Bài viết này nhằm:

• Hướng dẫn cách xem và lọc log trên Sophos Firewall.
• Hướng dẫn đọc và xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Xem thông tin về lưu lượng mạng đi qua firewall và các mối đe dọa bảo mật

Các loại Dashboard chính:

• Traffic dashboard: Phân loại theo lưu lượng mạng
• Security dashboard:  Hoạt động bị chặn và các mối đe dọa: Malware, IPS, Spam, nguồn tấn công.
• Executive report: Thông tin tổng hợp cho người quản lý: Traffic & Threat nổi bật.
• User threat quotient (UTQ): Xếp hạng người dùng dựa trên điểm rủi ro bảo mật.

Xem thông tin về việc sử dụng ứng dụng và Internet trên hệ thống mạng của bạn.

Application risk meter là cách thức mà Firewall sẽ tính điểm dựa trên mức độ rủi ro và số lần truy cập (hits) của từng ứng dụng. Chỉ số rủi ro ứng dụng được xác định dựa trên điểm trung bình của toàn bộ lưu lượng ứng dụng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• User app risks & usage: Thống kê việc sử dụng các ứng dụng và mức độ rủi ro tương ứng.
• Cloud applications usage: Thống kê việc sử dụng các ứng dụng đám mây
• Blocked user apps: Các lần truy cập ứng dụng bị chặn.
• Synchronized applications: Các ứng dụng được phân loại và đồng bộ từ endpoint lên firewall.
• Web risks & usage: Hoạt động truy cập web trong mạng và các rủi ro liên quan.
• Blocked web attempts: Các lần truy cập web bị chặn
• Search engine: Thống kê hành vi tìm kiếm của người dùn
• Web content: Các kết quả khớp của bộ lọc nội dung và các thông tin liên quan.
• Web server usage: Lưu lượng Application, Web, Internet và FTP.
• Web server protection: Trạng thái bảo mật của các Web Server, bao gồm các cuộc tấn công và nguồn tấn công.
• User data transfer: User traffic
• FTP usage: FTP activity
• FTP protection: Malicious FTP activity

Xem thông tin về việc sử dụng mạng và các mối đe dọa liên quan.

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Intrusion attacks: Các lượt tấn công
• Active threat response: Threat events và các máy bị xâm nhập được phát hiện bởi MDR (Managed Detection and Response) và Sophos X-Ops
• Wireless: Access point và SSID được sử dụng
• Security Heartbeat: Tình trạng sức khỏe của máy trạm trong mạng dựa trên kết nối giữa máy trạm và Firewall.
• Zero-day protection: Bảo vệ nâng cao trước các cuộc tấn công mới.

Xem thông tin về remote user (người dùng kết nối từ xa) vào hệ thống mạng của bạn thông qua IPSEC VPN, SSL VPN và Clientless access

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• VPN: Lưu lượng phát sinh từ remote users qua IPsec, L2TP hoặc PPTP
• SSL VPN: Lưu lượng phát sinh từ remote users thông qua SSL VPN Client.
• Clientless Access: Lưu lượng phát sinh từ remote users thông qua trình duyệt web.

Xem thông tin về email traffic (lưu lượng email) trong hệ thống mạng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Email Usage: Email traffic trong hệ thống mạng của mình
• Email Protection: Email Traffic bị Virus và Spam trong hệ thống mạng của mình

Xem thông tin về việc tuân thủ các quy định/quy chuẩn:

Các nhóm Quy chuẩn có thể theo dõi trong phần này, bao gồm:

• HIPAA: Security Report tuân thủ chuẩn HIPAA
• GLBA: Security Report tuân thủ chuẩn GLBA
• SOX: Security Report tuân thủ chuẩn SOX
• FISMA: Security Report tuân thủ chuẩn FISMA
• PCI: Security Report tuân thủ chuẩn PCI
• NERC CIP v3: Security Report tuân thủ chuẩn NERC CIP v3
• CIPA: Security Report tuân thủ chuẩn CIPA
• Events: Network Event và các mức độ nghiêm trọng tương ứng

Tạo báo cáo bao gồm các tiêu chí được chỉ định.

Các loại Report có thể tạo trong phần này, bao gồm:

• Web Report: Tìm kiếm hoạt động duyệt web hoặc virus. Có thể lọc theo user, domain và các tiêu chí khác
• Mail Report: Tìm kiếm lưu lượng Email, Spam và Virus. Có thể lọc theo protocol, user và các tiêu chí khác.
• FTP Report: Tìm kiếm hoạt động FTP và Virus. Có thể lọc theo kiểu truyền, user, file hoặc source IP
• User Report: Thống kê mức độ sử dụng: ứng dụng rủi ro cao, website không hiệu quả, virus phát hiện. Có thể lọc theo username, source host.
• Web Server Report: Tìm kiếm hoạt động Web Server (time, user, URI) và cả các sự kiện bảo vệ Web Server.

Log Viewer hiển thị event logs và được tự động cập nhật khi có event mới (Real-time).

Để truy cập, ở góc phải phía trên Sophos Firewall, nhấn Log viewer

Cửa sổ Log Viewer mới sẽ xuất hiện, và quản trị viên có thể xem log Realtime ở đây

Quản trị viên có thể tùy chọn các loại log cụ thể để giám sát như sau:

• Admin
• Active Threat Response
• Application filter
• Authentication
• Email
• Firewall
• IPS
• Malware
• Security Heartbeat
• SSL/TLS inspection
• SD-WAN
• System
• VPN
• Web content policy
• Web filter
• Web server protection
• Zero-day protection

Trong quá trình quản trị hệ thống, người quản trị cần các file báo cáo tổng hợp phản ánh tình trạng sử dụng hệ thống và các mối đe dọa tiêu biểu. Vì vậy, trong bài hướng dẫn này sẽ lựa chọn Executive report để thực hiện việc xuất báo cáo.

