1 Giới thiệu

Nếu bạn không muốn sử dụng tính năng này nữa hoặc hệ thống của bạn có vấn đề và khiến máy tính không thể khởi động được, Checkpoint cung cấp công cụ để gỡ bỏ Full disk encryption khỏi hệ thống, sau đó bạn có thể tiến hành khắc phục sự cố với máy tính của mình.

2 Các bước thực hiện

Ta vào mục Asset management. Chọn máy tính muốn gỡ Full disk. Chọn vào mục Action >> recovery >> Full disk encryption recovery

Ở đây cần ít nhất 2 user để tải file recovery về. Nếu có ít hơn 2, bạn có thể nhấn vào dấu cộng để tạo thêm user

Điền tên và mật khẩu sau đó nhấn ok

Tiến hành down Recovery file về

Tại máy muốn gỡ Recovery ta vào đường dẫn:

C:\Program Files(x86)\CheckPoint\Endpoint Security\Full Disk Encryption\

Sau đó chọn chạy file UseRec.exe

Chọn browse file vừa tải về. Nếu không nhìn thấy file bạn click chuột phải vào file và chọn open with, sau đó trỏ đường dẫn đến thư mục chứa UseRec.exe ở trên.

Ta điền thông tin user quản lý lúc nãy.

Cắm 1 usb để làm usb boot khôi phục vào máy, sau đó click vào Create USB. Tiến hành các bước như chương trình yêu cầu.

Sau khi tạo xong ta có 1 usb boot để gỡ Full disk recovery. Bạn có thể chọn khởi động bằng usb và làm theo các bước để gỡ Full disk recovery khỏi máy tính.

Khởi động lại máy và chọn boot bằng usb vừa tạo

Điền thông tin

Chọn ổ cứng recover

Đợi quá trình hoàn tất.

Vậy là chúng ta hoàn thành cấu hình khôi phục Full disk recovery.

1 Tổng quan

Full Disk Encryption giúp cung cấp cho người dùng khả năng bảo mật mức độ cao nhất đối với dữ liệu . Nó bao gồm bảo vệ khởi động boot và bảo vệ dữ liệu ổ đĩa để đảm bảo chỉ có người dùng hợp lệ mới truy cập được dữ liệu đó.

Dữ liệu và file trên ổ đĩa của bạn sẽ được mã hóa và bảo vệ liên tục kể cả những ổ ẩn, không có thời gian downtime. 

2 Cấu hình Full Disk Encryption

Bạn vào mục policy để tạo policy, áp dụng lên nhóm thiết bị muốn bật full disk. Sau đó ta vào mục Full disk encryption để chọn kiểu Checkpoint encryption. Bật enable Pre-boot để bảo vệ boot. Tính năng này nhằm tránh các phần mềm bypass mật khẩu os để đăng nhập trái phép vào ổ đĩa.

Ta vào advanced setting >> enable usb device, enable mouse.. để cho phép sử dụng chuột và bàn phím trong khi pre-boot. Bạn cần nhập đúng thông tin user trong quá trình Pre-boot mới có thể chuyển qua quá trình boot os.

Ta cũng có thể vào mục port protection >> edit policy để cho phép các thiết bị ngoại vi khác. Đây là tính năng chặn người dùng cắm các thiết bị không được cho phép vào máy tính công ty.

Ta chọn thiết bị và chọn accept. Sau đó nhấn ok. Ta save và install policy.

Sau khi áp dụng policy lên máy con. Ta update policy và khởi động lại máy con, màn hình đăng nhập pre-boot sẽ hiện lên như sau. Ta nhập thông tin user

Màn hình hiện thông tin máy tính này đã được Encrypted. Máy sẽ bắt đầu đăng nhập vào hệ điều hành.

Ta kiểm tra ở mục overview trên endpoint. Lúc này quá trình diễn ra 79%

Sau khi quá trình mã hóa hoàn thành 100%, ta vào mục ổ đĩa và sẽ hiện ra ổ đĩa đã được encrypt như hình.

Vậy là chúng ta đã cấu hình thành công tính năng full disk encryption của harmony endpoint.

