1.  Đối với các dòng Firewall có nút Reset cứng

Nếu thiết bị Fortigate của bạn có nút Reset cứng, việc reset sẽ rất đơn giản:

1. Bật nguồn thiết bị Fortigate.
2. Nhấn và giữ nút Reset trong khoảng 30 giây, đến khi tất cả các đèn trên thiết bị tắt, chỉ còn đèn Power sáng.
3. Thả nút Reset.
4. Thiết bị sẽ tự động reset về cấu hình mặc định. Sau khi khởi động xong, bạn có thể đăng nhập bằng thông tin:
   • Username: admin
   • Password: (trống).

2.  Đối với các dòng Firewall không có nút Reset cứng hoặc sử dụng tài khoản maintainer

Nếu thiết bị không có nút Reset hoặc bạn muốn reset mật khẩu mà không mất cấu hình, có thể sử dụng tài khoản maintainer. Phương pháp này cũng áp dụng cho các thiết bị có nút Reset nếu tài khoản maintainer chưa bị vô hiệu hóa.

Yêu cầu chuẩn bị:

• Dây console để kết nối máy tính với Firewall.
• Phần mềm Terminal như PuTTY, SecureCRT, Tera Term,…
• Serial Number của thiết bị Fortigate (cần để tạo mật khẩu maintainer).

Các bước thực hiện:

Bước 1: Kết nối dây console giữa máy tính và Firewall

• Sử dụng dây console để kết nối giữa cổng Console của Firewall và máy tính.

Bước 2: Cấu hình phần mềm Terminal

• Mở phần mềm Terminal đã cài đặt trên máy tính, ví dụ PuTTY hoặc SecureCRT.
• Thiết lập các thông số sau:

Bước 3: Khởi động lại Firewall

• Tắt thiết bị Firewall: nếu không có nút nguồn, rút cáp nguồn ra khỏi thiết bị khoảng 10 giây.
• Sau 10 giây, cắm lại cáp nguồn để bật thiết bị.
• Lưu ý: Nếu cắm lại cáp nguồn trước 10 giây, có thể xảy ra lỗi bộ nhớ và thiết bị không khởi động đúng cách.

Bước 4: Chờ thiết bị khởi động và truy cập màn hình Terminal

• Khi thiết bị khởi động xong, màn hình Terminal sẽ hiển thị dòng yêu cầu đăng nhập:

• Lưu ý: Bạn chỉ có 14 giây để nhập tài khoản và mật khẩu. Nếu quá thời gian này, tài khoản maintainer sẽ mất hiệu lực, bạn cần khởi động lại Firewall để thực hiện lại.

Bước 5: Đăng nhập bằng tài khoản maintainer

• Username: maintainer
• Password: Được tạo bằng cách ghép tiền tố bcpb với Serial Number của thiết bị (Serial viết hoa).

Ví dụ:

• Serial của thiết bị là: FGT40F5R02043321.
• Password sẽ là: bcpbFGT40F5R02043321

Mẹo: Nên sao chép trước Username/Password vào file text để dán nhanh vào Terminal, tránh bị lỗi do giới hạn thời gian.

Bước 6: Thực hiện reset mật khẩu hoặc cấu hình mặc định

1. Reset thiết bị về mặc định:
   • Nhập lệnh:

• Nhấn Enter 2 lần và chọn y để xác nhận.
• Thiết bị sẽ khởi động lại và reset về cấu hình gốc. Đăng nhập lại bằng thông tin mặc định:
  • Username: admin
  • Password: (trống).

2. Thay đổi mật khẩu admin:
   • Nếu VDOMs disable:

• Nếu VDOMs enable:

7. Lưu ý về tài khoản maintainer

• Tài khoản maintainer rất hữu ích trong các trường hợp khẩn cấp như quên mật khẩu, nhưng cũng tiềm ẩn rủi ro bảo mật nếu bị kẻ xấu lợi dụng.
• Để tăng cường bảo mật, bạn nên cân nhắc vô hiệu hóa tài khoản này nếu không cần sử dụng.

Kích hoạt tài khoản maintainer:

Vô hiệu hóa tài khoản maintainer:

Khuyến nghị: Sau khi khôi phục mật khẩu, nên kiểm tra và đảm bảo tài khoản maintainer đã được quản lý an toàn hoặc vô hiệu hóa nếu không cần thiết.

Lưu ý: Điểm rủi ro được tính dựa trên sự kết hợp giữa điểm CVSS và EPSS. Đây là thông tin tham khảo và không phải tiêu chuẩn được công nhận toàn cầu.

Mô tả lỗ hổng

Plugin Advanced File Manager dành cho nền tảng WordPress tồn tại một lỗ hổng nghiêm trọng liên quan đến việc tải tệp tùy ý (arbitrary file upload). Lỗ hổng này phát sinh do plugin không thực hiện kiểm tra và xác thực chính xác loại tệp được tải lên thông qua tệp class_fma_connector.php. Vấn đề này ảnh hưởng đến tất cả các phiên bản của plugin trước và bao gồm phiên bản 5.2.10.

Lỗ hổng này cho phép những kẻ tấn công đã xác thực, sở hữu quyền truy cập ở cấp Subscriber (Người đăng ký) trở lên và được cấp quyền tải tệp bởi Administrator (Quản trị viên), có thể tải các tệp độc hại lên máy chủ WordPress bị ảnh hưởng. Khi khai thác thành công, kẻ tấn công có khả năng thực thi mã từ xa (Remote Code Execution – RCE), dẫn đến nguy cơ chiếm quyền kiểm soát hoàn toàn hệ thống.

Liên kết NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-11391

Mitre ATT&CK Framework v15.1

• T1583.004 – Máy chủ: Chuẩn bị cơ sở hạ tầng cho các hoạt động độc hại.
• T1584.004 – Máy chủ: Tạo và duy trì cơ sở hạ tầng độc hại.
• T1053.002 – Tại: Lạm dụng các tác vụ theo lịch trình để tự động hóa hoạt động độc hại.

Phân tích chi tiết và biện pháp khắc phục

1. Phân tích tấn công kỹ thuật

Mô tả chi tiết lỗ hổng
Lỗ hổng này được định danh là CVE-2024-11391, tồn tại trong chức năng tải tệp của plugin Advanced File Manager dành cho WordPress. Do thiếu các biện pháp xác thực loại tệp tải lên, kẻ tấn công đã xác thực với quyền Subscriber (hoặc cao hơn) có thể tải lên các tệp độc hại. Việc khai thác lỗ hổng này yêu cầu kẻ tấn công phải được quản trị viên cấp quyền tải tệp.

Phương pháp tấn công

• T1583.004 – Máy chủ: Kẻ tấn công sử dụng lỗ hổng để tải lên các tệp độc hại, chẳng hạn như web shell. Sau đó, các tệp này được sử dụng để thực thi các lệnh trên máy chủ hoặc sửa đổi nội dung trang web.
• T1584.004 – Máy chủ: Sau khi lỗ hổng bị khai thác, kẻ tấn công có thể tạo hoặc sửa đổi cơ sở hạ tầng độc hại trên máy chủ, đảm bảo duy trì quyền truy cập trái phép lâu dài.
• T1053.002 – Tại: Tệp độc hại được tải lên có thể bao gồm các đoạn mã tận dụng cron jobs hoặc các tác vụ theo lịch trình để tự động hóa các hành vi độc hại, chẳng hạn như đánh cắp thông tin hoặc khởi chạy các cuộc tấn công tiếp theo.

Tác động tiềm ẩn

• Thực thi mã từ xa (RCE): Cho phép kẻ tấn công kiểm soát toàn bộ máy chủ thông qua việc thực thi các đoạn mã nguy hiểm.
• Vi phạm dữ liệu: Kẻ tấn công có thể truy cập và đánh cắp các thông tin nhạy cảm được lưu trữ trên máy chủ, gây ra rò rỉ thông tin.
• Mất dịch vụ: Trang web có thể bị gián đoạn hoặc mất khả năng hoạt động do các thao tác phá hoại từ kẻ tấn công.
• Thiệt hại danh tiếng: Việc bị khai thác lỗ hổng không chỉ ảnh hưởng đến hoạt động của trang web mà còn khiến người dùng mất niềm tin vào doanh nghiệp vận hành trang web.

2. Biện pháp giảm thiểu rủi ro

Tăng cường bảo mật hệ thống

• Kích hoạt xác thực đa yếu tố (MFA) cho tất cả tài khoản người dùng, đặc biệt là tài khoản quản trị.
• Hạn chế quyền người dùng: Chỉ cho phép những người dùng đáng tin cậy quyền tải tệp lên. Người dùng cấp Subscriber nên bị giới hạn các quyền không cần thiết.

Sử dụng công cụ và phần mềm bảo mật

• Cài đặt tường lửa ứng dụng web (WAF): Tường lửa này giúp giám sát và lọc các lưu lượng HTTP để chặn các yêu cầu độc hại.
• Plugin bảo mật WordPress: Triển khai các plugin như Wordfence hoặc iThemes Security để phát hiện và ngăn chặn các tệp độc hại được tải lên.
• Phần mềm diệt virus trên máy chủ: Quét và xóa các tệp độc hại ngay khi chúng được tải lên.