 Để xuất Report báo cáo theo lịch trình, chọn Show Reports Settings

Chọn Report Scheduling, nhấn Add

Nhập thông tin sau:

• Name: Đặt tên lịch report.
• Description: Mô tả (không bắt buộc).
• To email address: Địa chỉ email nhận report (có thể nhập nhiều email)
• Report type: Chọn loại report (VD: Report group)
• Report group: Chọn nhóm report phù hợp (VD: Executive Report)
• Email frequency: Chọn Daily hoặc Weekly và mốc thời gian gửi report qua email.

Sau khi nhập hoàn tất, nhấn Save.

Đúng lịch trình cấu hình, Sophos sẽ gửi email bảng báo cáo report về email.

Nếu chưa có tài khoản Sophos Central, tham khảo: https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

Đăng nhập Sophos Central bằng tài khoản Super Admin.

– Vào Account → Licensing Firewall licenses

– Chọn Firewall licenses 

– Chọn Claim firewall 

– Nhập Serial Number thiết bị 

Sau khi claim thành công, thiết bị sẽ hiển thị trong danh sách quản lý.

– Chọn thiết bị → Apply subscriptions

– Nhập License Key

– Preview subscription → Apply license

Đối với các lần gia hạn (renew) license trong tương lai, cần lưu ý

– License Number: chỉ dùng để tracking và support, không dùng để activate.

– License Key: bắt buộc để kích hoạt hoặc renew license.

• Trong hầu hết các trường hợp, nếu Sophos Firewall đã được liên kết đúng Sophos Central account, license sau khi renew sẽ tự động đồng bộ xuống thiết bị mà không cần thao tác thủ công.
• Tuy nhiên, nếu license không tự đồng bộ và vẫn hiển thị trạng thái Expired, bạn có thể thực hiện các bước sau:
  • Kiểm tra license trong Sophos Central hoặc Sophos Partner Portal để xác định License Key tương ứng
  • Thực hiện apply License Key thủ công cho thiết bị Firewall (theo hướng dẫn ở Mục II.3)

• Nếu email gia hạn không chứa License Key, khuyến nghị:
  • Kiểm tra lại thông tin license trong Sophos Portal
  • Hoặc liên hệ Sophos Support / Partner để xác nhận chính xác License Key trước khi apply

Giới thiệu

Sophos Firewall phiên bản 21 đã bổ sung hỗ trợ cho Let’s Encrypt, một tổ chức chứng thực (CA) miễn phí và tự động được tạo ra bởi Internet Security Research Group. Mục tiêu của Let’s Encrypt là đơn giản hóa quá trình cấp và gia hạn chứng chỉ SSL/TLS, từ đó nâng cao bảo mật và tính riêng tư cho web.
Chứng chỉ Let’s Encrypt có hiệu lực trong 90 ngày và sẽ được firewall tự động gia hạn trước khi hết hạn. Điều này giúp quá trình quản lý chứng chỉ trở nên dễ dàng và ít rắc rối hơn.

Các trường hợp hỗ trợ

Sophos Firewall v21 hỗ trợ chứng chỉ Let’s Encrypt cho các giao diện như:

• WAF (Web Application Firewall)
• Email SMTP TLS
• Các trang đăng nhập hotspot
• Web admin console
• Cổng người dùng, captive portal, VPN portal, và SPX portal

Tuy nhiên, Let’s Encrypt không hỗ trợ cho các dịch vụ VPN từ xa, VPN site-to-site và Chromebook SSO.

Quy trình cấp chứng chỉ Let’s Encrypt

1. Đăng ký tài khoản: Quản trị viên sẽ nhấn vào nút “Register Account” để firewall gửi yêu cầu đăng ký tới máy chủ Acme của Let’s Encrypt.

2. Yêu cầu chứng chỉ: Firewall yêu cầu chứng chỉ cho tên miền hoặc nhiều tên miền được chỉ định.

3. Xác thực tên miền: Firewall tạo một máy chủ web ảo tạm thời và firewall rule, đồng thời cung cấp một tệp xác thực để chứng minh quyền sở hữu tên miền với Let’s Encrypt.

4. Cấp chứng chỉ: Sau khi xác thực thành công, Let’s Encrypt sẽ cấp chứng chỉ và firewall sẽ tự động lưu trữ và quản lý chứng chỉ này.

Tạo chứng chỉ Let’s Encrypt
Để tạo chứng chỉ Let’s Encrypt trong Sophos Firewall:

1. Điều hướng đến phần Certificates, chọn Let’s Encrypt. Nhấn vào Register account

2. Điều hướng đến phần Certificates, chọn Certificates. Nhấn vào Add.

3. Ở phần Action, chọn Request Let’s Encrypt certificate. Đặt tên và chọn domain mà bạn muốn bảo vệ. Ở phần Hosted address, chọn port WAN của firewall.

4. Firewall sẽ tự động tạo các cấu hình cần thiết và gửi yêu cầu tới Let’s Encrypt.

Sử dụng chứng chỉ Let’s Encrypt
Sau khi chứng chỉ được cấp:

• Quản trị viên có thể sử dụng chứng chỉ này để bảo mật các cổng như web admin console, user portal, captive portal, và các dịch vụ liên quan.
• Trình duyệt sẽ hiển thị kết nối bảo mật với biểu tượng ổ khóa khi sử dụng chứng chỉ hợp lệ từ Let’s Encrypt.

Kết luận
Việc tích hợp Let’s Encrypt với Sophos Firewall v21 giúp đơn giản hóa việc quản lý chứng chỉ và tăng cường bảo mật cho hệ thống. Hãy kiểm tra các video hướng dẫn khác và truy cập tài liệu hỗ trợ để tìm hiểu thêm chi tiết.

Hướng dẫn này sẽ cung cấp chi tiết cách cấu hình NAT Port và Port Forwarding trên tường lửa Fortinet, giúp quản lý truy cập từ bên ngoài vào các dịch vụ bên trong mạng nội bộ một cách an toàn và hiệu quả.

