Sophos Managed Risk kết hợp công nghệ quản lý lỗ hổng từ Tenable với kiến thức chuyên môn về mối đe dọa của Sophos như một dịch vụ được quản lý hoàn toàn.

Viết bởi Paul Murray

Ngày 03 tháng 4 năm 2024

Theo báo cáo trong Báo cáo về Ransomware năm 2024 của Sophos, các lỗ hổng chưa được vá bị khai thác là nguyên nhân gốc rễ hàng đầu dẫn đến các cuộc tấn công thành công.

Bề mặt tấn công hiện đại đã mở rộng ra ngoài ranh giới CNTT tại chỗ truyền thống , với việc các tổ chức thường xuyên vận hành một số lượng tài sản bên ngoài và tài sản trên Internet chưa được vá hoặc chưa được bảo vệ, khiến chúng dễ bị tấn công mạng.

Trước nhu cầu cấp thiết này, chúng tôi rất vui mừng được giới thiệu Sophos Managed Risk, được cung cấp bởi Tenable . Dịch vụ mới này cho phép các tổ chức tìm và loại bỏ các điểm mù cũng như đón đầu các cuộc tấn công tiềm ẩn bằng cách hiểu rõ và ưu tiên các mức độ rủi ro cao nhất, với sự hướng dẫn chuyên môn từ đội ngũ tận tâm của Sophos.

Rủi ro được quản lý của Sophos mang lại:

Khả năng hiển thị bề mặt tấn công
Bề mặt tấn công hiện đại tiếp tục phát triển vượt ra ngoài biên giới của CNTT truyền thống và hầu hết các tổ chức hiện nay đều có tài sản truy cập internet mà họ không nhận ra là mình sở hữu, cung cấp các mục tiêu dễ dàng cho các tác nhân đe dọa. Sophos Managed Risk phát hiện các tài sản trên Internet của tổ chức và phân tích bề mặt tấn công bên ngoài của chúng.

Giám sát liên tục
Các nhóm bảo mật và CNTT nội bộ có thể thiếu kiến thức và kinh nghiệm sâu sắc về bối cảnh khai thác cần thiết để hiểu đầy đủ về tình hình bảo mật trên bề mặt tấn công của tổ chức họ. Sophos Managed Risk cung cấp hướng dẫn chuyên môn và giúp đặt ra các ưu tiên khắc phục.

Ưu tiên lỗ hổng dựa trên rủi ro
Các lỗ hổng mới được phát hiện nhanh hơn mức mà hầu hết các tổ chức có thể khắc phục chúng. Hiểu được cái nào có liên quan và thứ tự nào để vá chúng là một thách thức đáng kể. Sophos Managed Risk xác định và ưu tiên các mức độ phơi nhiễm bằng cách sử dụng phạm vi bảo hiểm dễ bị tổn thương rộng rãi và công nghệ ưu tiên dựa trên rủi ro từ Tenable.

Chủ động thông báo về các nguy cơ rủi ro cao
Những kẻ tấn công tìm kiếm điểm yếu trong môi trường từ lâu trước khi các tổ chức biết chúng ở đó. Việc xác định nhanh chóng các nguy cơ rủi ro cao là rất quan trọng. Sophos Managed Risk cung cấp thông báo chủ động khi phát hiện ra các lỗ hổng nghiêm trọng mới ảnh hưởng đến tài sản của tổ chức.

“Một trong những thách thức lớn nhất mà các tổ chức phải đối mặt khi cải thiện tình trạng bảo mật của mình là ưu tiên xử lý những gì trước tiên. Craig Robinson, phó chủ tịch nghiên cứu của Dịch vụ bảo mật, IDC cho biết loại hướng dẫn này giúp giải quyết vấn đề đó và giảm khối lượng công việc cho các nhóm bảo mật được giao nhiệm vụ giải quyết quản lý lỗ hổng và khả năng tiếp xúc. “Các giải pháp như Sophos Managed Risk có thể là điểm khác biệt bằng cách cho phép các nhóm có áp lực quá lớn thực hiện cách tiếp cận toàn diện hơn để giám sát liên tục và quản lý mối đe dọa.”

