Bài viết này nhằm hướng dẫn chi tiết cách cài đặt phần mềm bảo mật Sophos Endpoint trên hệ điều hành macOS.

Thông qua tài liệu này, người dùng và quản trị viên có thể:

• Hiểu được quy trình triển khai Sophos Endpoint trên thiết bị Mac.
• Đảm bảo thiết bị được bảo vệ khỏi các mối đe dọa như malware, ransomware và các hình thức tấn công khác.
• Thực hiện cài đặt đúng chuẩn theo hệ thống quản lý tập trung (Sophos Central).
• Giảm thiểu lỗi phát sinh trong quá trình triển khai thực tế.

Trong môi trường thực tế, bạn được yêu cầu cài đặt Sophos Endpoint trên một thiết bị macOS mới (chưa có phần mềm bảo mật hoặc đã được reset về trạng thái ban đầu).

Thông tin giả định:

• Thiết bị: MacBook (chạy macOS mới nhất)
• Trạng thái: Máy mới hoặc chưa cài đặt phần mềm bảo mật
• Kết nối mạng: Có internet ổn định
• Quyền truy cập: Có quyền quản trị (admin) trên máy
• Nguồn cài đặt: File installer được tải từ Sophos Central

Mục tiêu:

• Cài đặt thành công Sophos Endpoint lên máy Mac
• Thiết bị hiển thị trạng thái “Protected” trên Sophos Central
• Các module bảo vệ (Real-time Protection, Web Protection, Threat Detection…) hoạt động bình thường

Kỳ vọng sau cấu hình:

• Thiết bị được đồng bộ với hệ thống quản lý tập trung
• Chính sách bảo mật được áp dụng tự động
• Có thể giám sát và quản lý từ xa thông qua Sophos Central

3.1. Tải file Sophos Endpoint Protection từ Sophos Central trên MacOS

Bước 1: Truy cập Sophos Central, vào phần My Products > Endpoint > Installers

Bước 2: Chọn Download Complete MacOs Installer

Bước 3: Chọn Allow

Bước 4: Sau khi tải xuống tệp tin cài đặt Sophos Endpoint thành công, tệp cài đặt sẽ được lưu trong thư mục Download

3.2. Cài đặt Sophos Endpoint lên MacOS

Cài đặt Sophos Endpoint lên MacOS

Bước 1: Mở Terminal

Bước 2: Dùng lệnh để Cấp quyền thực thi cho các tệp sau trước khi chạy trình cài đặt

• sudo chmod a+x /Users/<username>/Downloads/Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer
• sudo chmod a+x /Users/<username>/Downloads/Sophos\ Installer.app/Contents/MacOS/tools/com.sophos.bootstrap.helper

Bước 3: Dùng lệnh này để cài đặt Sophos Endpoint

• sudo /Users/<username>/Downloads/Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer –install

Bước 4: Tiến trình cài đặt thành công, Sophos sẽ yêu cầu một số quyền truy cập.

Sẽ có 2 thông báo ở bên phải. Nhấn vào Allow để cho phép Sophos có thể hiển thị các thông báo.

Tiếp theo còn 1 bảng thông báo System Extension Blocked để Allow cho cái này. Nhấn vào Open Security Preferences

Chọn Allow

Nhập mật khẩu của máy để bạn có thể cấp quyền

Chọn allow

Chọn details

Chọn enable

Bước 5: Góc phải màn hình hiện icon sophos màu đỏ

Yêu cầu bạn cần cấp quyền Full Disk Access cho Sophos để có thể sử dụng các tính năng kiểm qua truy cập web, app, …

Chọn -> Open Enpoint seft help

Bước 6: Chọn Prerequistes -> Allow Full Disk Access

Bước 7:  Hiển thị các bước bạn cần làm để cấp quyền Full Disk Access

Đầu tiên, chọn -> Open “Security & Privacy” preferences

Bước 8:  Kéo thả icon Sophos ở bảng Sophos Endpoint sang bảng Security & Privacy

Có thông báo cấp quền xuất hiện nhập mật khẩu máy -> chọn Quit & Reopen để hoàn thành

Kiểm tra lại Status của Sophos Enpoint đã cài đặt thành công

Login vào Sophos Central. Truy cập vào mục Device. Thiết bị MacOS đã được hiển thị trong danh sách các thiết bị đã cài đặt thành công Sophos Endpoint

Bài PoC nhằm mục đích:

Sophos XDR hoạt động theo mô hình:

Khi dữ liệu khớp với các quy tắc phân loại mối đe dọa, Sophos sẽ tạo Detection.

Trong phần này, chúng ta xây dựng một kịch bản mô phỏng sát với tình huống thực tế thường gặp tại doanh nghiệp, nhằm đánh giá khả năng phát hiện và phản ứng của hệ thống Sophos XDR.

Kịch bản giả định:
Người dùng vô tình thực thi một tệp tin chứa mã độc (malware).

Từ thời điểm đó, toàn bộ quy trình xử lý của hệ thống sẽ được theo dõi xuyên suốt, bao gồm:
Phát hiện mối đe dọa → ghi nhận Detection → tổng hợp thành Case → phân tích nguyên nhân, phạm vi ảnh hưởng → thực hiện hành động phản ứng phù hợp.

Mục tiêu của bài demo không chỉ dừng lại ở việc “phát hiện”, mà còn làm rõ cách hệ thống hỗ trợ đội vận hành trong việc điều tra và xử lý sự cố một cách có hệ thống.

3.1. Chuẩn bị môi trường

Trước khi thực hiện mô phỏng, cần đảm bảo môi trường đã được thiết lập đầy đủ để thu thập và phân tích dữ liệu:

• Endpoint đã được cài đặt Sophos Agent và hoạt động ổn định
• Thiết bị đã kết nối về hệ thống quản trị trung tâm (Sophos Central)
• Tính năng Data Lake upload được bật để đảm bảo dữ liệu được đồng bộ phục vụ phân tích
• Tài khoản có đầy đủ quyền truy cập vào các thành phần sau:

+ Threat Analysis Center

+ Detections / Cases

Việc chuẩn bị đầy đủ các thành phần trên là điều kiện tiên quyết để đảm bảo toàn bộ chuỗi phát hiện và phản ứng được thể hiện chính xác trong quá trình PoC.

3.2. Thực hiện tấn công mô phỏng

Mục tiêu của bước này là chủ động kích hoạt cơ chế phát hiện (Detection) của hệ thống thông qua các hành vi mô phỏng tấn công phổ biến, từ đó quan sát cách Sophos XDR ghi nhận và xử lý sự kiện.