2. NỘI DUNG HƯỚNG DẪN.
3. NAT Port là gì?

NAT Port (Network Address Translation Port) là quá trình thay đổi địa chỉ IP nguồn hoặc đích của các gói tin khi chúng đi qua tường lửa, nhằm tạo lớp bảo mật cho mạng nội bộ.

2. Port Forwarding là gì?

Port Forwarding (chuyển tiếp cổng) là một kỹ thuật cấu hình mạng giúp chuyển tiếp lưu lượng mạng từ một địa chỉ IP và cổng công cộng đến một địa chỉ IP và cổng nội bộ cụ thể trong mạng. Đây là phương thức quan trọng để cho phép các thiết bị hoặc dịch vụ bên trong mạng nội bộ có thể truy cập từ Internet hoặc mạng bên ngoài thông qua tường lửa hoặc router….

3. Các bước cấu hình

Các bước cấu hình:

• Tạo Virtual IP để ánh xạ port giữa IP Local và IP WAN
• Tạo Policy và gán Virtual IP vào để cho phép truy cập từ bên ngoài
• Kiểm tra kết nối

Mô hình kết nối:

3. HƯỚNG DẪN CẤU HÌNH.
4. Tạo Virtual IP để ánh xạ port giữa IP nội bộ và IP WAN

Truy cập vào giao diện quản trị của firewall

Điều hướng đến mục Virtual IP, chọn Create New

VIP Type: Chọn “IPv4”

Name: Đặt tên cho quy tắc NAT (ví dụ: “NAT_4444”)

Comments: Thêm mô tả nếu cần (ví dụ: “Port forward NAT”)

Interface: Chọn giao diện mạng (ví dụ: “wan”)

External IP address/range: Nhập địa chỉ IP public (ví dụ: 103.30.154.218)

Map to IPv4 address/range: Nhập địa chỉ IP private (ví dụ: 10.0.0.200)

********

Trong phần “Port Forwarding“, chọn “Enable“.

Cấu hình các thông số Port Forwarding:

Protocol: Chọn giao thức (ví dụ: TCP)

External service port: Nhập port public (ví dụ: 4444), port này có thể giống hoặc khác port private.

Map to IPv4 port: Nhập port private (ví dụ: 443)

2. Tạo Policy và gán Virtual IP vào để cho phép truy cập từ bên ngoài

Đi đến mục Policy & Objects > IPv4 Policy.

Nhấp chuột vào Create New để tạo chính sách mới.

Điền các thông tin cần thiết:

• Name: Nhập tên cho chính sách.
• Incoming Interface: Chọn giao diện mạng ngoài (WAN).
• Outgoing Interface: Chọn giao diện mạng trong (LAN).
• Source: Chọn địa chỉ IP hoặc all.
• Destination: Chọn VIP mà bạn đã tạo ở bước trên.
• Service: Chọn dịch vụ hoặc port mà bạn muốn cho phép.
• Action: Chọn Accept.

Nhấn OK để lưu lại chính sách.

3. Kiểm tra kết nối.

Sử dụng công cụ kiểm tra port hoặc kết nối từ bên ngoài để xác nhận rằng NAT port và Port Forwarding đã hoạt động đúng.

Đảm bảo rằng thiết bị của bạn không còn kết nối với mạng nội bộ (LAN) mà Fortinet đang bảo vệ. Bạn có thể sử dụng dữ liệu di động hoặc một mạng Wi-Fi khác.

Nhập địa chỉ 183.80.156.218:4444 (IP WAN:Port) vào thanh địa chỉ của trình duyệt.

Nếu cấu hình chính xác, bạn sẽ truy cập được dịch vụ web trên máy chủ cục bộ từ địa chỉ public này.

Nếu không kết nối được, hãy kiểm tra lại các bước cấu hình, đảm bảo rằng không có lỗi về port hoặc IP mapping, và dịch vụ nội bộ đang hoạt động đúng cách.

Tường lửa mã nguồn mở có thể là một lựa chọn bảo mật mạng tiết kiệm chi phí nếu bạn có những người phù hợp để quản lý chúng. Theo hầu hết các giấy phép mã nguồn mở, bạn có thể sử dụng, chỉnh sửa và chia sẻ phần mềm đồng thời có quyền truy cập vào mã nguồn.

Với tính minh bạch này, bạn có thể hiểu rõ hơn về kiến trúc và hành vi của tường lửa. Tuy nhiên, điều này cũng có nghĩa là bạn cần có những người có kiến thức kỹ thuật để triển khai và quản lý tường lửa, đặc biệt là vì nhiều tường lửa mã nguồn mở thiếu các tính năng cao cấp mà tường lửa thương mại cung cấp.

Để xác định việc dựa vào hoặc tích hợp tường lửa mã nguồn mở có phù hợp với trường hợp sử dụng của bạn hay không, bạn nên hiểu rõ chúng là gì, các chức năng mà từng loại tường lửa cung cấp, và những thách thức đi kèm với chúng.

Các quy tắc phổ biến của tường lửa mã nguồn mở

Việc cài đặt tường lửa mã nguồn mở không tự động đảm bảo an ninh mạng. Một số thực tiễn tốt nhất để cấu hình tường lửa mã nguồn mở bao gồm:

• Chặn theo mặc định (Deny by default): Chặn tất cả lưu lượng truy cập đến và chuyển tiếp, chỉ cho phép lưu lượng đi ra ngoài.
• Cho phép các kết nối đã được thiết lập (Allow established connections): Cho phép các gói tin liên quan đến các phiên kết nối đang hoạt động được thông qua trong khi vẫn đảm bảo an ninh.
• Cho phép các dịch vụ thiết yếu (Allow essential services): Duy trì lưu lượng truy cập đến các ứng dụng và dịch vụ quan trọng.
• Triển khai bảo vệ quét cổng (Implement port scanning protection): Ngăn chặn các cuộc tấn công dò quét cổng để khai thác lỗ hổng bảo mật.
• Cho phép yêu cầu ping (Allow ping requests): Cho phép lưu lượng giúp quản lý và khắc phục sự cố mạng.
• Sử dụng VPN: Mã hóa lưu lượng truy cập để giảm thiểu rủi ro từ các cuộc tấn công mạng dựa trên mạng.
• Triển khai lọc web (Implement web filtering): Chặn truy cập vào các trang web liên quan đến phần mềm độc hại, lừa đảo và virus.

