Bài viết kỹ thuật

Best Practices – Tối ưu bảo mật cho Sophos Firewall

09/12/2025 13:45 397 lần Chuyên mục: Bài viết kỹ thuật

Firewall là “hàng rào” đầu tiên bảo vệ hạ tầng mạng của doanh nghiệp trước các nguy cơ từ Internet, vì vậy firewall dễ trở thành mục tiêu của các cuộc tấn công mạng. Hardening Sophos Firewall (tối ưu cấu hình, tối ưu bảo mật, giảm bề mặt tấn công) là bước quan trọng để đảm bảo mạng nội bộ – cũng như các hệ thống quan trọng – luôn được bảo vệ an toàn.

Dưới đây là các Best Practices để Hardening Sophos Firewall được Sophos khuyến nghị nên áp dụng khi triển khai và vận hành Sophos Firewall.

SFOS: v22.0

1. Luôn giữ firmware & hệ thống cập nhật

Firmware là phần quan trọng nhất của tường lửa. Mỗi bản cập nhật thường bao gồm bản vá lỗ hổng bảo mật nghiêm trọng, tối ưu hiệu năng và cải thiện cơ chế phát hiện tấn công. Nếu để firmware lỗi thời, firewall có thể trở thành điểm yếu đầu tiên bị tin tặc khai thác.

Cập nhật Sophos Firewall OS (SFOS): truy cập Backup & firmware > Firmware để kiểm tra và cài đặt các bản release mới.
Không bỏ qua các maintenance release (MR): mỗi bản update có thể chứa sửa lỗi bảo mật quan trọng.
Kiểm tra firmware ít nhất mỗi tháng – qua Sophos Central hoặc console admin.
Nếu được, triển khai ở chế độ High-Availability (HA): giúp nâng cấp firmware mà không gây gián đoạn mạng.

firmware

2. Giới hạn truy cập tới dịch vụ của firewall

Các dịch vụ quản trị như Web Admin và SSH là mục tiêu tấn công phổ biến. Nếu lộ ra Internet, hacker có thể brute-force hoặc khai thác lỗ hổng dịch vụ và chiếm quyền kiểm soát thiết bị.

Vào Administration > Device access và đảm bảo không có dịch vụ nào bật trên vùng WAN, trừ khi thực sự cần thiết.
Đặc biệt, tắt web-admin (HTTPS) và SSH nếu không dùng để quản trị từ WAN.
Nếu cần quản trị từ xa: tốt hơn là dùng cloud management (Sophos Central), thay vì mở giao diện admin qua WAN.
Với remote access: ưu tiên dùng mô hình bảo mật cao như Zero Trust Network Access (ZTNA) thay vì cho phép truy cập trực tiếp từ Internet.

device_access

3. Sử dụng mật khẩu mạnh, xác thực đa yếu tố (MFA), và quản lý quyền (Role-based access)

Phần lớn sự cố an ninh bắt đầu từ việc lộ mật khẩu hoặc đánh cắp tài khoản quản trị. MFA và phân quyền theo vai trò giúp giảm thiểu nguy cơ chiếm quyền điều khiển firewall.

Bật MFA cho tất cả người dùng và đặc biệt là các quản trị viên – bao gồm portal, VPN, admin account.
Đặt mật khẩu đủ mạnh, khó đoán; ngăn chặn brute-force và hạn chế số lần đăng nhập thất bại.
Giữ CAPTCHA (nếu có) – đừng tắt.
Phân quyền theo vai trò: chỉ cấp quyền admin khi thật sự cần thiết. Giảm quyền cho người dùng bình thường để hạn chế rủi ro.

admin_user

4. Giảm thiểu quyền truy cập từ Internet tới hệ thống nội bộ

Các NAT rule và inbound firewall rule nếu cấu hình không chặt có thể vô tình mở cửa cho hacker tiếp cận máy chủ nội bộ. Để tối ưu bảo mật, Firewall phải kiểm soát chặt mọi truy cập từ WAN vào tài nguyên mạng doanh nghiệp.

Tuyệt đối tránh để các thiết bị nội bộ (máy chủ, máy người dùng, IoT…) bị phơi ra WAN qua DNAT/Full-NAT.
Thường xuyên audit các NAT rules và firewall rules – đảm bảo không có rule nào mở quá rộng nếu không cần thiết.
Với remote access: ưu tiên sử dụng ZTNA/VPN; không nên cho phép Remote Desktop hay các dịch vụ nhạy cảm truy cập từ Internet.
Với thiết bị IoT không hỗ trợ Proxy/Cloud – cân nhắc tắt hoặc cách ly chúng để tránh trở thành điểm yếu.

5. Cấu hình bảo vệ phù hợp (IPS, DoS, firewall rules chặt chẽ)

Các cuộc tấn công ngày nay đa dạng và tinh vi, từ khai thác lỗ hổng đến DDoS. IPS giúp phát hiện và ngăn chặn các mẫu tấn công đã biết; DoS Protection giảm nguy cơ bị đánh sập dịch vụ.

Với tất cả traffic từ bên ngoài (untrusted), áp dụng Intrusion Prevention (IPS).
Kích hoạt DoS & spoof protection để bảo vệ chống tấn công từ chối dịch vụ hoặc spoofing.
Đảm bảo không có rule “ANY-to-ANY”; các rule phải rõ ràng: xác định nguồn, đích, dịch vụ.
Nếu không có yêu cầu: chặn traffic từ các quốc gia/vùng lãnh thổ mà doanh nghiệp bạn không làm việc.
Bật các dịch vụ bảo vệ nâng cao (threat feeds, active threat response) nếu có – để tăng khả năng phát hiện và phòng ngừa các mối đe dọa mới.

6. Bật cảnh báo, logging, và giám sát thường xuyên

Bạn không thể bảo vệ cái bạn không thấy. Logging và Alert cho phép phát hiện sớm xâm nhập, giúp phản ứng nhanh trước sự cố. Nếu không được giám sát, mọi biện pháp bảo mật đều trở nên thụ động.

Vào System services > Notification list, chọn các sự kiện hệ thống/ bảo mật để gửi thông báo qua email hoặc SNMP.
Đảm bảo firewall gửi log đến Sophos Central hoặc hệ thống SIEM mà tổ chức bạn dùng – để dễ kiểm tra, phân tích và phản ứng khi có dấu hiện bất thường.
Thiết lập routine kiểm tra logs, cảnh báo – và phản ứng nhanh khi có sự cố.

ips

Hardening Sophos Firewall dễ dàng hơn với Sophos Firewall OS v22.0

Firewall Health Check trên Sophos Firewall OS v22.0 giúp bạn đánh giá mức độ an toàn của cấu hình hiện tại dựa trên chuẩn của Center for Internet Security (CIS) và Best Practices của Sophos. Công cụ này rà soát nhiều hạng mục quan trọng như firewall rules, chính sách mật khẩu, MFA, logging, backup… và xác định chính xác các thiết lập có nguy cơ bảo mật cao.

Kết quả được hiển thị trực quan ngay trên dashboard widget của Control Center, đồng thời cung cấp khuyến nghị chi tiết kèm đường dẫn đến từng cấu hình cần khắc phục, giúp bạn chỉnh sửa nhanh chóng mà không phải tìm kiếm thủ công.

firewall_health_check