Bước 1: Kích hoạt Detection

Thực hiện một trong các phương án dưới đây để tạo hành vi đáng ngờ trên endpoint:

• Chạy file kiểm tra tiêu chuẩn EICAR test file nhằm mô phỏng malware
• Hoặc thực thi các hành vi mang tính “suspicious”, ví dụ:

+ Thực thi PowerShell với các lệnh bất thường

+ Chạy command có dấu hiệu bất thường (obfuscated command, encode, tải file từ nguồn ngoài,…)

Các hành vi trên đều nằm trong nhóm kỹ thuật phổ biến mà attacker thường sử dụng, giúp kiểm tra khả năng nhận diện của hệ thống trong điều kiện gần với thực tế.

Kết quả mong đợi

• Sophos ghi nhận đầy đủ activity phát sinh trên endpoint
• Hệ thống tự động phân tích và sinh ra Detection tương ứng
• Detection được hiển thị trên dashboard để phục vụ các bước phân tích tiếp theo

3.3. Phân tích Detection

Sau khi hệ thống ghi nhận Detection, bước tiếp theo là xác định và phân tích chi tiết sự kiện nhằm làm rõ bản chất hành vi cũng như hướng xử lý phù hợp.

Bước 2: Truy cập Detections

Từ giao diện quản trị, truy cập theo đường dẫn:
Threat Analysis Center → Detections

Đây là khu vực tập trung toàn bộ các cảnh báo mà hệ thống đã ghi nhận, cho phép theo dõi và xử lý theo mức độ ưu tiên.

Bước 3: Xác định Detection cần phân tích

Để tối ưu thời gian xử lý, ưu tiên lọc và tập trung vào các Detection có mức độ rủi ro cao:

• Lọc theo Severity: High / Critical

Sau đó, xác định nhanh các thông tin chính:

• Thời điểm xảy ra sự kiện
• Thiết bị (endpoint) bị ảnh hưởng

Việc khoanh vùng đúng Detection ngay từ đầu giúp quá trình phân tích phía sau chính xác và hiệu quả hơn.

Bước 4: Phân tích chi tiết Detection

Truy cập vào từng Detection cụ thể để kiểm tra các thành phần quan trọng:

1. Device

• Xác định chính xác máy bị ảnh hưởng
• Kiểm tra vai trò thiết bị (user endpoint, server,…)

2. Process

• Xác định file hoặc tiến trình đã được thực thi
• Đánh giá mức độ hợp lệ (file hợp pháp hay có dấu hiệu bất thường)

3. Lineage (quan trọng nhất)
 Đây là phần cốt lõi trong quá trình phân tích, giúp tái hiện toàn bộ chuỗi hành vi:

• Mối quan hệ process cha → process con
• Trình tự thực thi của các tiến trình
• Các bước trung gian dẫn đến hành vi bị phát hiện

Thông qua Lineage, có thể nhìn rõ “câu chuyện” của cuộc tấn công thay vì chỉ một sự kiện đơn lẻ

4. Command Line

Phân tích command line giúp làm rõ attacker đã thực thi những gì trên hệ thống, từ đó đánh giá mức độ nguy hiểm và mục đích của hành vi.

Ví dụ:

“C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe” -EncodedCommand SQBFAFgAIAAoAEcAZQB0AC0AUABuAG8AYwBlAHMAcwApAA==

Nhận định:

• Sử dụng PowerShell với tham số EncodedCommand
• Nội dung lệnh đã được encode (base64) nhằm che giấu ý đồ thực thi

Đây là dấu hiệu điển hình của:

• Obfuscation (làm rối, che giấu lệnh)
• Hành vi có chủ đích, thường xuất hiện trong các kịch bản tấn công thực tế

Việc decode và phân tích lại nội dung command là cần thiết để hiểu chính xác payload đã được thực thi.

5. MITRE ATT&CK

Sau khi nắm được hành vi, bước tiếp theo là chuẩn hóa theo framework MITRE ATT&CK để định danh kỹ thuật tấn công.

Trong kịch bản này, có thể ánh xạ vào các tactic chính:

• Execution
   → Thực thi mã thông qua PowerShell
• Persistence (nếu có dấu hiệu thiết lập duy trì)
   → Ví dụ: tạo scheduled task, registry run key,…
• Defense Evasion
   → Sử dụng encode/obfuscate để né tránh cơ chế phát hiện

Việc mapping theo MITRE giúp chuẩn hóa quá trình phân tích, đồng thời hỗ trợ báo cáo và chia sẻ thông tin theo chuẩn chung của ngành.

3.4. Xác định phạm vi tấn công

Sau khi đã hiểu rõ bản chất của Detection, bước tiếp theo là mở rộng phân tích để xác định phạm vi ảnh hưởng trong toàn hệ thống.

Bước 5: Tìm dấu hiệu lan rộng

Tại Detection đang phân tích, sử dụng tính năng Similar Detections để kiểm tra các sự kiện tương đồng.

Cần tập trung vào các yếu tố sau:

• Có xuất hiện Detection tương tự trên nhiều endpoint hay không
• Các Detection có cùng pattern hành vi (process, command line, kỹ thuật thực thi)
• Khoảng thời gian xảy ra có gần nhau hay không

Nhận định

• Nếu Detection chỉ xuất hiện trên một máy → khả năng là sự cố đơn lẻ
• Nếu xuất hiện trên nhiều máy → cần xem xét nghiêm túc khả năng lateral movement

Đây là bước quan trọng để phân biệt giữa “incident cục bộ” và “tấn công có chủ đích trong nội bộ”, từ đó quyết định mức độ ưu tiên xử lý.

3.5. Tạo và phân tích case

Khi đã xác định được Detection có giá trị điều tra, cần gom các sự kiện liên quan vào một Case để theo dõi và xử lý tập trung.

Bước 6: Tạo Case

• Chọn Detection cần điều tra
• Thực hiện thao tác Create Case

Việc tạo Case giúp:

• Gom nhóm các Detection liên quan vào cùng một ngữ cảnh
• Dễ dàng phân công, theo dõi và cập nhật trạng thái xử lý
• Lưu trữ toàn bộ quá trình điều tra phục vụ audit và báo cáo

Bước 7: Thêm Detection vào Case

Trong quá trình điều tra, có thể phát sinh thêm các Detection liên quan. Khi đó, cần bổ sung vào Case hiện tại để đảm bảo không bỏ sót thông tin.

Thực hiện:

• Chọn Detection cần xử lý
• Chọn Actions → Add to Case
• Lựa chọn Case đã tạo trước đó

Mục tiêu

• Gom toàn bộ các Detection liên quan vào cùng một Case
• Đảm bảo quá trình phân tích có đầy đủ ngữ cảnh
• Hạn chế việc xử lý rời rạc từng sự kiện riêng lẻ

Việc duy trì một Case đầy đủ và xuyên suốt sẽ giúp việc điều tra chính xác hơn, đồng thời thuận tiện cho báo cáo và theo dõi tiến độ xử lý.

3.6. Phân tích chi tiết case

Khi truy cập vào một Case, hệ thống cung cấp đầy đủ các góc nhìn để phục vụ quá trình điều tra. Việc khai thác hiệu quả các thành phần này sẽ giúp rút ngắn thời gian phân tích và xác định nhanh nguyên nhân gốc (root cause).