Liên minh Sophos-Tenable

Sophos Managed Risk kết hợp công nghệ hàng đầu trong ngành từ Tenable với kiến thức chuyên môn về mối đe dọa từ Sophos, được cung cấp dưới dạng dịch vụ quản lý bề mặt tấn công chủ động. Mối quan hệ hợp tác độc đáo này quy tụ hai công ty dẫn đầu thị trường an ninh mạng có uy tín cao để mang lại kết quả bảo mật vượt trội cho khách hàng và đối tác.

“Sophos và Tenable là hai công ty bảo mật hàng đầu trong ngành cùng nhau giải quyết các thách thức bảo mật khẩn cấp, lan rộng mà các tổ chức liên tục gặp khó khăn để kiểm soát. Giờ đây, chúng tôi có thể giúp các tổ chức xác định và ưu tiên khắc phục các lỗ hổng trong tài sản, thiết bị và phần mềm bên ngoài thường bị bỏ qua. Điều quan trọng là các tổ chức phải quản lý những rủi ro phơi nhiễm này, vì nếu không được giám sát, chúng chỉ dẫn đến các vấn đề tốn kém và mất thời gian hơn và thường là nguyên nhân gốc rễ của những vi phạm nghiêm trọng ,” Rob Harrison, phó chủ tịch cấp cao về quản lý sản phẩm hoạt động bảo mật và điểm cuối tại cho biết. Sophos. “Chúng tôi biết từ dữ liệu khảo sát toàn cầu của Sophos rằng 32% các cuộc tấn công bằng ransomware bắt đầu từ một lỗ hổng chưa được vá và rằng việc khắc phục các cuộc tấn công này là tốn kém nhất. Các lớp bảo mật lý tưởng để ngăn chặn những vấn đề này bao gồm cách tiếp cận tích cực nhằm cải thiện tình hình bảo mật bằng cách giảm thiểu nguy cơ vi phạm với Sophos Managed Risk, Sophos Endpoint và phạm vi bảo hiểm 24×7 của Sophos MDR .”

Greg Goetz, phó chủ tịch phụ trách đối tác chiến lược toàn cầu và MSSP, cho biết: “Mặc dù ngày số 0 mới nhất có thể chiếm ưu thế trên các mặt báo, nhưng mối đe dọa lớn nhất đối với các tổ chức, nhìn chung, vẫn là các lỗ hổng đã được biết đến – hoặc các lỗ hổng đã có bản vá sẵn có”. Có thể thuê được. “Một cách tiếp cận hiệu quả bao gồm ưu tiên dựa trên rủi ro với các phân tích dựa trên ngữ cảnh để chủ động giải quyết các rủi ro trước khi chúng trở thành vấn đề. Rủi ro được quản lý của Sophos, được hỗ trợ bởi Nền tảng quản lý phơi nhiễm Tenable One, cung cấp giải pháp quản lý rủi ro phòng ngừa được thuê ngoài, cho phép các tổ chức lường trước các cuộc tấn công và giảm rủi ro mạng.”

Hợp tác với dịch vụ MDR đáng tin cậy nhất thế giới

Sophos Managed Risk có sẵn dưới dạng dịch vụ mở rộng với Sophos MDR , dịch vụ này đã bảo vệ hơn 21.000 tổ chức trên toàn cầu. Nhóm Quản lý Rủi ro Sophos tận tâm đã được Tenable chứng nhận và hợp tác chặt chẽ với Sophos MDR để chia sẻ thông tin cần thiết về zero-day, các lỗ hổng đã biết và rủi ro phơi nhiễm để đánh giá và điều tra các môi trường có thể bị khai thác. Các tổ chức được hưởng lợi thông qua tương tác thường xuyên, bao gồm các cuộc họp đã lên lịch với các chuyên gia của Sophos để xem xét những khám phá gần đây, hiểu biết sâu sắc về bối cảnh mối đe dọa hiện tại cũng như các đề xuất về biện pháp khắc phục và các hành động ưu tiên.

