Sophos Endpoint [Lab][16] Tính năng Intrusion Prevention System (IPS)

Tính năng Intrusion Prevention System (IPS)​

I. Mở đầu​

Trong khi các tính năng quét tệp tin tập trung vào việc xử lý mã độc đã nằm trên ổ cứng, tính năng IPS (Intrusion Prevention System) lại đóng vai trò là một lớp lọc dữ liệu mạng ngay tại Endpoint. IPS giúp phát hiện và ngăn chặn các cuộc tấn công mạng, các hành vi khai thác lỗ hổng phần mềm và các kết nối độc hại ngay khi dữ liệu đang di chuyển trên đường truyền trước khi chúng kịp gây hại cho hệ điều hành.

Bài viết này hướng dẫn cách hiểu và cấu hình tính năng IPS trong chính sách Threat Protection của Sophos Central.

II. Lý thuyết​

Dựa trên tài liệu kỹ thuật của Sophos, IPS là hệ thống ngăn chặn xâm nhập hoạt động ở mức thấp (low level) của hệ thống mạng. Thay vì chỉ quét các tệp tin trên ổ cứng, IPS thực hiện kiểm tra các gói tin (packet inspection) đang di chuyển vào và ra khỏi máy tính.
Các chức năng chính của IPS bao gồm:

1. Phát hiện kết nối đến máy chủ điều khiển (C&C): Hệ thống tự động nhận diện các lưu lượng mạng cho thấy máy trạm đang cố gắng liên lạc với máy chủ của kẻ tấn công để nhận lệnh hoặc gửi dữ liệu đánh cắp.
2. Kiểm tra gói tin (Packet Inspection): Quét lưu lượng mạng để tìm kiếm các dấu hiệu của mã độc hoặc các kỹ thuật tấn công mạng trước khi chúng có thể gây hại cho hệ điều hành hoặc các ứng dụng đang chạy.
3. Ngăn chặn hành vi độc hại: IPS giúp chặn đứng các nỗ lực khai thác lỗ hổng phần mềm từ xa qua mạng LAN hoặc Internet.

III. Hướng dẫn cấu hình IPS trên Sophos Central​

Vào Sophos Central Admin
Chọn My Products > Endpoint > Policies.
Chọn chính sách loại Threat Protection đang áp dụng cho thiết bị
Vào tab Setting
Cuộn xuống Protect network traffic

Hiện tại tính năng IPS chưa được bật
Tick chọn để bật Prevent malicious network traffic with packet inspection (IPS)

Save

IV. Tổng kết​

Kích hoạt IPS là yêu cầu cơ bản để hoàn thiện lớp phòng thủ mạng tại Endpoint. Tính năng này giúp ngăn chặn hiệu quả các cuộc tấn công mạng ngay cả khi hệ điều hành chưa kịp cập nhật các bản vá lỗi bảo mật (Zero-day).