Nếu bạn đã quen với việc triển khai Sophos Firewall trên các nền tảng ảo hóa như VMware Workstation hoặc ESXi, thì Proxmox VE là một lựa chọn đáng để thử khi xây dựng hệ thống lab hoặc hạ tầng ảo hóa chi phí thấp.

Proxmox VE là nền tảng ảo hóa mã nguồn mở hỗ trợ hai công nghệ chính:

• KVM (Kernel-based Virtual Machine) để chạy máy ảo
• LXC (Linux Containers) để chạy container

Với các ưu điểm như:

• Miễn phí và mã nguồn mở
• Cộng đồng sử dụng lớn
• Quản lý VM thông qua Web GUI
• Hỗ trợ snapshot, backup và clustering

Proxmox ngày càng được nhiều doanh nghiệp vừa và nhỏ lựa chọn. Trong bài viết này, chúng ta sẽ thực hiện:

• Triển khai Sophos Firewall Virtual trên Proxmox VE
• Sử dụng file KVM image của Sophos
• Tạo máy ảo bằng lệnh CLI trên Proxmox
• Import disk image vào VM
• Khởi động Sophos Firewall và thực hiện cấu hình ban đầu

Sau khi hoàn thành bài lab, Sophos Firewall sẽ hoạt động như một tường lửa ảo trong hệ thống Proxmox.

Trong mô hình này:

• Proxmox VE đóng vai trò là hypervisor để chạy máy ảo.
• Sophos Firewall được cài đặt dưới dạng Virtual Machine.
• Máy Windows Client dùng để:
  • Truy cập giao diện quản trị firewall
  • Kiểm tra trạng thái hoạt động của hệ thống.

Quản trị viên truy cập vào giao diện quản trị của Sophos Firewall thông qua trình duyệt web với địa chỉ: https://10.10.10.200:4444

Trong bài lab này, chúng ta thực hiện triển khai Sophos Firewall dưới dạng máy ảo trên Proxmox VE với mục đích xây dựng môi trường thử nghiệm.

Các yêu cầu của hệ thống như sau:

• Cài đặt Sophos Firewall Virtual trên Proxmox.
• Cấu hình địa chỉ IP cho firewall là 10.10.10.200/24.
• Máy Windows Client có địa chỉ 10.10.10.116/24.
• Máy Windows có thể truy cập vào giao diện quản trị của Sophos Firewall thông qua trình duyệt web.

Sau khi hoàn thành cấu hình:

• Quản trị viên có thể đăng nhập vào giao diện Web Admin
• Thực hiện các cấu hình bảo mật, firewall rule và quản lý hệ thống.

Quá trình triển khai Sophos Firewall Virtual trên Proxmox gồm các bước chính sau:

1. Tải file “Sophos Firewall KVM Image”
2. Upload file image lên server Proxmox
3. Tạo máy ảo Sophos Firewall bằng CLI
4. Import disk image vào máy ảo
5. Cấu hình boot disk
6. Khởi động Sophos Firewall
7. Truy cập giao diện Web Admin

Trước khi bắt tay vào dựng Sophos Firewall trên Proxmox, bạn cần chuẩn bị:

• Máy chủ/PC đã cài Proxmox VE (khuyến nghị bản 7.x hoặc mới hơn).
• File KVM Sophos Firewall (SFOS): tải từ trang chủ Sophos (bản Home hoặc Trial).
• Tài nguyên tối thiểu cho VM: CPU: 2, coreRAM: 4 GB

Trước tiên, chúng ta cần chuẩn bị file KVM cài đặt Sophos Firewall. Truy cập trang chính thức của Sophos tại: https://www.sophos.com/en-us/support/downloads/firewall-installers. Tại đây, chọn và tải về phiên bản dành cho KVM (tương thích với Proxmox).

Sau khi tải và giải nén ta được 2 file như sau:

Tạo máy ảo Sophos Firewall trên Proxmox -> Đăng nhập vào Proxmox Web UI -> chọn Create VM để bắt đầu tạo máy ảo mới -> Nhập VM ID và Tên máy ảo (Name).

Tick chọn Do not use any media ->Type: linux ->Version: 6.x – 2.6 Kernel

Sockets: 2

Cores: 2

Type: host

Memory(MB): 4096 và click next

Chọn card mạng bridge và clicknext -> chắc chắn ràng không có gì sai xót sau khi tạo xong, nhấn finish.

Sử dụng công cụ WinSCP để tiến hành copy file KVM Sophos đã tải về vào thư mục của VM theo đường dẫn: /mnt/pve/disk-pve1/images/2027/

Trong đó:

• disk-pve1 là tên storage trên Proxmox.
• 2027 là VM ID mà bạn đã tạo ở bước trước.

** Lưu ý: Thư mục có dạng/mnt/pve/<storage-name>/images/<VMID>/. Bạn cần thay đúng <storage-name> và <VMID> theo môi trường của mình.