Harmony endpoint logs menu cho phép ta tùy chỉnh logs và view để quản lý tất cả hệ thống trong 1 location. Bạn có thể mở nhiều tab log để xem được nhiều thông tin khác nhau, đồng thời có thể lấy thông tin nhanh thông qua các query.

2 Các thành phần

• Favorites: Lựa chọn những log bạn đã đánh dấu sao
• Recent: lựa chọn log bạn đã xem gần đây
• Shared: lựa chọn log bạn được share
• Logs: lựa chọn một trong các widget với các log thu thập từ tất cả Harmony endpoint client.
• Views: nơi ta có thể chọn log từ các sản phẩm Endpoint.
• Reports: lựa chọn các bản report

Sau khi mở log ta được trang quản lý như sau:

1. Time period: tìm kiếm trong khoảng thời gian cụ thể
2. Query search bar: nơi để nhập query tìm kiếm log
3. Statistic pane: thông số, sản phẩm,độ ưu tiên và các chỉ số khác
4. Card: thông tin về log đang chọn
5. Results pane: các log nhận được
6. Options: hiện hoặc ẩn client identity trên Card, export ra csv

3 Ngôn ngữ Query

Query giúp chúng ta tìm kiếm nhanh dữ liệu dựa trên thông tin biết trước. Để tạo query, ta sử dụng cấu trúc như sau:

[<Field>:] <Filter Criterion>

Nếu bạn có điều kiện lồng thì thêm các toán tử AND OR NOT

[<Field>:] <Filter Criterion> {AND | OR | NOT} [<Field>:] <Filter Criterion> …

Các giá trị có khoảng cách thì ta thêm vào trong cặp nháy kép 

Vd: user:“John Doe”

Wildcard: ? đại diện cho 1 ký tự, * đại diện cho nhiều kí tự. 

Vd: user:Joh?, user:Jo*

Ta có thể phân tách giữa các điều kiện bằng dấu ngoặc tròn (). 

Vd: source:(192.168.2.1 OR 192.168.2.2) AND destination:17.168.8.2

Ví dụ query với nguồn là từ ip 172.16.31.79 kết hợp điều kiện là severity phải là high.

Vậy là chúng ta đã tìm hiểu xong phần log của trang Portal Harmony Endpoint

1 Giới thiệu

Push Operation là những hành động mà Endpoint Security Management Server đẩy trực tiếp xuống client.

Để thực hiện ta vào mục Push Operation và chọn Add.

Lựa chọn thiết bị sau đó chọn Operation mong muốn.

Các operation được hỗ trợ như sau:

• Anti-Malware
  • Scan for Malware – Chạy Anti-Malware scan trên máy tính.
  • Update Malware Signature Database – Cập nhật dữ liệu Malware.
  • Restore Files from Quarantine – Khôi phục lại những file đã cách ly.
• Forensics and Remediation
  • Analyze by Indicator – Phân tích dữ liệu của Endpoint khi thiết bị kích hoạt một trong các chỉ báo mà ta đặt ra. Chỉ báo có thể là URL, IP, đường dẫn thư mục, file name hoặc MD5.
  • File Remediation – Cách ly 1 file khi cần thiết, ta có thể chọn nhập đường dẫn hoặc MD5 của file đó.
  • Isolate Computer – Đưa 1 thiết bị vào trạng thái cách ly. Tính năng Firewall phải được cài đặt trên client để có thể cách ly thiết bị, chỉ có những dịch vụ như DHCP, DNS hoặc traffic giao tiếp với Management server là được cho phép đi qua.
  • Release Computer – Tắt trạng thái cách ly trên thiết bị.
• Agent Settings
  • Deploy New Agents – Cài đặt Initial client trên thiết bị. Tính năng này cho phép cài đặt lên thiết bị chưa có Initial Client.
  • Collect Client Logs – Thu thập log trên thiết bị, Log sẽ được lưu trên thư mục share ở client computer.
  • Repair Client – Repair lại bản cài đặt Endpoint. Cài đặt này yêu cầu thiết bị phải restart.
  • Shutdown Computer – Shuts down máy tính chỉ định.
  • Restart Computer – Restart  máy tính chỉ định.
  • Uninstall Client – Uninstall endpoint trên thiết bị chỉ định.
  • Application Scan – Thu thập ứng dụng trên thiết bị và đưa vào danh sách trên Application Control. Ứng dụng thu thập trên thư mục mà ta chỉ định.
• Remote Command
  • Cho phép Administrators chạy signed hoặc unsigned scripts trên thiết bị endpoint. Password sẽ được lưu một cách bảo mật.

