Sophos NGFW Bài 8_T4_[Lab]Cấu hình DoS Protection để phát hiện và ngăn chặn các cuộc tấn công từ chối dịch vụ

Phần 1: Kích hoạt DoS & Spoof Protection​

Đầu tiên, bạn cần truy cập vào giao diện WebAdmin của Sophos XG để bật các tính năng bảo vệ cơ bản.

1. Đăng nhập vào WebAdmin của Sophos XG.
2. Trên thanh menu bên trái, điều hướng tới Intrusion Prevention > tab DoS & spoof protection.
   • MAC filter: Kiểm tra địa chỉ MAC hợp lệ (khuyên dùng bật trong mạng LAN).
   • IP spoofing: Ngăn chặn các gói tin có IP nguồn bị giả mạo (Drop spoofed IP packets). Mức Normal là phù hợp cho lab.

Phần 2: Cấu hình các giới hạn DoS (DoS Settings)​

• Apply Flag: Tick chọn cái này sẽ drop gói tin vượt quá ngưỡng cấu hình
• Packet Rate (Packets/sec): Số lượng gói tin tối đa được phép truyền qua mỗi giây tính trên mỗi IP nguồn (hoặc đích).
• Burst Rate (Packets/sec): Số lượng gói tin tối đa được phép vượt quá trong một khoảng thời gian cực ngắn (bù trừ cho các traffic hợp lệ bị đột biến).

Cấu hình ngưỡng chống DoS (DoS settings)​

1. Chọn loại tấn công (Attack type): Bạn có thể chọn cấu hình chặn SYN flood, UDP flood, TCP flood hoặc ICMP/ICMPv6 flood.
2. Điều chỉnh thông số (Lưu ý quan trọng):
   
   • Packet rate per Source/Destination (Packet/min): Đây là số lượng gói tin tối đa tính trên PHÚT. Thông số mặc định (12000) là khá cao. Để test lab thành công bằng các tool thông thường, bạn cần hạ con số này xuống thật thấp. Ví dụ: Đặt Packet rate của SYN flood thành 600 (tức là 600 gói/phút).
   • Burst rate per Source/Destination (Packet/sec): Số lượng gói tin tối đa trên GIÂY trong một thời điểm đột biến ngắn. Ví dụ: Đặt Burst rate thành 10.
3. Kích hoạt chặn (Apply Flag): Nhấp vào ô vuông (checkbox) ở cột Apply Flag tại phần Source hoặc Destination (hoặc cả hai) ứng với loại tấn công bạn vừa sửa thông số. Khi được tích, Sophos XG sẽ drop (loại bỏ) các gói tin vượt ngưỡng.
4. Nhấn nút Apply màu xanh ở góc dưới bên trái để lưu cấu hình.
5. Ngay bên dưới danh sách Flood, hệ thống có cung cấp thêm các tùy chọn bảo vệ mạng ở Layer 2 và Layer 3. Hiện tại đã được tích mặc định một số tính năng khá tốt, bạn có thể giữ nguyên:
   
   • Dropped source routed packets: Đã tích (Bảo vệ chống lại việc kẻ tấn công tự chỉ định đường đi của gói tin).
   • Disable ICMP/ICMPv6 redirect packet: Đã tích (Ngăn chặn việc định tuyến lại traffic trái phép bằng ICMP).
   • ARP hardening: Bạn có thể tích thêm ô này nếu muốn hệ thống kiểm tra chặt chẽ hơn các gói tin ARP trong mạng LAN để phòng chống ARP Spoofing. Cần nhấn Apply sau khi thay đổi.

PHẦN 3: TẠO LUẬT NGOẠI TRỪ CHO MÁY QUẢN TRỊ (DOS BYPASS RULE)​

1. Ngay bên dưới bảng DoS settings, cuộn xuống tìm khu vực DoS bypass rule ➔ Nhấn nút Add màu xanh dương.
   • Name: Bypass_Admin_PC (Tên định danh quy tắc).
   • Source zone / Source: Chọn vùng LAN và chọn chính xác địa chỉ IP của máy tính Admin đang cấu hình WebAdmin.
   • Destination zone / Destination: Để Any (Bất kỳ đích đến nào).
   • Bypass: Tích chọn các loại hình muốn miễn trừ (Khuyên dùng chọn All hoặc tích chọn SYN flood, ICMP flood, UDP flood, TCP flood).
2. Nhấn nút Save để hoàn tất cấu hình ngoại trừ.

PHẦN 4: KIỂM THỬ THỰC TẾ & NGHIỆM THU NHẬT KÝ (LOG VIEWER)​

Sau khi cấu hình xong, ta tiến hành kiểm chứng khả năng ngăn chặn của Sophos bằng cách dùng một máy trạm Client đóng vai trò Kẻ tấn công (Attacker)
0

Từ máy Linux ta dùng tool hping3 để tấn công vào port WAN của Firewall

Để chứng minh tường lửa đã phát hiện đúng tấn công và thực thi ngăn chặn bảo vệ hệ thống, ta nghiệm thu tại 2 vị trí trên giao diện quản trị:

Kiểm tra bộ đếm trực tiếp trên DoS Settings:​

• Tại trang menu DoS attacks, quan sát cột Source Traffic Dropped và Destination Traffic Dropped.
• Kết quả: Con số 0 ban đầu sẽ lập tức nhảy lên hàng trăm hoặc hàng ngàn gói tin bị tiêu hủy.