Tường lửa mã nguồn mở so với tường lửa thương mại.

Khi lựa chọn giải pháp tường lửa, bạn có thể phải xem xét ưu và nhược điểm của tường lửa mã nguồn mở so với tường lửa thương mại. Tường lửa mã nguồn mở cung cấp các lợi ích như tính minh bạch, linh hoạt và hiệu quả về chi phí, cho phép bạn tùy chỉnh các tính năng và thích ứng với nhu cầu bảo mật thay đổi. Mặt khác, nếu bạn muốn cách tiếp cận “ít can thiệp” hơn, thì tường lửa thương mại có thể thực tế hơn vì chúng thường cung cấp hỗ trợ mạnh mẽ, giao diện thân thiện với người dùng và nhiều tính năng tích hợp sẵn.

Ưu điểm của tường lửa mã nguồn mở

Tường lửa mã nguồn mở cung cấp một số lợi thế như:

• Hiệu quả về chi phí: Là giải pháp miễn phí, cho phép tổ chức phân bổ tài nguyên một cách hiệu quả.
• Tùy chỉnh: Linh hoạt cho các công ty có nhu cầu vận hành hoặc yêu cầu quy định đặc biệt.
• Minh bạch: Mã nguồn có sẵn để xác định lỗ hổng bảo mật và kiểm tra tính toàn vẹn.

Nhược điểm của tường lửa mã nguồn mở

Dù có những lợi ích, tường lửa mã nguồn mở cũng có những hạn chế. Bạn cần lưu ý rằng chúng đòi hỏi:

• Chuyên môn kỹ thuật: Cần có kiến thức về mạng và giao thức bảo mật để cài đặt và bảo trì.
• Chức năng hạn chế: Ít tính năng bảo mật nâng cao, hạn chế khả năng bảo vệ.
• Giao diện người dùng: Thiếu bảng điều khiển trung tâm để quản lý triển khai.
• Không có phát triển được tài trợ: Không có đội ngũ phát triển tài trợ để nâng cấp và cải thiện khả năng của tường lửa mã nguồn mở.

Tối ưu hóa các quy tắc

Khi môi trường của bạn mở rộng, số lượng tường lửa bạn triển khai cũng tăng theo. Bạn có thể có sự kết hợp giữa tường lửa mã nguồn mở và tường lửa thương mại, điều này khiến việc quản lý trở nên thách thức hơn. Bạn cần đảm bảo tối ưu hóa các tập quy tắc của mình để đảm bảo:

• Các quy tắc chặn lưu lượng được đặt ở đầu danh sách quy tắc.
• Các quy tắc cụ thể cấp quyền truy cập nằm gần đầu danh sách quy tắc.
• Các quy tắc có tần suất sử dụng cao được ưu tiên.
• Các quy tắc ít được sử dụng được loại bỏ khi cần thiết.

Liên tục giám sát và điều chỉnh.

Cho dù bạn đang thêm người dùng và ứng dụng mới hay gỡ bỏ chúng, bạn cần liên tục xem xét và điều chỉnh cấu hình tường lửa của mình. Như một phần của quy trình quản lý thay đổi, bạn nên:

• Hiểu lưu lượng dữ liệu trên mạng nội bộ của bạn.
• Xem xét khả năng kết nối với internet công cộng.
• Xác định các rủi ro mà các thay đổi có thể gây ra.
• Tài liệu hóa quy trình phân tích rủi ro và bất kỳ phê duyệt nào cần thiết.

Nguồn: https://www.tufin.com/blog/understanding-open-source-firewalls 

Firewall là gì?

Tường lửa là hệ thống bảo mật, giám sát và kiểm soát lưu lượng mạng đến và đi dựa trên các quy tắc bảo mật được xác định trước. Chúng hoạt động như một rào cản giữa mạng nội bộ(đáng tin cậy) và mạng bên ngoài(không đáng tin cậy), chẳng hạn như Internet. Để ngăn chặn truy cập trái phép và bảo vệ khỏi các mối đe dọa trên mạng. Nói một cách đơn giản là….

Hãy tưởng tượng máy tính của bạn đang tổ chức một bữa tiệc. Tường lửa của bạn là người bảo vệ trước cửa với danh sách khách mời nghiêm ngặt. “Gói? Xin vui lòng cho biết tên.” Nếu bạn có tên trong danh sách (lưu lượng truy cập được phê duyệt), bạn sẽ tham gia bữa tiệc. Nếu không, thì đó là “Xin lỗi, anh bạn, hãy mang bản thân spam của bạn đi nơi khác!”

Các loại Firewall.

Packet Filtering Firewall: Hoạt động ở lớp mạng, kiểm tra tiêu đề của từng gói để biết các quy tắc được xác định trước. Nó cho phép hoặc chặn lưu lượng truy cập dựa trên địa chỉ IP, cổng và giao thức. Nó hiệu quả nhưng thiếu kiểm tra sâu về nội dung gói.

Stateful Inspection Firewall: Giám sát trạng thái của các kết nối đang hoạt động và đưa ra quyết định dựa trên bối cảnh lưu lượng truy cập. Nó duy trì các bảng trạng thái để theo dõi các phiên đang diễn ra và chỉ cho phép các gói hợp pháp thuộc một kết nối đang hoạt động.

Proxy Firewall: Chức năng như một trung gian giữa người dùng cuối và tài nguyên họ truy cập. Nó chặn tất cả các yêu cầu và thực hiện kiểm tra gói kỹ lưỡng trước khi chuyển tiếp chúng, cung cấp mức độ bảo mật cao bằng cách che giấu mạng nội bộ khỏi các mối đe dọa bên ngoài.