Overview (Tổng quan)

Đây là khu vực cung cấp cái nhìn nhanh về toàn bộ sự cố, bao gồm:

• Số lượng Detection liên quan
• Danh sách thiết bị và người dùng bị ảnh hưởng
• Mức độ rủi ro tổng thể của Case

Ngoài ra, tab này cho phép tận dụng các tính năng phân tích thông minh (AI) để hỗ trợ điều tra.

Giá trị:
 Giúp đánh giá nhanh quy mô và mức độ nghiêm trọng của sự cố, từ đó định hướng ưu tiên xử lý.

Detections

Hiển thị toàn bộ các Detection đã được gom vào Case.

Sử dụng để:

• Quan sát chuỗi sự kiện một cách đầy đủ
• Xác định thứ tự xảy ra giữa các Detection
• Phát hiện các điểm bất thường hoặc lặp lại

Đây là nền tảng để xây dựng lại bức tranh tổng thể của cuộc tấn công.

MITRE ATT&CK

Hiển thị các tactic và technique được ánh xạ theo framework MITRE ATT&CK.

Giúp:

• Xác định attacker đang ở giai đoạn nào trong chuỗi tấn công
• Chuẩn hóa cách phân tích theo mô hình SOC
• Hỗ trợ báo cáo và chia sẻ thông tin theo chuẩn ngành

Command Line

Hiển thị toàn bộ các lệnh đã được thực thi trên hệ thống – đây là một trong những nguồn dữ liệu quan trọng nhất trong quá trình điều tra.

Sử dụng để:

• Xác định chính xác hành vi của attacker
• Phân tích mục đích thực thi

Đặc biệt, cần chú ý các dấu hiệu như:

• Dump credential
• Tải thêm payload từ bên ngoài
• Thực thi script thông qua PowerShell hoặc các công cụ dòng lệnh khác

Attack Timeline

Dựa trên toàn bộ dữ liệu trong Case, có thể tái dựng lại chuỗi tấn công theo trình tự thời gian:

• Người dùng thực thi file ban đầu
• Hệ thống gọi PowerShell
• Payload tiếp tục được thực thi
• Hệ thống phát sinh Detection
• Các Detection được gom lại thành Case để điều tra

Giá trị:
 Giúp hình dung rõ “câu chuyện tấn công” từ đầu đến cuối, thay vì chỉ nhìn từng sự kiện rời rạc.

3.7. Thực hiện phản ứng (Response)

Sau khi đã xác định được bản chất và phạm vi sự cố, bước tiếp theo là thực hiện các hành động phản ứng nhằm kiểm soát và xử lý triệt để mối đe dọa.

Bước 8: Xử lý sự cố

Tùy theo mức độ ảnh hưởng, có thể áp dụng các biện pháp sau:

• Thực hiện scan toàn bộ thiết bị để phát hiện và làm sạch mã độc
• Isolate endpoint khỏi mạng (trong trường hợp nghi ngờ lây lan)
• Dừng (kill) các process độc hại đang chạy

Mục tiêu:
 Ngăn chặn ngay lập tức khả năng lan rộng và giảm thiểu rủi ro cho hệ thống.

Bước 9: Điều tra sâu (nếu cần)

Trong các trường hợp phức tạp, cần tiếp tục điều tra để đảm bảo không còn sót lại dấu vết tấn công.

Sử dụng tính năng Live Discover để truy vấn trực tiếp trên endpoint:

• Kiểm tra các process đang tồn tại
• Xác minh các file nghi vấn trên hệ thống
• Đối chiếu hash với nguồn Threat Intelligence để đánh giá mức độ nguy hiểm

Mục tiêu:
 Xác nhận hệ thống đã được làm sạch hoàn toàn và không còn persistence từ attacker.

3.8. Đóng case

Sau khi hoàn tất xử lý và xác nhận không còn rủi ro, tiến hành đóng Case để kết thúc vòng đời sự cố.

Bước 10: Hoàn tất

• Cập nhật trạng thái Case: Resolved
• Ghi nhận đầy đủ thông tin vào Notebook:

+ Nguyên nhân gốc (root cause)

+ Hành vi và kỹ thuật của attacker

+ Các bước xử lý đã thực hiện

Đây là phần quan trọng phục vụ cho việc báo cáo và rút kinh nghiệm nội bộ.

History

Toàn bộ quá trình xử lý Case được hệ thống lưu lại, bao gồm:

• Ai là người thực hiện
• Thời điểm thao tác
• Các hành động đã được thực hiện

Giá trị:
 Đảm bảo tính minh bạch, phục vụ audit và hỗ trợ review lại sự cố khi cần thiết.

Trong bài viết trước, chúng ta đã tìm hiểu cách tải và cài đặt VMware Workstation Pro PC (Windows and Linux) nhưng trên máy MAC thì sao?

VMware Fusion Pro dành cho macOS hiện cũng đã được cung cấp miễn phí cho mục đích cá nhân. Quy trình tải phần mềm này gần như tương tự, và trong bài viết này mình sẽ hướng dẫn từng bước để tải về và cài đặt VMware Fusion Pro trên máy Mac.

Tất cả các liên kết tải xuống sản phẩm VMware hiện nay đã được chuyển sang cổng thông tin khách hàng Broadcom. Vì vậy, nếu bạn vẫn dùng liên kết cũ để tải thì sẽ không hoạt động nữa.

Vì vậy, bạn bắt buộc phải có tài khoản trên cổng thông tin khách hàng Broadcom để tải sản phẩm.

Truy cập vào trang Broadcom page

Ở góc trên bên phải, nhấp vào mục Products.

Ở thanh bên trái, nhấp vào mục VMware Products.

Trong ô tìm kiếm, gõ từ khóa fusion rồi nhấn Enter.

Chọn Fusion and Workstation từ danh sách.

Trong mục VMware Fusion Pro for Mac, nhấp vào Download Now.

Bạn sẽ được chuyển hướng trở lại trang Broadcom. Nếu đã có tài khoản, bạn có thể đăng nhập ngay.

Nếu bạn chưa có tài khoản, hãy nhấp vào menu Login ở góc trên bên phải.

Sau đó chọn Register để đăng ký.

**Lưu ý: Hãy sử dụng địa chỉ email cá nhân thay vì email công ty để đăng ký.

Bạn sẽ được yêu cầu nhập địa chỉ email và mã captcha.

Sau khi nhập thông tin, nhấp Next. Bạn sẽ nhận được mã OTP gửi đến địa chỉ email đã đăng ký

Nhập OTP và nhấp Verify & Continue

Bạn sẽ được chuyển đến biểu mẫu đăng ký, hãy điền đầy đủ thông tin.

Chấp nhận thỏa thuận cấp phép (License Agreement) và nhấp Create Account để tạo tài khoản.

