Bài viết này nhằm:

• Hướng dẫn cách theo dõi và lọc log Sophos Firewall trên Sophos Central.
• Hướng dẫn xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Sophos Central giúp quản trị viên theo dõi và quản lý toàn bộ Sophos Firewall ttrên một giao diện web duy nhất, không cần đăng nhập từng thiết bị. Để giám sát, theo dõi, xuất Report tổng quan các thiệt bị Firewall, làm như sau:

Trên Sophos Central, chọn My Products -> Firewall Management -> Report Generator

Report Generator là công cụ để quản trị viên giám sát, theo dõi và tạo báo cáo (report) tùy chỉnh cho Sophos Firewall.

• Firewalls: chọn Firewall cần xuất report.
• Report Template: Chọn Template có sẵn phù hợp với nhu cầu xem, chi tiết:
  • Antivirus: Các mã độc hoặc đối tượng nghi ngờ đã bị chặn.
  • Bandwidth usage: Mức sử dụng băng thông theo từng ứng dụng.
  • Cloud app risks and usage: Các ứng dụng Cloud được sử dụng và rủi ro liên quan.
  • Firewall: Số lượng kết nối giữa các địa chỉ IP cụ thể.
  • IPS: Các cuộc tấn công bị phát hiện/chặn bởi hệ thống IPS.
  • Log viewer and search: Log chi tiết của firewall (chỉ có biểu đồ dạng bảng).
  • SD-WAN: Tóm tắt mức độ đáp ứng SLA theo từng profile SD-WAN, kèm biểu đồ xu hướng.
  • SD-WAN SLA trend: Xu hướng SLA theo gateway (jitter, latency, packet loss).
  • SD-WAN Bandwidth usage: Thống kê băng thông theo gateway và theo thời gian.
  • Security posture assessment (SPA): Đánh giá tổng thể mức độ an toàn của hệ thống. (Có thể chọn tối đa 10 thành phần như: Bandwidth, Web usage, Threat geo activity…) (Recommend sử dụng)
  • Synchronized app: Thống kê ứng dụng được nhận diện bởi Synchronized App Control.
  • Threat geo activity: Các mối đe dọa bị chặn theo quốc gia.
  • Threats and events blocked: Toàn bộ các mối đe dọa/sự kiện đã bị chặn.
  • VPN usage: Mức độ sử dụng các kết nối VPN.
  • Web usage: Thống kê truy cập website.
  • Web user risk: Hoạt động web của người dùng truy cập website rủi ro cao.
  • X-Ops: Hoạt động tấn công nâng cao (Advanced Threat activities) do firewall phát hiện/chặn. Bao gồm traffic trong MDR.
  • Zero-day protection: File/email nghi ngờ được gửi đến module phân tích Sandstorm

• Time Frame: Chọn mốc thời gian phù hợp với nhu cầu xem
• Query: Tùy chọn query phù hợp với nhu cầu lọc.

Sau đó, nhấn Schedule để lên lịch gửi report:

• Template Name: Đặt tên của mẫu báo cáo.
• Export scheduling: Bật/Tắt việc xuất report tự động theo lịch.
• Time frame: Chọn khoảng thời gian dữ liệu trong mỗi report
• Export frequency: Chọn chu kỳ xuất báo cáo
• Export format: Chọn định xạng file xuất (PDF, CSV, HTML)
• Export notification / delivery: Chọn cách gửi email
• Send this export to other Sophos admins?: Chọn chia sẻ report cho các admin khác

Sau khi hoàn tất, Nhấn Save.

Thông báo hiển thị đã tạo Template và Schedule thành công

Đúng Schedule, Sophos sẽ tự động xuất file Export dựa trên cấu hình đã setup

1. Mục đích bài viết

Bài viết này sẽ hướng dẫn các bạn cách cấu hình xác thực 2 lớp bằng Google Authenticator khi chúng ta đăng nhập vào Sophos Central.

2. Cài đặt ứng dụng Google Authenticator về điện thoại

3. Hướng dẫn cấu hình
4. Đăng nhập vào Sophos Central, sau đó vào Manage User & Groups

2. Chọn tài khoản muốn thay đổi MFA

3. Reset MFA cho tài khoản đó

4. Đăng xuất tài khoản, sau đó đăng nhập lại để tiến hành cài đặt MFA

5. Ấn Continue để tiến hành cài đặt MFA

6. Sophos sẽ gửi 1 đoạn code gồm 6 chữ số về gmail, hãy nhập đoạn code đó vào phần Verification Code. Sau đó nhập mã PIN gồm 6 chữ số mà bạn muốn vào phần PIN. Sau đó nhấn Continue.