Giám sát và báo cáo

• Ghi nhật ký đầy đủ: Thiết lập hệ thống logging trên WordPress và máy chủ để ghi lại các hành động tải tệp cũng như các hoạt động của người dùng.
• Cảnh báo tự động: Cài đặt hệ thống cảnh báo để nhận thông báo khi có hành vi tải tệp bất thường, ví dụ như tải nhiều tệp trong thời gian ngắn hoặc truy cập từ địa chỉ IP không xác định.
• Đánh giá bảo mật thường xuyên: Kiểm tra định kỳ toàn bộ hệ thống, bao gồm các plugin, để đảm bảo rằng không có lỗ hổng nào chưa được vá.

Liên kết tham khảo

1. https://plugins.trac.wordpress.org/changeset/3199242/
2. https://www.wordfence.com/threat-intel/vulnerabilities/id/f14a658c-1517-4af4-8bd7-c379ac07ab35?source=cve

Liên kết NVD:
https://nvd.nist.gov/vuln/detail/CVE-2024-45387

Mô tả

Lỗ hổng tiêm SQL trong Traffic Ops ở Apache Traffic Control ( phiên bản <= 8.0.1 và >= 8.0.0) cho phép người dùng có đặc quyền với vai trò “admin”, “federation”, “operations”, “portal” hoặc “steering” thực thi SQL tùy ý trên cơ sở dữ liệu bằng cách gửi yêu cầu PUT được thiết kế đặc biệt.

Người dùng được khuyên nghị nâng cấp lên phiên bản Apache Traffic Control 8.0.2 nếu đang sử dụng các phiên bản Traffic Ops bị ảnh hưởng.

Phân tích kỹ thuật và biện pháp giảm thiểu

1. Phân tích tấn công kỹ thuật

Lỗ hổng được xác định là CVE-2024-45387 là một lỗ hổng SQL injection trong thành phần Traffic Ops của Apache Traffic Control. Lỗ hổng này cho phép người dùng có đặc quyền (với các vai trò như “admin”, “federation”, “operations”, “portal” hoặc “steering”) thực thi các lệnh SQL tùy ý đối với cơ sở dữ liệu bằng cách gửi các yêu cầu PUT được tạo đặc biệt.

Kỹ thuật tấn công:

• SQL Injection (T1059.002): Kỹ thuật tấn công cơ bản là SQL injection, bao gồm việc đưa các truy vấn SQL độc hại vào các trường nhập liệu không được khử trùng đúng cách. Điều này có thể dẫn đến truy cập trái phép vào dữ liệu nhạy cảm, thao tác cơ sở dữ liệu hoặc xâm phạm hoàn toàn máy chủ cơ sở dữ liệu.
• Privilege Escalation: Khai thác yêu cầu người dùng có vai trò cụ thể, cho thấy các đặc quyền hiện có có thể bị lạm dụng. Nếu kẻ tấn công có được quyền truy cập vào tài khoản có đặc quyền, chúng có thể thực thi các lệnh SQL tùy ý, dẫn đến rò rỉ dữ liệu, hỏng dữ liệu hoặc từ chối dịch vụ.

Tác động tiềm ẩn:

• Vi phạm dữ liệu: Kẻ tấn công có thể trích xuất thông tin nhạy cảm, bao gồm thông tin đăng nhập của người dùng, dữ liệu cá nhân hoặc thông tin kinh doanh bí mật.
• Thao tác dữ liệu: Việc sửa đổi trái phép cơ sở dữ liệu có thể dẫn đến các vấn đề về tính toàn vẹn dữ liệu, ảnh hưởng đến hoạt động kinh doanh.
• Từ chối dịch vụ: Các truy vấn SQL độc hại có thể làm giảm hiệu suất hoặc làm sập hoàn toàn dịch vụ cơ sở dữ liệu.
• Thiệt hại về danh tiếng: Nếu bị khai thác thành công, các tổ chức có thể phải đối mặt với tổn hại về danh tiếng cùng những hậu quả pháp lý do vi phạm dữ liệu.

2. Biện pháp giảm thiểu

Để giải quyết các lỗ hổng liên quan đến CVE-2024-45387, cần triển khai các bước giảm thiểu cụ thể sau:

• Nâng cấp phần mềm:

Nâng cấp ngay lên Apache Traffic Control phiên bản 8.0.2 trở lên để vá lỗ hổng bảo mật.

• Tăng cường quyền của người dùng:

Xem xét và hạn chế quyền cho các vai trò như “admin”, “federation”, “operations”, “portal” và “steering” để đảm bảo chỉ cấp quyền truy cập cần thiết.

Triển khai nguyên tắc đặc quyền tối thiểu (PoLP) để giảm thiểu thiệt hại tiềm ẩn từ các tài khoản bị xâm phạm.

• Bật xác thực đa yếu tố (MFA):

Yêu cầu MFA cho tất cả các tài khoản người dùng có đặc quyền để thêm một lớp bảo mật bổ sung chống lại truy cập trái phép.

• Xác thực và kiểm tra dữ liệu đầu vào:

Đảm bảo rằng tất cả dữ liệu đầu vào từ người dùng được kiểm tra chặt chẽ để phát hiện và loại bỏ các ký tự hoặc chuỗi có thể gây nguy cơ tiêm SQL.

Sử dụng các phương pháp an toàn như truy vấn có tham số (parameterized queries) hoặc lưu trữ quy trình (stored procedures) để xử lý các truy vấn SQL, nhằm tránh việc chèn mã độc hại.”

• Sử dụng tường lửa ứng dụng web (WAF):

Triển khai WAF để giúp lọc và giám sát các yêu cầu HTTP, có thể chặn các mẫu đầu vào độc hại giống với các nỗ lực tiêm SQL.

• Triển khai giám sát và ghi nhật ký:

Bật logging chi tiết cho các truy vấn SQL.

Thiết lập các cách cáo khi có hoạt động bất thường

LDAP (Lightweight Directory Access Protocol) là một giao thức ứng dụng cho phép truy cập và quản lý các cấu trúc thư mục. Cấu trúc thư mục có thể được hiểu là một tập hợp các đối tượng (như người dùng, nhóm người dùng) được sắp xếp theo mô hình phân cấp logic, với mỗi đối tượng mang theo các thuộc tính hoặc đặc điểm riêng.

LDAP đơn giản là nơi lưu trữ thông tin về User và Group User. Fortigate sẽ kết nối đến LDAP Server để truy xuất các thông tin này, phục vụ cho việc thiết lập chính sách tường lửa hoặc cấu hình kết nối VPN, tùy theo nhu cầu cụ thể.

2. HƯỚNG DẪN CẤU HÌNH

Bước 1: Khai báo kết nối AD với thiết bị Fortinet

Bạn hãy đăng nhập vào Fortigate sử dụng tài khoản Admin.

Chọn User & Device -> LDAP Servers -> Nhấn vào Create New.

Nhập các thông tin sau:

• Name: Đặt tên cho máy chủ LDAP (ví dụ: AD_Server).
• Server IP/Name: Địa chỉ IP hoặc tên miền của máy chủ AD.
• Server Port: 389 (hoặc 636 nếu dùng LDAPS).
• Common Name Identifier: sAMAccountName (để đồng bộ theo tên đăng nhập).
• Distinguished Name: Nhập DN của tổ chức trong AD (ví dụ: DC=forticlozz,DC=com).
• Bind Type: chọn Regular, tùy theo mức độ bảo mật.
• Username và Password: Thông tin của tài khoản có quyền truy cập AD.

Nhấn Test Connectivity để kiểm tra kết nối.

Nhấn OK để lưu lại

Bước 2: Ánh xạ user của AD lên thiết bị Fortinet

Sau khi kết nối LDAP thành công, các bạn vào menu User Definition, để lấy các tài khoản về. 

Tiếp theo, bạn vào menu User Definition, chọn Create New.

Trong phần User Type, hãy chọn Remote LDAP User và sau đó nhấn Next.

Chọn LDAP Server đã cấu hình, nhấn Next.

Fortinet sẽ liệt kê tất cả các group có trong AD

Chọn OU mà bạn đã tạo (nơi chứa user)

Nhấn Add all Results để thêm toàn bộ user vào firewall, hoặc nếu bạn muốn thêm từng user thì kích chuột phải vào user chọn Add Selected.

Nhấn Submit để lưu cấu hình

Khi đó, toàn bộ các User nằm trong OU mà các bạn đã thiết lập sẽ tự động được tích hợp vào hệ thống Firewall, sử dụng phương thức xác thực là LDAP 

Các bạn truy cập vào menu User Groups để đồng bộ các nhóm từ hệ thống. Sau đó, nhấn Create New để tạo nhóm mới.