Hoàn tất xong, bạn có thể đăng nhập vào trang Broadcom.

Bây giờ, nhấp vào Products, hệ thống sẽ đưa bạn sang một trang khác. Tại đây, tiếp tục nhấp vào Products một lần nữa và chọn VMware Products.

Trong ô tìm kiếm, nhập từ khóa fusion

Chọn Fusion and Workstation từ danh sách.

Trong mục VMware Fusion Pro for Mac, nhấp vào Download Now.

Bạn sẽ được chuyển đến mục My Downloads.

Trong danh sách, hãy nhấp vào VMware Fusion.

Nhấp vào VMware Fusion Pro for Personal Use và chọn phiên bản mà bạn muốn.

Nhấp vào Accept Licence Agreement, sau đó bạn có thể nhấp vào nút Download. Lúc này sẽ xuất hiện tùy chọn tải qua HTTP.”

Trong trường hợp bạn thấy thông báo Screening is required thay vì HTTP Download, hãy nhấp vào đó, điền thông tin địa chỉ và gửi. Sau khi gửi xong, nếu bạn đã đăng ký bằng email cá nhân, bạn sẽ nhận được tùy chọn tải qua HTTP Download.

Nhấp vào đó và quá trình tải xuống sẽ bắt đầu

Đợi quá trình tải hoàn tất.

Nhấp đúp vào tệp DMG của VMware Fusion mà bạn đã tải về.

Quá trình cài đặt sẽ bắt đầu.

Trong cửa sổ cài đặt xuất hiện, nhấp đúp vào biểu tượng Fusion để tiếp tục

Bạn sẽ nhận được thông báo bảo mật với nội dung: VMware Fusion là một ứng dụng được tải xuống từ Internet. Bạn có chắc chắn muốn mở nó không?”

Hãy nhấp vào Open. Sau đó hệ thống sẽ yêu cầu nhập thông tin tài khoản trên macOS, hãy nhập để tiếp tục.

Và nhấp vào Allow

Chúng ta đã cài đặt thành công VMware Fusion Pro trên máy Mac.

Bây giờ chúng ta có thể bắt đầu tạo máy ảo (Virtual Machine) trên VMware Fusion.

Qua bài viết này, bạn đã biết cách tải và cài đặt VMware Fusion Pro trên macOS một cách đơn giản và nhanh chóng. Với việc VMware Fusion Pro hiện được cung cấp miễn phí cho mục đích cá nhân, người dùng Mac có thể dễ dàng tạo và sử dụng máy ảo để học tập, thử nghiệm hệ điều hành hoặc xây dựng môi trường lab ngay trên thiết bị của mình.

Hy vọng hướng dẫn này sẽ giúp bạn cài đặt thành công VMware Fusion Pro và sẵn sàng cho các nhu cầu sử dụng máy ảo trên macOS. Trong các bài viết tiếp theo, chúng ta sẽ tiếp tục tìm hiểu cách tạo máy ảo, cài đặt hệ điều hành và tối ưu VMware Fusion để phục vụ cho công việc và học tập hiệu quả hơn.

Trong bối cảnh ngành Y tế đẩy mạnh chuyển đổi số và triển khai bệnh án điện tử, việc tuân thủ các yêu cầu an toàn thông tin theo cấp độ 2, 3 không chỉ là bắt buộc mà còn là yếu tố then chốt giúp bảo vệ dữ liệu bệnh nhân và đảm bảo hệ thống vận hành ổn định.

Sự kiện do VaciF (Host) phối hợp cùng INNET – Đơn vị phân phối giải pháp CNTT đồng tổ chức. Cùng với sự trình bày của Mr. Tuấn Lê (VaciF Technical Director), Mr. Khôi Nguyễn (Sophos Senior Sales Engineer) và  Mr. Khoa Vũ (VaciF Technical Engineer).

Tham gia webinar quý khách sẽ nắm trọn:
Cách xây dựng hồ sơ cấp độ 2, 3 theo quy định

• Hiểu rõ yêu cầu ATTT cho hệ thống Y tế
• Phân loại hệ thống & xác định cấp độ phù hợp
• Hướng dẫn xây dựng hồ sơ và các lưu ý quan trọng khi triển khai

Giải pháp hạ tầng ảo hóa tối ưu chi phí

• Mô hình phù hợp cho bệnh viện, cơ sở y tế
• Giải pháp thay thế VMware giúp tiết kiệm ngân sách
• Tăng khả năng mở rộng, đảm bảo tính sẵn sàng

Triển khai bảo mật đáp ứng cấp độ 2, 3

• Xây dựng kiến trúc bảo mật tổng thể
• Triển khai Firewall, Endpoint, MDR/XDR
• Phân tách mạng, kiểm soát truy cập & bảo vệ dữ liệu
• Giám sát, cảnh báo & ứng phó sự cố

Đối tượng tham dự: CIO, IT Manager, phòng CNTT bệnh viện, đơn vị triển khai & tích hợp hệ thống Y tế

Thời gian: 9h30 AM – Thứ Năm, ngày 28/05/2026
Hình thức: Trực tuyến qua Zoom | Miễn phí 100%

Đăng ký tham dự tại đây: [ Link đã đóng ]

Proxmox (hay còn gọi là Proxmox VE) là một nền tảng ảo hóa mã nguồn mở, cung cấp giải pháp quản lý và triển khai máy ảo (VM) và container. Proxmox hỗ trợ hai công nghệ ảo hóa chính là KVM (Kernel-based Virtual Machine) và LXC (Linux Containers), giúp người dùng có thể linh hoạt lựa chọn phương pháp ảo hóa phù hợp với nhu cầu và các ứng dụng của mình.

ZFS (là hệ thống file kiêm trình quản lý lưu trữ, nổi bật với các tính năng như data integrity, snapshot, compression và copy-on-write. Trong Proxmox, ZFS thường được sử dụng làm local storage trên từng node, phù hợp cho cả môi trường lab lẫn production quy mô nhỏ và vừa.

Trên nền tảng ZFS, Proxmox cung cấp tính năng ZFS Replication, cho phép đồng bộ dữ liệu máy ảo định kỳ giữa các node thông qua cơ chế snapshot.

Mục tiêu bài viết này nhằm:

• Giúp quản trị viên triển khai tạo ZFS Storage.
• Giúp Replicate dữ liệu giữa các host.

ZFS sẽ cấu hình riêng trên từng server Proxmox, mỗi node cần tối thiểu 1 ổ đĩa trống để tạo ZFS pool local.

Trên giao diện,  chọn node đầu tiên  -> Disks -> ZFS -> Create: ZFS

Nhập các thông tin sau để tạo ZFS Storage:

• Name: Đặt tên cho ZFS storage.
• RAID Level: Chọn Raid level theo nhu cầu.
• Add Storage: Tự động thêm ZFS pool vào danh sách Storage.
• Compression: Giúp tiết kiệm dung lượng, ảnh hưởng hiệu năng không đáng kể.