2 Cấu hình Push Operation update cho client

Vào Push operation. Chọn add

Ta chọn Operation mong muốn.

Tìm kiếm thiết bị cần chạy Operation này.

Chọn thiết bị và click next

Điền comment và chọn scheduling, ở đây mình chọn run operation ngay. Click finish.

Sau đó bảng thông tin về operation đó hiện ra.

Khi operation thành công sẽ hiện trạng thái succeeded. Ta có thể nhìn xuống bảng phía dưới để quan sát thông tin từng máy. Vậy là ta đã thành công sử dụng tính năng Push Operation.

Threat Hunting là một công cụ giúp thu thập thông tin cuộc tấn công trong endpoint, bạn có thể truy tìm dấu vết cũng như nhận biết sớm những lỗ hổng trong hệ thống của mình. Thông tin thu thập từ các sensor trên Endpoint sẽ được tổng hợp và lưu về Endpoint Service. Bạn có thể kiểm tra và sau đó có hành động ngăn chặn phù hợp.

Data lưu trữ trên Service trong thời gian 7 ngày, nếu muốn thời gian lưu trữ lâu hơn, bạn có thể mua thêm gói mở rộng của Harmony Endpoint.

2 Hướng dẫn sử dụng

Tính năng Threat Hunting mặc định được enable sẵn.

Hoặc bạn có thể vào Policy > Threat Prevention > Analysis & Remediation. Sau đó Enable Threat Hunting bật On và Click Save and Install Policy.

Để sử dụng, ta vào mục Threat Hunting và giao diện như sau sẽ hiện ra.

1 Lọc tìm kiếm theo ngày hoặc theo process

2 Đây là mục bạn có thể tìm kiếm query

3 Menu mở rộng

4 Mục query có sẵn của Checkpoint

5 Mitre query

6 Query bạn đã lưu

7 Lịch sử query

8 Chỉnh sửa giao diện

2.1 Predefine Query

Để sử dụng Predefine Query, ta vào mục 4. Chọn query mình muốn tìm kiếm và bấm run.

Tại đây ta lấy được thông tin thông qua query như sau.

Mục số 1 là timeline của query, bấm vào để hiện ra thời gian cụ thể.

Mục số 2 là những thông tin query lấy được. Ta có thể xem thông tin chi tiết bằng cách click vào mũi tên xuống ở cuối query.

Mục số 3 là những action có thể thực hiện như Quarantine, Process termination, Full forensics analysis. Tích vào dấu 3 chấm cuối query sẽ hiện ra mục này

Ta chọn query và bấm vào mũi tên xuống để xem thông tin chi tiết

2.2 Mitre ATT&CK

Giao diện Mittre ATT&CK được chia thành 12 cột, mỗi cột đại diện cho từng giai đoạn trong một cuộc tấn công, gồm nhiều kỹ thuật tấn công kèm theo. Ta click vào một đối tượng để xem những query đi kèm.

Ví dụ như bạn muốn tìm kiếm những lỗ hổng tại Windows Management Instrumentation T1047. Ta nhìn vào cột Execution và bấm vào mục Windows Management Instrumentation . Các query liên quan sẽ hiện ra, ta có thể chọn và run query phù hợp để phát hiện những dấu hiệu nguy hiểm trong hệ thống của mình.

2.3 Tự tạo Query

Ban có thể tạo query tự định nghĩa cho mình. Chọn vào mục Let the hunt begin và click vào dấu +. Tại đây các mục tùy chọn hiện ra và ta có thể tùy chỉnh query của mình. VD mình muốn tìm kiếm những process có tên cmd.exe.