• Type: chọn Firewall.
• Tiếp theo, trong phần Remote Groups, nhấn Add để thêm các nhóm người dùng từ nguồn LDAP hoặc các hệ thống bên ngoài.
• Trong mục Remote Server, chọn LDAP server mà các bạn đã cấu hình trước đó. Lúc này, Fortigate sẽ tự động liệt kê tất cả các nhóm (group) hiện có trong Active Directory (AD) để bạn dễ dàng chọn và quản lý.
• Nhấn +, chọn OU bạn tạo (Vd: LDAP_Fozzz), nơi có 2 User Group đã tạo trước đó. Bạn có thể nhấn Add all Results để thêm tất cả, hoặc chuột phải vào Group và chọn Add Selected.
• Nhấn OK để lưu cấu hình

Nhấn OK để lưu lại User Group vừa tạo.

Khi đó tất cả các User Group có trong OU mà các bạn đã tạo sẽ được thêm vào Firewall.

OK, như vậy là mình đã hoàn thành hướng dẫn cấu hình LDAP trên Fortigate. Nếu các bạn có bất kỳ thắc mắc hoặc góp ý nào, đừng ngần ngại để lại bình luận để chúng ta cùng thảo luận và hỗ trợ nhau nhé.

Chúc các bạn thực hiện thành công!

Nếu bạn gặp khó khăn trong việc cấu hình hoặc sử dụng các sản phẩm Sophos tại Việt Nam, hãy liên hệ ngay với VaciF để được hỗ trợ chi tiết và tận tình nhất.

Đội ngũ kỹ thuật chuyên nghiệp của chúng tôi luôn sẵn sàng đồng hành cùng bạn, đảm bảo giúp bạn khai thác tối đa hiệu quả của sản phẩm.

• Hotline: 028.7303.5399
• Email: info@vacif.com

Chúng tôi cam kết mang đến cho bạn dịch vụ hỗ trợ nhanh chóng và hiệu quả nhất!

MDaemon là một phần mềm quản lý máy chủ email (Email Server) được phát triển bởi công ty phần mềm Alt-N, hoạt động trên hệ điều hành Windows. Đây là giải pháp toàn diện cho các doanh nghiệp cần hệ thống email hiệu quả và bảo mật, với khả năng hỗ trợ nhiều quy mô khác nhau.

Được thiết kế để sử dụng với các kết nối dial-up hoặc các kết nối trực tiếp khi không có địa chỉ IP tĩnh, MDaemon trở thành lựa chọn thay thế phổ biến cho các hệ thống email phức tạp như Microsoft Exchange nhờ vào tính linh hoạt và dễ dàng cấu hình.

2. Các tính năng của MDaemon

Hỗ trợ các giao thức email POP3, SMTP và IMAP4

• MDaemon hỗ trợ các giao thức email phổ biến như POP3, SMTP và IMAP4 trên các hệ điều hành Windows 7, 8, 10 và Windows Server 2019, 2016, 2012. Điều này giúp người dùng dễ dàng kết nối và sử dụng email từ bất kỳ thiết bị nào.

Cho phép nhiều người dùng trên cùng một mạng LAN

• MDaemon cho phép nhiều người dùng truy cập và lấy email từ cùng một mạng LAN, chỉ cần thông qua kết nối dial-up hoặc PPP từ nhà cung cấp dịch vụ mạng. Điều này giúp tiết kiệm chi phí và cải thiện hiệu quả trong môi trường doanh nghiệp.

Tính năng đa luồng và hiệu suất cao

• MDaemon hỗ trợ đa luồng, cho phép xử lý đồng thời nhiều tác vụ email mà không làm giảm hiệu suất hệ thống. Điều này giúp tăng cường khả năng đáp ứng trong môi trường có khối lượng email lớn.

Chức năng lọc nội dung và chặn thư spam

• Phần mềm cung cấp các công cụ lọc nội dung và chặn thư spam (thư rác), giúp người dùng duy trì hộp thư đến sạch sẽ và bảo mật hơn. Các thư rác sẽ được tự động nhận diện và xử lý, giảm thiểu rủi ro an ninh.

Quản trị từ xa và bảo mật

• MDaemon hỗ trợ quản trị từ xa, giúp người quản lý có thể cấu hình và kiểm soát hệ thống mà không cần phải tiếp cận trực tiếp. Hệ thống cũng tích hợp các cơ chế bảo mật mạnh mẽ, bao gồm mật khẩu an toàn và các biện pháp bảo vệ khác.

Hỗ trợ nhiều tên miền

• MDaemon có khả năng quản lý nhiều tên miền email trên cùng một máy chủ, giúp doanh nghiệp dễ dàng triển khai và duy trì các tài khoản email cho nhiều bộ phận hoặc chi nhánh khác nhau.

3. Hướng dẫn cấu hình

Nhấn nút “I Agree” để bắt đầu quá trình cài đặt hoặc nâng cấp

Chọn thư mục cài đặt Máy chủ MDaemon.

Nhấn “Tiếp theo” để tiếp tục quá trình cài đặt.

Chọn “I want to install a free trial of Mdaemon”

Sau khi chọn xong, nhấn nút ” Next ” để tiếp tục quá trình cài đặt.

Nhấn nút “Next” để tiếp tục quá trình cài đặt.

Nhập các thông tin cần thiết như: tên, tên công ty, quốc gia và địa chỉ email. Sau khi hoàn thành, nhấn Next để tiếp tục.

Mdaemon sẽ gửi email cung cấp license trial về email bạn đã đăng kí.

Nhập license trial đã nhận từ mail vào ô “Trial key” để tiếp tục quá trình cài đặt.

Nhấn nút “Next” để tiếp tục quá trình cài đặt.

Nhấn nút “Next” để bắt đầu quá trình cài đặt MDaemon Server.

Chờ đợi quá trình sao chép các tệp được hoàn thành (100%).

Nhập tên miền: foticlozz.id.vn

Tên miền này là phần bên phải ký hiệu @ trong địa chỉ email.

Nhập tên máy chủ IMAP/POP: mail.foticlozz.id.vn

Đây là tên máy chủ mà người dùng IMAP và POP sẽ kết nối để nhận thư của họ.

Nhấn nút “Next” để tiếp tục quá trình cài đặt.

Nhập tên và họ: “Phong Vacif”

Nhập tên hộp thư (phần bên trái của địa chỉ email): “phongnguyen”

Nhập mật khẩu:

• Mật khẩu phải chứa chữ hoa, chữ thường, số và ít nhất một ký tự đặc biệt.
• Mật khẩu phải dài từ 10 đến 15 ký tự.
• Mật khẩu không được chứa khoảng trắng và không thể là tên hộp thư hoặc tên đầy đủ.

Lưu ý rằng tài khoản này sẽ được cấu hình là tài khoản quản trị, với quyền truy cập đầy đủ vào MDaemon.

Nhấn nút “Next” để tiếp tục quá trình cài đặt.

Tích vào “Set up MDaemon as an auto-starting system service”
Nhấn nút “Next” để tiếp tục quá trình cài đặt.

Cài đặt MDaemon của đã hoàn tất. 

Nhấn “Finish” để bắt đầu sử dụng.

Giao diện của Mail Mdeamon sau khi hoàn tất cài đặt.

Bài viết này nhằm hướng dẫn cách cấu hình firewall Fortinet để tự động sao lưu (backup) cấu hình hàng ngày thông qua giao thức SFTP (Secure File Transfer Protocol). Việc sao lưu tự động sẽ giúp bảo đảm dữ liệu cấu hình của firewall được lưu trữ an toàn, dễ dàng khôi phục khi cần thiết và giảm thiểu nguy cơ mất dữ liệu khi có sự cố xảy ra.

Các bước cấu hình:

• Truy cập Automation
• Thêm Trigger (Kích hoạt tự động)
• Thêm Action (Hành động)
• Hoàn tất Automation Stitch
• Kiểm tra cấu hình

2. HƯỚNG DẪN CẤU HÌNH

Bước 1: Truy cập Automation

Đăng nhập vào giao diện quản lý của Fortinet.

Ở thanh bên trái, chọn Security Fabric → Automation.

Trong trang Automation, nhấp vào nút Create New để tạo một Automation Stitch mới.

Trong hộp thoại xuất hiện, nhập tên cho Automation Stitch (ví dụ: VaciF_Backup_SFTP_Daily).

Đảm bảo mục Status được chọn là Enable.

Ở phần Action Execution, chọn Sequential (thực hiện lần lượt) hoặc Parallel (thực hiện đồng thời) dựa theo nhu cầu của bạn.

Bước 2: Thêm Trigger (Kích hoạt tự động)

Nhấp vào nút Add Trigger 

Một cửa sổ mới xuất hiện, ở đây chọn Schedule từ danh sách các Trigger.

Ở phần cài đặt lịch:

Name: Đặt tên cho lịch, ví dụ: Daily_23:59.

Description: Bạn có thể ghi chú thêm nếu muốn.

Frequency: Chọn Daily (hàng ngày).

Hour: Chọn giờ mà bạn muốn lịch backup tự động diễn ra (ví dụ: 23 giờ).

Minute: Chọn phút (ví dụ: 59 phút).