7. Vào phần mềm Google Authenticator trên điện thoại để quét mã QR

• Nên đặt tên ở phần Device Name để dễ phân biệt nếu muốn thêm các MFA khác.
• Security Code sẽ thay đổi mỗi 30 giây 1 lần.

8. Cấu hình hoàn tất, những lần đăng nhập kế tiếp, ta chỉ cần chọn cách thức xác nhận MFA bằng Google Authenticator

1. Mục đích bài viết

Bài viết này sẽ hướng dẫn các bạn cách cấu hình xác thực 2 lớp bằng Microsoft Authenticator khi chúng ta đăng nhập vào Sophos Central.

2. Cài đặt ứng dụng Microsoft Authenticator về điện thoại

3. Hướng dẫn cấu hình
4. Đăng nhập vào Sophos Central, sau đó vào Manage User & Groups

2. Chọn tài khoản muốn thay đổi MFA

3. Reset MFA cho tài khoản đó

4. Đăng xuất tài khoản, sau đó đăng nhập lại để tiến hành cài đặt MFA

5. Ấn Continue để tiến hành cài đặt MFA

6. Sophos sẽ gửi 1 đoạn code gồm 6 chữ số về gmail, hãy nhập đoạn code đó vào phần Verification Code. Sau đó nhập mã PIN gồm 6 chữ số mà bạn muốn vào phần PIN. Sau đó nhấn Continue.

7. Vào phần mềm Microsoft Authenticator trên điện thoại để quét mã QR

• Nên đặt tên ở phần Device Name để dễ phân biệt nếu muốn thêm các MFA khác.
• Security Code sẽ thay đổi mỗi 30 giây 1 lần.

8. Cấu hình hoàn tất, những lần đăng nhập kế tiếp, ta chỉ cần chọn cách thức xác nhận MFA bằng Microsoft Authenticator

Tổng quan:

• Bài viết này chia làm 2 phần: Hướng dẫn xem Dashboard có bản đồ và Hướng dẫn xóa bản đồ.

1. Hướng dẫn xem Dashboard có bản đồ:

1. Đăng nhập vào tài khoản Sophos Central.

2. Nhấn vào menu Dashboards > Nhấn vào Manage Dashboard.

3. Nhấn vào Find dashboards để hiện thị các Dashboard được tạo sẵn bởi Sophos.

4. Nhấn vào biểu tượng để thêm Dashboard mong muốn vào danh sách hiện có.

5. Nhấn vào tên của Dashboard có bản đồ, trong trường hợp này là Threat Analysis Center Dashboard.

2. Hướng dẫn xóa bản đồ:

• Chúng ta chỉ có thể chỉnh sửa các Dashboard do bản thân tạo ra, không thể điều chỉnh các Dashboard do Sophos tạo ra.

1. Thế nên cần phải tạo bản sao của Dashboard đó, nhấn vào biểu tượng để tạo bản sao.

2. Nhấn vào Clone.

3. Nhấn vào biểu tượng   > Nhấn vào

4. Nhấn chọn Dashboard đã xóa bản đồ để sử dụng. Lưu ý, Dashboard có Creator là tên của Super Admin.

5. Khi sử dụng Dashboard đã chỉnh sửa, ta sẽ không còn thấy bản đồ nữa.

Viết bởi Karl Ackerman

Chúng tôi rất vui mừng được chia sẻ bản cập nhật lớn cho sản phẩm NDR (Phát hiện và phản hồi mạng) của mình: giờ đây khách hàng có thể triển khai NDR trên phần cứng được chứng nhận để hỗ trợ các môi trường có lưu lượng truy cập cao.

Lợi ích chính

Khi được triển khai trên các thiết bị ảo được hỗ trợ (VMWare ESXi, MS HyperV và AWS AMI), Sophos NDR hiện bị giới hạn ở 1GBS lưu lượng mạng. Hạn chế này đặt ra thách thức cho những khách hàng có lưu lượng truy cập cao hơn và/hoặc các văn phòng chi nhánh được phân bổ rộng rãi hơn.

Việc triển khai hình ảnh ISO mới này cho phần cứng được chứng nhận sẽ hỗ trợ các môi trường mạng nhỏ, vừa và lớn, hỗ trợ kết nối lên tới 40Gbps và 120K/giây.