Next-Generation Firewall (NGFW): Tích hợp các khả năng tường lửa truyền thống với các tính năng nâng cao như kiểm tra gói sâu, hệ thống ngăn chặn xâm nhập (IPS) và kiểm tra cấp ứng dụng. Nó có thể xác định và kiểm soát các ứng dụng cũng như bảo vệ khỏi các mối đe dọa tinh vi.

Unified Threat Management (UTM) Firewall: Kết hợp nhiều tính năng bảo mật, chẳng hạn như tường lửa, chống vi-rút, ngăn chặn xâm nhập và lọc nội dung vào một thiết bị duy nhất. Nó cung cấp một giải pháp bảo mật toàn diện để đơn giản hóa việc quản lý.

Cloud Firewall:  Được cung cấp dưới dạng dịch vụ, nó bảo vệ cơ sở hạ tầng và tài nguyên đám mây. Nó cung cấp khả năng mở rộng và tính linh hoạt, bảo vệ môi trường đám mây bằng cách kiểm tra và kiểm soát lưu lượng đến và đi từ các ứng dụng đám mây.

Hardware Firewall:  Một thiết bị vật lý được cài đặt ở chu vi của mạng để lọc lưu lượng truy cập vào hoặc ra khỏi mạng. Nó cung cấp khả năng bảo mật mạnh mẽ và chuyên dụng nhưng yêu cầu triển khai và bảo trì vật lý.

Software Firewall: Được cài đặt trên các thiết bị riêng lẻ để giám sát và kiểm soát lưu lượng đến và đi. Nó cung cấp khả năng bảo vệ cho thiết bị cụ thể được cài đặt, thường được sử dụng trong máy tính cá nhân và thiết bị di động.

Phần biệt Stateful vs Stateless Firewalls

Stateful Firewalls

Tường lửa theo dõi trạng thái của các kết nối đang hoạt động và đưa ra quyết định dựa trên bối cảnh lưu lượng truy cập. Hãy coi tường lửa có trạng thái như một nhân viên bảo vệ cảnh giác, người không chỉ kiểm tra ID của từng người vào tòa nhà mà còn theo dõi xem ai đang ở bên trong và các hoạt động hiện tại của họ. Người bảo vệ này đảm bảo rằng chỉ những người có lý do chính đáng để ở đó mới có thể vào hoặc vào lại.

Tracks Connections: Giám sát các phiên đang diễn ra, đảm bảo rằng các gói là một phần của các kết nối đã được thiết lập.

Security: Cung cấp khả năng bảo vệ nâng cao bằng cách hiểu rõ bối cảnh lưu lượng truy cập, ngăn chặn hiệu quả các cuộc tấn công phức tạp.

Performance: Nói chung là chậm hơn do chi phí duy trì bảng trạng thái.

Complexity: Cấu hình và quản lý phức tạp hơn, cung cấp khả năng kiểm soát lưu lượng tốt hơn.

Ideal For: Môi trường bảo mật cao, chẳng hạn như mạng công ty xử lý dữ liệu nhạy cảm.

Stateless Firewalls

Tường lửa lọc các gói chỉ dựa trên các quy tắc được xác định trước mà không theo dõi trạng thái kết nối. Hãy tưởng tượng một tường lửa không trạng thái như một người gác cửa đơn giản kiểm tra ID của từng người ở lối vào mà không có bất kỳ ký ức nào về người đã vào trước đó. Mỗi khách được đánh giá độc lập mà không xem xét các tương tác trước đó.

Security: Cung cấp khả năng bảo vệ cơ bản bằng cách lọc lưu lượng truy cập dựa trên tiêu chí tĩnh nhưng thiếu bối cảnh của các kết nối đang diễn ra.

Performance: Nói chung nhanh hơn do không có chi phí theo dõi trạng thái.

Complexity: Dễ dàng cấu hình và quản lý hơn nhưng cung cấp khả năng kiểm soát lưu lượng truy cập ít chi tiết hơn.

Ideal For: Môi trường nơi tốc độ là rất quan trọng và yêu cầu bảo mật là cơ bản.

Với SSL VPN Remote Access, bạn có thể cung cấp quyền truy cập vào tài nguyên mạng của từng máy chủ qua internet bằng cách sử dụng các đường hầm được mã hóa point-to-point. Chính sách truy cập từ xa sử dụng OpenVPN, một giải pháp SSL VPN đầy đủ tính năng. 

Bài viết này sẽ hướng dẫn bạn cách cài đặt SSL VPN client trên Ubuntu, kết nối VPN bằng ứng dụng OpenVPN.

2. Hướng dẫn cấu hình.
   1. Cấu hình SSL VPN (Remote Access).

Bạn có thể tham khảo các bước cấu hình SSL VPN qua link sau: https://thegioifirewall.com/sophos-xg-huong-dan-cau-hinh-ssl-vpn-client-to-site

2. Tải xuống tệp cấu hình SSL VPN.

Trên Ubuntu Destop, đăng nhập vào VPN portal bằng username đã tạo ở bước 1. Sử dụng IP WAN Sophos : Port 443 (443 là port mặc định của Sophos Firewall, người quản trị có thể đổi).

Chọn Download for Windows, MacOS, Linux.

Sau khi tải xuống bạn sẽ có file _ssl_vpn_config.ovpn

3. Cài đặt OPENVPN

Trước khi đi vào cài đặt chúng ta sẽ cập nhật các gói hệ thống lên bản mới bằng lệnh:

sudo apt update

sudo apt upgrade

Thực hiện cài đặt OpenVPN bằng 2 lệnh sau:

sudo apt install tzdata

sudo dpkg-reconfigure tzdata

Tại mục Geographic area: Chọn Asia

Sau đó chọn OK.

Tại mục Time zone: Chọn Ho Chi Minh City.

Sau đó chọn OK.

4. 4. Cài đặt, kết nối SSL VPN Client.

Lưu ý: Nếu bạn là người dùng bình thường thì cần chuyển sang user root để có toàn quyền cài đặt bằng lệnh “sudo su” và nhập mật khẩu cho user bình thường.