Sau khi tạo ZFS Storage thành công, sẽ hiển thị trạng thái Online

Làm tương tự trên các node còn lại.

Sau khi tạo ZFS storage trên các node Proxmox, tiến hành cấu hình tạo tiến trình ZFS Replication để đồng bộ dữ liệu VM giữa các node.

Nhấn Datacenter -> Replication -> Add

Nhập thông tin sau:

• CT/VM ID: ID của VM hoặc Container cần thực hiện ZFS Replication.
• Target: Node đích nhận dữ liệu replication
• Schedule: Lịch chạy replication tự động
• Rate limit (MB/s): Giới hạn băng thông replication
• Comment: Ghi chú
• Enabled: Bật/tắt replication job sau khi tạo.

Sau khi tạo tiến trình ZFS Replication sẽ hiển thị giống hình dưới

Sau khi Replication hoàn tất, truy cập node đích và mở ZFS Storage tương ứng.
Tại đây sẽ thấy các VM của máy ảo đã được đồng bộ sang node còn lại.

Tiếp theo, tiến hành migrate máy ảo sang node khác.

Trên node đang chạy máy ảo → nhấn chuột phải vào VM → chọn Migrate.

Chọn node đích, nhấn Migrate.

Kết quả, Migrate thành công, VM đã chạy trên node đích.

Sophos XDR tích hợp các tính năng Trí tuệ nhân tạo (AI) trực tiếp trong nền tảng Sophos Central, nhằm hỗ trợ quản trị viên và đội ngũ SOC phân tích, điều tra và hiểu rõ sự cố bảo mật một cách nhanh chóng và chính xác hơn.

Các tính năng AI trong Sophos XDR được thiết kế để:

• Chuyển dữ liệu kỹ thuật phức tạp thành ngôn ngữ dễ hiểu
• Giảm thời gian điều tra sự cố
• Hỗ trợ cả người dùng không chuyên sâu về SOC/SQL
• Chuẩn hóa quá trình phân tích và báo cáo sự cố

Tài liệu này nhằm:

• Hướng dẫn sử dụng các tính năng AI trong Sophos XDR
• Đánh giá khả năng hỗ trợ vận hành bảo mật thực tế
• Giúp quản trị viên khai thác hiệu quả AI trong Sophos Central
• Làm tài liệu tham khảo cho vận hành, đào tạo và báo cáo

AI Search là tính năng cho phép tìm kiếm dữ liệu trong Sophos Data Lake bằng ngôn ngữ tự nhiên, không cần viết các câu truy vấn SQL.

AI Search có thể tìm kiếm:

• Detection (cảnh báo bảo mật)
• Dữ liệu endpoint
• Indicators of Compromise (IOC) như:
  • Địa chỉ IP
  • Tên người dùng
  • File
  • Hoạt động trên endpoint

A. Yêu cầu license
Để sử dụng AI Search, tài khoản phải có một trong các license sau:

• Sophos EDR
• Sophos XDR
• Sophos MDR

B. Giới hạn hệ điều hành

• Tìm kiếm Endpoint Data hiện chỉ hỗ trợ Windows devices

Đăng nhập Sophos Central → Threat Analysis Center → Chọn AI Search

Chọn loại dữ liệu cần tìm:

• Detections
• Endpoint Data (Windows only)

Người dùng có thể tìm kiếm theo hai cách:

Cách 1: Sử dụng truy vấn gợi ý

• Khi mở AI Search, hệ thống hiển thị các truy vấn gợi ý
• Nhấn chọn một truy vấn
• Có thể chỉnh sửa nội dung hoặc thêm khoảng thời gian (ví dụ: last 7 day)
• Nhấn Search để chạy truy vấn

AI Search sẽ tự động phân tích câu hỏi và truy vấn dữ liệu phù hợp trong Data Lake.

Cách 2: Nhập câu hỏi tùy chỉnh

• Nhập câu hỏi bằng ngôn ngữ tự nhiên, ví dụ:
  • Show detections where hostname = “PHONG-VACIF” in the last 7 days
• Nhấn Search

AI Search sẽ tự động phân tích câu hỏi và truy vấn dữ liệu phù hợp trong Data Lake.

• Kết quả hiển thị dạng bảng, tối đa 1.000 bản ghi
• Dữ liệu được lưu trữ:
  • 90 ngày (mặc định)
  • 1 năm nếu có license Central Data 1-Year Storage Pack
• Có thể:
  • Nhấn vào Detection Rule để xem chi tiết detection

Người dùng có thể xem Generated Query để tham khảo truy vấn SQL mà AI Search tạo ra.

Lưu truy vấn để sử dụng lại trong Live Discover

Xuất kết quả ra file CSV

Sao chép truy vấn SQL cho mục đích phân tích nâng cao

AI Assistant là trợ lý AI trung tâm trong Sophos Central, cho phép người dùng tương tác bằng hội thoại để hỗ trợ điều tra sự cố và threat hunting.

AI Assistant giúp người dùng phân tích dữ liệu bảo mật, hiểu ngữ cảnh sự cố và xác định hướng xử lý tiếp theo mà không cần thực hiện các thao tác thủ công phức tạp.

AI Assistant không tự động thực hiện hành động xử lý, mà đóng vai trò hỗ trợ phân tích, giải thích và định hướng điều tra.

Người dùng truy cập AI Assistant theo các bước sau:

1. Đăng nhập Sophos Central
2. Trên thanh menu, chọn AI
3. Chọn Assistant
4. Nhấn New để bắt đầu một phiên làm việc mới

Ngoài ra, khi đang điều tra một Case, người dùng có thể khởi động AI Assistant trực tiếp từ Threat Analysis → Cases → Ask Sophos AI.

Sau khi khởi động, người dùng nhập câu hỏi vào cửa sổ chat để tương tác với AI.
AI Assistant hỗ trợ hỏi–đáp nhiều lượt và ghi nhớ ngữ cảnh của phiên làm việc hiện tại.

Trong quá trình sử dụng, tùy theo mục đích, AI Assistant sẽ hoạt động dưới hai chế độ khác nhau:

Chọn Security Analyst

Hệ thống hiển thị danh sách các Case hiện có

• Bao gồm cả Sophos‑managed cases và Self‑managed cases

Nhấn chọn Case ID để bắt đầu phiên làm việc

Khi Case được chọn, AI Assistant sẽ tự động thu thập thông tin Case và Detection liên quan để xác định ngữ cảnh của phiên chat.

Tại trang chat, người dùng có thể nhập câu hỏi theo các cách sau:

• Chọn prompt có sẵn để tự động điền vào ô nhập (ví dụ: What actions can I perform?).
• Chỉnh sửa nội dung prompt trước khi gửi nếu cần.
• Nhập ký tự / để xem thêm danh sách prompt gợi ý.
• Nhập prompt tùy chỉnh bằng ngôn ngữ tự nhiên, ví dụ:
  Check for processes communicating with IP address 10.0.1.108 in the past 24 hours.
• Nhấn Send để gửi câu hỏi.