Mở Shell trong giao diện Proxmox.

Truy cập thư mục lưu trữ:

• cd /mnt/pve
• ls

→ Lệnh ls sẽ liệt kê tất cả các storage có trong Proxmox.

Di chuyển vào storage bạn đã dùng để lưu file KVM, ví dụ:

• cd /mnt/pve/disk1-pve1/images/
• Ls

Tại đây sẽ hiển thị danh sách các thư mục tương ứng với VM ID. Trong ví dụ này, máy Sophos Firewall được gán VM ID = 1027:

• cd 1027
• ls

→ Bạn sẽ thấy toàn bộ các file (bao gồm ISO và disk image) của VM Sophos Firewall.

Mở file cấu hình của VM bằng trình soạn thảo nano:

•  nano /etc/pve/qemu-server/1027.conf

Thêm hoặc chỉnh sửa 2 dòng sau để khai báo ổ đĩa cho Sophos Firewall:

• scsi0: disk1-pve1:1027/PRIMARY-DISK.qcow2,size=32G
• scsi1: disk1-pve1:1027/AUXILIARY-DISK.qcow2,size=80G

→ scsi0: Ổ cứng chính (32GB).

→ scsi1: Ổ phụ (80GB).

Lưu file cấu hình:

• Nhấn Ctrl + O → Enter để lưu.
• Nhấn Ctrl + X để thoát khỏi nano.

Tick chọn như hình bên dưới

Sau khi hoàn tất, nhấn Start để khởi động node Sophos Firewall.

Truy cập Console của VM để theo dõi quá trình boot. Nếu thấy giao diện cài đặt của Sophos xuất hiện và hệ thống chạy ổn định, nghĩa là bạn đã triển khai thành công.

Như vậy, chúng ta đã chạy Sophos Firewall ảo trong Proxmox thành công. Từ đây, bạn có thể tiếp tục:

• Truy cập WebAdmin
• Thực hiện các bước cấu hình cơ bản (IP LAN/WAN, NAT, Firewall Rule).
• Mở rộng lab với VPN, IPS, WAF, hoặc thử nghiệm các tính năng bảo mật khác.

Bài viết này nhằm:

• Hướng dẫn cách theo dõi và lọc log Sophos Firewall trên Sophos Central.
• Hướng dẫn xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Sophos Central giúp quản trị viên theo dõi và quản lý toàn bộ Sophos Firewall ttrên một giao diện web duy nhất, không cần đăng nhập từng thiết bị. Để giám sát, theo dõi, xuất Report tổng quan các thiệt bị Firewall, làm như sau:

Trên Sophos Central, chọn My Products -> Firewall Management -> Report Generator

Report Generator là công cụ để quản trị viên giám sát, theo dõi và tạo báo cáo (report) tùy chỉnh cho Sophos Firewall.

• Firewalls: chọn Firewall cần xuất report.
• Report Template: Chọn Template có sẵn phù hợp với nhu cầu xem, chi tiết:
  • Antivirus: Các mã độc hoặc đối tượng nghi ngờ đã bị chặn.
  • Bandwidth usage: Mức sử dụng băng thông theo từng ứng dụng.
  • Cloud app risks and usage: Các ứng dụng Cloud được sử dụng và rủi ro liên quan.
  • Firewall: Số lượng kết nối giữa các địa chỉ IP cụ thể.
  • IPS: Các cuộc tấn công bị phát hiện/chặn bởi hệ thống IPS.
  • Log viewer and search: Log chi tiết của firewall (chỉ có biểu đồ dạng bảng).
  • SD-WAN: Tóm tắt mức độ đáp ứng SLA theo từng profile SD-WAN, kèm biểu đồ xu hướng.
  • SD-WAN SLA trend: Xu hướng SLA theo gateway (jitter, latency, packet loss).
  • SD-WAN Bandwidth usage: Thống kê băng thông theo gateway và theo thời gian.
  • Security posture assessment (SPA): Đánh giá tổng thể mức độ an toàn của hệ thống. (Có thể chọn tối đa 10 thành phần như: Bandwidth, Web usage, Threat geo activity…) (Recommend sử dụng)
  • Synchronized app: Thống kê ứng dụng được nhận diện bởi Synchronized App Control.
  • Threat geo activity: Các mối đe dọa bị chặn theo quốc gia.
  • Threats and events blocked: Toàn bộ các mối đe dọa/sự kiện đã bị chặn.
  • VPN usage: Mức độ sử dụng các kết nối VPN.
  • Web usage: Thống kê truy cập website.
  • Web user risk: Hoạt động web của người dùng truy cập website rủi ro cao.
  • X-Ops: Hoạt động tấn công nâng cao (Advanced Threat activities) do firewall phát hiện/chặn. Bao gồm traffic trong MDR.
  • Zero-day protection: File/email nghi ngờ được gửi đến module phân tích Sandstorm

• Time Frame: Chọn mốc thời gian phù hợp với nhu cầu xem
• Query: Tùy chọn query phù hợp với nhu cầu lọc.