Ví dụ: khi Sophos phát hiện ra lỗ hổng zero-day mới có rủi ro cao có thể khiến tổ chức bị lộ, Sophos Managed Risk sẽ quét tài sản của họ để tìm khả năng khai thác và chủ động thông báo cho khách hàng. Các tổ chức có thể kết nối với nhóm Rủi ro được quản lý của Sophos và quản lý thuận tiện các trường hợp leo thang lỗ hổng bảo mật cùng với các cuộc điều tra MDR trong một bảng điều khiển Sophos hợp nhất.

Sắp ra mắt

Với việc các chuyên gia về Rủi ro được quản lý của Sophos cung cấp thông tin chi tiết về các lỗ hổng bề mặt tấn công, các tổ chức thuộc mọi quy mô có thể giảm rủi ro mạng, đẩy nhanh các chương trình vá lỗi và cải thiện khả năng bảo hiểm. Dịch vụ mới sẽ khả dụng vào cuối tháng 4 năm 2024.

Để tìm hiểu thêm về Sophos Managed Risk và cách nó có thể hỗ trợ bạn, hãy truy cập trang web của chúng tôi hoặc nói chuyện với chuyên gia bảo mật ngay hôm nay.

1. Overview
2. Tạo tài khoản Sophos Central
3. Xác thực domain với email của người dùng
4. Tạo user trên Sophos Central
5. Tạo campaign Phish Threat

1. Overview

Phish Threat là một hình thức tấn công để có được những thông tin nhạy cảm của người dùng username, password, credit card,… hoặc lây lan virus mã hóa tống tiền (ransomeware) bằng cách gửi các email cho người dùng có chứa đường dẫn, tập tin có chứa virus hoặc 1 thông báo giả mạo đến từ các ông lớn nổi tiếng như Facebook, Amazon, Google … khi người dùng nhấn vào thông báo, sẽ xuất hiện 1 trang web y hệt gần như 100% làm cho người dùng chủ quan và dễ dàng nhập thông tin của mình vào trang web giả mạo đó.

Bài viết sẽ hướng dẫn Cách phòng chống tấn công Phish Threat và giới thiệu về tính năng Phish Threat có trên Sophos Central.

2. Tạo tài khoản Sophos Central

Để tạo tài khoản Sophos Central -> Tham khảo bài viết theo đường dẫn này https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

3. Xác thực domain với email của người dùng

• Đăng nhập vào Sophos Central bằng tài khoản đã tạo

• Chọn mục My Products -> Chọn Phish Threat -> Chọn Dashboard

• Chọn mục Settings -> Chọn Verify domains

• Nhấn Add domain

• Nhập domain của bạn và nhấn Save

• Nhấn Copy giá trị TXT do Sophos tạo ra để verify domain của bạn

• Đi đến hệ thống quản lý domain của bạn và pass giá trị TXT vừa copy vào

• Sau đó, quay lại Sophos Central -> Nhấn Verify

• Thông báo domain đã được verify

4. Tạo user trên Sophos Central

• Đi đến mục People -> Nhấn Add user

• Nhập thông tin tên và email của user vào

** Bạn có thể đồng bộ user từ file CSV hoặc từ hệ thống Azure AD của bạn

Để đồng bộ user từ Azure AD -> Tham khảo tài liệu https://thegioifirewall.com/sophos-central-huong-dan-cau-hinh-dong-bo-user-giua-azure-ad-va-sophos-central/