Thông tin giấy phép

Không có thay đổi nào về cấp phép: Giấy phép sản phẩm Sophos NDR được xác định bởi số lượng người dùng và máy chủ trong môi trường và khách hàng có thể triển khai bao nhiêu cảm biến Sophos NDR nếu cần.

Làm thế nào để có được nó

Khách hàng và đối tác có thể chọn ISO phần cứng được chứng nhận mới trong quá trình thiết lập thiết bị trong Sophos Central và làm theo hướng dẫn được cung cấp để triển khai trên phần cứng được chứng nhận.

Yêu cầu phần cứng được chứng nhận

• Để sử dụng hình ảnh ISO, khách hàng phải mua phần cứng được chứng nhận từ các nhà cung cấp như Dell.
• Chỉ triển khai ISO trên phần cứng được chứng nhận. Mặc dù hình ảnh có thể hoạt động trên phần cứng khác nhưng nó không được hỗ trợ và có thể phát sinh các vấn đề về chức năng.
• Việc mua phần cứng và mọi bảo hành liên quan là trách nhiệm của khách hàng. Sophos không có thỏa thuận đại lý với các nhà cung cấp phần cứng được chứng nhận và không thể mua phần cứng thông qua Sophos.
• Tham khảo Thông số kỹ thuật phần cứng được chứng nhận chi tiết để biết thêm thông tin

Viết bởi Paul Murray

NGÀY 14 THÁNG 2 NĂM 2024

Các tổ chức sử dụng Veeam Backup & Replication giờ đây có thể tăng cường khả năng phòng thủ chống lại ransomware bằng Sophos MDR và Sophos XDR. Đọc tiếp để tìm hiểu cách tích hợp mới của Sophos với Veeam mang lại khả năng hiển thị tốt hơn để phát hiện và ngăn chặn các mối đe dọa nhắm mục tiêu vào dữ liệu sao lưu.

Sao lưu và phục hồi là một phần không thể thiếu trong chiến lược an ninh mạng toàn diện. Kẻ thù cố gắng giả mạo các giải pháp sao lưu để ngăn chặn quá trình phục hồi sau các cuộc tấn công bằng ransomware – việc phát hiện sớm hoạt động độc hại này là rất quan trọng.

Sự tích hợp mới của Sophos với Veeam trao đổi liền mạch thông tin bảo mật khi mối đe dọa xuất hiện, mở rộng khả năng hiển thị để giúp phát hiện, điều tra và ứng phó với các cuộc tấn công đang hoạt động.

Mối quan hệ hợp tác mới mạnh mẽ này mang đến sự an tâm rằng dữ liệu sao lưu luôn sẵn có và được bảo vệ, cho phép các tổ chức phát hiện các mối đe dọa, điều tra hoạt động đáng ngờ và cuối cùng là khôi phục dữ liệu nhanh chóng.

Với Sophos và Veeam, các tổ chức có thể đảm bảo tính toàn vẹn và sẵn có của các bản sao lưu, giảm nguy cơ mất dữ liệu do phần mềm độc hại, vô tình xóa, các mối đe dọa bảo mật nội bộ và các tình huống mất dữ liệu khác.

• Dịch vụ Sophos MDR cung cấp khả năng giám sát bảo mật 24/7, lọc các cảnh báo dư thừa và điều tra các mối đe dọa đối với môi trường Veeam, như các nỗ lực xóa kho lưu trữ sao lưu, vô hiệu hóa xác thực đa yếu tố, xóa mật khẩu mã hóa, v.v.
• Các tổ chức sử dụng giải pháp Sophos XDR để điều tra và phản hồi nội bộ cũng có thể tích hợp phép đo từ xa Veeam để xác định hoạt động độc hại tiềm ẩn, kết hợp với phát hiện mối đe dọa từ các nguồn khác trong một nền tảng và bảng điều khiển thống nhất.

Sự bảo vệ mạnh mẽ nhất chống lại các cuộc tấn công ransomware

Giải pháp Sophos XDR và dịch vụ Sophos MDR bao gồm công nghệ CryptoGuard hàng đầu trong ngành có khả năng phát hiện và ngăn chặn phần mềm tống tiền trên toàn cầu trước khi nó tác động đến hệ thống của khách hàng, bao gồm các biến thể mới cũng như mã hóa cục bộ và từ xa .

Khả năng ngăn chặn, phát hiện và phản hồi vượt trội của Sophos, kết hợp với các bản sao lưu và phiên bản bất biến do Veeam cung cấp, đảm bảo dữ liệu sao lưu vẫn được an toàn và có thể phục hồi.

