Sophos Endpoint [Lab][4] Cấu hình thông báo và cảnh báo

Cấu hình thông báo và cảnh báo​

I. Mở đầu​

Trong các hệ thống bảo mật hiện đại, việc phát hiện mối đe dọa chỉ là một phần. Quan trọng hơn là phải thông báo kịp thời và chính xác cho quản trị viên để có thể phản ứng nhanh chóng.

Sophos Central cung cấp hệ thống Alerts (Cảnh báo) mạnh mẽ, giúp nhận thông báo thời gian thực qua email và trên dashboard. Nhờ đó, bạn có thể theo dõi trạng thái bảo mật của toàn bộ thiết bị (Endpoint, Server…) một cách chủ động và hiệu quả.

Bài viết này sẽ hướng dẫn chi tiết về lý thuyết, các loại cảnh báo cũng như cách cấu hình và kiểm tra thông báo trong Sophos Central.

II. Lý thuyết​

1. Tổng quan về hệ thống cảnh báo
Sophos Central sử dụng hệ thống Alerts để thông báo các sự kiện bảo mật cần chú ý. Cảnh báo được hiển thị trực tiếp trên Dashboard và có thể gửi qua email cho quản trị viên hoặc nhóm người nhận.

Với nền tảng Sophos Central, bạn có thể:

• Nhận cảnh báo theo thời gian thực
• Theo dõi trạng thái thiết bị
• Phản ứng nhanh với sự cố bảo mật

Các cảnh báo được tạo khi:

• Phát hiện malware
• Thiết bị offline
• Hành vi bất thường
• Lỗi agent
• ....

2. Phân biệt Alerts và Notifications

• Alerts (Cảnh báo): Là các sự kiện bảo mật xảy ra trong hệ thống (malware, ransomware, thiết bị offline…).
• Notifications (Thông báo): Là cách Sophos gửi Alerts đến ta qua email hoặc giao diện quản lý.

3. Các loại cảnh báo chính trong Sophos Central
Sophos Central phân loại cảnh báo thành các nhóm sau:

• Nhóm bảo mật (Security Alerts): Malware detected, Ransomware detected, Exploit blocked, Suspicious behavior.
• Nhóm thiết bị (Device Alerts): Device offline, Health status changed, Agent installation issues.
• Nhóm hệ thống (System Alerts): Update failed, Policy not applied, Tamper protection, Restart required.

Ngoài ra, có Outbreak Detected khi một thiết bị ghi nhận hơn 100 detections trong 24 giờ.

III. Hướng dẫn cấu hình​

Nhấn vào kí hiệu bánh răng (general seting) nằm ở góc bên phải

Kéo xuống phần General và cấu hình Alert

Cấu hình người nhận

Ở đây cấu hình ai sẽ được nhận cảnh báo

Distribution lists: Thêm email nhóm hoặc distribution list để gửi cho nhiều người cùng lúc.



Frequency: Tần suất gửi email
Chuyển sang Tab Frequency

Mình sẽ chọn Immediately cho High Alert và Medium Alert để tí nữa kiểm thử cảnh báo
Còn có thể set gửi cảnh báo theo product (sản phẩm) hay category (loại)

Ví dụ: trong product các dịch vụ như Endpoint, Server và Email Security đều được thiết lập gửi cảnh báo ngay lập tức (Immediately). Điều này giúp đảm bảo phát hiện và xử lý sự cố bảo mật theo thời gian thực. Việc cấu hình theo từng sản phẩm giúp linh hoạt trong quản lý cảnh báo và tối ưu hóa hiệu suất hệ thống.



Các tab Custom Rules và Exceptions

• Custom Rules: Tạo quy tắc riêng cho từng admin (chỉ nhận alert theo sản phẩm hoặc mức độ nhất định).
• Exceptions: Loại trừ một số alert không muốn nhận (ví dụ: không gửi alert từ máy test, alert mức Low, hoặc một số thiết bị cụ thể).

Mục đích chính của Exceptions là giảm noise (cảnh báo rác), giúp quản trị viên chỉ tập trung vào các sự cố thực sự quan trọng.
Mình sẽ không cấu hình Custom Rules và Exceptions trong bài hướng dẫn này

IV. Kiểm tra thông báo và cảnh báo​

Để kiểm tra cấu hình có hoạt động không, bạn có thể thực hiện test đơn giản:
Trên máy Windows 11 đã cài Sophos Endpoint:

• Tải một file test malware.

Quan sát Sophos chặn file ngay lập tức.
Thông báo trên Dashboard của Endpoint



Xem trong threat detection



Đã có thông báo về mail



Trên Kali đã cài Server Protection thực hiện tải một số file test mã độc
Thông báo gửi về Sophos Central trong threat detection



Mail

V. Tổng kết​

Việc cấu hình thông báo và cảnh báo đúng cách là yếu tố then chốt giúp hệ thống bảo mật Sophos Central hoạt động hiệu quả. Một cấu hình tốt sẽ giúp bạn nhận được thông tin kịp thời, giảm thiểu cảnh báo không cần thiết và tập trung nguồn lực vào các sự cố thực sự nguy hiểm.

Hãy bắt đầu với tần suất Immediately cho các cảnh báo mức High, sau đó tinh chỉnh Exceptions để tránh bị “ngộp” bởi alert. Thường xuyên kiểm tra và test hệ thống để đảm bảo mọi thứ vận hành ổn định.