5. Tạo campaign Phish Threat

• Đi đến mục Campaigns -> Nhấn New Campaigns

• Đặt tên cho campaigns và chọn loại tấn công mà bạn muốn thực hiện -> Nhấn Save

• Chọn template mail mà muốn sử dụng để thực hiện tấn công -> Nhấn Next

• Chọn loại training mà bạn muốn sử dụng cho người dùng -> Nhấn Next

• Tiếp theo, bạn có thể customize lại nội dung email mà bạn sẽ gửi cho người dùng (email người gửi, subject,…)

• Chọn user mà bạn muốn gửi mail -> Nhấn Next
• ** Lưu ý: Chỉ những user với email của domain đã được verify mới được thực hiện gửi mail

• Cuối cùng là chọn khoảng thời gian để chiến dịch diễn ra (từ thời gian nào tới thời gian nào) và review lại toàn bộ cấu hình mà bạn đã thực hiện -> Nhấn Done
• Khi chiến dịch kết thúc, bạn sẽ nhận được toàn bộ các sự kiện đã diễn ra

Trong một số trường hợp, khi bạn gặp vấn đề với Sophos Endpoint và gặp khó khăn trong việc tắt chức năng bảo vệ tamper protection thông qua giao diện người dùng, bài viết này sẽ cung cấp hướng dẫn cách vô hiệu hóa tamper protection để bạn có thể gỡ cài đặt Sophos Endpoint một cách dễ dàng.

2 Các bước thực hiện

Trên máy muốn gỡ cài đặt, mở CMD bằng quyền admin.

Thực hiện câu lệnh như trên:

• Cd C:\Program Files\Sophos\Endpoint Defense
• SEDcli.exe -OverrideTPoff 857542061690

Trong đó: 857542061690 ta thay bằng tamper protection password của máy tính cần uninstall.

Sau khi thành công sẽ xuất hiện dòng lệnh như sau:

• Successfully overrode Central Policy for up to four hours and disabled SED Tamper Protection

Tamper protection password có thể xem tại thông tin của máy trên central.

Sau đó ta có thể gỡ cài đặt Endpoint như bình thường.

• Khi bạn muốn nâng cấp từ license Antivirus Sophos Intercept X Advanced lên bản Sophos Intercept X Advanced with XDR
• Nhưng hiện tại bạn đã cài Sophos CIXA cho các máy trạm
• Bài viết sẽ hướng dẫn cách triển khai thêm gói XDR hàng loạt xuống các máy đã được cài CIXA trước đó

Hướng dẫn thực hiện

• Đăng nhập vào tài khoản Sophos Central

• Chọn mục Devices

• Tick chọn những máy tính mà bạn muốn cài thêm XDR

• Chọn Manage Endpoint Software

• Ở mục Protection: Chọn Intercept X Advanced with XDR
• Nhấn Save

• Sau đó gói XDR sẽ được tự động đẩy xuống các máy trạm

Bài viết này sẽ hướng dẫn các bạn cài đặt Sophos endpoint bằng source có sẵn từ các máy đã cài đặt endpoint rồi. Cách cài đặt này sẽ phù hợp với hệ thống có tốc độ internet thấp. Tuy nhiên, bạn vẫn phải tải các gói cài đặt thêm nếu cần thiết do sự khác biệt hệ thống giữa máy cài và máy source.

2 Các bước thực hiện

2.1 Chuẩn bị source cài đặt

Tại máy tính có cài sẵn Sophos Endpoint. Ta truy cập vào đường dẫn sau:

%ProgramData%\Sophos\AutoUpdate\data\repo\

Copy toàn bộ file trong thư mục này vào thiết bị lưu trữ hoặc chép trực tiếp vào máy cần cài đặt.

Và file thứ 2 cần có là file cài đặt Sophos Endpoint. Bạn có thể lấy file từ Sophos central của mình. Tiến hành chép vào thiết bị lưu trữ hoặc máy tính cần cài đặt endpoint.

2.2 Tiến hành cài đặt

Tiến hành tạo 1 thư mục. Đây là nơi sẽ chứa source cài đặt của bạn, source khi cài đặt endpoint sẽ trỏ về đường dẫn thư mục này.