Sau khi hoàn thành, nhấp vào nút OK để lưu lại cấu hình Trigger như trong hình.

Bước 3: Thêm Action (Hành động)

Sau khi thêm Trigger thành công, tiếp tục bấm vào Add Action và chọn CLI Script..

Tại mục Name, nhập tên của hành động này. Ví dụ: Backup_SFTP

Minimum Interval: Để mặc định là 0 giây (hoặc điều chỉnh nếu muốn thời gian chờ giữa các lần chạy script).

Description: ghi chú về hành động này nếu cần.

Trong mục CLI Script, nhập đoạn mã sau vào ô Script:

execute backup full-config sftp fortinet/VaciF_Backup_%date%.conf 10.0.0.2 ntp Monday@123

• Giải thích chi tiết đoạn script:
  • execute backup full-config sftp: Đây là lệnh để thực hiện backup toàn bộ cấu hình qua giao thức SFTP.
  • fortinet/VaciF_Backup_%%date%%.conf: Đường dẫn và tên file sẽ được lưu trên SFTP server. %%date%% sẽ tự động thêm ngày hiện tại vào tên file để mỗi lần backup sẽ có tên file khác nhau.
  • 10.0.0.2: Địa chỉ IP của SFTP server nơi muốn lưu file backup.
  • nttp: Username để đăng nhập vào SFTP server.
  • Monday@123: Password của tài khoản nttp 

Administrator profile: Chọn tài khoản quản trị có quyền đầy đủ, thường là super_admin.

Execute on Security Fabric: bỏ chọn mục này nếu không có nhu cầu chạy trên Security Fabric.

Sau khi nhập xong, nhấn OK để lưu lại cấu hình.

Bước 4: Hoàn tất Automation Stitch

Sau khi đã thiết lập xong Trigger và Action như trong hình, nhấn vào nút OK ở phía dưới để hoàn tất việc tạo Automation Stitch này.

Bước 5: Kiểm tra cấu hình

Nhấp OK để hoàn tất việc tạo lịch tự động backup hàng ngày.

Sau khi lưu, Fortinet sẽ tự động thực hiện backup theo lịch hàng ngày đã cấu hình.

Có thể kiểm tra lại Automation Stitch này trong phần Security Fabric → Automation, click chuột phải và chọn Test Automation Stitch để xem nó đang hoạt động.

Kết quả:

Khi quá trình tạo hoàn tất, FortiGate sẽ tự động thực hiện backup theo lịch hàng ngày vào lúc 23:59 và gửi file backup lên server SFTP đã định.

Lưu ý: Nếu không thấy file gửi về trong đường dẫn thì cần xem lại quyền của thư mục

Ngày 16 tháng 10 năm 2024

Nghiên cứu mối đe dọa đặc sắc Lừa đảo Mã QR Quishing Sophos X-Ops Thư rác lừa đảo bằng giáo mác x-ops

Các chuyên gia bảo mật luôn cảnh giác với các kỹ thuật đe dọa đang phát triển. Nhóm Sophos X-Ops gần đây đã điều tra các cuộc tấn công lừa đảo nhắm vào một số nhân viên của chúng tôi, một trong số họ đã bị lừa cung cấp thông tin của mình.

Những kẻ tấn công đã sử dụng cái gọi là quishing (một từ ghép của “mã QR” và “lừa đảo”). Mã QR là một cơ chế mã hóa có thể đọc được bằng máy, có thể đóng gói nhiều loại thông tin, từ các dòng văn bản đến dữ liệu nhị phân, nhưng hầu hết mọi người đều biết và nhận ra cách sử dụng phổ biến nhất hiện nay của chúng là một cách nhanh chóng để chia sẻ URL.

Chúng tôi trong ngành an ninh thường dạy mọi người khả năng chống lại lừa đảo bằng cách hướng dẫn họ xem kỹ URL trước khi nhấp vào trên máy tính. Tuy nhiên, không giống như URL ở dạng văn bản thuần túy, mã QR không dễ bị kiểm tra theo cùng một cách.

Ngoài ra, hầu hết mọi người sử dụng camera điện thoại để giải mã QR thay vì máy tính và việc xem xét kỹ lưỡng URL hiển thị trong giây lát trên ứng dụng camera của điện thoại có thể rất khó khăn – một phần vì URL có thể chỉ xuất hiện trong vài giây trước khi ứng dụng ẩn URL khỏi tầm nhìn và một phần vì kẻ tấn công có thể sử dụng nhiều kỹ thuật hoặc dịch vụ chuyển hướng URL khác nhau để che giấu hoặc làm tối nghĩa đích đến cuối cùng của liên kết được hiển thị trên giao diện của ứng dụng camera.

Cuộc tấn công quishing diễn ra như thế nào

Vào tháng 6 năm 2024, các tác nhân đe dọa đã gửi cho nhiều mục tiêu trong Sophos một tài liệu PDF có chứa mã QR dưới dạng tệp đính kèm email. Các email lừa đảo được tạo ra để trông giống như email hợp pháp và được gửi bằng các tài khoản email hợp pháp, bị xâm phạm và không phải của Sophos.

(Để làm rõ, đây không phải là lần đầu tiên chúng tôi thấy email lừa đảo; Nhân viên đã bị nhắm mục tiêu vào một loạt vào tháng 2 và một lần nữa vào tháng 5. Khách hàng đã bị nhắm mục tiêu bởi các chiến dịch tương tự trong ít nhất một năm trở lại đây. X-Ops quyết định tập trung vào các cuộc tấn công nhắm vào Sophos vì chúng tôi được phép điều tra và chia sẻ chúng.)

Dòng tiêu đề của tin nhắn khiến chúng có vẻ như xuất phát từ nội bộ công ty, dưới dạng một tài liệu được gửi qua email trực tiếp từ máy quét kết nối mạng trong văn phòng.

Email lừa đảo ban đầu nhắm vào một nhân viên Sophos có một số điểm không nhất quán và lỗi, bao gồm tên tệp đính kèm không khớp trong nội dung, thiếu văn bản trong chủ đề và nội dung và tên người gửi không khớp với định dạng thông thường của công ty

Một dấu hiệu đáng chú ý là tin nhắn email được cho là xuất phát từ máy quét có tên tệp cho tài liệu trong nội dung tin nhắn, nhưng trong tất cả các tin nhắn chúng tôi nhận được ngày hôm đó, tên tệp này không khớp với tên tệp của tài liệu được đính kèm trong email.

Ngoài ra, một trong những tin nhắn có dòng tiêu đề là “Đã chuyển tiền đến”, mà máy quét văn phòng tự động sẽ không sử dụng, vì đó là cách diễn giải tổng quát hơn về nội dung của tài liệu được quét. Tin nhắn còn lại có dòng tiêu đề là “ Thông tin độc quyền về phúc lợi việc làm và/hoặc kế hoạch nghỉ hưu đính kèm= ” có vẻ như bị cắt ở cuối.

Trong email thứ hai nhắm vào một nhân viên khác, tên tệp đính kèm lại không khớp với tên trong nội dung. Máy quét sẽ tạo dòng chủ đề đó như thế nào?

Tài liệu PDF có logo Sophos, nhưng ngoài ra thì rất đơn giản. Văn bản xuất hiện bên dưới mã QR có nội dung “Tài liệu này sẽ hết hạn sau 24 giờ”. Nó cũng chỉ ra mã QR trỏ đến Docusign, nền tảng chữ ký hợp đồng điện tử. Những đặc điểm này khiến thông điệp có cảm giác cấp bách giả tạo.

Tài liệu quishing gốc được gửi đến một nhân viên của Sophos

Khi mục tiêu quét mã QR bằng điện thoại của họ, mục tiêu được chuyển hướng đến một trang lừa đảo trông giống như hộp thoại đăng nhập Microsoft365, nhưng được kẻ tấn công kiểm soát. URL có một chuỗi truy vấn ở cuối chứa địa chỉ email đầy đủ của mục tiêu, nhưng kỳ lạ thay, địa chỉ email có một chữ cái viết hoa ngẫu nhiên, khác biệt được thêm vào trước địa chỉ.

Mã QR được liên kết đến một tên miền được Cloudflare bảo vệ và chứa địa chỉ email của mục tiêu, được thêm một chữ cái in hoa không mong muốn

Trang này được thiết kế để đánh cắp cả thông tin đăng nhập và phản hồi MFA bằng một kỹ thuật được gọi là Kẻ thù ở giữa (AiTM).

Trang lừa đảo đã lấy được cả mật khẩu đăng nhập và mã thông báo MFA do mục tiêu nhập vào và trông giống hệt hộp thoại đăng nhập Microsoft365 chuẩn

URL được sử dụng trong cuộc tấn công không được Sophos biết đến vào thời điểm email đến. Trong mọi trường hợp, điện thoại di động của mục tiêu không được cài đặt tính năng nào có thể lọc lượt truy cập vào một trang web độc hại đã biết, chứ đừng nói đến trang web này, vốn không có lịch sử uy tín nào liên quan đến trang web này vào thời điểm đó.