Nâng cao khả năng phòng thủ của bạn với tích hợp Veeam mới của Sophos

Tích hợp Veeam mới hiện có sẵn dưới dạng tiện ích bổ sung cho đăng ký Sophos MDR và Sophos XDR thông qua giấy phép Gói tích hợp “Sao lưu và phục hồi” mới.

Để tìm hiểu thêm và khám phá cách Sophos MDR và Sophos XDR có thể giúp tổ chức của bạn bảo vệ tốt hơn trước các đối thủ đang hoạt động, bao gồm các cuộc tấn công nhắm vào kho lưu trữ dự phòng của bạn, hãy trao đổi với cố vấn Sophos hoặc đối tác Sophos của bạn.

Đã là khách hàng của Sophos MDR hoặc Sophos XDR? Kích hoạt tích hợp Veeam trong bảng điều khiển Sophos Central của bạn ngay hôm nay.

Tamper Protection là một tính năng ngăn người dùng trái phép và một số loại phần mềm độc hại đã biết gỡ cài đặt hoặc vô hiệu hóa phần mềm bảo mật Sophos thông qua giao diện Sophos. Bất kỳ nỗ lực nào để vô hiệu hóa tính năng Tamper protection do người dùng trái phép hoặc phần mềm độc hại thực hiện đều tạo ra một báo cáo / cảnh báo được gửi đến Sophos Central.

Vì vậy nếu Admin muốn gỡ cài đặt Sophos Endpoint Agent trên 1 máy cụ thể thì admin cần có được Tamper Protection Password của máy tính đó trên Sophos Central và đăng nhập vào Endpoint với password này để tắt Tamper Protection trước khi gỡ cài đặt Sophos Endpoint.

Bài viết sẽ hướng dẫn Admin cách lấy Tamper Protection Password trên Sophos Central và tắt Tamper Protection để có thể gỡ cài đặt Sophos Endpoint Agent.

Hướng dẫn

Bước 1: Lấy Tamper Protection Password của Endpoint

Đăng nhập Sophos Central Admin > Device > Click chọn double vào tên thiết bị cần gỡ Sophos Endpoint. Ex: VM10-John-Test-11.

Sau khi đã nhấn double click thiết bị, kéo xuống và chọn View password details dưới phần Disable Tamper Protection.

Copy dãy số dưới Current Password.

Bước 2: Tắt Tamper Protection trên Endpoint

Trên thiết bị cần gỡ Sophos Endpoint (phải đúng tên thiết bị như đã lấy Current Password trên Sophos Central) click icon Sophos để mở giao diện Sophos Endpoint Agent.

Sau đó click chọn Admin sign-in

Nhập password tamper protection đã lấy ở bước 1 (Current Password). Click Admin sign-in.

Sau khi đăng nhập xong click vào phần Settings > tích chọn Override Sophos Central Policy for up to 4 hours to troubleshoot > tắt mục Tamper Protection để tắt tính năng này.

Bước 3: Gỡ cài đặt Sophos Endpoint

Sau khi tắt Tamper Password thì các bạn vào Control Panel > Programs > Programs and Features > click chuột phải vào Sophos Endpoint Agent > chọn Uninstall để gỡ cài đặt.

Tiếp theo chọn Uninstall để gỡ cài đặt Sophos Endpoint Agent.

Đợi khoảng 5′ để tiến trình gỡ cài đặt hoàn tất.

Sau khi gỡ cài đăt thành công click Close và máy tính sẽ tự động khởi động lại.

Vậy là quá trình gỡ cài đặt Sophos Endpoint hoàn tất.

Firewall Management cho phép bạn giám sát và cấu hình các thiết bị tường lửa Sophos mà bạn kết nối với Sophos Central.

Bài viết sẽ hướng dẫn cách thêm 1 thiết bị tường lửa Sophos để có thể quản lý nhiều tường lửa cùng lúc trên Sophos Central.

Hướng dẫn

Bước 1: Enable Sophos Central Service

Đăng nhập vào tường lửa Sophos bạn muốn register lên Sophos Central. Vào phần Protect > Central synchronization.

Nếu xuất hiện thông báo “You are not registered with Sophos Central”. Click Register.

Nếu bạn đã tạo Sophos Central Account trước đó, điền Email và password đã đăng kí, sau đó click Register.

Nếu chưa tạo bạn click chọn “Create Sophos Central Account” trước rồi quay lại đăng kí sau.

Sau khi Register xong. Click chọn bật Sophos Central Services.

Click chọn Use Sophos Central reporting và Use Sophos Central Management và Apply.

