Sophos [LAB 04] Cấu hình tính năng Security Heartbeat

Security Heartbeat là một tính năng bảo mật được tích hợp trong các giải pháp của Sophos, giúp tăng cường khả năng bảo vệ hệ thống bằng cách chia sẻ thông tin về tình trạng bảo mật giữa Sophos Endpoint Protection và Sophos XG Firewall (hoặc Sophos Central Firewall Management).

Cách hoạt động của Security Heartbeat

1. Phát hiện mối đe dọa: Khi một máy trạm (endpoint) bị nhiễm malware hoặc có hành vi đáng ngờ, Sophos Endpoint Protection sẽ phát hiện và đánh giá mức độ nguy hiểm.
2. Cảnh báo Firewall: Endpoint gửi tín hiệu "Heartbeat" đến Sophos Firewall để thông báo về trạng thái bảo mật của nó.
3. Phản hồi tự động:Firewall có thể thực hiện các hành động như:
   • Hạn chế quyền truy cập mạng của endpoint bị nhiễm.
   • Cô lập endpoint khỏi các hệ thống quan trọng.
   • Yêu cầu endpoint thực hiện quét và khắc phục sự cố trước khi khôi phục quyền truy cập.
4. Khôi phục & giám sát liên tục: Sau khi endpoint được làm sạch, trạng thái Heartbeat sẽ trở lại "bình thường" và thiết bị có thể truy cập mạng như trước.

Tình huống: Máy tính trong mạng tải file có chứa virus,.. tải xuống thì Sophos Endpoint sẽ phát hiện ra virus này và Sophos Endpoint sẽ cách ly ra khỏi mạng và xử lý xong thì máy tính mới có thể kết nối mạng bình thường


Bước 1: Đầu tiên để làm được bạn cần đăng kí và add license của Sophos Firewall, tham khảo link sau Register và active license cho Sophos Firewall với Sophos Central

Bước 2: Sau khi đăng kí xong bạn truy cập System > Sophos Central > Register


Bước 3: Nhập tài khoản vừa đăng kí


Bước 4: Đợi vài giây thì đăng nhập thành công, lúc này tính năng Security Heartbeat sẽ tự động được bật.


Bước 5: Sau khi bật tính năng ta vào MONITOR & ANALYZE > Control center > để xem trạng thái của các máy tính khi cài đặt Endpoint


Bước 6: Cấu hình tính năng Security Hearbeat
Ta vẫn tiếp tục edit rule local truy cập internet
Truy cập Protect > Rule and policies > Firewall rule > Edit rule

Kéo xuống mục Config Synchronized Security Heartbeat, ở phần Minimum source HB permitted, chọn GREEN, nghĩa là chỉ những thiết bị có trạng thái Heartbeat xanh (an toàn) mới được phép kết nối. Ngoài ra

• YELLOW: Cho phép truy cập từ thiết bị có trạng thái Heartbeat vàng (có nguy cơ thấp).
• No restriction: Không giới hạn, chấp nhận mọi thiết bị, kể cả các thiết bị có trạng thái đỏ hoặc không có Heartbeat.

Đồng thời, bật tùy chọn Block clients with no heartbeat, điều này có nghĩa là nếu một máy tính trong hệ thống không có cài đặt endpoint thì tường lửa Sophos sẽ cách ly thiết bị này lại không cho truy cập internet cũng như giao tiếp với các thiết bị trong cùng lớp mạng.


Bước 7: Cài đặt Endpoint trên máy local trong mạng
Truy cập Sophos Central, vào phần My Products > Endpoint > Installers


Bước 8: Chọn Download Comple Windows Installer để tải cho bản Windows


Bước 9: Chạy với quyền admin, đảm bảo máy tính kết nối được với internet


Bước 10: Chọn Install

Quá trình cài đặt khoảng 5-10 phút


Bước 11: Chọn Finish


Bước 12: Kiểm tra trạng thái phần mềm Sophos



Bước 13: Quay lại giao diện Sophos Firewall thì thấy 1 kết nối Security
Chúng ta sẽ thấy rằng hiện tại có 1 thiết bị đang gửi tín hiệu Security Heartbeat đến firewall Sophos XGS thiết bị này đều đang ở trạng thái màu xanh lá nghĩa là thiết bị hiện tại đang ở trạng thái an toàn.
Nếu endpoint dưới thiết bị phát hiện ra virus thì nó sẽ ngay lập tức chuyển trạng thái của thiết bị và gửi trạng thái này đến firewall bằng Security Heartbeat để firewall cập nhật lại trạng thái của thiết bị và tùy vào mức độ nguy hiểm của virus thì trạng thái có thể được chuyển sang vàng hoặc đỏ.
Khi có thiết bị có trạng thái vàng hoặc đỏ các có thể nhấn vào biểu tượng ở ô Warning (trạng thái vàng), Missing (trạng thái đỏ) hoặc At risk(trạng thái đỏ) để xem là thiết bị nào đang gặp sự cố.


Bước 14: Để kiểm tra, trước tiên chúng ta sẽ thực hiện lệnh ping đến 8.8.8.8 để đảm bảo rằng máy tính vẫn đang truy cập internet với trạng thái của Sophos Endpoint là màu xanh.


Bước 15: Truy cập

https://www.eicar.org/download-anti-malware-testfile

để tải các file có chứa virus về và kiểm tra (Tắt Firewall của windows)

Bước 16: Sau khi tải ấn Resume

Sau khi tải xuống thì Sophos Endpoint sẽ phát hiện ra virus này. Lúc này Sophos Endpoint sẽ chuyển trạng thái của máy tính này sang màu vàng và đưa ra cảnh báo cũng như ngắt truy cập internet của máy tính này.


Để kiểm trang chúng ta quay lại Sophos, vào Dashboard > Security Heartbeat chúng ta sẽ thấy hiện tại đang có 1 máy ở trạng thái màu vàng Warning.

Để xem chi tiết máy nào đang ở trạng thái này chúng ta nhấn vào số 1 ở Warning lúc này Sophos sẽ hiển thị ra thông tin của máy đang có trang thái màu vàng.

Sophos Endpoint sẽ tự động xử lý file virus trên máy tính đó, sau khi xử lý xong Sophos Endpoint sẽ thông báo là file virus đã được Clean up và sẽ trả trạng thái của máy tính này về màu xanh lá.
Tiếp đó nó sẽ gửi thông tin trạng thái của máy tính này đến Sophos firewall bằng Security Heartbeat và khi Sophos firewall cập nhật trạng thái của máy tính này là màu xanh thì sẽ trả lại kết nối internet như lúc ban đầu cho máy tính này.