Sau đó, nhấn Schedule để lên lịch gửi report:

• Template Name: Đặt tên của mẫu báo cáo.
• Export scheduling: Bật/Tắt việc xuất report tự động theo lịch.
• Time frame: Chọn khoảng thời gian dữ liệu trong mỗi report
• Export frequency: Chọn chu kỳ xuất báo cáo
• Export format: Chọn định xạng file xuất (PDF, CSV, HTML)
• Export notification / delivery: Chọn cách gửi email
• Send this export to other Sophos admins?: Chọn chia sẻ report cho các admin khác

Sau khi hoàn tất, Nhấn Save.

Thông báo hiển thị đã tạo Template và Schedule thành công

Đúng Schedule, Sophos sẽ tự động xuất file Export dựa trên cấu hình đã setup

Bài viết này nhằm:

• Hướng dẫn cách xem và lọc log trên Sophos Firewall.
• Hướng dẫn đọc và xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Xem thông tin về lưu lượng mạng đi qua firewall và các mối đe dọa bảo mật

Các loại Dashboard chính:

• Traffic dashboard: Phân loại theo lưu lượng mạng
• Security dashboard:  Hoạt động bị chặn và các mối đe dọa: Malware, IPS, Spam, nguồn tấn công.
• Executive report: Thông tin tổng hợp cho người quản lý: Traffic & Threat nổi bật.
• User threat quotient (UTQ): Xếp hạng người dùng dựa trên điểm rủi ro bảo mật.

Xem thông tin về việc sử dụng ứng dụng và Internet trên hệ thống mạng của bạn.

Application risk meter là cách thức mà Firewall sẽ tính điểm dựa trên mức độ rủi ro và số lần truy cập (hits) của từng ứng dụng. Chỉ số rủi ro ứng dụng được xác định dựa trên điểm trung bình của toàn bộ lưu lượng ứng dụng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• User app risks & usage: Thống kê việc sử dụng các ứng dụng và mức độ rủi ro tương ứng.
• Cloud applications usage: Thống kê việc sử dụng các ứng dụng đám mây
• Blocked user apps: Các lần truy cập ứng dụng bị chặn.
• Synchronized applications: Các ứng dụng được phân loại và đồng bộ từ endpoint lên firewall.
• Web risks & usage: Hoạt động truy cập web trong mạng và các rủi ro liên quan.
• Blocked web attempts: Các lần truy cập web bị chặn
• Search engine: Thống kê hành vi tìm kiếm của người dùn
• Web content: Các kết quả khớp của bộ lọc nội dung và các thông tin liên quan.
• Web server usage: Lưu lượng Application, Web, Internet và FTP.
• Web server protection: Trạng thái bảo mật của các Web Server, bao gồm các cuộc tấn công và nguồn tấn công.
• User data transfer: User traffic
• FTP usage: FTP activity
• FTP protection: Malicious FTP activity

Xem thông tin về việc sử dụng mạng và các mối đe dọa liên quan.

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Intrusion attacks: Các lượt tấn công
• Active threat response: Threat events và các máy bị xâm nhập được phát hiện bởi MDR (Managed Detection and Response) và Sophos X-Ops
• Wireless: Access point và SSID được sử dụng
• Security Heartbeat: Tình trạng sức khỏe của máy trạm trong mạng dựa trên kết nối giữa máy trạm và Firewall.
• Zero-day protection: Bảo vệ nâng cao trước các cuộc tấn công mới.

Xem thông tin về remote user (người dùng kết nối từ xa) vào hệ thống mạng của bạn thông qua IPSEC VPN, SSL VPN và Clientless access

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• VPN: Lưu lượng phát sinh từ remote users qua IPsec, L2TP hoặc PPTP
• SSL VPN: Lưu lượng phát sinh từ remote users thông qua SSL VPN Client.
• Clientless Access: Lưu lượng phát sinh từ remote users thông qua trình duyệt web.

Xem thông tin về email traffic (lưu lượng email) trong hệ thống mạng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Email Usage: Email traffic trong hệ thống mạng của mình
• Email Protection: Email Traffic bị Virus và Spam trong hệ thống mạng của mình

Xem thông tin về việc tuân thủ các quy định/quy chuẩn:

Các nhóm Quy chuẩn có thể theo dõi trong phần này, bao gồm:

• HIPAA: Security Report tuân thủ chuẩn HIPAA
• GLBA: Security Report tuân thủ chuẩn GLBA
• SOX: Security Report tuân thủ chuẩn SOX
• FISMA: Security Report tuân thủ chuẩn FISMA
• PCI: Security Report tuân thủ chuẩn PCI
• NERC CIP v3: Security Report tuân thủ chuẩn NERC CIP v3
• CIPA: Security Report tuân thủ chuẩn CIPA
• Events: Network Event và các mức độ nghiêm trọng tương ứng

Tạo báo cáo bao gồm các tiêu chí được chỉ định.

