1. Overview
2. Tạo tài khoản Sophos Central
3. Xác thực domain với email của người dùng
4. Tạo user trên Sophos Central
5. Tạo campaign Phish Threat

1. Overview

Phish Threat là một hình thức tấn công để có được những thông tin nhạy cảm của người dùng username, password, credit card,… hoặc lây lan virus mã hóa tống tiền (ransomeware) bằng cách gửi các email cho người dùng có chứa đường dẫn, tập tin có chứa virus hoặc 1 thông báo giả mạo đến từ các ông lớn nổi tiếng như Facebook, Amazon, Google … khi người dùng nhấn vào thông báo, sẽ xuất hiện 1 trang web y hệt gần như 100% làm cho người dùng chủ quan và dễ dàng nhập thông tin của mình vào trang web giả mạo đó.

Bài viết sẽ hướng dẫn Cách phòng chống tấn công Phish Threat và giới thiệu về tính năng Phish Threat có trên Sophos Central.

2. Tạo tài khoản Sophos Central

Để tạo tài khoản Sophos Central -> Tham khảo bài viết theo đường dẫn này https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

3. Xác thực domain với email của người dùng

• Đăng nhập vào Sophos Central bằng tài khoản đã tạo

• Chọn mục My Products -> Chọn Phish Threat -> Chọn Dashboard

• Chọn mục Settings -> Chọn Verify domains

• Nhấn Add domain

• Nhập domain của bạn và nhấn Save

• Nhấn Copy giá trị TXT do Sophos tạo ra để verify domain của bạn

• Đi đến hệ thống quản lý domain của bạn và pass giá trị TXT vừa copy vào

• Sau đó, quay lại Sophos Central -> Nhấn Verify

• Thông báo domain đã được verify

4. Tạo user trên Sophos Central

• Đi đến mục People -> Nhấn Add user

• Nhập thông tin tên và email của user vào

** Bạn có thể đồng bộ user từ file CSV hoặc từ hệ thống Azure AD của bạn

Để đồng bộ user từ Azure AD -> Tham khảo tài liệu https://thegioifirewall.com/sophos-central-huong-dan-cau-hinh-dong-bo-user-giua-azure-ad-va-sophos-central/

5. Tạo campaign Phish Threat

• Đi đến mục Campaigns -> Nhấn New Campaigns

• Đặt tên cho campaigns và chọn loại tấn công mà bạn muốn thực hiện -> Nhấn Save

• Chọn template mail mà muốn sử dụng để thực hiện tấn công -> Nhấn Next

• Chọn loại training mà bạn muốn sử dụng cho người dùng -> Nhấn Next

• Tiếp theo, bạn có thể customize lại nội dung email mà bạn sẽ gửi cho người dùng (email người gửi, subject,…)

• Chọn user mà bạn muốn gửi mail -> Nhấn Next
• ** Lưu ý: Chỉ những user với email của domain đã được verify mới được thực hiện gửi mail

• Cuối cùng là chọn khoảng thời gian để chiến dịch diễn ra (từ thời gian nào tới thời gian nào) và review lại toàn bộ cấu hình mà bạn đã thực hiện -> Nhấn Done
• Khi chiến dịch kết thúc, bạn sẽ nhận được toàn bộ các sự kiện đã diễn ra

Bài viết hướng dẫn cách triển khai IP tĩnh cho những người dùng kết nối VPN Client to Site trên thiết bị tường lửa Sophos Firewall. Việc triển khai IP tĩnh sẽ giúp nâng cao khả năng quản lý, nhận diện người dùng đang kết nối vào hệ thống, đồng thời áp dụng các chính sách phù hợp cho từng người dùng

Hướng dẫn cấu hình

• Đăng nhập vào thiết bị Sophos Firewall bằng tài khoản admin
• Vào mục Groups để tạo VPN Client to Site Group

• Vào mục Users để tạo các người dùng VPN và chọn Group VPN Client to Site mà bạn đã tạo trước đó

• Đi đến mục Remote access VPN -> Vào tab SSL VPN -> Tạo 1 profile SSL VPN
• Ở mục Policy member -> Chọn Group VPN Client to Site mà bạn đã tạo trước đó
• Ở mục Permitted network resources (IPv4): Chọn những network mà bạn cho phép người dùng trong group VPN truy cập vào
• Nhấn Apply