Vậy là chúng ta tìm hiểu xong tính năng Threat Hunting. Chúc các bạn thành công.

Nếu tổ chức của bạn sử dụng Microsoft Active Directory, bạn có thể thêm user, group, ou và computer từ môi trường AD vào Harmony endpoint. Bạn chỉ việc chọn 1 AD Scanner trong các endpoint của mình và AD Scanner sẽ quét toàn bộ cây Directory rồi đồng bộ thông tin lên Harmony Service. Harmony hỗ trợ nhiều AD Scanner trong một AD domain và nhiều domain trong một Service.

Để sử dụng tính năng trên user tại AD Scanner cần có full quyền read đến các đối tượng: AD root, Child container and objects, Deleted objects container.

AD Scanner không thể scan group có type là Distribution

2 Mô hình hệ thống

Ta chọn máy Domain Controller làm AD Scanner và lấy user administrator để scan Directory. AD Scanner sẽ cập nhật cây Directory và gửi lên Harmony Service.

3 Các bước thực hiện

Ta vào mục Asset Management > Computer > Computer Actions > Directory Scanner

Điền các thông tin về computer làm AD Scanner, các thông tin đăng nhập và chọn thời gian đồng bộ. sau đó click OK

Quá trình scan sẽ diễn ra. Để xem lại thông tin, bạn vào mục Endpoint Settings > AD Scanner để xem thông tin.

Để xem Directory được đồng bộ, ta vào Asset Management > Organizational Tree > Directories. Thông tin về Directory sẽ hiện ra tại đây.

Vậy là ta đã lấy được thông tin về Directory, chúc các bạn thành công.

Tính năng Token Limited Installation nhằm hạn chế tình trạng cài đặt trái phép bộ cài tải từ Endpoint Portal. Giúp hạn chế thiết bị lạ không nằm trong tổ chức cài đặt Endpoint từ tài khoản Portal của bạn. Sau khi bạn bật tính năng này và đặt thời gian quy định, các máy tính muốn cài Endpoint sẽ tự động nhập Token. Token hoạt động trong thời gian cài đặt, sau khi hết thời gian hiệu lực thì các máy tính không thể cài đặt Endpoint được.

2 Các bước cấu hình

Ta đăng nhập vào trang Portal

https://portal.checkpoint.com/dashboard/endpoint/endpoint#/overview

Chọn mục Endpoint Setting > Authentication Setting > Time Limit Installation và chọn Enable tính năng này

Ta chọn enable và tạo 1 token để cài đặt. Token này sẽ được tự động nhập vào khi Endpoint được cài đặt. Ta chọn thời gian hiệu lực cho token này.

Ta download bản cài đặt về tại mục Overview.

Tiến hành chạy gói cài đặt vừa mới tải về với máy PC. Trong thời gian hiệu lực token, ta cài đặt Endpoint thành công.

Khi hết thời gian hiệu lực, quá trình cài sẽ không được hoàn thành mà chỉ dừng lại ở Initial Client. Ở đây mình test thử cài đặt Endpoint khi quá thời gian của Token Limited Installation trên.

Vậy là chúng ta thành công cài đặt Token Limited Installation.

Harmony Endpoint là một thành phần trong bộ giải pháp bảo vệ toàn diện Harmony của Checkpoint. Endpoint như là 1 phần mềm antivirus giúp giám sát và bảo vệ máy người dùng khỏi các nguy cơ tấn công mạng. Sau đây mình sẽ hướng dẫn các bạn cách tạo tài khoản demo Harmony Endpoint.

2 Các bước thực hiện

Đầu tiên ta đăng ký tài khoản Infinity Portal ở trang sau:

https://portal.checkpoint.com/register/endpoint

Infinity Portal là trang quản lý chung dành cho bộ giải pháp Endpoint.

Ta điền các thông tin vào form. Tại mục Select Data Residency, ta chọn vị trí máy chủ Infinity Portal. Hiện tại có 2 vị trí máy chủ demo là United States và Ireland.