Các loại Report có thể tạo trong phần này, bao gồm:

• Web Report: Tìm kiếm hoạt động duyệt web hoặc virus. Có thể lọc theo user, domain và các tiêu chí khác
• Mail Report: Tìm kiếm lưu lượng Email, Spam và Virus. Có thể lọc theo protocol, user và các tiêu chí khác.
• FTP Report: Tìm kiếm hoạt động FTP và Virus. Có thể lọc theo kiểu truyền, user, file hoặc source IP
• User Report: Thống kê mức độ sử dụng: ứng dụng rủi ro cao, website không hiệu quả, virus phát hiện. Có thể lọc theo username, source host.
• Web Server Report: Tìm kiếm hoạt động Web Server (time, user, URI) và cả các sự kiện bảo vệ Web Server.

Log Viewer hiển thị event logs và được tự động cập nhật khi có event mới (Real-time).

Để truy cập, ở góc phải phía trên Sophos Firewall, nhấn Log viewer

Cửa sổ Log Viewer mới sẽ xuất hiện, và quản trị viên có thể xem log Realtime ở đây

Quản trị viên có thể tùy chọn các loại log cụ thể để giám sát như sau:

• Admin
• Active Threat Response
• Application filter
• Authentication
• Email
• Firewall
• IPS
• Malware
• Security Heartbeat
• SSL/TLS inspection
• SD-WAN
• System
• VPN
• Web content policy
• Web filter
• Web server protection
• Zero-day protection

Trong quá trình quản trị hệ thống, người quản trị cần các file báo cáo tổng hợp phản ánh tình trạng sử dụng hệ thống và các mối đe dọa tiêu biểu. Vì vậy, trong bài hướng dẫn này sẽ lựa chọn Executive report để thực hiện việc xuất báo cáo.

 Để xuất Report báo cáo theo lịch trình, chọn Show Reports Settings

Chọn Report Scheduling, nhấn Add

Nhập thông tin sau:

• Name: Đặt tên lịch report.
• Description: Mô tả (không bắt buộc).
• To email address: Địa chỉ email nhận report (có thể nhập nhiều email)
• Report type: Chọn loại report (VD: Report group)
• Report group: Chọn nhóm report phù hợp (VD: Executive Report)
• Email frequency: Chọn Daily hoặc Weekly và mốc thời gian gửi report qua email.

Sau khi nhập hoàn tất, nhấn Save.

Đúng lịch trình cấu hình, Sophos sẽ gửi email bảng báo cáo report về email.

Nếu chưa có tài khoản Sophos Central, tham khảo: https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

Đăng nhập Sophos Central bằng tài khoản Super Admin.

– Vào Account → Licensing Firewall licenses

– Chọn Firewall licenses 

– Chọn Claim firewall 

– Nhập Serial Number thiết bị 

Sau khi claim thành công, thiết bị sẽ hiển thị trong danh sách quản lý.

– Chọn thiết bị → Apply subscriptions

– Nhập License Key

– Preview subscription → Apply license

Đối với các lần gia hạn (renew) license trong tương lai, cần lưu ý

– License Number: chỉ dùng để tracking và support, không dùng để activate.

– License Key: bắt buộc để kích hoạt hoặc renew license.

• Trong hầu hết các trường hợp, nếu Sophos Firewall đã được liên kết đúng Sophos Central account, license sau khi renew sẽ tự động đồng bộ xuống thiết bị mà không cần thao tác thủ công.
• Tuy nhiên, nếu license không tự đồng bộ và vẫn hiển thị trạng thái Expired, bạn có thể thực hiện các bước sau:
  • Kiểm tra license trong Sophos Central hoặc Sophos Partner Portal để xác định License Key tương ứng
  • Thực hiện apply License Key thủ công cho thiết bị Firewall (theo hướng dẫn ở Mục II.3)

• Nếu email gia hạn không chứa License Key, khuyến nghị:
  • Kiểm tra lại thông tin license trong Sophos Portal
  • Hoặc liên hệ Sophos Support / Partner để xác nhận chính xác License Key trước khi apply

Sophos Endpoint 100 là gói bảo vệ thiết bị đầu cuối được thiết kế riêng cho doanh nghiệp vừa và nhỏ, mang toàn bộ sức mạnh của giải pháp bảo mật đạt giải thưởng quốc tế Sophos Endpoint vào một gói đơn giản, giá cố định. Với khả năng triển khai nhanh, quản lý dễ dàng và mức chi phí minh bạch, Sophos Endpoint 100 giúp doanh nghiệp rút ngắn thời gian ra quyết định, giảm thiểu rào cản đầu tư và tối ưu hiệu quả bảo vệ.