Khi phản hồi sẵn sàng, AI Assistant sẽ hiển thị kết quả trực tiếp trên trang chat và lưu phiên trò chuyện ở khung bên trái.

Người dùng có thể tiếp tục đặt câu hỏi trong cùng phiên chat để tinh chỉnh điều tra. AI Assistant ghi nhớ ngữ cảnh để trả lời chính xác các câu hỏi tiếp theo.

Để kết thúc, đóng trang Sophos AI hoặc chọn New để tạo phiên chat mới. Phiên cũ vẫn được lưu trong danh sách bên trái.

Threat Hunter Assistant được sử dụng cho threat hunting chủ động, cho phép tìm kiếm các tác nhân độc hại và Indicators of Compromise (IOC) trong dữ liệu Sophos Data Lake.
Assistant này không giới hạn trong một Case cụ thể và hỗ trợ mở rộng điều tra trong toàn bộ môi trường.

***Lưu ý: Threat Hunter Assistant chỉ hỗ trợ Self-managed threat cases.

Nhấn Threat Hunter để bắt đầu phiên threat hunting.

Tại trang chat, người dùng có thể nhập câu hỏi theo các cách sau:

• Nhấn chọn prompt có sẵn để tự động thêm vào ô nhập (ví dụ: What actions can I perform?).
• Chỉnh sửa nội dung prompt trong ô nhập nếu cần.
• Nhập ký tự / để xem thêm danh sách prompt gợi ý.
• Nhập prompt tùy chỉnh bằng ngôn ngữ tự nhiên, ví dụ:
  Check for processes communicating with IP address 10.0.1.108 on any endpoint in the past 24 hours.
• Nhấn Send để gửi câu hỏi.

Khi phản hồi sẵn sàng, AI Assistant sẽ hiển thị kết quả trên trang chat.
Phiên trò chuyện đồng thời được lưu và hiển thị trong danh sách bên trái.

Người dùng có thể tiếp tục nhập thêm prompt trong cùng phiên chat để tinh chỉnh quá trình hunting, ví dụ:

• Is that device online?
• Who was logged in at that time?

AI Assistant ghi nhớ các prompt trước đó trong phiên chat hiện tại để duy trì ngữ cảnh cho các câu hỏi tiếp theo.

Để kết thúc phiên, đóng trang Sophos AI hoặc nhấn New để bắt đầu phiên chat mới.
Phiên chat kết thúc sẽ được xóa khỏi trang hiển thị chính nhưng vẫn còn trong danh sách bên trái.

Chỉ người tạo hội thoại mới xem được nội dung chat. Các phản hồi được lưu vào Case Notebook sẽ hiển thị cho những admin có quyền truy cập Case đó. Người dùng có thể mở lại hoặc xóa các phiên hội thoại đã tạo.

AI Case Summary là tính năng AI trong Sophos Central giúp tự động tóm tắt nội dung của một Case bảo mật.

Tính năng này phân tích các detection liên quan để cung cấp cái nhìn tổng quan, giúp người dùng nhanh chóng hiểu được bản chất sự cố và hướng xử lý.

Cách sử dụng AI Case Summary

1. Đăng nhập Sophos Central
2. Vào Threat Analysis → Cases
3. Mở Case cần điều tra
4. Chọn AI Case Summary

Hệ thống sẽ tự động phân tích Case và tạo bản tóm tắt.

AI Case Summary thường bao gồm:

• Tổng quan sự cố: mô tả ngắn gọn những gì đã xảy ra
• Đối tượng liên quan: endpoint và user bị ảnh hưởng
• Chuỗi detection: các sự kiện chính trong Case
• MITRE ATT&CK: tactics và techniques được xác định (nếu có)
• Gợi ý bước tiếp theo: hướng điều tra hoặc xử lý bổ sung

AI Command Analysis là tính năng AI dùng để phân tích các command line nghi vấn trong detection.

Tính năng này giúp xác định mục đích thực thi, hành vi của command và đánh giá tác động tiềm ẩn đối với hệ thống. Trong trường hợp command bị obfuscate, hệ thống có thể tự động giải mã để hỗ trợ phân tích.

Cách sử dụng AI Command Analysis

1. Mở Threat Analysis → Cases hoặc Detections
2. Chọn detection cần phân tích
3. Tại phần Command Line, chọn AI Command Analysis

AI sẽ tự động phân tích command và hiển thị kết quả.

AI Command Analysis thường hiển thị:

• Giải thích command bằng ngôn ngữ tự nhiên
• Nội dung command đã được giải mã (nếu có)
• Các hành vi chính của command (tải file, thực thi, kết nối mạng…)
• Đánh giá tác động bảo mật tiềm ẩn đối với hệ thống

Các tính năng AI trong Sophos XDR đóng vai trò hỗ trợ mạnh mẽ cho quá trình điều tra và phân tích sự cố bảo mật, giúp:

• Rút ngắn thời gian nắm bắt sự cố
• Giảm thao tác thủ công và đọc log phức tạp
• Chuẩn hóa cách phân tích giữa các thành viên trong đội vận hành
• Hỗ trợ tốt cho cả người mới lẫn người có kinh nghiệm

Khi được sử dụng đúng cách và thường xuyên, AI trong Sophos XDR giúp nâng cao hiệu quả vận hành bảo mật, đồng thời giảm áp lực cho đội IT và SOC trong việc xử lý các mối đe dọa ngày càng phức tạp.

Zero-day Protection được vận hành bởi SophosLabs Intelix, là một dịch vụ đám mây kết hợp machine learning, sandboxing và năng lực nghiên cứu mối đe dọa để phát hiện cả các mối nguy đã biết và chưa biết thông qua việc phân tích các tệp tải xuống đáng ngờ và file đính kèm email.

Sophos Firewall sẽ gửi các tệp mới đến SophosLabs Intelix để thực hiện phân tích bảo vệ zero-day khi các tệp này đi vào mạng của bạn. Intelix sử dụng nhiều lớp phân tích để xác định mức độ rủi ro mà từng tệp có thể gây ra cho hệ thống mạng. Ngoài việc chặn các tệp nguy hiểm, tính năng zero-day protection còn cung cấp các báo cáo phân tích chi tiết giúp bạn hiểu rõ mức độ rủi ro của từng tệp.

SophosLabs Intelix sử dụng nhiều mô hình machine learning để phân tích đặc điểm, tính năng, mã di truyền (genetics) và uy tín toàn cầu của tệp. Hệ thống sẽ so sánh các tệp mới với hàng triệu tệp đã được xác định là an toàn hoặc độc hại để đánh giá khả năng tệp mới có phải là mã độc hay không.