• Vào mục SSL VPN global settings

• Ở mục Override hostname: Nhập IP public mà bạn cho phép người dùng VPN kết nối
• Ở mục Assign IPv4 addresses: Sophos sẽ cho bạn 1 subnet VPN mặc định, bạn có thể điều chỉnh subnet mà bạn muốn
• Ở mục Lease mode: Tick chọn mục Use static IP addresses -> Sophos sẽ cho chúng ta 1 range IP, chúng ta có thể sử dụng IP trong range đó để set tĩnh cho người dùng
• Nhấn Apply

• Quay lại mục Users -> Edit user mà chúng ta cần set IP tĩnh
• Khi đó sẽ xuất hiện mục SSL VPN IP address: Nhập IP mà bạn muốn gán cho user (IP cần nằm trong range IP tĩnh mà Sophos cho phép trong SSL VPN global setting
• Nhấn Save

Bài viết hướng dẫn cách thực hiện activate license Sophos Firewall trên hệ thống Sophos Central

Sophos Central sẽ quản lý các thiết bị tường lửa và thực hiện việc quản lý thiết bị, quản lý license của thiết bị

II. Hướng dẫn cấu hình

• Tạo tài khoản Sophos Central

Nếu bạn chưa có tài khoản Sophos Central -> Tham khảo tài liệu này https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

• Login vào Sophos Central bằng tài khoản quyền Super Admin

• Bấm vào icon account ở góc phải bên trên

• Chọn mục Licensing

• Bấm qua mục Firewall licenses

• Nhấn Claim firewall

• Nhập số serial number của thiết bị firewall

• Sau khi claim thiết bị -> Chúng ta sẽ thấy hiển thị thiết bị của chúng ta trên giao diện quản lý
• Nhấn vào icon >

• Nhấn Apply subcriptions

• Nhập license key của bạn để activate cho thiết bị -> Nhấn Preview subcription -> Sau đó nhấn apply license

• Quay trở lại thiết bị Sophos Firewall -> Chọn mục Administrator -> Chọn mục Device access -> Nhấn Synchronize

TIG stack là một bộ công cụ phổ biến được sử dụng trong lĩnh vực giám sát và thu thập dữ liệu hệ thống. TIG viết tắt của Telegraf, InfluxDB và Grafana, là 3 thành phần chính của bộ công cụ này

• Telegraf: Là một agent giám sát mã nguồn mở, chuyên nghiệp trong việc thu thập và gửi dữ liệu về các hệ thống và ứng dụng. Telegraf hỗ trợ nhiều nguồn dữ liệu khác nhau và có khả năng mở rộng để tích hợp với nhiều loại hệ thống khác nhau
• InfluxDB: Là một cơ sở dữ liệu dạng time-series, được thiết kế đặc biệt để lưu trữ và truy vấn dữ liệu theo thời gian. Dữ liệu time-series thích hợp cho việc lưu trữ thông tin như log hệ thống, dữ liệu giám sát và các dữ liệu theo thời gian khác
• Grafana: Là một nền tảng giám sát và trực quan hoá dữ liệu mã nguồn mở. Grafana cho phép bạn tạo các đồ thị, biểu đồ và bảng điều khiển để hiển thị từ InfluxDB và các nguồn dữ liệu khác một cách dễ dàng và trực quan. Điều này giúp người quản trị phát triển theo dõi hiệu suất hệ thống, phân tích vấn đề và đưa ra quyết định thông minh

Hoạt động của TIG stack

• Telegraf là 1 agent dùng để thu thập số liệu hệ thống cũng như dịch vụ trên hệ thống mà nó chạy
• Các số liệu được thu thập và đưa vào InfluxDB
• Từ InfluxDB, dữ liệu sẽ được đẩy đến Grafana và hiển thị theo dạng đồ thị trực quan

Triển khai

Hệ thống TIG stack sẽ được triển khai trên hệ điều hành Ubuntu server 22.04

Mục lục

1. Cài đặt InfluxDB
2. Cấu hình InfluxDB
3. Cài đặt Telegraf agent
4. Cấu hình Telegraf agent
5. Cài đặt Grafana
6. Kết nối hệ thống
7. Kết nối InfluxDB với Grafana