Tên gọi “Sophos Endpoint 100” thể hiện rõ đối tượng sử dụng: gói dịch vụ này phù hợp cho tổ chức có tối đa 100 nhân viên, cung cấp bảo mật toàn diện, đáng tin cậy và hỗ trợ dự đoán chi phí chính xác. Nếu quý doanh nghiệp đang tìm kiếm giải pháp bảo mật thiết bị đầu cuối nhanh chóng – đơn giản – hiệu quả, Sophos Endpoint 100 chính là lựa chọn lý tưởng để an tâm vận hành và phát triển.

• Phòng chống mã độc
• Bảo vệ thời gian thực
• Hỗ trợ đa nền tảng ( Windows/Mac)
• Bảo vệ truy cập Website, Quản lý thiết bị ngoại vi
• Phát hiện các luồng dữ liệu độc hại truy cập ra ngoài
• Phần mềm chống xâm nhập cho máy trạm ( HIPS )
• Tính năng chống thất thoát dữ liệu ( DLP )
• Kiểm tra việc tải dữ liệu, Phát hiện các luồng dữ liệu nguy hiểm
• Ngăn chặn tấn công khai thác từ hacker
• Chống virus mã hóa ransomware
• Phân tích nguyên nhân gốc của các tấn công
• Đồng bộ hóa với tường lửa để nâng cao khả năng tự động đáp trả, cách ly
• Quản trị qua Sophos Cloud

• Phòng chống mã độc công nghệ Trí tuệ nhân tạo Deep Learning
• Bảo vệ thời gian thực
• Hỗ trợ đa nền tảng ( Windows/Linux)
• Bảo vệ truy cập Website, Quản lý thiết bị ngoại vi, Quản lý ứng dụng
• Phát hiện các luồng dữ liệu độc hại truy cập ra ngoài
• Phần mềm chống xâm nhập cho máy chủ ( HIPS )
• Tính năng chống thất thoát dữ liệu ( DLP )
• Kiểm tra việc tải dữ liệu, Phát hiện các luồng dữ liệu nguy hiểm
• Ngăn chặn tấn công khai thác từ hacker
• Chống virus mã hóa ransomware
• Phân tích nguyên nhân gốc của các tấn công
• Đồng bộ hóa với tường lửa để nâng cao khả năng tự động đáp trả, cách ly
• Tính năng Server Lockdown, chỉ cho phép các ứng dụng thuộc danh sách định sẵn hoạt động
• Tính năng kiểm tra sự thay đổi file trên máy chủ File Integrity Monitoring
• Tính năng bảo vệ chủ động tích cực – Active Adversary Protection
• Quản trị qua Sophos Cloud

Với gói Sophos Endpoint 100 sẽ giúp quý khách luôn đi trước các cuộc tấn công ransomware, cùng khả năng tích hợp XDR và ​​MDR, Sophos sẽ bảo vệ doanh nghiệp khỏi các mối đe dọa hiện đại, đồng thời thúc đẩy chu kỳ bán hàng.

• Quý khách có thể tham khảo giải pháp Sophos Endpoint 100 ngay tại Website Sophos: tham khảo ngay tại đây hoặc liên hệ ngay cho VACIF để được tư vấn nhanh nhất!

• Sophos Endpoint từng đoạt giải thưởng, được công nhận là Nhà dẫn đầu trong Gartner Magic Quadrant 16 lần.

• Bảo vệ nhiều lớp: ngăn chặn tấn công từ mạng lẫn thiết bị đầu cuối, giảm thiểu rủi ro lây nhiễm và thất thoát dữ liệu.
• Giải pháp tối ưu cho đội IT nhỏ: giao diện quản trị trực quan, tự động cập nhật và cảnh báo, giúp quý khách yên tâm dù không có đội bảo mật chuyên sâu.
• Chi phí cố định, dễ dự đoán: quý khách không phải đối mặt với những khoản chi bất ngờ, thuận lợi cho việc lập kế hoạch tài chính.
• Hỗ trợ mở rộng linh hoạt: khi công ty phát triển, hệ thống Sophos vẫn dễ dàng nâng cấp mà không cần thay đổi toàn bộ hạ tầng.

Vào năm 2024, Sophos đã giới thiệu các tính năng AI tạo sinh trong nền tảng Sophos Extended Detection and Response (XDR), giúp các nhà phân tích bảo mật vận hành một cách tự tin và đưa ra quyết định thông minh một cách nhanh chóng.

Hôm nay, Sophos đã mở rộng các khả năng này với việc ra mắt Trợ lý AI Sophos.

Được thiết kế bởi các chuyên gia, dành cho mọi người

Được thiết kế và phát triển bởi các chuyên gia Sophos, Trợ lý AI của Sophos hướng dẫn các chuyên gia bảo mật ở mọi cấp độ kỹ năng qua từng giai đoạn điều tra và dò xét, tối đa hóa hiệu quả để xác định và vô hiệu hóa các mối đe dọa nhanh chóng.

Video nổi bật: Giới thiệu Trợ lý AI Sophos

Trợ lý AI của Sophos giúp mọi người dùng — từ chuyên gia CNTT đến nhà phân tích SOC Bậc 3 — dễ dàng có được thông tin họ cần để tiến hành điều tra mối đe dọa và nhanh chóng vô hiệu hóa các mối đe dọa.