Sophos Central Service đã được bật.

Bước 2: Accept Sophos Firewall trên Sophos Central.

Đặng nhập Sophos Central theo đường dẫn sau: https://central.sophos.com/manage/bulk-computers

Sử dụng Email và password đã đăng kí Sophos Central Account.

Trên Sophos Central Admin > Firewall Management > Firewall. Bạn chú ý đến Approval Pending.

Click Approval Pending và chọn Accept Service để cho phép kết nối tường lửa Sophos lên Sophos Central.

Bạn đợi khoảng 1 phút để mục Connected hiện màu xanh.

Tường lửa Sophos đã được kết nối lên Sophos Central.

Để kết nối đến Dashboard của Sophos Firewall bạn chọn tên tường lửa đó hoặc click dấu 3 chấm và chọn Manage Firewall.

Bạn đợi 1 lúc để kết nối.

Giao diện cấu hình khi kết nối thành công.

Bước 3: Tạo group cho tường lửa.

Nếu bạn có nhiều tường lửa được kết nối với Sophos Central và muốn phân group để dễ quản lý và phân biệt. Click chọn Create New Group.

Đặt tên Group Name và chọn firewall bạn muốn add vào group chuyển qua bảng Assgined Device bằng dấu mũi tên “>”. Click Save.

Như vậy firewall tên XG đã được chuyển vào group HO_HCM.

Số lượng thiết bị được quản lý trên Sophos Central của bạn sẽ tăng lên theo thời gian cùng với sự phát triển của doanh nghiệp và trong quá trình phát triển đó, một số thiết bị có thể không đã không còn được sử dụng.

Có nhiều lý do như thiết bị có thể đã ngừng hoạt động. Thiết bị được thiết lập như 1 máy để kiểm tra nhanh. Hoặc người dùng đã rời khỏi công ty,…

Dù lý do là gì, bạn cần có một quy trình mạnh mẽ để xử lý các thiết bị như vậy, dù bạn có thể thường xuyên kiểm tra và xóa thiết bị đó ngay tại thời điểm ngừng hoạt động, nhưng đôi khi sẽ có những thiết bị có thể đã lọt qua sự kiểm tra và đang nằm im trên Sophos Central.

Vậy tại sao cần xóa các thiết bị không còn hoạt động trên Sophos Central ?

Hiện tại Sophos Central Active Directory (AD) Sync Utility hỗ trợ đồng bộ hóa người dùng và nhóm người dùng AD, nhưng không hỗ trợ thiết bị và nhóm thiết bị. Điều này có nghĩa là hiện tại không có phương pháp nào để xóa các thiết bị cũ khỏi Sophos Central một cách tự động. Nếu có nhiều thiết bị cần xóa, bạn sẽ không muốn xóa các thiết bị này theo cách thủ công thông qua giao diện người dùng của Sophos Central.

Có hai lựa chọn. Đầu tiên là một quy trình thủ công sử dụng Sophos Central API để thu thập thông tin thiết bị và tham chiếu chéo các thiết bị đó theo cách thủ công với nguồn thiết bị của bạn. Bạn có thể tạo một tập lệnh sẽ xóa các thiết bị bằng cách sử dụng Sophos Central API.

Tùy chọn thứ hai vẫn sử dụng Sophos Central API để thu thập thông tin thiết bị, nhưng với lợi ích bổ sung là sử dụng công cụ Security Information and Event Management (SIEM) và Security Automation và Orchestration (SOAR) để làm tự động hóa từ đầu đến cuối.

Đối với tùy chọn thứ hai, bạn cần trả lời một số câu hỏi:

+ Bạn sẽ cần thu thập dữ liệu nào để giúp xác định liệu bạn có thể xóa thiết bị không?

+ Điều gì xảy ra nếu một máy đang hoạt động bị xóa tự động?

+ Bạn có những công cụ nào để hỗ trợ quá trình này?

Để trả lời những câu hỏi này, Sophos sẽ trình bày các thành phần cơ bản của quy trình như một khuôn mẫu để bạn triển khai vào môi trường và quy trình của riêng bạn. Để có cái nhìn tổng quan, dưới đây là sơ đồ quy trình.

Dữ liệu nào là cần thiết?