Cuộc tấn công đã xâm phạm thành công thông tin xác thực của nhân viên và mã thông báo MFA thông qua phương pháp này. Sau đó, kẻ tấn công đã cố gắng sử dụng thông tin này để truy cập vào ứng dụng nội bộ bằng cách chuyển tiếp thành công mã thông báo MFA bị đánh cắp gần như theo thời gian thực, đây là một cách mới để lách yêu cầu MFA mà chúng tôi thực thi.

Các biện pháp kiểm soát nội bộ đối với các khía cạnh khác về cách thức hoạt động của quy trình đăng nhập mạng đã ngăn chặn kẻ tấn công truy cập vào bất kỳ thông tin hoặc tài sản nội bộ nào.

Như chúng tôi đã đề cập trước đó, loại tấn công này đang trở nên phổ biến hơn trong số khách hàng của chúng tôi. Mỗi ngày, chúng tôi nhận được nhiều mẫu PDF quishing mới nhắm vào các nhân viên cụ thể tại các tổ chức.

Một tệp PDF bị đánh cắp nhận được vào tuần trước khi xuất bản bài viết này, nhắm vào một khách hàng của Sophos, có vẻ như là một liên kết đến sổ tay nhân viên và bao gồm tên doanh nghiệp, thương hiệu của khách hàng, tên và địa chỉ email của mục tiêu.

Quishing như một dịch vụ

Các mục tiêu nhận được email do một tác nhân đe dọa gửi đi rất giống với các tin nhắn tương tự được gửi bằng nền tảng dịch vụ lừa đảo (PhaaS) có tên là ONNX Store , mà một số nhà nghiên cứu khẳng định là phiên bản đổi tên của bộ công cụ lừa đảo Caffeine . ONNX Store cung cấp các công cụ và cơ sở hạ tầng để chạy các chiến dịch lừa đảo và có thể truy cập thông qua bot Telegram.

Cửa hàng ONNX tận dụng các tính năng CAPTCHA chống bot và proxy địa chỉ IP của Cloudflare để gây khó khăn hơn cho các nhà nghiên cứu trong việc xác định các trang web độc hại, làm giảm hiệu quả của các công cụ quét tự động và làm lu mờ nhà cung cấp dịch vụ lưu trữ cơ bản.

Cửa hàng ONNX cũng sử dụng mã JavaScript được mã hóa có khả năng tự giải mã trong quá trình tải trang web, cung cấp thêm một lớp bảo mật để chống lại các trình quét chống lừa đảo.

Đánh bại mối đe dọa đang gia tăng

Những kẻ tấn công thực hiện các cuộc tấn công lừa đảo sử dụng mã QR có thể muốn bỏ qua các loại tính năng bảo vệ mạng trong phần mềm bảo mật điểm cuối có thể chạy trên máy tính. Một nạn nhân tiềm năng có thể nhận được tin nhắn lừa đảo trên máy tính, nhưng có nhiều khả năng sẽ truy cập trang lừa đảo trên điện thoại ít được bảo vệ của họ.

Vì mã QR thường được quét bằng thiết bị di động thứ cấp nên các URL mà mọi người truy cập có thể vượt qua các biện pháp phòng vệ truyền thống, chẳng hạn như chặn URL trên máy tính để bàn hoặc máy tính xách tay có cài đặt phần mềm bảo vệ điểm cuối hoặc kết nối thông qua tường lửa chặn các địa chỉ web độc hại đã biết.

Chúng tôi đã dành khá nhiều thời gian để nghiên cứu bộ sưu tập mẫu thư rác của mình để tìm ra các ví dụ khác về các cuộc tấn công quishing. Chúng tôi thấy rằng khối lượng các cuộc tấn công nhắm vào vectơ đe dọa cụ thể này dường như đang tăng lên cả về khối lượng và mức độ tinh vi của giao diện tài liệu PDF.

Bộ tệp đính kèm ban đầu vào tháng 6 là các tài liệu khá đơn giản, chỉ có một logo ở trên cùng, một mã QR và một ít văn bản nhằm tạo cảm giác cấp bách để truy cập vào URL được mã hóa trong khối mã QR.

Tuy nhiên, trong suốt mùa hè, các mẫu đã trở nên tinh tế hơn, với sự nhấn mạnh hơn vào thiết kế đồ họa và giao diện của nội dung hiển thị trong PDF. Các tài liệu Quishing hiện trông tinh tế hơn so với những gì chúng ta thấy ban đầu, với văn bản tiêu đề và chân trang được tùy chỉnh để nhúng tên của cá nhân mục tiêu (hoặc ít nhất là theo tên người dùng cho tài khoản email của họ) và/hoặc tổ chức mục tiêu nơi họ làm việc bên trong PDF.

Một trong những tài liệu quishing trông chuyên nghiệp hơn

Mã QR cực kỳ linh hoạt và một phần thông số kỹ thuật của mã QR có nghĩa là có thể nhúng đồ họa vào giữa khối mã QR.

Một số mã QR trong các tài liệu giả mạo gần đây đã lạm dụng thương hiệu Docusign như một thành phần đồ họa trong khối mã QR, gian lận bằng cách sử dụng uy tín của công ty đó để lừa đảo người dùng.

Để rõ ràng, Docusign không gửi email liên kết mã QR cho khách hàng hoặc khách hàng đang ký tài liệu. Theo sách trắng Chống lừa đảo của DocuSign (PDF), thương hiệu của công ty bị lạm dụng thường xuyên đến mức công ty đã thiết lập các biện pháp bảo mật trong email thông báo của mình .

Một tệp PDF giả mạo có tên người dùng email của mục tiêu được nhúng vào tài liệu, cũng như tên công ty nơi họ làm việc và địa chỉ email đầy đủ của họ trong phần văn bản chân trang và logo DocuSign ở giữa mã QR

Để rõ ràng, sự hiện diện của logo này bên trong mã QR không thể truyền tải bất kỳ tính hợp pháp nào cho liên kết mà nó trỏ đến và không nên mang lại cho nó bất kỳ độ tin cậy nào. Nó chỉ là một tính năng thiết kế của thông số kỹ thuật mã QR, rằng đồ họa có thể xuất hiện ở giữa chúng.

Định dạng của liên kết mà mã QR trỏ đến cũng đã phát triển. Trong khi nhiều URL dường như trỏ đến các tên miền thông thường đang được sử dụng cho mục đích xấu, kẻ tấn công cũng đang tận dụng nhiều kỹ thuật chuyển hướng khác nhau để che giấu URL đích.

Một nhân viên của Sophos đã nhận được tệp PDF này vào tháng 9 năm 2024. Tệp PDF này tham chiếu đến địa chỉ email của họ và ghi “Đây là thông báo dịch vụ bắt buộc” ở đầu và sử dụng ngữ pháp kỳ lạ ở những nơi khác

Ví dụ, một email lừa đảo được gửi đến một nhân viên Sophos khác trong tháng qua đã liên kết đến một liên kết Google được định dạng khéo léo, khi nhấp vào, sẽ chuyển hướng khách truy cập đến trang web lừa đảo. Thực hiện tra cứu URL trong trường hợp này sẽ dẫn đến trang web được liên kết trực tiếp từ mã QR (google.com) được phân loại là an toàn. Chúng tôi cũng đã thấy các liên kết trỏ đến các dịch vụ liên kết ngắn được sử dụng bởi nhiều trang web hợp pháp khác.

Mã QR trỏ đến một URL của Google quá dài để có thể xem toàn bộ từ trong ứng dụng camera trên điện thoại và sẽ chuyển hướng người dùng đến trang web lừa đảo nếu mở

Bất kỳ giải pháp nào có mục đích chặn và dừng việc tải các trang web lừa đảo đều phải giải quyết được bài toán theo dõi chuỗi chuyển hướng đến đích cuối cùng, sau đó thực hiện kiểm tra uy tín của trang web đó, cùng với việc giải quyết thêm sự phức tạp của những kẻ lừa đảo và kẻ lừa đảo ẩn trang web của chúng đằng sau các dịch vụ như CloudFlare.

Email lừa đảo gần đây nhất được gửi tới một nhân viên của Sophos có tệp đính kèm PDF với nội dung khá mỉa mai – nó có vẻ như được gửi bởi một công ty có hoạt động kinh doanh chính là đào tạo và dịch vụ chống lừa đảo.

Tệp PDF đính kèm trong email lừa đảo gần đây nhắm vào Sophos có thông tin chân trang dường như bắt chước các thông báo pháp lý từ một công ty có tên là Egress, một công ty con của công ty đào tạo chống lừa đảo KnowBe4. Tuy nhiên, tên miền mà mã QR trỏ đến thuộc về một công ty tư vấn của Brazil không liên quan gì đến KnowBe4. Có vẻ như trang web của các nhà tư vấn đã bị xâm phạm và được sử dụng để lưu trữ một trang lừa đảo.