Phân tích sandbox thực hiện cả phân tích động và phân tích tĩnh đối với các tệp mới đi vào mạng của bạn. Quá trình này bao gồm:

• Phân tích bằng deep learning
• Phát hiện khai thác lỗ hổng (exploit detection)
• Công nghệ CryptoGuard để phát hiện ransomware đang mã hóa dữ liệu theo thời gian thực

PC/laptop người dùng trong mạng sẽ thực hiện download các tệp đáng ngờ trên trình duyệt Chrome, khi đó Sophos firewall đã cấu hình tính năng Zero-day sẽ thực hiệnscan file download từ trình duyệt Chrome với protocol HTTP/HTTPS, với các tệp đáng ngờ sẽ có action là block download.

Kiểm tra cài đặt Zero-day Protection vào mục Zero-day Protection > Protection Settings > Data Center Location chọn Let Sophos Decide.

Di chuyển xuống mục Certificate > Certificate Authorities > chọn download Security Appliance SSL_CA.

Di chuyển qua máy tính của người dùng, add Certificates, chọn All tasks > Import

Chọn Browse, click chọn Certificates SSL_CA vừa tải xuống ở bước trên. Click Next

Chọn Place all certificates in following store. Chọn Trust root Certificates Authorities. Click Next

Chọn Finish. Import thành công.

Truy cập Rule and policies > Firewall rules > Add firewall rule > New firewall rule.

• Rule Name: Điền tên bạn muốn
• Action: chọn Accept
• Tích chọn Log firewall traffic để xem log match với rule này
• Source zone: LAN
• Source networks and devices: Test_VM (IP:123.123.123.203/24)
• Destination Zones: WAN
• Destination networks: Any
• Services: Any

Trong Web Policy chọn Scan HTTP and Decrypted HTTPS và Use Zero-day Protection để sử dụng tính năng này.

Nhấn Save để lưu

Di chuyển đến tab Rules and policies. > Chọn tab SSL/TLS inspection rules > Click Add

• Name: Đặt tên policy bạn muốn
• Source zones: LAN.
• Source networks and devices: chọn Test VM.
• Destination zones: WAN.
• Action: Chọn Decrypt.
• Profile: chọn Maximum compatibility.

Nhấn Save.

Đối với trình duyệt Chrome thường dùng kho chứng chỉ riêng nên nếu muốn scan http/https 1 cách hiệu quả phải add thêm chứng chỉ SSL_CA của Sophos.

Mở trình duyệt, vào Settings (Cài đặt).Tìm kiếm từ khóa “Quản lý chứng chỉ”. Click chọn “Chứng chỉ được nhập từ windows” chọn tab Trust root Certification Authorities > Import.

Click Browse > chọn SSL_CA.pem của Sophos > click Next.

Import thành công. Click OK.

Kiểm tra chứng chỉ SSL_CA đã được add vào trình duyệt.

Truy cập vào trang Sophostest của Sophos, kiểm tra trang web đang sử dụng chứng chỉ SSL_CA.

Click chọn Anti-virus Eicar > Download

Trình duyệt báo lỗi không thể truy cập

Kiểm tra log Malware trên Sophos firewall báo đã block file tải xuống với protocol Https.

Truy cập Sophostest > chọn Intelix Potentially Unwanted Application (PUA) Reputation EXE file > Download.

Trình duyệt báo lỗi truy cập

Kiểm tra log Zero-day Protection đã block file tải xuống.

Bạn có thể truy cập bào tab Zero-day protection > Download and attachments để có các thông tin rõ ràng hơn về các file đã tải xuống.

Click chọn icon 3 chấm > View report về 1 file cụ thể

Vậy, bạn đã hoàn thành cấu hình tính năng Zero-Day Protection trên Sophos Firewall

SD-RED 60 ở chế độ Standard/Unified cho phép kết nối chi nhánh hoặc văn phòng từ xa về Sophos Firewall XGS thông qua một đường hầm bảo mật qua Internet. Toàn bộ mạng phía sau thiết bị RED sẽ được xem như một phần của mạng LAN nội bộ, do firewall trung tâm quản lý hoàn toàn, bao gồm DHCP, gateway và các chính sách bảo mật. Chế độ này giúp quản trị tập trung, kiểm soát truy cập và lọc lưu lượng hiệu quả, rất phù hợp cho mô hình nhiều site hoặc branch office.

Truy cập vào Sophos Firewall. Đến phần System services -> RED. Bật RED status trên Head Office Firewall lên.

Đăng kí Sophos Firewall với RED provisioning Server sau khi bật RED status. Lưu ý: chỉ làm 1 lần suy nhất.

Sau khi đăng kí xong thì sẽ có giao diện như sau.

Vào Network -> Zones. Nhấn Add.

Bật dịch vụ mạng và các dịch vụ khác phục vụ cho việc cấu hình và troubleshoot.

Đến phần Network -> Interfaces. Nhấn Add interface, và chọn Add RED.

• Branch name: Đặt tên
• Type: Dòng thiết bị
• RED ID: S/N thiết bị (nằm dưới thiết bị RED)
• Unlock code: nhập đoạn mã mà firewall sẽ gửi qua email đã nhập ở bước đăng kí RED
• Firewall/Hostname: IP WAN firewall
• 2^nd Firewall/Hostname: IP WAN remote (phía SD-RED)

Cấu hình cho SD-RED và remote LAN nhận DHCP.

Cấu hình mode Standard/unified.

• RED IP: nhập IP cùng subnet với subnet mà Firewall cấp cho remote LAN
• RED netmask: lớp mạng
• Zone: RED_Device
• RED DHCP range: IP range cho remote network (phía sau thiết bị RED)

Kết quả

Tạo Firewall rule cho phép remote LAN(phía sau thiết bị RED) truy cập Internet và try cập vào LAN Office.

Trong PROTECT, chọn Rule and policies -> Add firewall rule -> chọn New firewall rule.

Đặt tên và chọn action.

Chọn Source zone là RED_Device và Destination zone là LAN/WAN để remote LAN có thể truy cập Internet và access vào LAN.

Qua bài viết này, chúng ta đã cùng đi qua toàn bộ quy trình triển khai SD-RED 60 ở chế độ Standard/Unified trên Sophos Firewall XGS, từ mô hình kết nối cho đến các bước cấu hình thực tế. Đây là một giải pháp tối ưu cho doanh nghiệp có nhiều chi nhánh, giúp mở rộng mạng nội bộ một cách an toàn, linh hoạt và dễ quản trị tập trung. Hy vọng bài viết sẽ giúp anh em kỹ sư có thêm góc nhìn thực tế và tự tin hơn khi triển khai RED trong các dự án thực chiến.

Sophos Account Health Check là một tính năng được tích hợp trong nền tảng Sophos Central, giúp quản trị viên nhanh chóng đánh giá và tối ưu tình trạng bảo mật tổng thể của các endpoint và server đang được bảo vệ bởi Sophos.