Tại thư mục đó, tiến hành tạo 1 thư mục con có tên là SophosLocalInstallSource

Mở SophosLocalInstallSource, chép toàn bộ source đã copy từ máy cài endpoint trước vào.

Chuẩn bị file cài đặt endpoint tải từ Sophos central, và đường dẫn thư mục chứa file này để tiến hành cài đặt bằng command line.

Mở CMD và truy cập đến đường dẫn chứa file cài đặt Sophos endpoint.

Tiến hành chay file cài đặt và thêm tham số :

–localinstallsource=”<source folder path>”

Trong đó <source folder path> là đường dẫn folder source có chứa folder SophosLocalInstallSource.

Sau khi thực hiện câu lệnh. Quá trình cài đặt sẽ tải các file còn thiếu với máy bạn, nhấn install để cài đặt. Nếu bạn không muốn phải nhập tay bước này và quá trình cài đặt ẩn dưới nền thì ta thêm tham số –quiet vào dòng lệnh cài đặt ở bước trên.

Trong quá trình cài thì máy tính sẽ kiểm tra và tải các file cần thiết tùy vào hệ thống từ máy source khác với máy tính đang cài như thế nào.

Quá trình cài đặt hoàn tất.

Trong một số trường hợp, bạn bị mất tamper protection và không thể khôi phục lại được tamper protection trên Sophos central. Chúng ta cần phải xóa endpoint bằng cách thay đổi Registry.

Bài viết này hướng dẫn thực hiện đổi registry trên Windows 10, Windows server 2016, 2019.

Cách này áp dụng cho phiên bản Core Agent 2.20.13 trở lên

2 Các bước thực hiện

2.1 Chuẩn bị

Truy cập Settings > Update & Security > Recovery under Advanced start-up chọn Restart now.

Chọn Trouble Shoot

Chọn Advanced Options

Chọn Command Prompt

Đăng nhập bằng tài khoản local của máy

Thực hiện câu lệnh sau:

• Nhập C: và nhấn Enter.( Nếu ổ chứa hệ điều hành của bạn là ổ C. Có thể xem danh sách ổ bằng lệnh Diskpart > list volume.)
• Nhập cd Windows\System32\drivers và nhấn Enter.
• Nhập ren SophosED.sys SophosED.sys.old và nhấn Enter.
• Nhập exit và nhấn Enter

Chọn Continue và khởi động lại máy

2.2 Chỉnh sửa registry

Mở Registry Editor và thực hiện chỉnh sửa như sau. (Trước khi chỉnh sửa bạn cần export ra file backup phòng trường hợp sự cố )

Truy cập đường dẫn HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos MCS Agent. Và chỉnh Start thành 4.

Truy cập HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos AutoUpdate Service. Và chỉnh Start thành 4.

Truy cập HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Endpoint Defense\TamperProtection\Services. Sau đó tại tất cả các mục con trong mục Services, ta chỉnh Protected thành 0. Cứ tiếp tục cho đến khi tất cả phần con trong đó có Protected đều bằng 0.

Truy cập HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Endpoint Defense\TamperProtection\Config. Chỉnh SEDEnabled thành 0.

Sau đó khởi động lại máy tính. Nếu không thấy biểu tượng con Sophos endpoint không xuất hiện ở góc dươi màn hình nữa là ta đã thực hiện thành công. Tiến hành gỡ cài đặt ứng dụng.

Trong trường hợp vẫn xảy ra lỗi như sau.

Vào Registry Editor. Tại HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos AutoUpdate Service ta chỉnh Start thành 2.

Sau đó khởi động lại máy và gỡ cài đặt

Vậy là chúng ta đã gỡ cài đặt thành công Sophos Endpoint bằng Registry.

1 Tổng quan

Bài viết này sẽ hướng dẫn các bạn thêm tài khoản Admin trên Central của mình. Yêu cầu cần có một tài khoản email không nằm trên một Central khác.