Một tài liệu lừa đảo sử dụng ngôn ngữ pháp lý ngụ ý rằng nó xuất phát từ một công ty đào tạo chống lừa đảo và được “Hỗ trợ bởi Sophos(c)”

Tin nhắn đó cũng chứa nội dung chính khiến nó có vẻ như là một tin nhắn tự động, mặc dù có một số lỗi chính tả và lỗi rất kỳ lạ. Giống như các tin nhắn trước, nội dung chính chỉ ra tên tệp cho tệp đính kèm không khớp với tên tệp đính kèm trong email.

Email sau đó có nội dung “mọi thắc mắc xin gửi đến người liên hệ Wayne Center của bạn”, có lẽ là Batman

Chiến thuật MITRE ATT&CK được quan sát

Khuyến nghị và hướng dẫn cho quản trị viên CNTT

Nếu bạn đang phải đối phó với một cuộc tấn công lừa đảo sử dụng mã QR tương tự trong môi trường doanh nghiệp, chúng tôi có một số gợi ý về cách đối phó với các loại tấn công này.

• Nội dung tập trung vào HR, bảng lương hoặc phúc lợi : Hầu hết các email lừa đảo nhắm vào Sophos đều sử dụng giấy tờ của nhân viên như một mánh khóe kỹ thuật xã hội. Các tin nhắn có dòng tiêu đề chứa các cụm từ như “kế hoạch tài chính năm 2024”, “quyền lợi mở đăng ký”, “chi trả cổ tức”, “thông báo thuế” hoặc “thỏa thuận hợp đồng”. Tuy nhiên, không có tin nhắn nào đến từ địa chỉ email của Sophos. Hãy đặc biệt chú ý đến các tin nhắn có nội dung tương tự và đảm bảo rằng tất cả các tin nhắn hợp pháp liên quan đến các chủ đề này đều đến từ một địa chỉ email nội bộ trong tổ chức của bạn, thay vì dựa vào các công cụ nhắn tin của bên thứ ba.
• Mobile Intercept X: Intercept X dành cho thiết bị di động ( Android / iOS ) bao gồm Secure QR Code Scanner, có sẵn thông qua menu hamburger ở góc trên bên trái của ứng dụng. Secure QR Code Scanner bảo vệ người dùng bằng cách kiểm tra các liên kết mã QR với cơ sở dữ liệu về các mối đe dọa đã biết và cảnh báo bạn nếu dịch vụ danh tiếng URL của Sophos biết một trang web là độc hại. Tuy nhiên, nó có hạn chế là không theo dõi các liên kết thông qua chuỗi chuyển hướng.

Máy quét mã QR an toàn Intercept X dành cho thiết bị di động phát hiện ra điềm xấu

• Theo dõi cảnh báo đăng nhập rủi ro: Tận dụng Entra ID Protection của Microsoft hoặc công cụ quản lý danh tính cấp doanh nghiệp tương tự để phát hiện và ứng phó với các rủi ro dựa trên danh tính. Các tính năng này giúp xác định hoạt động đăng nhập bất thường có thể chỉ ra lừa đảo hoặc các hoạt động độc hại khác.
• Triển khai Truy cập có điều kiện:  Truy cập có điều kiện trong Microsoft Entra ID cho phép các tổ chức thực thi các biện pháp kiểm soát truy cập cụ thể dựa trên các điều kiện như vị trí người dùng, trạng thái thiết bị và mức độ rủi ro, tăng cường bảo mật bằng cách đảm bảo chỉ những người dùng được ủy quyền mới có thể truy cập tài nguyên. Bất cứ khi nào có thể, các quy trình phòng thủ chuyên sâu tương tự nên được xem xét như một biện pháp dự phòng cho các mã thông báo MFA có khả năng bị xâm phạm.
• Bật ghi nhật ký truy cập hiệu quả: Mặc dù chúng tôi khuyên bạn nên bật tất cả các tính năng ghi nhật ký được Microsoft mô tả ở đây , nhưng chúng tôi đặc biệt khuyên bạn nên bật kiểm tra, đăng nhập, bảo vệ danh tính và nhật ký hoạt động biểu đồ, tất cả đều đóng vai trò quan trọng trong sự cố này.
• Triển khai bộ lọc email nâng cao: Sophos đã phát hành giai đoạn 1 của Central Email QR phish protection , phát hiện mã QR được nhúng trực tiếp vào email. Tuy nhiên, trong sự cố này, mã QR được nhúng trong tệp đính kèm PDF của email, khiến việc phát hiện trở nên khó khăn. Giai đoạn 2 của Central Email QR code protection sẽ bao gồm quét tệp đính kèm để tìm mã QR và dự kiến ​​phát hành trong quý đầu tiên của năm 2025.
• Thu hồi theo yêu cầu : Sophos Central Khách hàng email sử dụng Microsoft365 làm nhà cung cấp dịch vụ email của họ có thể sử dụng tính năng có tên là thu hồi theo yêu cầu để tìm (và xóa) thư rác hoặc thư lừa đảo từ các hộp thư đến khác trong tổ chức của họ tương tự như các thư đã được xác định là độc hại.

• Sự cảnh giác và báo cáo của nhân viên: Việc nâng cao sự cảnh giác và báo cáo kịp thời của nhân viên là rất quan trọng để giải quyết các sự cố lừa đảo. Chúng tôi khuyên bạn nên triển khai các buổi đào tạo thường xuyên để nhận biết các nỗ lực lừa đảo và khuyến khích nhân viên báo cáo ngay lập tức bất kỳ email đáng ngờ nào cho nhóm ứng phó sự cố của họ.
• Thu hồi các phiên người dùng đang hoạt động đáng ngờ:  Có một sổ tay hướng dẫn rõ ràng về cách thức và thời điểm thu hồi các phiên người dùng có thể cho thấy dấu hiệu xâm phạm. Đối với các ứng dụng O365, hướng dẫn này từ Microsoft rất hữu ích.

Hãy đối xử tốt với con người của bạn

Ngay cả trong điều kiện tốt nhất và với lực lượng lao động được đào tạo bài bản như nhân viên tại Sophos, nhiều hình thức lừa đảo trực tuyến vẫn là mối đe dọa dai dẳng và ngày càng nguy hiểm hơn. May mắn thay, với mức độ bảo vệ nhiều lớp phù hợp, giờ đây có thể giảm thiểu ngay cả những thứ có khả năng nghiêm trọng như một cuộc tấn công lừa đảo trực tuyến thành công.

Nhưng cũng quan trọng như các mẹo phòng ngừa kỹ thuật nêu trên là các yếu tố con người của một cuộc tấn công. Việc xây dựng một nền văn hóa và môi trường làm việc nơi nhân viên được trao quyền, khuyến khích và cảm ơn vì đã báo cáo hoạt động đáng ngờ và nơi nhân viên an ninh thông tin có thể nhanh chóng điều tra, có thể tạo ra sự khác biệt giữa một nỗ lực lừa đảo đơn thuần và một vụ vi phạm thành công.

08/10/2024, Sophos tự hào thông báo về việc ra mắt hai sản phẩm tường lửa Sophos Firewall được chờ đợi nhất: Dòng Tường Lửa Desktop Series XGS mới và Hệ Điều Hành Sophos Firewall OS (SFOS) v21. Đây là những cải tiến quan trọng nhằm mang đến cho khách hàng hiệu suất tối ưu, tiết kiệm năng lượng và bảo vệ mối đe dọa mạnh mẽ hơn bao giờ hết.

1. Dòng Tường Lửa Desktop Series XGS Mới

Hiệu suất và Tiết kiệm Năng lượng Vượt trội

Sophos ra mắt 9 mẫu thiết bị để bàn thế hệ thứ hai, được thiết kế với kiến trúc cực kỳ hiệu quả nhằm mang lại hiệu suất hàng đầu trong ngành và tiết kiệm năng lượng tối đa. Các model mới này cung cấp cải tiến lên đến 2 lần so với hiệu suất tổng thể của các phiên bản trước đó. Nhờ vào khả năng tăng tốc nâng cao của công nghệ FastPath ảo trong SFOS v21, cùng với kiến trúc tối ưu hóa ở tám trong chín mẫu mới, Sophos đạt được sự cải thiện lên đến 3 lần về băng thông IPsec VPN so với thế hệ trước. Điều này đảm bảo rằng mạng của bạn luôn được bảo vệ khỏi các mối đe dọa mã hóa và các cuộc tấn công zero-day mới nhất. 

Giá Trị Vượt Trội cho Doanh Nghiệp Vừa và Nhỏ (SMB) và Các Chi Nhánh

Các thiết bị XGS mới không chỉ mang lại hiệu suất cao mà còn tiết kiệm chi phí sở hữu (TCO). Chúng tiêu thụ chỉ bằng một nửa năng lượng so với các model trước đây mà vẫn duy trì được hiệu suất và bảo vệ tối ưu. Thiết kế tản nhiệt cải tiến và bốn mẫu thiết bị không quạt giúp hoạt động êm ái trong các môi trường yêu cầu độ yên tĩnh cao.

