1 Bật XDR new features

Bạn cần có license Sophos Network Detection and Respons để sử dụng tính năng này.

Truy cập Early access program

Tại New XDR Features, chọn Join

2 Tạo NDR Sensor Integration

Truy cập Threat Analysis Center chọn Integrations. Sophos NDR.

Chọn Add

Điền tên cho intergration và data collector. Ở đây sử dụng mô hình đơn giản, intergrator và data collector chung trong 1 VM.

Chọn platform là VMWare. IP là Static hoặc DHCP.

Mục Exclusion list ở đây sẽ cho kiểm tra hết và không có exclusion nào nên ta tạo No exclusion và không thêm giá trị nào.

Sau khi điền xong thông tin, bấm save.

Sau khi đợi một lúc thì ta có thể download image để cài đặt cho VMWare

3 Cài đặt NDR trên VMWare ESXI

Sophos NDR hỗ trợ từ phiên bản VMWare Esxi 6.7 U3 (14320388) trở lên.

Phần cứng yêu cầu 4 Core Cpu. 16Gb ram trở lên.

Sơ đồ hệ thống như sau. Mô hình có thiết bị Sophos NDR monitor toàn bộ traffic đi qua Vswitch0 thông qua Vlan 4095.

Mô hình này ta kiểm tra toàn bộ traffic đi qua Vswitch0, các máy tính gửi traffic vào Vswitch0 sẽ được gửi về Sophos NDR.

Ta tạo Port group với Vlan ID là 4095, port group này nối với Vswitch0.

Promiscuous mode chọn Accept.

Các Vlan khác khi đi vào Vswitch0 sẽ được tạo bản copy đẩy ra portgroup này.

Sau đó, tạo 1 Virtual Machine từ file OVA .

Đặt tên máy và kéo thả file OVA vừa down từ Sophos central vào ô bên dưới.

Chọn ổ cứng chứa máy ảo.

Mục network. Ta có 2 card mạng SPAN1 và SPAN2 dùng để bắt traffic cho hệ thống ảo và hệ thống thật bên ngoài. Ở đây ta chỉ giả lập hệ thống ảo nên sử dụng 1 card là SPAN1 và disconnect SPAN2 ngay sau khi tạo máy ảo xong

Tương tự Card mạng Syslog dùng để đẩy log ra thiết bị nhận log của bên thứ 3. Có thể disconnect ngay sau khi tạo xong.

Card MGMT dùng để nhận IP và đẩy log lên Sophos central, chọn lớp mạng có kết nối ra internet.

Sau khi hoàn thành, ấn finish và đợi file OVA upload lên Esxi.

Máy ảo tạo xong, ta disconnect với Network Adapter 1 và 2, tương đương với disconnect SPAN2 và Syslog ethernet card.

Tiến hành mở máy ảo và kiểm tra.

Quá trình cài đặt hoàn tất, truy cập địa chỉ như trong bảng thông báo để đăng nhập. Trước khi đăng nhập, ta cần tạo mật khẩu và tài khoản để truy cập NDR.

Truy cập sophos central > Threat Analysis Center > Intergrations

Tại tab Configured intergration. NDR đã hiện trạng thái xanh là đã được tạo

Tại tab Data collectors ta chọn Open Appliance Manager tại Data Collector đã tạo

Chọn Reset account. Sau đó ta nhận được username và password của account đăng nhập trang web portal NDR tại local. Địa chỉ truy cập cũng hiển thị tại đây, ví dụ như bài test này là https://172.16.31.164:8443