• Thực hiện nhiều tác vụ SecOps: Xác định các thực thể bị ảnh hưởng, kiểm tra uy tín URL, phân tích các lệnh phức tạp và đáng ngờ, làm giàu dữ liệu bằng thông tin tình báo về mối đe dọa mới nhất, v.v.
• Đẩy nhanh quá trình điều tra với thông tin chi tiết dễ tiếp cận: Trợ lý AI cung cấp các giải thích rõ ràng và thông tin tóm tắt để giúp bạn hiểu bối cảnh — và đề xuất các bước tiếp theo.
• Nhận dữ liệu bạn cần một cách nhanh chóng, mà không cần SQL phức tạp: Đặt câu hỏi của riêng bạn bằng ngôn ngữ hàng ngày hoặc sử dụng các lời nhắc được xác định trước do các chuyên gia phát hiện và ứng phó với mối đe dọa của Sophos cung cấp.
• Tạo báo cáo trường hợp chi tiết: Giao tiếp với các bên liên quan bằng các báo cáo rõ ràng, tập trung tóm tắt các cuộc điều tra, nêu bật các vấn đề và phác thảo các biện pháp bảo vệ.

Chuyên môn SecOps — từ nhóm của chúng tôi đến Doanh nghiệp của bạn

Trợ lý AI của Sophos không chỉ là một công cụ AI khác — mà là chuyên môn từ nhóm đứng sau dịch vụ Phát hiện và Phản hồi được Quản lý hàng đầu thế giới, được chắt lọc thành một tác nhân thông minh.

• Được thiết kế hợp tác với các nhà phân tích bảo mật tuyến đầu của Sophos, cho phép công ty của bạn được hưởng lợi từ quy trình làm việc thực tế và kinh nghiệm của các chuyên gia MDR của Sophos.
• Được phát triển bởi nhóm AI của Sophos, những người áp dụng chuyên môn sâu rộng về AI để thiết kế, xây dựng và duy trì hơn 50 mô hình AI dành riêng cho an ninh mạng. Các quy trình phát triển mạnh mẽ của chúng tôi — tuân theo các nguyên tắc bảo mật theo thiết kế — cho phép bạn sử dụng Sophos AI một cách tự tin.
• Được cập nhật liên tục dựa trên bối cảnh mối đe dọa đang thay đổi, đảm bảo bạn có quyền truy cập vào các kỹ thuật điều tra mới nhất và thông tin tình báo về mối đe dọa hiện tại từ Sophos X-Ops, lực lượng đặc nhiệm an ninh mạng đa chức năng của chúng tôi.

Demo: See the new Sophos AI Assistant in action in this end-to-end real-world scenario

AI tập trung vào kết quả

Chúng tôi đã nâng cao an ninh mạng bằng AI kể từ năm 2017, với khả năng học sâu và GenAI được tích hợp trong các sản phẩm và dịch vụ của Sophos và được cung cấp thông qua nền tảng AI gốc lớn nhất trong ngành. Chúng tôi biết cách tạo ra tác động thực tế. Trong khi các nhà cung cấp khác tập trung vào công nghệ AI, chúng tôi tập trung vào các lợi ích và kết quả bảo mật mà công nghệ này có thể mang lại.

Các giải pháp AI mạnh mẽ, đã được chứng minh qua thực chiến của chúng tôi tạo ra sự khác biệt đáng kể bằng cách vô hiệu hóa các mối đe dọa nhanh hơn và trao quyền cho các nhà phân tích đưa ra quyết định thông minh.

 Ngoài Trợ lý AI Sophos mới, các khả năng GenAI trong Sophos XDR cho phép nhóm bảo mật của bạn vô hiệu hóa kẻ thù nhanh hơn, tăng sự tự tin của cả nhà phân tích và doanh nghiệp:

• Tóm tắt trường hợp AI cung cấp tổng quan dễ hiểu về các phát hiện, giúp các nhà phân tích đưa ra quyết định thông minh nhanh chóng.
• Phân tích lệnh AI cung cấp thông tin chi tiết về hành vi của kẻ tấn công bằng cách kiểm tra các lệnh tạo ra phát hiện.
• Tìm kiếm AI sử dụng tìm kiếm ngôn ngữ tự nhiên để đẩy nhanh các tác vụ hàng ngày và giảm rào cản công nghệ đối với các hoạt động bảo mật.

Các tính năng GenAI của Sophos được bao gồm trong gói đăng ký Sophos XDR và ​​có sẵn khi bạn lựa chọn tham gia, giúp bạn kiểm soát hoàn toàn việc sử dụng chúng.