Đầu tiên và cũng là quan trọng nhất, bạn cần một nguồn xác định cho các thiết bị và đối với hầu hết các tổ chức, đây là AD. Bạn sẽ cần theo dõi những thay đổi mới nhất trong Disabled OU hoặc vị trí tương đương tùy thuộc vào cách tổ chức của bạn quản lý các thiết bị đã ngừng hoạt động và xây dựng lại quy trình. Các trường quan trọng từ nguồn dữ liệu này là:

• Hostname
• Domain
• Distinguished Name
• Operating System
• Operating System Build Number

Các trường chính từ dữ liệu này cho quá trình là:

• hostname
• id
• lastSeenAt
• os
  • name
  • build
• type
• associatedPerson
  • name
  • viaLogin
• tenant
  • id

Cùng với nhau, các thông tin này sẽ tạo thành một cơ sở vững chắc để giúp xác định trong hệ thống là thiết bị nào là tiềm năng để xóa.

Làm cách nào bạn có thể xác thực dữ liệu AD và Sophos Central?

Dữ liệu được tương quan bằng cách sử dụng hostname và domain của thiết bị. Khi hai nguồn dữ liệu tương quan với nhau, bạn cần thiết lập một số phương pháp so sánh trước khi chuyển dữ liệu đến công cụ SOAR để xử lý nhằm đảm bảo có một số logic để xử lý các sự kiện.

Những câu hỏi nào đòi hỏi một số logic để trả lời?

Mục đích cho quá trình này là xóa các thiết bị không còn hoạt động khỏi Sophos Central. Để đạt được điều này mà không xóa các thiết bị hợp lệ, chúng ta cần nghĩ đến các tình huống có thể xảy ra khi chúng ta không muốn xóa thiết bị.

+ Xác định khoảng thời gian không hoạt động của thiết bị:

Mục đích của việc này là cho phép một khoảng thời gian không hoạt động hợp lý cho một hệ thống trong Disabled OU. Bằng cách chỉ trả lại những thiết bị không hoạt động trong một khoảng thời gian nhất định, sẽ ít có khả năng xóa một thiết bị có thể không cần xóa khỏi Sophos Central.

Chuyển đổi trường lastSeenAt trong Unix epoch time bằng cách sử dụng strptime, định dạng lastSeenAt là: “2019-09-23T12: 02: 01.700Z”

Tính số ngày kể từ khi thiết bị được nhìn thấy lần cuối: (now () Unix epoch – lastSeenAt Unix epoch) / 86400

+ Xác thực xem OS build có khớp hay không:

Có thể xảy ra trường hợp tên máy chủ và miền khớp với hệ thống mà OS build không khớp. Trong trường hợp này, thiết bị này phải được đặt cờ để can thiệp thủ công để tránh lỗi. Phương pháp tốt nhất là so sánh OS build của thiết bị với dữ liệu từ Sophos Central.

Tự động hóa

Hiện tại có một số hệ thống được xác định trong dữ liệu có thể bị xóa khỏi Sophos Central. Sử dụng nền tảng SOAR sẽ cho phép bạn chuyển từng sự kiện qua quy trình luồng để xác định điều gì sẽ xảy ra với thiết bị.

Bằng cách kiểm tra dữ liệu bạn có từ SIEM của mình với Sophos Central Endpoint API, bạn có thể xác nhận lần cuối rằng thiết bị thực sự không hoạt động và có thể bị xóa.

Ngoài khía cạnh tự động hóa của việc xóa thiết bị, bạn cũng cần thực hiện một số kiểm tra và có thể bao gồm một số tình huống để thực thi can thiệp thủ công trước khi có thể cho phép xóa.

Giám sát các thiết bị VIP:

Để tránh việc vô ý xóa thiết bị cho người dùng VIP, chúng tôi khuyên bạn nên gắn cờ các thiết bị này để can thiệp thủ công nhằm xác minh xem thiết bị có thể bị xóa khỏi Sophos Central hay không. Bạn có thể sử dụng một nhóm AD người dùng cụ thể để xác định những người dùng này là ai.

Các thiết bị đang hoạt động:

Sau khi so sánh hoạt động gần đây nhất của máy với dữ liệu từ SIEM và dữ liệu thu được thông qua truy vấn trực tiếp Sophos Central API , ta sẽ tính rằng thiết bị đã báo cáo lại Sophos Central gần đây. Những máy này nên được nâng lên để xác nhận thủ công trước khi chúng bị xóa.

Tránh trùng lặp trong quá trình xử lý:

Ghi nhật ký thiết bị nào đã bị xóa cho phép kiểm tra và loại trừ các thiết bị này khi đối chiếu thông tin khi bắt đầu quy trình.