Hướng dẫn triển khai

Cài đặt InfluxDB

Thêm Influxdata key vào máy chủ

wget -qO- https://repos.influxdata.com/influxdb.key | apt-key add -

Kết nối repository Influxdata và update lại máy chủ

source /etc/lsb-release

echo "deb https://repos.influxdata.com/${DISTRIB_ID,,} ${DISTRIB_CODENAME} stable" | tee /etc/apt/sources.list.d/influxdb.list

apt update -y

Cài đặt InfluxDB

apt install influxdb -y

Khởi động dịch vụ và cấu hình khởi động cùng hệ thống

systemctl start influxdb
systemctl enable influxdb

Kiểm tra trạng thái

systemctl status influxdb

Kiểm tra firewall rule và mở port 8088 và 8006

netstat -plntu

ufw allow 8086

ufw allow 8088

Cấu hình InfluxDB

Chỉnh sửa file cấu hình /etc/influxdb/influxdb.conf

vi /etc/influxdb/influxdb.conf

Sửa các nội dung sau

[http]
# Determines whether HTTP endpoint is enabled.
enabled = true

# Determines whether the Flux query endpoint is enabled.
flux-enabled = true

# The bind address used by the HTTP service.
bind-address = ":8086"

# Determines whether HTTP request logging is enabled.
log-enabled = true

Thực hiện lệnh sử dụng InfluxDB

influx

Tạo database và user cho Telegraf

 > create database telegraf
 > create user telegraf with password 'P@ssw0rd' with all privileges

Kiểm tra database và user

> show databases
> show users

Thoát ra ngoài

> exit

Cài Telegraf Agent

Truy cập vào website https://portal.influxdata.com/downloads/ và download file cài đặt cho HĐH Windows

Hoặc cài đặt trên Ubuntu server

wget https://dl.influxdata.com/telegraf/releases/telegraf_1.14.2-1_amd64.deb
sudo dpkg -i telegraf_1.14.2-1_amd64.deb

hoặc

apt install telegraf -y

Khởi động dịch vụ và khởi động cùng hệ thống

systemctl start telegraf

systemctl enable telegraf

Kiểm tra trạng thái dịch vụ

systemctl status telegraf

Cấu hình Telegraf Agent

Sửa file /etc/telegraf/telegraf.conf

Sửa nội dung

hostname = "tig"

urls = ["http://10.10.34.164:8086"]

database = "telegraf"

username = "telegraf"

password = "P@ssw0rd"

[[inputs.cpu]]

percpu = true

totalcpu = true

collect_cpu_time = false

report_active = false

[[inputs.disk]]

ignore_fs = ["tmpfs", "devtmpfs", "devfs", "iso9660", "overlay", "aufs", "squashfs"]

[[inputs.diskio]]

[[inputs.kernel]]

[[inputs.mem]]

[[inputs.processes]]

[[inputs.swap]]

[[inputs.system]]

[[inputs.net]]

[[inputs.netstat]]

Khởi động lại dịch vụ

systemctl restart telegraf

Cài đặt Grafana

Update và cài đặt các gói cần thiết

apt-get install -y apt-transport-https

apt-get install -y software-properties-common wget

apt-get update

apt-get upgrade

reboot

Thêm key vào các gói cài đặt

wget -q -O - https://packages.grafana.com/gpg.key | apt-key add -

add-apt-repository "deb https://packages.grafana.com/oss/deb stable main"

Update và cài đặt Grafana

apt-get update

apt-get install -y grafana

Khởi động dịch vụ và khởi động cùng hệ thống

systemctl start grafana-server

systemctl enable grafana-server

systemctl status grafana-server

Mở port cho Grafana

ufw allow 3000

Kết nối hệ thống

Truy cập vào địa chỉ http://IP-address:3000

Đăng nhập vào bằng tài khoản admin-admin

Thực hiện thay đổi mật khẩu

Kết nối InfluxDB với Grafana

• Chọn mục Configuration -> Ở mục Data Sources -> Nhấn Add data source
• Chọn InfluxDB
• Nhập thông tin của InfluxDB
  • Ở mục Name: Đặt tên DB
  • Ở mục URL: Nhập http://localhost:8086
  • Chọn Basic auth
  • Nhập user và password
  • Sử dụng database của telegraf
  • Nhập user và password của telegraf
  • Nhấn Save & Test