Nâng cao an ninh mạng của bạn với GenAI ngay hôm nay

Để khám phá cách các khả năng của GenAI trong Sophos XDR có thể giúp tổ chức của bạn phòng thủ tốt hơn trước các đối thủ đang hoạt động, hãy liên hệ với VACIF ngay để được tư vấn và sử dụng Demo miễn phí!

MITRE ATT&CK® Evaluations giúp các tổ chức hiểu rõ hơn về hiệu quả của các giải pháp EDR và XDR trong việc bảo vệ trước các cuộc tấn công phức tạp qua nhiều giai đoạn.

Trong đánh giá mới nhất, Sophos XDR đã đạt được:

• Mức đánh giá cao nhất (‘Technique’) cho 100% các hoạt động tấn công có chủ đích (sub-steps) trong các kịch bản ransomware trên Windows và Linux.
• Mức đánh giá cao nhất (‘Technique’) cho 78 trong số 80 bước phụ tổng thể qua ba kịch bản tấn công toàn diện.
• ‘Analytic coverage’ cho 79 trong số 80 bước phụ (99%).

MITRE ATT&CK® Evaluations là một trong những bài kiểm tra bảo mật độc lập uy tín nhất thế giới. Chúng mô phỏng lại các chiến thuật, kỹ thuật và quy trình (“TTPs”) được sử dụng bởi các nhóm đối tượng tấn công thực tế và đánh giá khả năng phát hiện, phân tích và mô tả mối đe dọa của các nhà cung cấp tham gia.

Vòng 6 tập trung vào hành vi của ba nhóm đe dọa:

1 – Cộng hòa Dân chủ Triều Tiên (DPRK): Mô phỏng các hành vi nhắm vào macOS thông qua hoạt động nhiều giai đoạn, bao gồm leo thang quyền hạn và đánh cắp thông tin đăng nhập.

2 – Ransomware (CL0P và LockBit): Đánh giá mô phỏng các hành vi phổ biến trong các chiến dịch sử dụng phần mềm CL0P và LockBit Ransomware, bao gồm việc lạm dụng các công cụ hợp pháp và vô hiệu hóa các dịch vụ quan trọng.

Sophos đạt được bao phủ ‘kỹ thuật’ một cách đầy đủ với mức đánh giá cao nhất — 78 trong tổng số 80 hoạt động tấn công có chủ đích.

Việc phát hiện chất lượng là yếu tố then chốt giúp các nhà phân tích bảo mật điều tra và phản ứng nhanh chóng.

Biểu đồ bên dưới so sánh số bước phụ tạo ra để phát hiện và cung cấp thông tin chi tiết về hành vi tấn công (phạm vi phân tích) và số bước phụ đạt được đầy đủ phạm vi cấp độ ‘kỹ thuật’ cho từng nhà cung cấp tham gia.

Đánh giá bao gồm 80 dấu hiệu tấn công có chủ đích (các bước phụ) trong ba kịch bản tấn công.

Kịch bản 1: DPRK (macOS)

Triều Tiên đã trở thành một mắi đe dọa của không gian mạng nguy hiểm. Trong kịch bản này, nhóm MITRE sử dụng backdoor từ một cuộc tấn công chuỗi cung ứng, theo sau là duy trì, khám phá, truy cập thông tin đăng nhập, và truy xuất các tài liệu quan trọng trên macOS.

• 4 bước | 21 bước phụ | Chỉ macOS
• Sophos XDR đã phát hiện và cung cấp phân tích chi tiết cho 20 trong 21 (95%¹) bước phụ.
• 19 bước phụ được phân loại ở mức ‘kỹ thuật’ — mức đánh giá cao nhất có thể.

Kịch bản 2: Ransomware CL0P (Windows)

CL0P là một dòng ransomware hoạt động từ ít nhất năm 2019, gắn liền với nhóm tấn công TA505. MITRE đã mô phỏi các chiến thuật tấn công như tránh phát hiện, duy trì và khai thác thông tin trước khi triển khai ransomware.

• 4 bước | 19 bước phụ | Chỉ Windows
• Sophos XDR đã phát hiện và đạt 100% mức bao phủ ‘technique’ cho các bước nhỏ.

Kịch bản 3: Ransomware LockBit (Windows & Linux)

LockBit hoạt động theo hình thức Ransomware-as-a-Service (RaaS), khai thác các công cụ tinh vi để trộm dữ liệu và mã hoá hệ thống.

• 8 bước | 40 bước phụ | Windows và Linux
• Sophos XDR đạt 100% mức bao phủ ‘technique’ cho các bước phụ.

Sophos tham gia các bài đánh giá MITRE nhằm khẳng định vị thế trong ngành và cóp phần tăng cường khả năng bảo vệ cho tất cả tổ chức.

Có tổng cộng 19 nhà cung cấp tham gia đánh giá lần này:

• Làm mới giao diện người dùng (UI)
• Tính năng tham chiếu đối tượng (Object Reference)
  Interfaces, Gateways, Zones & SD-WAN Profiles
• Hỗ trợ API cho số lượng tham chiếu

Làm mới giao diện người dùng (UI)

Ở v21, bảng điều khiển quản trị web hiện nay theo phong cách sophos mới nhất

Thanh đều hướng bên cạnh hiện có nền màu xám đậm với màu xanh Sophos đặc trưng của chúng tôi, mang đến cho nó một diện mạo mới mẻ.