Bảo Vệ Mối Đe Dọa Tăng Gấp 4 Lần

Sophos đã tiến hành kiểm tra kỹ lưỡng các tường lửa dòng XGS mới bằng phương pháp kiểm tra tiêu chuẩn của ngành để đảm bảo so sánh công bằng với các đối thủ cạnh tranh. Kết quả là, tường lửa Sophos đạt được sự cải thiện từ 2.7 đến 4 lần về băng thông bảo vệ mối đe dọa so với dữ liệu trước đây, khẳng định vị thế dẫn đầu của Sophos trên thị trường cạnh tranh.

Kết Nối Tốc Độ Cao

Các model XGS mới được trang bị nhiều tùy chọn kết nối tốc độ cao, bao gồm:

• Giao diện 2.5 GE trên tất cả các model.
• Wi-Fi 6 trên tất cả các model w, hỗ trợ đồng thời 2.4/5 GHz.
• Giao diện sợi quang kép 10G SFP+ trên model XGS 138*.
• Module 5G tùy chọn* cho các model có khe cắm mô-đun, cung cấp giải pháp dự phòng hoặc chuyển đổi cho SD-WAN.

Thông tin chi tiết hơn về các tính năng kết nối có thể được tìm thấy trên trang web của Sophos.

2. Hệ Điều Hành Sophos Firewall OS (SFOS) v21

Phiên bản SFOS v21 của Sophos Firewall không chỉ hỗ trợ các nguồn dữ liệu mối đe dọa từ bên thứ ba để nâng cao khả năng Phản hồi Mối đe dọa Chủ động mà còn bổ sung nhiều cải tiến về khả năng mở rộng và tính khả dụng cao cho hệ thống phân tán. Ngoài ra, SFOS v21 còn mang đến một số tính năng được khách hàng yêu cầu nhiều nhất, bao gồm hỗ trợ chứng chỉ Let’s Encrypt.

Các Tính Năng Nổi Bật của SFOS v21

• Phản hồi Mối đe dọa Chủ động với Nguồn Dữ liệu Bên Thứ Ba: Mở rộng khả năng phản hồi tự động bằng cách tích hợp thông tin từ các nguồn dữ liệu mối đe dọa chuyên biệt từ bên thứ ba, phục vụ cho các khu vực hoặc ngành công nghiệp cụ thể như y tế, giáo dục và công nghệ vận hành.
• Khả Năng Mở Rộng và Độ Tin Cậy Nâng Cao: Cải thiện hiệu suất và độ tin cậy cho VPN IPsec, triển khai tính khả dụng cao, xác thực và bảo vệ web.
• Hỗ Trợ Nâng Cấp Liên Tục: Cho phép nâng cấp liền mạch từ các thiết bị XG hoặc XGS Series hiện có lên phần cứng mới nhất với chức năng sao lưu và phục hồi mọi thứ (any-to-any backup and restore) cùng hỗ trợ ánh xạ cổng (port-mapping).
• Cải Tiến Quản Lý và Giao Diện Người Dùng: Giao diện quản lý được làm mới, phản hồi nhanh hơn, quản lý đối tượng mạng hiệu quả hơn và hỗ trợ chứng chỉ Let’s Encrypt.
• Triển Khai Không Cần Can Thiệp (Zero-Touch Deployment): Được bổ sung trong phiên bản v20 MR1 và hiện đang được cài đặt trên các model XGS Series desktop thế hệ thứ hai mới, giúp dễ dàng thiết lập trong Sophos Central và triển khai trực tiếp các thiết bị tường lửa mới đến các chi nhánh.

Hạn Chế và Yêu Cầu Nâng Cấp

Lưu ý rằng khách hàng đang sử dụng SFOS trên các thiết bị XG hoặc SG Series cần phải nâng cấp lên XGS Series để tận hưởng các tính năng mới này. Chức năng sao lưu và phục hồi mọi thứ (any-to-any backup/restore) giúp quá trình nâng cấp từ XG sang XGS trở nên đơn giản và liền mạch thông qua trợ lý ánh xạ cổng (port mapping assistant).

3. Tổng Kết

Dù bạn là khách hàng hiện tại của Sophos đang chuẩn bị nâng cấp tường lửa hoặc đang sử dụng tường lửa của đối thủ và đang xem xét các tùy chọn gia hạn, Sophos Firewall luôn đạt được đánh giá cao từ khách hàng và không ngừng nâng cao giá trị trong suốt vòng đời sản phẩm.

Để biết thêm thông tin chi tiết, vui lòng liên hệ với đối tác hoặc đại diện Sophos tại địa phương ( Vacif) hoặc truy cập trang web Sophos.com/Firewall.

Sophos – Bảo vệ mạng của bạn với công nghệ tiên tiến nhất.

1. Cải Thiện Trải Nghiệm Người Dùng (UX) VPN

Một trong những cải tiến quan trọng nhất của Sophos Firewall V21 là các cải tiến về trải nghiệm người dùng (UX) liên quan đến VPN. Sophos đã giới thiệu tính năng kích hoạt và hủy kích hoạt hàng loạt các kết nối VPN, giúp việc quản lý trở nên thuận tiện hơn cho quản trị viên. Điều này đặc biệt hữu ích khi phải xử lý nhiều kết nối cùng lúc, giảm thiểu thời gian quản lý và tăng hiệu suất.

Trên trang quản lý VPN, tính năng lọc đã được cải tiến, giúp người dùng dễ dàng tìm kiếm và truy cập thông tin trên nhiều trang khác nhau. Sophos cũng đã thêm tính năng tìm kiếm theo văn bản tự do và tìm kiếm dựa trên giá trị vào cấu hình VPN. Điều này cho phép người dùng dễ dàng tìm kiếm các mạng, subnet, hoặc người dùng cho cả VPN truy cập từ xa và VPN site-to-site (kết nối giữa các địa điểm). Ví dụ, khi thêm một mục mới dưới phần Subnet Local, bạn có thể tìm kiếm ngay các tùy chọn phù hợp với từ khóa “20.20”, giúp tìm kiếm nhanh chóng các mạng và subnet.

Ngoài ra, Sophos đã thêm bộ lọc cho các giao diện XFRM trong giao diện trang quản lý VPN. Điều này giúp đơn giản hóa việc quản lý và tìm kiếm các giao diện phù hợp với VPN dựa trên RB, giải quyết các thách thức khi xây dựng VPN trên các giao diện VLAN và WAN.

2. Hỗ Trợ DHCP Relay Qua Giao Diện XFRM Tunnel

Một tính năng đáng chú ý khác trong Sophos Firewall V21 là hỗ trợ cho tính năng DHCP relay qua các giao diện XFRM tunnel. Tính năng này cho phép các quản trị viên triển khai DHCP relay cho các máy chủ nằm phía sau các tường lửa từ xa, một điều trước đây không thể thực hiện được trong các triển khai SD-WAN. Trước khi có bản cập nhật này, các quản trị viên phải dựa vào các VPN dựa trên chính sách để đáp ứng các trường hợp sử dụng nhất định. Tuy nhiên, với Sophos Firewall V21, giờ đây DHCP relay có thể được cấu hình qua các giao diện XFRM tunnel, giúp cải thiện khả năng triển khai và quản lý DHCP trong các mạng phức tạp.

Lưu ý rằng, trong bản phát hành này, Sophos Firewall hỗ trợ DHCP relay cho các máy chủ nằm phía sau tường lửa. Tuy nhiên, các giao diện tường lửa được cấu hình như các máy chủ DHCP sẽ không hỗ trợ cho các giao diện tunnel.

3. Tối Ưu Hóa Hiệu Suất VPN IPsec

Sophos đã cải thiện hiệu suất VPN IPsec cho các cổng vào từ xa dựa trên FQDN (Fully Qualified Domain Name) trong phiên bản V21. Trước đây, các quản trị viên phải cấu hình cổng vào từ xa bằng cách sử dụng FQDN, nhưng điều này không cho phép sử dụng các mục wildcard và thường gặp vấn đề khi có độ trễ DNS cao. Quá trình phân giải FQDN có thể khiến toàn bộ kết nối VPN bị trì trệ, ảnh hưởng đến các kết nối khác.

Giờ đây, các quản trị viên có thể chọn sử dụng địa chỉ IP đã phân giải thay vì dựa vào phân giải FQDN trong dịch vụ VPN. Tùy chọn này được thiết lập trong giao diện dòng lệnh (CLI) và bị tắt theo mặc định để tránh những thay đổi không mong muốn trong quá trình di chuyển. Tuy nhiên, nếu được kích hoạt, hệ thống sẽ thực hiện phân giải lại IP cứ mỗi 5 phút để phát hiện bất kỳ thay đổi IP nào liên quan đến FQDN. Nếu có thay đổi về IP, quá trình khôi phục kết nối cụ thể có thể mất một chút thời gian.

4. Tăng Tốc Độ Khôi Phục Giao Diện Và Tốc Độ Khởi Động Lại Dịch Vụ

Một cải tiến quan trọng khác trong Sophos Firewall V21 là tốc độ khôi phục giao diện đã được tăng lên đến 20 lần trong các trường hợp khởi động lại dịch vụ, reboot thiết bị, hoặc xảy ra sự cố chuyển đổi dự phòng (HA failover). Những cải tiến này giúp giảm thiểu thời gian cần thiết để khôi phục kết nối mạng so với các phiên bản trước, đặc biệt trong các môi trường SD-WAN và triển khai VPN với quy mô lớn.