Các giải pháp bảo mật endpoint và server của Sophos (như Sophos Intercept X và Sophos Intercept X for Server) bao gồm nhiều công nghệ phòng chống mối đe dọa tinh vi. Tuy nhiên, để các công nghệ này hoạt động hiệu quả nhất, hệ thống cần được cấu hình và triển khai đúng cách. Account Health Check được thiết kế để hỗ trợ mục tiêu này.

Tính năng này có sẵn cho tất cả khách hàng đang quản lý bảo mật endpoint và server thông qua Sophos Central.

Sophos Account Health Check giúp:

• Phát hiện nhanh các vấn đề cấu hình ảnh hưởng đến mức độ an toàn của hệ thống
• Đảm bảo các thiết bị được gán phần mềm và chính sách phù hợp
• Giảm thiểu các rủi ro tiềm ẩn do cấu hình sai hoặc vô tình tắt các tính năng bảo mật quan trọng
• Hỗ trợ quản trị viên duy trì môi trường bảo mật “healthy” theo khuyến nghị của Sophos

Các hạng mục kiểm tra chính:

Account Health Check thực hiện các kiểm tra quan trọng sau:

1. Software Assignment
   • Kiểm tra các thiết bị đã được gán đầy đủ phần mềm bảo mật theo license hay chưa
2. Threat Protection Policy
   • Đánh giá xem các chính sách bảo vệ mối đe dọa có đang sử dụng thiết lập khuyến nghị của Sophos hay không
3. Exclusions
   • Phát hiện các exclusion có thể tạo ra lỗ hổng bảo mật nghiêm trọng
4. Tamper Protection
   • Kiểm tra xem tính năng Tamper Protection có bị tắt trên thiết bị hay ở mức global hay không

**Khuyến nghị: Sophos đề xuất khách hàng nên thực hiện Account Health Check ít nhất 3 tháng một lần để duy trì môi trường bảo mật tối ưu.

Để truy cập tính năng Account Health Check, thực hiện các bước sau:

1. Đăng nhập vào Sophos Central Admin
2. Trên thanh menu chính, chọn My Environment
3. Chọn Account Health Check

Sau khi truy cập, hệ thống sẽ hiển thị Account Health Check Dashboard, cung cấp cái nhìn tổng thể về mức độ “khỏe mạnh” của toàn bộ môi trường bảo mật Sophos đang triển khai.

Dashboard cung cấp các thông tin chính sau:

• Overall Health Score:
  Điểm sức khỏe tổng thể của tài khoản (thang điểm 0–100).

• Health Summary Chart:
  Biểu đồ hiển thị:
  • Good health (màu xanh)
  • Issues (màu vàng)
  • Snoozed issues (màu xám – các lỗi đã tạm hoãn xử lý)

• Xu hướng 4 tuần gần nhất:  
  Cho biết tình trạng bảo mật đang cải thiện hay suy giảm.

V Account Health Check được chia thành nhiều nhóm kiểm tra theo từng tính năng bảo mật. Mỗi nhóm hiển thị:

• Điểm tổng của nhóm
• Các kiểm tra chi tiết bên trong nhóm
• Trạng thái từng kiểm tra (100 = không có vấn đề )

Kiểm tra xem endpoint và server đã được cài đặt đầy đủ các thành phần bảo mật theo license hay chưa.

Nếu thiết bị thiếu thành phần bảo vệ, điểm số sẽ giảm tương ứng với tỷ lệ thiết bị không đạt

• Kiểm tra các Threat Protection Policy (Endpoint và Server)
• Đánh giá việc sử dụng:
  • Sophos Recommended Settings
  • Các cấu hình có thể làm giảm mức độ bảo vệ

Nếu chính sách không sử dụng cấu hình khuyến nghị, kiểm tra sẽ hiển thị cảnh báo và đề xuất khắc phục.

• Đánh giá các exclusion (loại trừ) đang áp dụng trong hệ thống
• Phát hiện các exclusion có nguy cơ:
  • Bỏ qua quá nhiều hành vi
  • Làm lộ endpoint trước các mối đe dọa nâng cao

Các exclusion không an toàn sẽ bị đánh dấu là Issue.

• Kiểm tra tình trạng Tamper Protection trên endpoint và server
• Điểm được tính dựa trên tỷ lệ thiết bị đang bật Tamper Protection

Nếu Tamper Protection:

• Bị tắt trên từng thiết bị → hiển thị danh sách thiết bị
• Bị tắt ở mức Global → yêu cầu bật lại trong Global Settings trước khi xử lý từng máy

• Nhấp vào check có điểm < 100
• Hệ thống hiển thị:
  • Nguyên nhân
  • Ảnh hưởng

Đối với một số kiểm tra, Sophos Central cho phép:

• Nhấn Fix automatically
• Hệ thống tự động cấu hình lại theo Sophos Recommended Settings

Tính năng này giúp giảm sai sót thao tác thủ công và đảm bảo tuân thủ best practice.

Snooze Issue cho phép tạm thời hoãn xử lý một cảnh báo trong Account Health Check khi chưa thể khắc phục ngay. Trong thời gian snooze, issue được đánh dấu màu xám (Snoozed) thay vì cảnh báo màu vàng.

• Tại issue có cảnh báo, chọn Snooze options

• Chọn Reason for snooze
• Nhập Comments (lý do/ghi chú)
• Nhấn Snooze

Sau khi snooze, trạng thái hiển thị Issue snoozed và health score chuyển sang màu xám.

• Sophos vẫn tiếp tục theo dõi issue trong thời gian snooze
• Nếu issue được khắc phục trong thời gian này, hệ thống tự động bỏ snooze
• Thời gian snooze tối đa là 6 tháng
• Hết 6 tháng mà chưa xử lý, issue sẽ tự động quay lại Warning (màu vàng)

• Edit Snooze: chỉnh sửa Reason hoặc Comments của issue đã snooze
• End Snooze: kết thúc snooze trước thời hạn; nếu issue chưa được khắc phục, trạng thái quay lại Warning

Quản trị viên có thể xuất báo cáo để lưu trữ hoặc gửi khách hàng:

• Vào My Environment > Account Health Check
• Nhấn biểu tượng Download

• Hệ thống tạo file PDF Report chứa:
  • Health Summary
  • Điểm từng nhóm bảo mật
  • Danh sách tất cả health check và ghi chú (nếu có)

Sophos Account Health Check là một công cụ đơn giản nhưng cực kỳ hiệu quả giúp quản trị viên:

• Kiểm soát tình trạng bảo mật tổng thể
• Phát hiện sớm các vấn đề cấu hình
• Duy trì môi trường endpoint & server an toàn theo chuẩn Sophos

Với việc kiểm tra định kỳ (3 tháng/lần), kết hợp cùng các chức năng mới như Click-to-Fix, Account Health Check đóng vai trò quan trọng trong việc nâng cao khả năng phòng thủ trước các mối đe dọa hiện đại.