2 Các bước thực hiện

Truy cập Sophos central bằng tài khoản có quyền Super Admin. Mục People ta chọn Add User

Điền thông tin user như Name, Email. Chọn Role ở đây là Admin. Sau đó click Save.

Sau đó đăng nhập vào Sophos Central bằng tài khoản Email vừa tạo.

Click mục dưới để tạo Password.

Ta click vào mục như hình để Sophos gửi mã xác thực đến email đăng ký.

Nhập code nhận được từ email. Ta click vào mục trên để xác thực.

Sau khi xác thực thành công. Ta tạo mật khẩu cho tài khoản. Xác nhận mật khẩu một lần nữa. Sau đó click vào nút xanh để xác nhân.

Tạo mật khẩu thành công. Trình duyệt sẽ điều hướng sang mục kế tiếp. Click next.

Chọn cách thức bảo mật 2 lớp để tăng cường bảo mật cho tài khoản. Ở đây mình chọn Sophos Google Authentication. Sau đó nhấn Next. Mã QR hiện lên. Ta nhập mã QR vào App Google Authentication trên điện thoại.

Nhập mã Security code vừa tạo từ Google Authentication trên điện thoại. Tạo một mã Pin để đăng nhập, mã Pin này gắn liền với tài khoản của bạn. Nhấn Next.

Xong các bước. Tài khoản đã được tạo thành công với quyền Admin.

1 Tổng quan

Security Heartbeat là một tính năng độc quyền của Sophos giúp trao đổi trạng thái giữa Sophos endpoint lên Sophos Central thông qua Sophos Firewall. Kết nối này cho biết độ tin cậy của thiết bị và từ đó ta có thể tạo các chính sách để cho phép hoặc ngăn chặn truy cập đối với các máy tính này. Lưu ý, Security Heartbeat qua VPN hiện tại Sophos chỉ hỗ trợ thiết bị Windows, không hỗ trợ MacOS.

Bài viết này thegioifirewall sẽ hướng dẫn các bạn cấu hình chặn truy cập VPN đối với các máy tính không cài Sophos Endpoint thông qua Security Heartbeat

2 Mô hình tổng quan

Ở đây có 2 máy Windows 10 một máy có cài Sophos endpoint và một máy không cài. Ta cấu hình chặn các máy tính không cài endpoint truy cập VPN vào mạng Lan cũng như cho phép các máy có endpoint được truy cập bình thường

Sophos firewall cấu hình các policy truy cập mạng và cho phép SSL VPN đến mạng LAN

3 Cấu hình

Các bước cấu hình như sau:

• Cấu hình ban đầu gồm có
  • SSL VPN
  • Bật Security Heartbeat trên Sophos Firewall.
• Cài đặt Sophos Endpoint trên thiết bị.
• Cấu hình chặn truy cập VPN đối với máy tính không có Security Heartbeat

3.1 Cấu hình ban đầu

-Ta tiến hành cấu hình cho phép kết nối SSL VPN đến Sophos Firewall

Các bạn tham khảo bài viết sau để cấu hình

– Bật Security Heartbeat trên Sophos Firewall

Để bật security heartbeat chúng ta cần nhập tài khoản Sophos Central lên Firewall, các bạn tham khảo bài viết sau để cấu hình

3.2 Cài đặt Sophos endpoint trên thiết bị

Để cài đặt, chúng ta truy cập vào Sophos Central >> Protect Devices và Download bản cài đặt phù hợp

Với hệ thống AD chúng ta có thể dùng GPO để triển khai cài đặt, tham khảo bài viết sau để cấu hình

3.3 Cấu hình chặn VPN với các máy tính không cài đặt Sophos Endpoint

Sau khi chuẩn bị xong các bước ta tiến hành bật policy Heartbeat trên Firewall

3.3.1 Trường hợp SSL VPN Full tunnel

Đối với trường hợp này tất cả các traffic của Windows 10 VPN đến LAN và ra internet đều phải đi qua Sophos Firewall.