5. Tích Hợp Google Workspace

Sự gia tăng của Google Workspace trong môi trường doanh nghiệp đã thúc đẩy Sophos hỗ trợ tích hợp Google Workspace với tường lửa trong phiên bản V21. Phiên bản này hỗ trợ tích hợp Google Workspace thông qua giao thức LDAP thông thường, giúp các doanh nghiệp sử dụng Google Workspace dễ dàng kết nối với hệ thống tường lửa của họ.

Một cải tiến đặc biệt là khả năng tích hợp SSO (Single Sign-On) cho Google Chromebook với các máy chủ kiểu LDAP, một tính năng trước đây chỉ giới hạn cho Active Directory. Điều này giúp triển khai tính năng SSO cho Chromebook dễ dàng hơn thông qua Google LDAP.

Sophos cũng lưu ý rằng việc tích hợp Google Workspace không yêu cầu domain cho các yêu cầu AAA, vì vậy người dùng chỉ cần cung cấp tên đăng nhập mà không cần domain. Ngoài ra, bạn cần đảm bảo không chọn hộp kiểm “PEN-based DN” trong trang cấu hình máy chủ.

6. Cải Thiện Khả Năng Xử Lý Yêu Cầu SSO

Sophos Firewall V21 cũng mang lại những cải tiến đáng kể trong việc xử lý các yêu cầu SSO (Single Sign-On), giúp tường lửa có thể quản lý hàng nghìn yêu cầu đăng nhập đồng thời một cách hiệu quả. Trước đây, trong các triển khai phức tạp sử dụng nhiều cơ chế SSO khác nhau như STAS, RADIUS SSO, và SYNCHRON-ized user ID, hệ thống thường bị quá tải khi tất cả các phương thức SSO cố gắng đăng nhập cùng một người dùng cùng lúc, dẫn đến việc xử lý yêu cầu AAA bị ảnh hưởng.

Với Sophos V21, tường lửa có thể xử lý các yêu cầu nhanh gấp 4 lần và tự động loại bỏ các yêu cầu trùng lặp từ nhiều loại khách hàng SSO khác nhau sau khi một người dùng đã được xác thực thành công.

7. Cải Tiến Quản Lý Định Tuyến Tĩnh Và Động

Quản lý định tuyến là một chức năng quan trọng trong bất kỳ hệ thống tường lửa nào, và Sophos Firewall V21 đã mang đến những cải tiến lớn trong quản lý định tuyến tĩnh và động. Trên trang quản lý định tuyến, Sophos đã giới thiệu một số tính năng mới quan trọng, bao gồm khả năng bật/tắt các tuyến đường tĩnh, giúp quản trị viên dễ dàng kiểm soát và khắc phục sự cố hơn.

Ngoài ra, Sophos đã thêm tính năng “nhân bản tuyến đường” (clone route), cho phép quản trị viên tạo các tuyến đường giống nhau nhanh chóng, bao gồm cả trường mô tả để theo dõi thông tin tuyến đường. Một tính năng hữu ích khác là “giao diện kiểu black hole” (black hole type interface), giúp chặn các lưu lượng không mong muốn một cách dễ dàng. Với tính năng Equal Cost Multipath (ECMP), Sophos Firewall V21 còn hỗ trợ cân bằng tải lưu lượng qua nhiều tuyến đường tĩnh, tăng cường khả năng xử lý lưu lượng mạng.

Trong định tuyến động, phiên bản V21 giờ đây có thể phân phối lại các tuyến BGP vào OSPFv3, trong khi tất cả các cấu hình nâng cao khác vẫn có sẵn thông qua CLI. Trước đây, trong các tình huống chuyển đổi dự phòng (failover), định tuyến động thường bị gián đoạn nhiều lần để khôi phục kết nối giữa các thiết bị SFOS. Tuy nhiên, với bản phát hành này, Sophos đã giảm thiểu hoàn toàn tác động của sự cố thiết bị phụ trợ, chỉ còn một lần gián đoạn dịch vụ trong trường hợp thiết bị chính gặp sự cố.

Kết Luận

Sophos Firewall V21 mang đến hàng loạt tính năng và cải tiến mạnh mẽ, giúp các quản trị viên hệ thống dễ dàng quản lý các kết nối mạng, VPN, và định tuyến trong các môi trường phức tạp. Các cải tiến này không chỉ tăng cường tính linh hoạt và hiệu suất mà còn giúp tối ưu hóa quá trình quản trị và giảm thiểu các vấn đề về hiệu suất mạng.

Để tìm hiểu thêm về Sophos Firewall V21 và các tính năng mới khác, bạn có thể xem thêm các tài liệu hướng dẫn và video demo từ Sophos được liên kết trong phần mô tả. Đừng quên tham gia cộng đồng Sophos trên community.sophos.com để đặt câu hỏi và thảo luận thêm với các chuyên gia. Nếu bạn cần hỗ trợ chi tiết hơn, bạn có thể ghé thăm techvids.sophos.com để xem thêm nhiều video hữu ích về các sản phẩm khác của Sophos.

Cảm ơn bạn đã theo dõi bài viết này và hy vọng những thông tin trên sẽ giúp bạn hiểu rõ hơn về các cải tiến trong Sophos Firewall phiên bản 21, cũng như cách những tính năng này có thể tối ưu hóa hiệu suất hoạt động và quản lý mạng của bạn. Đừng ngần ngại liên hệ với đội ngũ hỗ trợ của Sophos nếu bạn gặp bất kỳ thắc mắc hay vấn đề nào trong quá trình sử dụng!

Trong quá trình sử dụng thiết bị tường lửa Sophos XGS, có thể bạn sẽ gặp trường hợp quên mật khẩu tài khoản admin hoặc muốn thay đổi mật khẩu vì lý do bảo mật. Bài viết này sẽ hướng dẫn chi tiết cách reset mật khẩu tài khoản admin trên thiết bị tường lửa Sophos XGS, áp dụng cho phiên bản firmware 21.

2. Yêu cầu trước khi thực hiện.

Trước khi bắt đầu, bạn cần chuẩn bị các công cụ và điều kiện sau:

• Thiết bị Sophos XGS.
• Cáp console để kết nối giữa thiết bị Sophos XGS và máy tính.
• Máy tính có phần mềm Putty (hoặc một phần mềm tương tự) để truy cập giao diện console của thiết bị.

Lưu ý quan trọng

• Không cần kết nối mạng: Toàn bộ quá trình thực hiện qua kết nối cục bộ với cáp console, không cần mạng.
• Không mất dữ liệu: Việc reset mật khẩu không ảnh hưởng đến dữ liệu hay cấu hình thiết bị.

3. Hướng dẫn chi tiết các bước thực hiện.

Bước 1: Kết nối thiết bị Sophos XGS với máy tính qua cổng console

• Trước tiên, bạn cần sử dụng cáp console để kết nối giữa cổng console của thiết bị Sophos XGS và máy tính cá nhân. Điều này cho phép bạn truy cập vào giao diện console của thiết bị để thực hiện các thao tác quản trị.

Bước 2: Mở MobaXterm (hoặc Putty) và kết nối với thiết bị.

• Mở MobaXterm trên máy tính.
• Nhấp vào Session ở góc trái phía trên, sau đó chọn Serial.
• Trong cửa sổ hiện ra, chọn Serial Port (thường là COM1 hoặc COM3 tùy vào cổng kết nối máy tính) và Speed là 38400 baud.
• Nhấp OK để bắt đầu phiên kết nối với thiết bị Sophos XGS.

Bước 3: Nhập mật khẩu

• Khi kết nối thành công, giao diện console của Sophos XGS sẽ yêu cầu nhập mật khẩu. Nhập một mật khẩu bất kỳ để cố tình tạo lỗi xác thực. Hệ thống sẽ hiển thị thông báo “Authentication failed” (Xác thực thất bại).
• Khi hệ thống yêu cầu nhập mật khẩu lần nữa, thay vì nhập mật khẩu, bạn gõ lệnh RESET và nhấn Enter.
• Hệ thống sẽ đưa bạn vào menu để thực hiện việc đặt lại mật khẩu cho tài khoản admin.

Bước 4: Chọn reset mật khẩu cho tài khoản admin

• Khi menu hiện ra, chọn mục số 4. Reset password for admin user.
• Nhập y để xác nhận việc reset mật khẩu.
• Firewall thông báo The password’s been reset là thành công.

Bước 5. Kiểm tra lại kết nối.

Password sẽ được reset về mặc định: admin

Sau khi hoàn tất, bạn có thể khởi động lại thiết bị nếu cần và đăng nhập với mật khẩu mới để đảm bảo quá trình đã thành công.

Sau khi đã đổi reset password, lần đầu đăng nhập lên web GUI sẽ cần phải đổi lại password.