มต้นของ Action Trail คือแสดงเหตุการณ์ย้อนหลัง 7 วัน เรียงจากล่าสุด หน้าละ 8 รายการ ถ้าไม่มีอะไรเกิดขึ้นในช่วงนั้น จะเห็นข้อความ No activity in the last 7 days
ขั้นตอนที่ 2: เลือกช่วงเวลาที่ต้องการตรวจใน Action Trail
ในแถบเครื่องมือมีกลุ่มปุ่ม Time range ให้เลือก 1h, 12h, 1d, 7d, 30d และ Custom ปุ่ม 1h และ 12h เหมาะกับเหตุการณ์ที่เพิ่งเกิด ส่วน 30d ใช้ไล่ดูภาพรวมของเดือน เมื่อเลือกแล้ว บรรทัดสรุปใต้แถบเครื่องมือจะบอกช่วงวันที่ที่กำลังแสดงอยู่และจำนวนเหตุการณ์ทั้งหมด เช่น 3 Nov 2026 – 10 Nov 2026 และ 42 events
ถ้าเหตุการณ์ที่ต้องการอยู่นอก 30 วันล่าสุดของ Action Trail หรือต้องการระบุวันชัดเจน ให้เลือก Custom แล้วกำหนดวันเริ่มและวันสิ้นสุดใน Custom range ซึ่งเลือกได้ครั้งละไม่เกิน 45 วัน ถ้าต้องดูช่วงที่ยาวกว่านั้น ให้แบ่งเป็นหลายช่วงแล้วตรวจทีละช่วง
ขั้นตอนที่ 3: กรองด้วยชื่อบริการ ชื่อเหตุการณ์ หรือคำอธิบาย
ช่อง Search ของ Action Trail มีตัวเลือกอยู่ด้านหน้าว่าจะค้นจากฟิลด์ใด ได้แก่ Service Name (ค่าเริ่มต้น), Event Name และ Description เลือกฟิลด์ก่อน แล้วพิมพ์คำค้น ระบบจะค้นให้เองหลังหยุดพิมพ์ไม่ถึง 1 วินาที ไม่ต้องกด Enter
- Service Name: ใช้เมื่อรู้ว่าปัญหาอยู่ที่บริการใด เช่น พิมพ์ instance เพื่อดูเฉพาะเหตุการณ์ของ Cloud instance หรือ security เพื่อดูเฉพาะงานของ Cloud security
- Event Name: ใช้เมื่อรู้ว่ากำลังหาคำสั่งอะไร เช่น Stop Instance, Reset OS Password, Update Security Group หรือ login
- Description: ใช้ค้นข้อความในคำอธิบายของเหตุการณ์ เช่น ชื่อเซิร์ฟเวอร์ web-01 เมื่อไม่แน่ใจว่าเป็นคำสั่งประเภทใด
เมื่อมีตัวกรองใดทำงานอยู่ จะมีปุ่ม Clear filters ปรากฏทางขวา คลิกเพื่อล้างคำค้นและกลับไปช่วง 7d ถ้าค้นแล้วได้ข้อความ No events match your filters ให้ลองคำที่สั้นลง หรือขยายช่วงเวลา
ขั้นตอนที่ 4: อ่านรายการเหตุการณ์ใน Action Trail
ตาราง Action Trail แสดงคอลัมน์ดังนี้
- Event time: เวลาแบบนับย้อน เช่น 2 hours ago และเวลาจริงรูปแบบ YYYY-MM-DD HH:mm:ss ใต้บรรทัด
- Event: ชื่อเหตุการณ์ ถ้าคำสั่งนั้นล้มเหลว จะมีป้ายสีแดง Error ตามด้วยรหัสข้อผิดพลาด
- Service: บริการที่ถูกสั่ง เช่น Cloud instance, Cloud security, Tag, Support หรือ Account
- Operator: ป้ายผู้ดำเนินการ
- Details: ปุ่มเปิดรายละเอียดเต็มของเหตุการณ์
ข้อควรรู้คือคอลัมน์ Operator ใน Action Trail ยังไม่ได้ระบุตัวสมาชิกแต่ละคน ถ้าต้องการแยกว่าคำสั่งมาจากเจ้าของบัญชีเองหรือจากสมาชิกที่เชิญเข้ามา ให้ใช้ IP address และเวลาในรายละเอียดของเหตุการณ์เป็นหลักฐาน เหตุการณ์ที่มีป้าย Error ก็สำคัญไม่แพ้กัน เช่น login ที่ล้มเหลวหลายครั้งติดกันจาก IP เดียว อาจเป็นการเดารหัสผ่าน