• Khi bạn muốn nâng cấp từ license Antivirus Sophos Intercept X Advanced lên bản Sophos Intercept X Advanced with XDR
• Nhưng hiện tại bạn đã cài Sophos CIXA cho các máy trạm
• Bài viết sẽ hướng dẫn cách triển khai thêm gói XDR hàng loạt xuống các máy đã được cài CIXA trước đó

Hướng dẫn thực hiện

• Đăng nhập vào tài khoản Sophos Central

• Chọn mục Devices

• Tick chọn những máy tính mà bạn muốn cài thêm XDR

• Chọn Manage Endpoint Software

• Ở mục Protection: Chọn Intercept X Advanced with XDR
• Nhấn Save

• Sau đó gói XDR sẽ được tự động đẩy xuống các máy trạm

Bài viết hướng dẫn cách cấu hình quản lý nhiều thiết bị tường lửa Sophos trên Sophos Central, đồng thời chúng ta có thể cấu hình triển khai tạo 1 chính sách và sẽ được apply xuống toàn bộ thiết bị Sophos firewall

Sơ đồ hoạt động

Các bước cấu hình

1. Đồng bộ các thiết bị Sophos firewall lên Sophos Central
2. Tạo Group cho các thiết bị Sophos firewall
3. Tạo 1 template policy và apply xuống cho các thiết bị
4. Kiểm tra kết quả

Hướng dẫn cấu hình

1. Đồng bộ các thiết bị Sophos firewall lên Sophos Central

• Để add thiết bị Sophos firewall lên Sophos Central để quản lý, tham khảo bài viết hướng dẫn này.

2. Tạo Group cho các thiết bị Sophos firewall

• Truy cập vào Sophos Central Admin -> Đi đến mục Firewall Management

• Đi đến mục Firewalls -> Nhấn Create New Group

• Đặt tên cho Group
• Chọn Use Sophos default
• Chọn các thiết bị Sophos firewall bạn muốn đưa vào Group -> Nhấn icon >-> Nhấn Save

• Các thiết bị Sophos firewall đã được đưa vào Group

3. Tạo 1 template policy và apply xuống cho các thiết bị

• Nhấn vào icon … ở Group firewall -> Chọn Manage Policy

• Ở giao diện triển khai template cho các thiết bị Firewall -> Nhấn Add Firewall Rule -> Chọn New firewall rule

• Cấu hình 1 policy -> Nhấn Save

• Firewall rule đã được thêm xuống các Sophos firewall
• Để theo dõi tiến trình -> Bấm Task Queue

• Task đang được đẩy xuống các thiết bị Sophos firewall

• Trạng thái 1 thiết bị đã hoàn thành

4. Kiểm tra kết quả

• Ta đã thấy firewall rule đã được đẩy xuống 2 thiết bị Sophos firewall

Bài viết hướng dẫn cấu hình query kiểm tra các addons được cài trên web browser Firefox

Sophos XDR có hỗ trợ query với Sophos Data Lake. Sophos Data Lake cung cấp dữ liệu về thiết bị của bạn được lưu trữ trên đám mây. Sau đó, bạn có thể sử dụng Sophos Live Discover để thực hiện các query như: Chạy các truy vấn bảo mật trên tất cả các thiết bị của bạn, ngay cả khi các thiết bị đang offline. Dữ liệu truy vấn trong 7 ngày qua hoặc 30 ngày qua (tùy thuộc vào license của bạn). 

Lợi thế của query Data Lake là việc truy vấn dữ liệu sẽ nhanh hơn do không cần query xuống Endpoint để lấy thông tin.