Trung tâm điều khiển hiện đã được mở rộng lên 1920 pixel, tận dụng hoàn toàn không gian màn hình để hiển thị nhiều thông tin hơn.

Chúng tôi đã thiết kế lại trung tâm điều khiển với các chế độ xem thẻ, giúp dễ dàng phân tách dữ liệu tường lửa của bạn một cách trực quan.

Widget phản hồi mối đe dọa chủ động mới tổng hợp tất cả thông tin mối đe dọa cần thiết từ MDR, Sophos X-Ops và các nguồn cấp dữ liệu mối đe dọa bên thứ 3 vào một phần duy nhất, dễ dàng xem.

Thông báo cảnh báo cũng đã được mở rộng để sử dụng toàn bộ không gian có sẵn, giúp việc đánh giá cảnh báo ngay lập tức trở nên dễ dàng hơn.

Nhấp vào một thông báo sẽ mở ra flip widget. Tại đây, flip widget cũng đã được mở rộng để tận dụng không gian tăng lên.

Thực tế, tất cả các widget đều đã được tối ưu hóa cho khu vực mở rộng này.

Tính năng tham chiếu đối tượng (Object Reference)

Trong trang ‘giao diện’, cột sử dụng mới hiển thị số lượng đối tượng và chi tiết về cách chúng được tham chiếu. 

Ngoài ra, tính năng tham chiếu đối tượng cũng cho phép dễ dàng xóa hoặc chỉnh sửa các tham chiếu.

Nhấp vào số lượng sử dụng sẽ cung cấp một cửa sổ pop-up với danh sách đầy đủ các cấu hình. Từ đây, bạn có thể xem danh sách hoàn chỉnh các tham chiếu của nó.

Chọn một tham chiếu để xem “cài đặt chung”, nơi bạn có thể thực hiện các thay đổi, chẳng hạn như chỉnh sửa giao diện.

Các tính năng này cũng đã được triển khai trong interface, gateways và SD-WAN profiles.

Quản trị mạng giờ đây có thể dễ dàng thấy nơi một đối tượng được sử dụng trong các cấu hình trên tường lửa

Hỗ trợ API cho số lượng tham chiếu

Mới đây, chúng tôi đã giới thiệu một API cho phép bạn “GET” số lượng tham chiếu đối tượng cho tất cả các tính năng tham chiếu đối tượng được hỗ trợ. Ví dụ, nếu một đối tượng có số lượng sử dụng bằng không, bạn có thể muốn dọn dẹp các máy chủ không sử dụng đó. Điều này có thể được thực hiện dễ dàng bằng cách tự động hóa API. Để thực hiện yêu cầu API này, chỉ cần sử dụng một cuộc gọi GET với ID thẻ. Hãy cùng đi qua một ví dụ về cách thực hiện điều này.

Đầu tiên, mở Postman và cấu hình một yêu cầu đơn giản để lấy số lượng sử dụng giao diện.

Trong phần thân yêu cầu cho cuộc gọi GET này, hãy bao gồm thông tin đăng nhập theo sau là yêu cầu cho ‘IPHostStatistics’.

Để xem cách sử dụng IP Host, hãy gửi yêu cầu.

Nó sẽ hiển thị tất cả dữ liệu sử dụng cho IP Host đó.

Để xem cách sử dụng cho trang ‘Giao diện’, chỉ cần chỉnh sửa thẻ và sử dụng ‘interfaceStatics’ làm thẻ XML. Sau đó, gửi yêu cầu. Điều này sẽ hiển thị tất cả cách sử dụng giao diện.

Ngoài ra, bạn có thể áp dụng các bộ lọc chuẩn được hỗ trợ cho XML API.

Nếu bạn muốn lọc kết quả để khớp hoặc lấy thống kê giao diện cho một cổng cụ thể, hoặc cho các cổng chứa các từ khóa nhất định, hãy sử dụng thuộc tính bộ lọc.

Bạn có thể tinh chỉnh thêm tìm kiếm của mình bằng cách thêm các tiêu chí như “like”, “equal to” và “not equal to”.

Ví dụ, nếu bạn muốn tìm tất cả các cổng khớp với ‘port1’, bạn có thể sử dụng bộ lọc này, và nó sẽ tìm kiếm bất kỳ giao diện nào có ‘port1’ trong tên của nó.

Nhấp vào “Send” để gửi yêu cầu.

Objects & XML Tags

Và đó là API XML mà chúng tôi hỗ trợ không chỉ cho giao diện và IP Hosts, mà còn cho tất cả các vị trí mà Sophos hỗ trợ tính năng tham chiếu đối tượng trong SFOS v21.