Di chuyển đến đến thư mục Downloads hoặc thư mục lưu tệp cấu hình ssl_vpn mà bạn vừa tải xuống.

Example: cd /home/phongntt/Downloads/ls

Bạn sẽ thấy tệp sslvpn-phong2-client-config.ovpn

Thực hiện kết nối SSL VPN bằng dòng lệnh sau:

openvpn –config sslvpn-phong2-client-config.ovpn

Nhập Username và Passwword đã tạo ở bước 1 (cấu hình SSL VPN)

Khi nhật ký hiển thị thông báo Initialization Sequence Completed, kết nối SSL VPN thành công.

Khi kết nối bạn nên để màn hình Terminal này hoạt động và mở tab Terminal khác để sử dụng.

Kiểm tra trên Ubuntu có thêm 1 ip Tun0 được gán trong dãy IP SSL đã cấu hình ở bước 1.

Kiểm tra tường lửa Sophos. Điều hướng tới Current Activities > Live User. 

Người dùng hiện đang kết nối là Phong2.

Để thoát kết nối SSL VPN. Trên tab Terminal đang kết nối kernel Ctrl + C. 

Quá trình thoát log cho thấy kết nối đã được ngắt kết nối thành công. 

Nếu bạn muốn kết nối lại, hãy sử dụng lệnh openvpn –config sslvpn-phong2-client-config.ovpn

1. Xác định IP và cổng.

Các địa chỉ IP và số cổng trong bản ghi tường lửa là những thứ đầu tiên bạn nên kiểm tra. Hãy xem địa chỉ IP như là “địa chỉ nhà” của một máy tính trên mạng, và số cổng là một “phòng” cụ thể trong ngôi nhà đó nơi diễn ra việc liên lạc. Bản ghi sẽ hiển thị địa chỉ IP nguồn (nơi xuất phát của lưu lượng) và địa chỉ IP đích (nơi lưu lượng đang đi đến), cùng với các số cổng được sử dụng.

2. Nhận biết phiên hành động.

Phần “hành động” của một bản ghi mô tả các hành động của tường lửa đối với lưu lượng mạng. Các hoạt động điển hình mà bạn có thể thấy là như sau:

Accept: Lưu lượng được phép đi qua.

Deny: Người gửi được thông báo và lưu lượng bị dừng lại.

Drop: Người gửi không được thông báo và lưu lượng bị chặn.

Close: Cả hai bên đồng ý kết thúc việc liên lạc.

Client-first: Khách hàng (người khởi đầu việc liên lạc) đã kết thúc nó.

Server-rst: Máy chủ, là người nhận của việc liên lạc, đã kết thúc nó.

Các bản ghi chứa thông tin khác nhau. Dưới đây là danh sách những gì bạn có thể mong đợi thấy khi xem xét một bản ghi.

date = Ngày

time = Thời gian

devname = Tên máy chủ

devid = ID thiết bị

eventtime = 1653131198230012501

tz = Múi giờ

logid = ID bản ghi

type = Loại bản ghi (traffic, utm, event, v.v.)

subtype = Loại phụ của bản ghi (Forward, vpn, webfilter, virus, ips, system, v.v.)

level = Mức độ bản ghi

srcip = Địa chỉ IP nguồn

srcname = Tên máy chủ nguồn

srcport = Cổng nguồn

srcintf = Tên cổng nguồn

srcintfrole = Vai trò của cổng nguồn

dstip = Địa chỉ IP đích

dstport = Cổng đích

dstintf = Tên cổng đích

dstintfrole = Vai trò của cổng đích

srccountry = Thông tin quốc gia của IP nguồn

dstcountry = Thông tin quốc gia của IP đích

action = Thông tin về hành động đã thực hiện (drop, deny, accept, v.v.)

service = Thông tin dịch vụ

transip = Thông tin NAT IP (đầu ra nội bộ của địa chỉ nguồn riêng)

transport = Thông tin NAT port

duration = Thời gian đã trôi qua

sentbyte = Kích thước gói tin đã gửi (byte)

rcvdbyte = Kích thước gói tin đã nhận (byte)

sentpkt = Số lượng gói tin đã gửi

rcvdpkt = Số lượng gói tin đã nhận

3. Sử dụng bộ lọc Nguồn và Đích.

Bạn có thể lọc các bản ghi theo địa chỉ IP nguồn và đích để đơn giản hóa công việc của mình. Điều này giúp bạn dễ dàng tìm thấy thông tin liên quan một cách nhanh chóng, đặc biệt là khi điều tra một sự cố cụ thể.

Để cung cấp cái nhìn tổng quan đơn giản về cách đọc các bản ghi tường lửa, tôi quyết định sử dụng mô-đun Phân tích Bản ghi Tường lửa của LetsDefend.io làm ví dụ.

Sau đây là một tệp để phân tích những gì đang xảy ra và các câu hỏi để thực hiện các bước đã đề cập ở trên.

Câu hỏi: Kẻ tấn công đã cố gắng truy cập vào bao nhiêu cổng khác nhau?

Trả lời: 12

Để trả lời câu hỏi này, tôi tập trung vào việc tìm tất cả các cổng “dstport’ khác nhau trong bản ghi mà hành động là “deny”.

Câu hỏi: Loại tấn công/hoạt động nào có thể đã được thực hiện theo các bản ghi trên?

A) Brute-Force Attack

B) Port-scan activity

C) TCP-SYN-Flood Attack

D) No suspicious activities detected

Trả lời: B) Port-scan activity

Bằng cách xem xét các bản ghi và thấy cách lưu lượng bị từ chối truy cập qua các cổng nhất định, rõ ràng là hoạt động có thể là quét cổng (port scan).

Câu hỏi: Kẻ tấn công đã phát hiện bao nhiêu cổng mở?

Trả lời: 3

action=allow will let you know what traffic has been allowed through the port)

Câu hỏi: Kẻ tấn công có nhận được phản hồi từ tường lửa thông báo rằng yêu cầu truy cập của nó đã bị chặn không?