Bài viết sẽ hướng dẫn các bạn sử dụng SQL code được custom bởi Sophos XDR để query tất cả thông tin của ứng dụng được cài đặt trên endpoint để so sánh với các phiên bản có lỗ hổng bảo mật đã biết sử dụng Data Lake

Mô hình query

Hướng dẫn thực hiện

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community”
• Ở mục SQL: Nhập đoạn code query

SELECT DISTINCT
firefox_addons.name,
users.username,
firefox_addons.identifier,
firefox_addons.creator,
firefox_addons.type,
firefox_addons.version,
firefox_addons.description,
firefox_addons.source_url,
firefox_addons.visible,
firefox_addons.active,
firefox_addons.disabled,
firefox_addons.autoupdate,
firefox_addons.native,
firefox_addons.location,
firefox_addons.path
FROM users
LEFT JOIN firefox_addons
USING (uid)
WHERE firefox_addons.name IS NOT NULL

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả

Bài viết hướng dẫn cách cấu hình tính năng VPN Client to Site trên thiết bị router Mikrotik để cho phép người dùng từ xa truy cập tới hệ thống nội bộ

Bài viết sử dụng giao thức PP2P

Hướng dẫn cấu hình

B1: Bật VPN Server

• Sử dụng phần mềm Winbox để kết nối tới thiết bị Mikrotik
• Vào mục PPP -> Chọn PPPTP Server -> Tick Enable -> Nhấn OK

B2: Tạo IP Pool cho các kết nối VPN client (khi các client kết nối thì Mikrotick sẽ cấp phát DHCP, tránh đụng, loop với IP local

• Vào IP -> Chọn Pool -> Tick + để thêm IP pool, đặt tên và dãy cấp phát IP

B3: Tạo VPN Profiles

• Vào PPP -> Chọn Profiles -> Tick +
• Ở mục Local Address: IP Gateway của Bridge LAN
• Ở mục Remote Address:  Dãy IP pool đã tạo trước đó

B4: Tạo username/password cho người dùng

• Vào PPP -> Chọn Secrets
• Ở mục Service: Chọn PPTP
• Nhập username và password

B5: Tạo kết nối VPN trên máy tính Windows 10

• Ở mục Network and Sharing Center -> Nhấn Set up a new connection or network -> Chọn Connect to a workplace -> Chọn Use my Internet connection (VPN)
• Ở mục Internet address: Nhập IP WAN của Mikrotik
• Nhấn Create
• Nhập User name và password
• Nhấn Connect

Bài viết hướng dẫn cách cấu hình DNAT để public các máy chủ ra bên ngoài

Hướng dẫn cấu hình

• Vào mục IP -> Chọn mục Firewall -> Chọn tab NAT -> Nhấn Add New

• Tick vào Enable
• Ở mục Chain: Chọn dstnat
• Ở mục Protocol: Chọn giao thức mà bạn muốn sử dụng
• Ở mục Dst Port: Nhập port mà bạn muốn NAT ra bên ngoài
• Ở mục In. Interface: Chọn port WAN của thiết bị Mikrotik
• Ở mục Action: Chọn dstnat
• Ở mục To Address: Nhập IP local của máy chủ
• Ở mục To Ports: Nhập port mà bạn muốn NAT

Bài viết hướng dẫn cấu hình query kiểm tra ổ cứng của các máy trạm và máy chủ Windows trong hệ thống

Sophos XDR có hỗ trợ query với Sophos Data Lake. Sophos Data Lake cung cấp dữ liệu về thiết bị của bạn được lưu trữ trên đám mây. Sau đó, bạn có thể sử dụng Sophos Live Discover để thực hiện các query như: Chạy các truy vấn bảo mật trên tất cả các thiết bị của bạn, ngay cả khi các thiết bị đang offline. Dữ liệu truy vấn trong 7 ngày qua hoặc 30 ngày qua (tùy thuộc vào license của bạn). 

Lợi thế của query Data Lake là việc truy vấn dữ liệu sẽ nhanh hơn do không cần query xuống Endpoint để lấy thông tin.

Bài viết sẽ hướng dẫn các bạn sử dụng SQL code được custom bởi Sophos XDR để query tất cả thông tin của ứng dụng được cài đặt trên endpoint để so sánh với các phiên bản có lỗ hổng bảo mật đã biết sử dụng Data Lake

Mô hình query

Hướng dẫn thực hiện

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community”
• Ở mục SQL: Nhập đoạn code query

SELECT
partitions,
disk_index ,
type,
id,
pnp_device_id,
disk_size,
manufacturer,
hardware_model,
name,
serial,description
FROM
disk_info

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả