Trong hệ thống giám sát dữ liệu của SearchInform DLP, Agent đóng vai trò là thành phần quan trọng giúp thu thập, ghi nhận và gửi các sự kiện hoạt động của người dùng về máy chủ EndpointController để xử lý và lưu trữ. Việc cài đặt agent trên các máy trạm là bước đầu tiên để bắt đầu quá trình giám sát dữ liệu và phát hiện rủi ro rò rỉ thông tin trong tổ chức.

Trong môi trường Workgroup – nơi các máy tính không được quản lý tập trung qua domain – việc triển khai agent cần thực hiện thủ công trên từng máy. Tuy nhiên, quá trình này vẫn khá đơn giản nếu bạn chuẩn bị đúng gói cài đặt từ console của EndpointController.

Bài viết này sẽ hướng dẫn chi tiết cách:

• Tạo gói cài đặt agent từ giao diện quản trị SearchInform DLP,
• Cài đặt thủ công agent trên máy Windows,
• Kiểm tra kết nối giữa agent và máy chủ EndpointController sau khi hoàn tất.

Sau phần này, bạn sẽ nắm rõ quy trình cài đặt agent và sẵn sàng triển khai DLP SearchInform trong môi trường không domain.

Ở máy chủ cài phần mềm DLP SearchInform, truy cập vào module EndpointController Console để tiến hành tạo gói cài đặt agent.

ở trong giao diện EndpointController Console, chọn Options -> Create agent installation/uninstallation package.

Một cửa sổ xuất hiện, chọn tiếp Create agent installation package for Windows, sau đó ấn Next.

Path to folder: Chọn nơi bạn muốn lưu các tệp cài đặt.

Name of service: giữ nguyên mặc định

Generate configuration using specified computer (optional): Tùy chọn này cho phép bạn chọn một máy tính đã có agent cài đặt hoặc một mẫu cấu hình (template) để sao chép lại thiết lập cấu hình cho agent mới.

Nếu bạn tạo cấu hình dựa trên máy tính được chọn, có thể chọn thêm tùy chọn Update agent configuration file when updating (Cập nhật file cấu hình khi cập nhật agent).

Include in the ‘install_agent.exe’ package (Bao gồm trong gói cài đặt): Chọn phiên bản agent sẽ được thêm vào gói cài đặt. Chọn x32 hoặc x64 tùy theo kiến trúc hệ điều hành của máy trạm cài đặt agent. Phiên bản agent mới nhất hỗ trợ hệ điều hành x32 là 6.11.4.16.

Include in agent package for WinXP: Tạo trình cài đặt agent dành cho Windows XP (bao gồm cả 32-bit và 64-bit). Các tính năng của agent cho XP đã dừng cập nhật kể từ cuối năm 2019. Phiên bản cuối cùng cho XP là 5.58.3.3.

Include in agent package for Win7: Tạo trình cài đặt agent dành cho Windows 7 (bao gồm cả 32-bit và 64-bit). Các tính năng cho Windows 7 đã dừng cập nhật kể từ cuối năm 2023. Phiên bản cuối cùng của agent cho Win7 là 6.8.3.6.

Clear agent configuration file when updating: Chọn tùy chọn này nếu muốn xóa file cấu hình cũ sau khi cập nhật agent. Bỏ chọn nếu muốn giữ lại file cấu hình cũ.

Start agent after restart of PC: Chọn nếu muốn agent chỉ khởi động sau khi máy tính được khởi động lại.Nếu bỏ chọn, agent sẽ khởi động ngay sau khi cài đặt xong.

Use WFP driver when installing or updating agent (Citrix compatibility mode): Khi bật tùy chọn này, thành phần Netfilter của agent sẽ được ép buộc chạy bằng trình điều khiển WFP. Trình điều khiển WFP giúp tránh xung đột với ứng dụng Citrix Workspace (dùng để truy cập ứng dụng và desktop từ xa).

** Lưu ý:

• chỉ hiển thị trong chế độ chuyên gia – Expert mode
• WFP driver chỉ hoạt động trên Windows 8 trở lên.
• Trên các phiên bản Windows cũ hơn, agent sẽ dùng TDI driver.
• Để tắt việc ép buộc WFP, bạn cần cài lại agent.

Cuối cùng, nhấn Create.

Các tệp sẽ được lưu vào thư mục đã chỉ định.

Sau đó thực hiện copy file này sang máy windows cần cài đặt agent

Chạy file install_agent.exe trên máy trạm đích. Bạn phải có quyền quản trị viên cục bộ (local administrator) để thực thi lệnh này.

Sau khi cài đặt, agent sẽ tự động chạy. Quá trình cài đặt có thể mất một khoảng thời gian. Để kiểm tra trạng thái của agent trên máy đích, mở cmd.exe và nhập lệnh:

sc query sifiltersvc

Nếu cài đặt thành công, thông tin trạng thái dịch vụ sẽ được hiển thị.

Quay lại giao diện EndpointController Console, lúc này sẽ thấy máy trạm Windows này đã xuất hiện, sau đó ta sẽ kích hoạt các module giám sát (interception modules), đánh dấu vào các ô tương ứng. Nhấn Apply để áp dụng thay đổi.

Như vậy, quá trình cài đặt và cấu hình Agent DLP SearchInform trên máy trạm Windows Workgroup đã hoàn tất. Bước tiếp theo, quản trị viên chỉ cần triển khai các chính sách giám sát và quy tắc (Rules) phù hợp để thực hiện việc phát hiện, cảnh báo và ngăn chặn rò rỉ dữ liệu trong tổ chức.

DLP SearchInform là giải pháp phòng chống rò rỉ dữ liệu (Data Loss Prevention) giúp doanh nghiệp kiểm soát, theo dõi và ngăn chặn việc chia sẻ thông tin nhạy cảm ra bên ngoài, dù cố ý hay vô tình.

Hệ thống hoạt động bằng cách thu thập, giám sát và phân tích toàn bộ luồng dữ liệu trong tổ chức — từ thiết bị đầu cuối, mạng nội bộ, máy chủ thư cho đến các kênh gửi nhận báo cáo nội bộ (SMTP).

Điểm mạnh của SearchInform là khả năng bao phủ toàn bộ chuỗi lưu chuyển dữ liệu, đảm bảo khôngcó điểm mù trong quá trình giám sát.

Cụ thể, hệ thống hoạt động thông qua bốn cơ chế chính:

• Interception on endpoints – Giám sát dữ liệu trực tiếp tại các máy trạm của người dùng.
• Network interception – Phân tích và theo dõi dữ liệu đi qua đường truyền mạng nội bộ.
• Integration with mail server – Thu thập email và tệp đính kèm trực tiếp từ máy chủ thư doanh nghiệp.
• SMTP integration – Nhận và xử lý các gói báo cáo được gửi đến thông qua giao thức SMTP.

Nhờ sự kết hợp linh hoạt của bốn cơ chế này, DLP SearchInform có thể theo dõi, phân loại và ngăn chặn rủi ro rò rỉ thông tin trong mọi môi trường làm việc, từ mạng nội bộ đến hệ thống email và các kênh truyền thông Internet.

Hệ thống hoạt động dựa trên bốn cơ chế chính:

• Interception on endpoints – Chặn và giám sát dữ liệu tại thiết bị đầu cuối.
• Network interception – Theo dõi dữ liệu truyền qua mạng nội bộ.
• Integration with mail server – Thu thập dữ liệu email ngay từ máy chủ thư.
• SMTP integration – Nhận và xử lý dữ liệu thông qua kênh SMTP nội bộ.

Ở chế độ này, agent của EndpointController được cài trực tiếp lên các máy tính của người dùng trong mạng LAN.
Các agent này có nhiệm vụ:

• Ghi lại toàn bộ dữ liệu gửi đi và nhận về,
• Theo dõi hoạt động trên tệp, ứng dụng, và các cổng giao tiếp (USB, cloud, email, v.v.),
• Gửi thông tin đã thu thập về máy chủ EndpointController để lưu trữ và phân tích.

Ví dụ: Khi một nhân viên cố gắng sao chép tài liệu mật lên USB hoặc gửi qua email cá nhân, agent sẽ ghi nhận hành động đó và, nếu có chính sách chặn, sẽ ngăn chặn ngay lập tức.

Sơ đồ minh họa 1

Với cơ chế này, EndpointController không cần cài agent trên từng máy, mà sẽ giám sát trực tiếp lưu lượng mạng tại điểm trung chuyển dữ liệu (như router, switch,..).
Thông thường, lưu lượng mạng được sao chép (mirrored) bằng thiết bị traffic-mirroring để hệ thống có thể phân tích.

Hệ thống sau đó giám sát các giao thức mạng để phát hiện các hành vi đáng ngờ như gửi dữ liệu ra ngoài trái phép hoặc truy cập vào các máy chủ không hợp lệ.

Ví dụ: Nếu một người dùng trong mạng cố tải tệp nhạy cảm lên một trang web ngoài công ty, Network interception có thể phát hiện và ghi lại toàn bộ nội dung giao dịch đó.

Sơ đồ minh họa 2

Trong chế độ này, SearchInform kết nối trực tiếp với máy chủ email nội bộ (như Microsoft Exchange, Kerio, hoặc Mdaemon,..).
Hệ thống sử dụng dịch vụ sinsmail.exe để thu thập email và tệp đính kèm ngay từ máy chủ, thay vì chặn ở cổng mạng (gateway).

Nhờ đó, hệ thống có thể:

• Phân tích nội dung email đi và đến,
• Phát hiện thông tin nhạy cảm trong file đính kèm,
• Ghi nhận đầy đủ ngữ cảnh người gửi – người nhận – thời gian – nội dung.

Ví dụ: Khi một nhân viên gửi báo cáo tài chính cho người ngoài công ty, SearchInform sẽ phát hiện từ khóa hoặc nội dung nhạy cảm trong email đó và tạo cảnh báo cho bộ phận an ninh.

Sơ đồ minh họa 3

Ở chế độ này, EndpointController đóng vai trò như một máy chủ SMTP.
Các agent hoặc dịch vụ khác trong hệ thống có thể gửi báo cáo hoặc dữ liệu giám sát trực tiếp đến máy chủ này qua giao thức SMTP.

EndpointController sẽ:

• Nhận các gói báo cáo (report packages),
• Phân tích và xử lý nội dung,
• Lưu dữ liệu vào cơ sở dữ liệu để phục vụ việc tra cứu, thống kê, hoặc tạo cảnh báo.

Ví dụ: Khi một agent trên máy người dùng ghi nhận hành vi đáng ngờ, nó có thể gửi báo cáo sự kiện qua SMTP đến máy chủ để hệ thống xử lý và thông báo cho người phụ trách an ninh.

Sơ đồ minh họa 4