Trả lời: Có

Trong tệp bản ghi, chúng ta có thể thấy rằng lưu lượng được hiển thị là “deny”. Nếu chúng ta tham khảo lại danh sách hành động, chúng ta có thể thấy rằng `deny` có nghĩa là người gửi sẽ được thông báo rằng lưu lượng đã bị dừng lại.

Tóm lại, lúc đầu, việc đọc các bản ghi tường lửa có thể có vẻ khó khăn, nhưng với hướng dẫn từng bước, nó trở nên dễ dàng hơn rất nhiều. Bắt đầu từ những điều cơ bản: xác minh chi tiết IP và cổng, hiểu hoạt động của tường lửa, và tinh chỉnh kết quả để tập trung vào dữ liệu liên quan. Với một chút kinh nghiệm, bạn sẽ nhận thấy rằng những bản ghi này rất quan trọng trong việc duy trì an ninh mạng của bạn và xử lý sự cố một cách nhanh chóng và hiệu quả.

Nguồn: https://s.net.vn/zAEk 

Firewall và antivirus là hai công cụ bảo mật thông tin quan trọng trong lĩnh vực công nghệ thông tin. Mặc dù cả hai đều có mục tiêu chung là bảo vệ hệ thống khỏi các mối đe dọa mạng, tuy nhiên, chúng có vai trò và phương pháp hoạt động khác nhau.

Mục lục :

I. Khái niệm về antivirus và thiết bị firewall

II. Sự khác biệt chính giữa firewall và antivirus

III. Kết hợp firewall và antivirus

Nội dung bài viết :

I. Khái niệm về antivirus và thiết bị firewall

1. Thiết bị firewall

Định nghĩa: Thiết bị Firewall là một phần cứng hoặc phần mềm được sử dụng để kiểm soát và quản lý lưu lượng mạng đi vào và ra khỏi một mạng nội bộ hoặc hệ thống máy tính. Nó hoạt động như một rào cản giữa mạng nội bộ và mạng bên ngoài, kiểm soát quyền truy cập và ngăn chặn các kết nối không mong muốn.

Vai trò: Thiết bị Firewall giúp bảo vệ hệ thống khỏi các cuộc tấn công từ xa và ngăn chặn các kết nối không mong muốn. Nó kiểm soát lưu lượng mạng dựa trên các quy tắc và chính sách được thiết lập, đảm bảo rằng chỉ có những kết nối được phép thông qua và các kết nối không hợp lệ bị từ chối.

2. Phầm mềm Antivirus

Định nghĩa: Phần mềm Antivirus là một ứng dụng chạy trên hệ điều hành máy tính và được thiết kế để phát hiện, ngăn chặn và loại bỏ các phần mềm độc hại khỏi hệ thống. Nó sử dụng các cơ chế quét và phân tích để xác định các đặc điểm của các mẫu virus, malware và phần mềm độc hại khác.

Vai trò: Antivirus giúp bảo vệ hệ thống bằng cách phát hiện và loại bỏ các phần mềm độc hại đã được biết đến. Nó quét các tệp tin, thư mục, ổ đĩa và bộ nhớ để tìm kiếm các mã độc và cung cấp biện pháp như cách ly, tiêu diệt hoặc xóa chúng.

II. Sự khác biệt chính giữa firewall và antivirus

Dưới đây là bản so sánh giữa thiết bị Firewall và phần mềm Antivirus dựa trên một số tiêu chí quan trọng:

Chức năng:

• Firewall: Kiểm soát và quản lý lưu lượng mạng đi vào và ra khỏi hệ thống, ngăn chặn các kết nối không mong muốn và xác định quyền truy cập từ bên ngoài.
• Antivirus: Phát hiện, ngăn chặn và loại bỏ các phần mềm độc hại khỏi hệ thống, bao gồm virus, malware và các phần mềm độc hại khác.

Phạm vi bảo vệ:

• Firewall: Bảo vệ mạng nội bộ và các hệ thống máy tính khỏi các cuộc tấn công từ xa và các kết nối không mong muốn.
• Antivirus: Bảo vệ các hệ thống máy tính và thiết bị khỏi phần mềm độc hại đã được biết đến và phát hiện.

Phương pháp hoạt động:

• Firewall: Dựa trên các quy tắc và chính sách để kiểm soát và quản lý lưu lượng mạng, sử dụng bộ lọc và bộ quy tắc để xác định các kết nối hợp lệ và không hợp lệ.
• Antivirus: Sử dụng các cơ chế quét, phân tích và so khớp để xác định các đặc điểm của các phần mềm độc hại, quét và giám sát các tệp tin, thư mục, ổ đĩa và bộ nhớ.

Loại mối đe dọa được đối phó:

• Firewall: Ngăn chặn các cuộc tấn công từ xa, bao gồm tấn công từ chối dịch vụ (DDoS), xâm nhập và các kết nối không mong muốn.
• Antivirus: Phát hiện và loại bỏ các phần mềm độc hại đã được biết đến, chẳng hạn như virus, trojan, ransomware và phần mềm gián điệp.

Độ phức tạp và quản lý:

• Firewall: Cần cài đặt và cấu hình thiết bị Firewall phù hợp với môi trường mạng và thiết lập các quy tắc và chính sách. Yêu cầu kiến thức chuyên môn và kỹ năng quản lý.
• Antivirus: Dễ dàng cài đặt và quản lý trên các hệ thống máy tính và thiết bị. Thường có giao diện người dùng thân thiện và cung cấp cập nhật tự động cho cơ sở dữ liệu phần mềm độc hại.

Phạm vi ứng dụng:

• Firewall: Sử dụng cho mạng nội bộ của tổ chức hoặc cá nhân, bao gồm cả mạng LAN và mạng Wi-Fi.
• Antivirus: Cài đặt và sử dụng trên các hệ thống máy tính cá nhân, máy tính xách tay và các thiết bị di động.

