1.Overview.
Live Response là một công cụ khắc phục sự cố và săn tìm mối đe dọa được tích hợp trên Sophos Central. Nó cho phép các central administrators kết nối với các thiết bị endpoint và máy chủ do Sophos quản lý thông qua một phiên CMD terminal nâng cao và an toàn.
Phiên được tạo thông qua central console là một phiên bản đầy đủ của CMD, bạn có thể thực hiện bất kỳ hành động nào mà CMD nâng cao có thể thực hiện cục bộ trên thiết bị endpoint.
Central administrators có thể sử dụng phiên này để điều tra và khắc phục các sự cố bảo mật có thể xảy ra trong mạng công ty và có thể dừng các quy trình đáng ngờ, khởi động lại thiết bị, browse thư mục, xóa tệp, v.v.
Trước khi có thể kết nối với các thiết bị endpoint thông qua Live Response, bạn sẽ phải đảm bảo rằng kết nối có thể được thiết lập trước. Bài viết này sẽ hướng dẫn cho bạn những gì có thể làm để thực hiện khắc phục sự cố kết nối từ Sophos Central console của bạn đến thiết bị thông qua Live Response.
2. Các bước troubleshooting.
2.1 Kiểm tra trên Sophos Central.
*Kiểm tra các các đáp ứng cơ bản để sử dụng Live Response.
Live Response là một phiên trên mỗi thiết bị, bạn có thể bắt đầu một phiên bằng cách click chọn tên thiết bị bạn cần thiết lập phiên. Bạn có thể tìm thấy nút Live Response ở phía bên trái của trang. Theo mặc định, nút “Live Response” có màu xám. Để bắt đầu sử dụng Live Response, hãy đảm bảo các điều kiện sau được đáp ứng.
Bước 1: Đảm bảo tính năng Live Response đã được enable.
Bạn di chuyển đến phần Global Settings > Enpoint Protection > Live Response.
Enable “Allow Live Response connections to computers”.
Bước 2: Bạn cần có tài khoản với quyền Super Admin trên Sophos Central để thực hiện Live Response.
Thông báo yêu cầu quyền Super Admin sẽ xuất hiện nếu bạn thực hiện Live Response với tài khoản không có quyền.
Bước 3: Đảm bảo thiết bị endpoint đang online.
Khi bạn click vào Live Response mà hiện thông báo “The device is not currently online“. Bạn sẽ cần kiểm tra lại thiết bị có đang bị tắt hay không.
Nếu bạn kiểm tra thấy thiết bị đã bật nhưng vẫn hiện thông báo Offline trên Central, bạn cần kiểm tra tiếp xem các dịch vụ Sophos MCS có đang chạy trên thiết bị hay không. Nếu thấy các service này chưa được start bạn có thể click start lại các service này.
Khi bạn đã đáp ứng được hết các điều kiện ở trên, bạn click chọn Live Response, một tab Live Response mới sẽ hiện ra.
Lưu ý: Một số tiện ích bổ sung của trình duyệt có thể chặn cửa sổ tạo phiên của Live Response, nếu điều này xảy ra, hãy thêm loại trừ vào trang web hoặc tắt tiện ích bổ sung của trình duyệt khi cần kết nối.
2.2 Kiểm tra trên Endpoint.
Khi bạn đã kiểm tra hết tất cả các yêu cầu đều đã đáp ứng trên Sophos Central, mà bạn vẫn không thể sử dụng Live Response, bạn cần kiểm tra lại trên thiết bị Endpoint.
Bước 1: Đảm bảo Live Response được cài đặt thành công.
Bạn cần check lại các folder Live Response đã được cài trên Endpoint. Trên endpoint bạn đi đến ổ C:\Program Files\Sophos\Live Terminal.
Bạn kiểm tra trong Folder Live Terminal, cần có 6 file như hình dưới. Nếu không đủ các file này bạn cần thử uninstall và install lại sophos endpoint trên thiết bị.
Bước 2: Đảm bảo hai task Live Response đều đang chạy trên Task Manager.
Bạn mở Task Manager để kiểm tra, hai task đó là: Sophos-live-terminal.exe và Sophos-winpty-agent.exe.
Note: Nếu bạn đã thử kiểm tra và troubleshoot với các bước ở trên nhưng vẫn không thể sử dụng được Live Response bạn sẽ cần tạo Case Sophos support để được các chuyên gia của hãng hỗ trợ fix lỗi.