Ta vào mục Remote access VPN, tại tab SSL VPN ta edit lại cấu hình đã cài đặt trước đó. chọn Use as default gateway ở mục Tunnel access

Sau khi thay đổi cấu hình ta truy cập user portal tải lại file cấu hình mới để import vào phần mềm VPN trên máy client.

Tiếp theo ta cấu hình lại policy cho phép SSL VPN truy cập vào mạng Lan. Ta truy cập Firewall rule đã cấu hình.

Kéo xuống dưới. Tại mục Configure Synchronized Security Heartbeat ta chỉnh trạng thái Heartbeat minimum source HB permitted thành Yellow trở lên thì được phép truy cập. Và chặn kết nối không có Heartbeat.

Lưu cấu hình và chuyển sang phần 4 kiểm tra kết quả.

3.3.2 Trường hợp SSL VPN Split tunnel

Đối với trường hợp này chỉ traffic đi vào hệ thống Lan mới qua VPN, còn lại thì không qua VPN.

Ta cấu hình route traffic đến địa chỉ ip Security Heartbeat thì sẽ qua VPN đến Sophos Firewall

Địa chỉ Ip của Security Heartbeat mình là 52.5.76.173. Tùy data center khác nhau sẽ có địa chỉ IP khác nhau.

Chúng ta có thể kiểm tra bằng cách truy cập vào đường dẫn sau:

C:\ProgramData\Sophos\Heartbeat\Config và mở file Heartbeat.xml

Tuy nhiên quyền truy cập thư mục này sẽ bị chặn và để kiểm tra thì ta phải tắt các tính năng của Sophos Endpoint.

Để tắt tính năng này ta phải có tamper protection password. Tham khảo bài viết sau để lấy tamper protection

Sau khi có được Ip heartbeat ta cấu hình Split tunnel cho SSL VPN

Vào mục Remote access VPN, tại tab SSL VPN chọn edit lại cấu hình đã cài đặt trước đó. Disable Use as default gateway ở mục Tunnel access. Tại mục Permitted network resource ta thêm địa chỉ ip Heartbeat lúc nãy vào

Sau khi thay đổi cấu hình ta truy cập user portal tải lại file cấu hình mới để import vào phần mềm VPN trên máy client.

Tiếp theo ta cấu hình lại policy cho phép SSL VPN truy cập vào mạng Lan. Ta truy cập Firewall rule đã cấu hình.

Kéo xuống dưới. Tại mục Configure Synchronized Security Heartbeat ta chỉnh trạng thái Heartbeat minimum source HB permitted thành Yellow trở lên thì được phép truy cập. Và chặn kết nối không có Heartbeat

Lưu cấu hình và sang phần 4 kiểm tra kết quả.

4 Kiểm tra kết quả

4.1 Với thiết bị có cài Sophos Endpoint

Tại máy tính có cài Endpoint ta VPN đến Firewall

Truy cập vào trang quản trị Firewall ta xem hiện ra kết nối và mục security heartbeat đã hiện lên thiết bị.

Truy cập vào trang central ta chọn thiết bị mình đã truy cập vpn để xem thông tin. Vào mục Device chọn tên máy tính và xem ở tab Summary. Ta sẽ thấy Security Heartbeat Firewall đã được kết nối đến Firewall của mình với Serial number như ở mục dưới

Ta thử kết nối đến tài nguyên bên trong hệ thống

Vậy là đã kết nối thành công.

4.2 Với thiết bị không cài Sophos Endpoint

Tiếp theo tại máy không cài Sophos Endpoint ta kết nối VPN đến Firewall và tương tự trang quản trị Firewall ta không thể nhìn thấy được Security heartbeat.

Thử truy cập đến tài nguyên bên trong mạng và kết quả là bạn đã bị chặn.