Hiệu suất và tài nguyên hệ thống:

• Firewall: Thiết bị Firewall có thể yêu cầu tài nguyên phần cứng và băng thông mạng để xử lý và kiểm soát lưu lượng mạng. Hiệu suất của Firewall có thể ảnh hưởng đến tốc độ truyền dữ liệu mạng.
• Antivirus: Phần mềm Antivirus thường hoạt động trong nền và tiêu thụ một phần nhỏ tài nguyên hệ thống. Tuy nhiên, quét toàn bộ hệ thống hoặc quét các tệp tin lớn có thể tốn thời gian và ảnh hưởng đến hiệu suất.

Khả năng phòng ngừa và phản ứng:

• Firewall: Thiết bị Firewall có khả năng ngăn chặn các kết nối không mong muốn và cuộc tấn công từ xa. Nó cũng có thể giám sát các hoạt động mạng để phát hiện và báo động về các mô hình tấn công.
• Antivirus: Phần mềm Antivirus có khả năng phát hiện và loại bỏ các phần mềm độc hại đã được biết đến, nhưng nó có thể có sự chậm trễ trong việc nhận diện các mẫu độc hại mới. Việc cập nhật định kỳ cơ sở dữ liệu phần mềm độc hại là quan trọng để duy trì khả năng phòng ngừa tốt hơn.

Tính linh hoạt và mở rộng:

• Firewall: Thiết bị Firewall có thể được mở rộng và cấu hình để phù hợp với môi trường mạng và nhu cầu bảo mật. Các tính năng bổ sung như VPN (Virtual Private Network) và quản lý lưu lượng mạng có thể được tích hợp vào Firewall.
• Antivirus: Phần mềm Antivirus có thể được cài đặt và quản lý trên nhiều hệ điều hành và thiết bị khác nhau, bao gồm máy tính cá nhân, máy tính xách tay, máy chủ, và các thiết bị di động.

Chi phí và giấy phép:

• Firewall: Thiết bị Firewall có thể đòi hỏi đầu tư ban đầu cao hơn và yêu cầu thiết bị phải mua license. Có thể có các phiên bản mã nguồn mở của Firewall, nhưng các giải pháp thương mại thường đi kèm với chi phí phần cứng và phần mềm.
• Antivirus: Phần mềm Antivirus có sẵn ở nhiều phiên bản, bao gồm cả miễn phí và trả phí. Phiên bản miễn phí thường có các tính năng cơ bản, trong khi phiên bản trả phí cung cấp các tính năng nâng cao và hỗ trợ kỹ thuật tốt hơn.

Tóm lại, Firewall và Antivirus đóng vai trò quan trọng trong việc bảo vệ hệ thống và dữ liệu. Firewall tập trung vào kiểm soát lưu lượng mạng và quản lý kết nối, trong khi Antivirus tập trung vào phát hiện và loại bỏ phần mềm độc hại. Sự kết hợp giữa cả hai công cụ là cần thiết để đảm bảo bảo mật toàn diện cho mạng và các hệ thống máy tính.

III. Kết hợp firewall và antivirus

1. Định nghĩa kết hợp firewall và antivirus

Firewall và các giải pháp antivirus giúp bảo vệ tổ chức khỏi các mối đe dọa mạng theo các cách khác nhau. Một chiến lược bảo mật hiệu quả kết hợp cả hai công nghệ này bằng cách sử dụng tường lửa tích hợp chống vi-rút để ngăn chặn hầu hết các mối đe dọa tại khu vực ranh giới mạng. Để kiểm soát chi tiết hơn ở mức thiết bị, giải pháp bảo mật endpoint tự động xử lý mã độc trên các thiết bị đó cung cấp khả năng phân tích sâu hơn về cách nhiễm mã độc xảy ra và hoạt động.Mình sẽ lấy ví dụ bên dưới.

2. Mô tả cụ thể sự tiện ích qua kết hợp firewall và endpoint của hãng Sophos

Tính năng Security Heartbeat là một tính năng đặc biệt mà Sophos cung cấp để tương tác giữa Sophos Firewall và Sophos Endpoint. Nó giúp cung cấp một cơ chế phòng thủ đáng tin cậy và tăng cường khả năng phản ứng của hệ thống bảo mật. Dưới đây là cách mà tính năng Security Heartbeat hoạt động:

• Tương tác liên tục: Sophos Firewall và Sophos Endpoint thiết lập một kết nối liên tục và bảo mật với nhau thông qua tính năng Security Heartbeat. Thông qua kết nối này, Firewall và Endpoint có thể trao đổi thông tin bảo mật, trạng thái và tình trạng hoạt động.
• Trạng thái bảo mật liên tục: Sophos Endpoint liên tục gửi thông tin về trạng thái bảo mật của nó đến Sophos Firewall thông qua kết nối Security Heartbeat. Thông tin này bao gồm trạng thái của Sophos Endpoint, trạng thái chống vi-rút và thông tin phát hiện mối đe dọa.
• Đáp ứng nhanh chóng: Nếu Sophos Endpoint phát hiện một mối đe dọa hoặc xác định rằng máy tính đang bị nhiễm malware, nó sẽ gửi thông báo ngay lập tức đến Sophos Firewall thông qua kết nối Security Heartbeat. Firewall sẽ nhận được thông báo và có thể thực hiện các biện pháp phòng ngừa như cô lập máy tính hoặc chặn lưu lượng mạng liên quan đến mối đe dọa.
• Cảnh báo và quản lý tập trung: Tính năng Security Heartbeat cho phép quản trị viên nhìn thấy trạng thái bảo mật tổng thể của cả hệ thống từ trung tâm quản lý. Nó cung cấp cảnh báo nhanh chóng về các sự cố bảo mật và cho phép quản trị viên thực hiện các biện pháp cần thiết để giải quyết mối đe dọa.

Tóm lại, tính năng Security Heartbeat giữa Sophos Firewall và Sophos Endpoint tạo ra một kết nối liên tục và tương tác, cho phép trao đổi thông tin bảo mật và đáp ứng nhanh chóng đối với các mối đe dọa. Điều này giúp tăng cường khả năng phòng thủ và bảo vệ của hệ thống bảo mật tổng thể.