Theo dõi quy trình đang hoạt động đã được thông qua để can thiệp thủ công:

Khi thiết bị yêu cầu can thiệp thủ công, bạn nên ghi lại những điều này và loại trừ khỏi quá trình xử lý trong tương lai khi ticket đang mở. Là một phần của can thiệp quy trình SOAR, điều này có thể được tự động hóa. Sau khi nhận được phản hồi liên quan, bạn có thể thực hiện thay đổi. Việc thiết bị có bị xóa hay không được ghi nhận và ticket được cập nhật, và nhật ký được xóa là đang hoạt động.

Theo dõi các lỗi xóa:

Bạn cũng nên gắn cờ các lỗi xóa hoặc xác minh thông tin thiết bị để có thể áp dụng biện pháp can thiệp thủ công cho những lỗi này.

Cách xử lý khi một thiết bị đang hoạt động đã bị xóa

Trong trường hợp thiết bị bị xóa không chính xác, cần thực hiện các bước sau để bảo vệ endpoint:

+ Nếu thiết bị chưa cài đặt Sophos Endpoint Protection, chỉ cần tải xuống trình cài đặt mới nhất từ ​​Sophos Central và cài đặt nó vào endpoint.

+ Nếu endpoint đã được cài đặt Sophos Endpoint Protection và Tamper Protection chưa được bật, trước tiên hãy gỡ cài đặt Sophos Endpoint Protection và cài đặt bằng trình cài đặt mới nhất từ ​​Sophos Central.

+ Nếu Sophos Endpoint Protection được cài đặt và bật Tamper Protection, hãy làm theo các bước bên dưới:

1. Đăng nhập vào đúng Sophos Central

2. Đi tới: Logs & Reports > Endpoint & Server Protection > Recover Tamper Protection (Mật khẩu sẽ vẫn còn trong báo cáo trong 60 ngày sau khi xóa)

3. Tìm kiếm tên máy và nhấp vào ‘View details’ để xem mật khẩu Tamper Protection mới nhất đã hoạt động trên máy trước khi xóa

4. Mở giao diện người dùng Sophos Endpoint Protection UI trên thiết bị

5. Click vào ‘Admin login’ và nhập mật khẩu Tamper Protection.

6. Chọn ‘Settings’ và click chọn ‘Override Sophos Central Policy for up to 4 hours to troubleshoot’

7. Trong phần “Control on Users”, hãy tắt Tamper Protection

8. Gỡ cài đặt Sophos Endpoint Protection

9. Cài đặt lại Sophos Endpoint Protection bằng trình cài đặt mới nhất từ Sophos Central.

Một số mốc quan trọng bạn cần lưu ý là:

+ Trong nền tảng SOAR bạn đã chọn, hãy đảm bảo tắt tác vụ cuối cùng để xóa thiết bị trước khi kiểm tra.

+ Xác thực xem mỗi thiết bị có đáp ứng kết quả mong đợi hay không trước khi cam kết xóa.

+ Khi bắt đầu tự động hóa, hãy bắt đầu bằng cách xóa thiết bị từ từ. Điều này sẽ cho phép thời gian để tinh chỉnh thêm quy trình của bạn.

+ Liên hệ với AD admins và service desk teams để nhận phản hồi. Chúng có thể cung cấp cái nhìn tốt hơn và có giá trị về quy trình và làm nổi bật một điểm chính có thể đã bị bỏ qua.

Đối với nhiều tổ chức, máy Mac là thiết bị cố định thường xuyên trong các phòng CNTT của họ. Cho dù chúng chỉ bao gồm một vài thiết bị hay một tỷ lệ đáng kể, máy Mac cần mức độ bảo vệ an ninh mạng và khả năng hiển thị giống như người anh em Windows của chúng.

Đó là lý do tại sao ngoài khả năng bảo vệ đã được chứng minh khỏi các mối đe dọa mới nhất, Endpoint Detection and Response (EDR) hiện đã có sẵn cho người dùng Mac ngoài Windows và Linux.

Intercept X Advanced với EDR cung cấp cho cả quản trị viên CNTT và các chuyên gia an ninh mạng khả năng thực hiện các hoạt động CNTT quan trọng và các câu hỏi về truy tìm mối đe dọa, sau đó thực hiện bất kỳ hành động cần thiết nào từ xa.

Vậy Sophos Endpoint Detection and Response mang đến cho người dùng Mac những lợi ích gì ? Chúng ta hãy cùng tìm hiểu nhé.