Sau khi hoàn thành các bước tạo Infinity Portal ta truy cập vào Portal bằng địa chỉ sau:

https://portal.checkpoint.com

Chọn mục ứng dụng phía trên cùng bên trái và chọn mục Endpoint để vào giao diện quản lý Endpoint

Ta bấm vào Try now để đăng ký demo Endpoint

Sau khi đăng ký xong ta chọn Service Management để bật dịch vụ Endpoint. Điền thông tin định danh và bấm Create.

Ta đợi một thời gian. Service sẽ được tạo và sẽ hiện thị thông tin tại đây. Ta có thể resume hoặc xóa dịch vụ.

Chọn mục Overview ta sẽ quản lý được thông tin tổng quan về Portal Endpoint của mình và có thể chọn Download để tải bản cài đặt Endpoint về máy.

Vậy là chúng ta đã tạo được tài khoản demo Harmony Endpoint. Tài khoản sẽ sử dụng được full các tính năng của Harmony Endpoint trong thời gian 30 ngày.

Push Operation là một thành phần và có chức năng quản lý máy client từ xa của Endpoint Manager Service, với tính năng này bạn có thể cài đặt Endpoint, shutdown, restart, kill process, remote command…mà không cần phải trực tiếp đến các máy để thực hiện. Trong bài viết này chúng tôi sẽ hướng dẫn các bạn cách ly máy client từ xa bằng tính năng Push Operation.

2 Cấu hình

Ta vào mục Push Operation bên trái màn hình và bấm vào nút add để thêm lệnh vào hang đợi.

Ta chọn mục Forensics and Remediation và click vào Isolate Computer

Clich vào dấu cộng để thêm computer vào mục chọn. Click next

Thêm comment vào lệnh để dễ quản lý. Bấm Finish

Lệnh vừa tạo sẽ hiện ra tại đây. Các bạn chờ một vài phút để lệnh được cập nhật và chuyển đến client

3 Kiểm tra kết quả

Máy con sau khi đã cách ly sẽ không sử truy cập được internet được nữa. Ngoại trừ cập nhật policy ra, các kết nối khác sẽ bị đóng lại.

Vậy là chúng ta đã thực hiện lệnh Push Operation thành công

Trong bài viết này chúng tôi xin giới thiệu đến các bạn cách đồng bộ các thành phần AD cũng như User, OU trên miền lên Endpoint Management Service, với cách cài đặt này các bạn có thể tiết kiệm được rất nhiều thời gian để tạo và quản lý nhóm người dùng của mình.

2 Mô hình

Hamony server là Endpoint Management Service, hệ thông quản trị trên cloud của Checkpoint. Ta có thể đẩy các policy xuống các Endpoint cũng như tạo và quản lý các rule Endpoint trên đây.

Ad là Winserver 2016 ở đây có vai trò đồng bộ toàn bộ thông tin về Ad lên Endpoint Management Service thông qua tài khoản admin của miền. Máy có cài sẵn Endpoint

3 Cấu hình

Ta vào mục Asset Management. Chọn mục Computers ở bên trái, các máy đã cài Endpoint hiện ở đây.

Click vào Computer Action. Chọn xuống dưới mục Directory Scanner.

Bảng như sau hiện lên. Mục Computer Name ta bấm vào dấu cồng và vào mục Search để tìm kiếm máy winserver.

Tiếp đó điền thông tin user được cấp quyền để quản lý. User này phải có quyền đọc trên  Active Directory root cũng như là các đối tượng con của nó. Ở đây để cho đơn giản, mình sử dụng tài khoản Admin toàn miền.

Điền các thông tin đầy đủ và bấm ok.

4 Kiểm tra kết quả

Sau khi chọn máy đồng bộ xong ta vào kiểm tra kết quả tại mục Endpoint Setting > AD Scanners. Máy đồng bộ hiện lên ở đây

Ta quay lại mục Asset Management. Chọn Organizational Tree để xem những gì đã đồng bộ. Ở đây miền tri.local đã được đồng bộ lên Endpoint Management Service.

Vậy là ta đã hoàn thành việc đồng bộ user lên Endpoint Management Service