Sophos NGFW Bài 7_T4_[Lab]Cấu hình Intrusion Prevention System (IPS) để phát hiện và ngăn chặn các cuộc tấn công mạng

MỤC LỤC​

1. TỔNG QUAN TRƯỚC KHI CẤU HÌNH​

• Truy cập Protect > Intrusion Prevention > IPS Policies.
• Kiểm tra nút gạt IPS Service ở góc trên bên phải đã bật sang ON.

2. CẤU HÌNH IPS BẢO VỆ NGƯỜI DÙNG NỘI BỘ (LAN ➔ WAN)​

• Vào Intrusion Prevention > IPS Policies > Add. Đặt tên: IPS_LAN_Protect ➔ Nhấn Save.

• Nhấn vào nút Edit (Sửa) tại Policy vừa tạo ➔ Chọn Add (Thêm Rule).

• Cấu hình bảng Smart Filternhư sau:
  
  • Category: Chọn Browsers, Malware, Operating System.
  • Severity: Chọn Critical, Major.
  • Target: Bắt buộc chọn Client.
  • Action: Chọn Drop Packet (Chặn đứng gói tin).
• Nhấn Save.

Quan trọng: Chọn drop packet ở cuối để file độc hại không vào được hệ thống

2.2. Bước 2: Áp dụng vào Firewall Rule

• Vào Rules and Policies > Firewall Rules ➔ Mở Rule cho phép mạng LAN ra Internet.
• Cuộn xuống mục Security Features > Intrusion Prevention (IPS).
• Chọn Policy IPS_LAN_Protect vừa tạo.
• Tích chọn ô Block QUIC protocol (Bắt buộc: Để chặn Chrome dùng giao thức ẩn, ép đi qua chuẩn quét của Firewall) ➔ Nhấn Save.

3. KIỂM TRA THỰC TẾ & XEM LOG​

• Trên máy Client thuộc vùng LAN, mở trình duyệt ẩn danh và truy cập link test IPS chuẩn vào.
• Kết quả: Trình duyệt lập tức báo lỗi, ngắt kết nối tải trang do IPS đã tóm được chữ ký.

Kiểm tra bằng chứng trên Log Viewer:

• Trở lại WebAdmin Sophos, mở Log Viewer.
• Tại bộ lọc góc trên cùng bên phải, chọn tab IPS ➔ Bấm Refresh.
• Nhật ký hiển thị chi tiết chữ ký tấn công bị chặn (Icon màu đỏ Drop), nguồn tấn công (Src IP) và máy đang được bảo vệ (Dst IP).