2. Nâng cấp các hoạt động bảo mật CNTT của bạn

Việc tìm và dọn dẹp các rủi ro của hệ thống CNTT đòi hỏi một khoản đầu tư thời gian đáng kể cho quản trị viên CNTT. Người quản trị viên cần phải xác định thiết bị nào đang trong tình trạng có thể bị tấn công và hành động nào cần thực hiện để có thể giải quyết vấn đề đó.

Với Sophos EDR, giờ đây bạn có thể làm điều đó – nhanh chóng và dễ dàng. Ví dụ:

• Tìm thiết bị có lỗ hổng phần mềm, dịch vụ không xác định đang chạy hoặc tiện ích mở rộng trình duyệt trái phép.
• Xác định thiết bị có phần mềm không mong muốn.
• Xem phần mềm đã được triển khai trên các thiết bị chưa, ví dụ: để đảm bảo quá trình cài đặt hoàn tất.
• Truy cập từ xa vào các thiết bị để tìm hiểu sâu hơn và thực hiện hành động, chẳng hạn như cài đặt phần mềm, chỉnh sửa tệp cấu hình và khởi động lại thiết bị.

3. Tìm kiếm và vô hiệu hóa các mối đe dọa

Theo dõi các mối đe dọa tinh vi, lảng tránh đòi hỏi một công cụ có khả năng phát hiện ngay cả những dấu hiệu xâm nhập nhỏ nhất.

Với bản phát hành này, Sophos EDR đang tăng cường đáng kể khả năng săn tìm mối đe dọa của mình. Ví dụ:

• Phát hiện các quy trình cố gắng tạo kết nối trên các cổng mạng bất thường.
• Nhận chi tiết cụ thể về các lần thực thi tập lệnh không mong muốn.
• Xác định các quy trình đã tạo tệp hoặc sửa đổi tệp cấu hình.
• Truy cập từ xa vào một thiết bị để triển khai các công cụ pháp y bổ sung, chấm dứt các quy trình đáng ngờ và chạy các tập lệnh hoặc chương trình.

4. Giới thiệu tính năng Live Discover và Live Response

Các tính năng có thể giúp giải quyết tất cả các ví dụ quan trọng ở trên là Live Discover và Live Response.

Live Discover cho phép bạn kiểm tra dữ liệu của mình cho hầu hết mọi câu hỏi mà bạn có thể nghĩ ra bằng cách tìm kiếm trên các thiết bị Mac với các truy vấn SQL. Bạn có thể chọn từ một loạt các truy vấn có sẵn, có thể được tùy chỉnh hoàn toàn để lấy thông tin chính xác mà bạn cần, cả khi thực hiện các tác vụ kiểm tra bảo mật CNTT và các nhiệm vụ tìm kiếm mối đe dọa. Dữ liệu được lưu trữ trên đĩa lên đến 90 ngày, có nghĩa là thời gian phản hồi truy vấn nhanh chóng và hiệu quả.

Live Response là một giao diện dòng lệnh có thể truy cập từ xa vào các thiết bị để thực hiện điều tra thêm hoặc thực hiện hành động thích hợp. Ví dụ:

• Khởi động lại thiết bị đang chờ cập nhật.
• Chấm dứt các quy trình đáng ngờ.
• Duyệt qua hệ thống tệp.
• Chỉnh sửa tệp cấu hình.
• Chạy các tập lệnh và chương trình.
• Và tất cả đều được thực hiện từ xa, vì vậy, đây là điều lý tưởng trong các tình huống làm việc mà bạn có thể không có quyền truy cập thực tế vào thiết bị cần chú ý.

5. Dùng thử các tính năng này ở đâu ?

Khách hàng hiện đang sử dụng Intercept X Advanced with EDR sẽ tự động thấy thiết bị Mac của họ xuất hiện khi sử dụng tính năng Live Discover và Live Response trước ngày 16 tháng 9.

Đối với những khách hàng đang sử dụng Intercept X và Intercept X for Server muốn dùng thử chức năng EDR có thể truy cập bảng điều khiển Sophos Central, chọn ‘Free Trials’ ở menu bên trái và chọn ‘Intercept X Advanced with EDR’ hoặc ‘Intercept X Advanced for Server woth EDR ‘ để dùng thử.

Nếu bạn là người mới sử dụng Sophos Central, hãy bắt đầu dùng thử miễn phí Intercept X Advanced với EDR ngay hôm nay. Bạn sẽ nhận được sự bảo vệ đẳng cấp thế giới chống lại các mối đe dọa an ninh mạng mới nhất ngoài khả năng EDR mạnh mẽ. Bắt đầu.

Live Discover và Live Response hiện đã có sẵn cho các thiết bị Windows, Mac và Linux.