Vậy là chúng ta đã cấu hình xong tính năng quản lý máy tính VPN thông qua Security Heartbeat

1 Tình huống

Trong quá trình sử dụng, chúng ta xóa nhầm 2 thiết bị khỏi central, do máy tính vẫn còn tamper protection nên không thể uninstall cũng như reinstall lại endpoint và đưa thiết bị trở lại central.

Bài viết này thegioifirewall sẽ hướng dẫn các bạn cấu hình khắc phục bằng cách tắt tamper protection trên thiết bị bằng GPO và khôi phục đưa Device trở lại lên Sophos Central.

2 Mô hình

Trong mô hình này 2 máy Windows 10 đã join vào domain và đã cài Sophos Endpoint. Server 2016 làm domain controller và triển khai các GPO xuống máy Windows 10.

Máy Windows 10 có khả năng truy cập mạng và truy cập đến Sophos Central.

3 Các bước thực hiện

Ta tiến hành như sau:

• Tạo GPO tắt Tamper protection trên từng thiết bị
• Triển khai cài đặt lại Sophos Endpoint bằng GPO
• Kiểm tra kết quả

3.1 Tạo GPO tắt Tamper protection

Chúng ta truy cập lên Sophos Central để lấy lại tamper của các máy đã xóa, truy cập mục sau.

Logs & Reports >> Recover Tamper Protection passwords

Lưu lại mật khẩu 2 máy đã bị xóa.

Chúng ta tạo GPO để tắt tamper protection như sau

Tại máy Domain controller. Tạo GPO áp dụng lên 2 máy tính cần sửa lỗi.

Ta edit policy và chọn run Startup Scripts

Sript có Tham số như sau

Script name là đường dẫn file tại local của máy tính

C:\Program Files\Sophos\Endpoint Defense\SEDcli

Script parameter là tham số để tắt tamper protection và sau là Password của máy PC1

-OverrideTPoff password

Tương tự tạo script tắt tamper protection cho PC2 với password tamper của PC2

Sau khi apply chúng ta tiến hành đổ Policy xuống các máy

Policy sẽ đổ xuống các máy con và khi khởi động lại, máy con sẽ chạy lệnh để tắt tamper protection.

Chúng ta có thể kiểm tra tại từng máy bằng cách mở endpoint lên và nếu mục setting hiện lên như sau nghĩa là ta đã tắt tamper protection thành công

3.2 Triển khai reinstall Sophos Endpoint bằng GPO

Để đưa 2 máy trên trở lại central chúng ta cần reinstall lại Sophos endpoint

Ta lam theo hướng dẫn bài viết sau để cài đặt Sophos Endpoint bằng GPO

Tiến hành cài đặt bằng GPO

3.3 Kiểm tra kết quả

Sau khi đã reinstall thành công trên các máy chúng ta truy cập vào trang Central để xem lại các thiết bị của mình đã quay trở lại hay chưa

Vậy là chúng ta đã lấy lại được thiết bị trên Central. Chúc các bạn thành công

1 Tổng quan

Macos 12.4 vừa ra mắt trong thời gian gần quan đã có những thay đổi về chính sách bảo mật nên ảnh hưởng đến việc cài đặt Sophos Endpoint

2 Các bước xử lý

Để cài đặt được Sophos endpoint ta tiến hành như sau

Mở thư mục home của máy

Copy file cài đặt vào thư mục home tại đây. Sophos khuyến khích người dùng để file cài đặt ở thư mục này. Sau đó ta tiến hành chạy file cài đặt như bình thường

Sau khi Endpoint tải xong thì mac sẽ yêu cầu cấp quyền cho endpoint. Ta chọn Open Security Preference

Chọn Click the lock to make change để cấp quyền sửa đổi với cấu hình. Đăng nhập tài khoản admin để unlock.

Tại dòng Some system software requires your attention before it can be use ta bấm vào Detail.

Chọn Allow để cho phép.

Chọn Ok

Vậy là đã cài đặt thành công Sophos Endpoint trên Macos 12.4