Suricata 8.x làm IDS/IPS, Zeek phân tích sâu từng giao thức, DraySOAR điều khiển cả Switch và Access Point DrayTek để ngăn mã độc lây lan trong mạng nội bộ. Tất cả chạy ngay trên Vigor3912S.
IDS chỉ cho bạn biết có tấn công. IPS hành động để ngăn nó. Trên Vigor3912S, Suricata đóng vai IDS, còn Smart Action biến mỗi cảnh báo phù hợp thành một lệnh chặn IP ngay trên router.
Hơn 60.000 rules, trong đó hơn 6.000 rules CVE. Nhận diện malware, exploit, phishing, worm, DoS, quét cổng, kết nối C&C.
Log khớp Priority 1 hoặc từ khóa nguy hiểm sẽ tự đưa IP vào Blocked IP List, không cần chờ người trực.
Chặn IP đích để cắt kết nối ra máy chủ độc hại, hoặc chặn IP nguồn để cô lập máy trạm nhiễm mã độc trong LAN.
Cơ chế chặn dựa trên log và Smart Action, nên có độ trễ rất ngắn thay vì drop gói tin ngay trong luồng.
Hai công cụ nhìn cùng một luồng dữ liệu bằng hai cách. Một cái tìm dấu hiệu tấn công đã biết, một cái ghi lại hành vi để bạn điều tra và phát hiện điều chưa có chữ ký.
Suricata 8.x
Engine IDS/IPS đa luồng, so khớp chữ ký theo thời gian thực.
Zeek
Khung giám sát mạng, không dựa vào chữ ký mà ghi lại những gì thực sự diễn ra.
Chặn IP bên ngoài chỉ giải quyết một nửa bài toán. Khi một máy trong LAN đã nhiễm, nguy cơ lớn nhất là nó lây sang máy khác. DraySOAR gom tín hiệu từ Suricata, Zeek, IP Reputation, DrayEDR, Windows Defender và WinRisk, rồi dùng Playbook điều khiển đúng thiết bị để cô lập nguồn lây.
Chặn lưu lượng từ IP bên ngoài đáng ngờ ngay tại Vigor3912S.
Ngắt cổng của thiết bị có dây nghi nhiễm để nó không thể lây sang các máy khác.
Kiểm soát thiết bị không dây đáng ngờ dựa trên rủi ro phát hiện được, kể cả thiết bị đang dùng SSID khách.
Qua DrayEDR, hạn chế kết nối WAN và LAN của máy nghi nhiễm. Máy vẫn được nhận diện khi đổi địa chỉ MAC ngẫu nhiên.
Nếu: Suricata hoặc Zeek báo sự kiện từ cùng một máy nhiều lần Và: IP đích có danh tiếng xấu (IP Reputation) Thì: Thông báo quản trị viên, tắt cổng Switch hoặc cô lập máy
Ví dụ minh họa. Số lần, khoảng thời gian và hành động do quản trị viên cấu hình. Lệnh đến thiết bị qua TR-069 và VigorConnect; khả năng phản ứng tùy model và phiên bản firmware được hỗ trợ.
DraySOAR còn hợp nhất sự kiện, máy bị ảnh hưởng và mức độ phơi nhiễm lỗ hổng (CVE, CVSS, KEV, EPSS) vào một màn hình, để quản trị viên giao việc, điều tra, đóng sự cố và lưu hồ sơ. Xem thêm tại draysoar.draytek.vn.
| Lớp chức năng NGFW | Trên Vigor3912S |
|---|---|
| Tường lửa theo đối tượng | Object-based Firewall, tối đa 100 LAN subnet VLAN |
| IDS/IPS và kiểm tra sâu gói tin | Suricata 8.x với hơn 60.000 rules |
| Phân tích giao thức và hành vi | Zeek log có cấu trúc |
| Phản ứng tự động | Smart Action và Playbook DraySOAR (chặn IP, tắt cổng Switch, cô lập Wi-Fi và máy tính) |
| VPN | Tối đa 500 kênh đồng thời |
| Quản lý AP và Switch tập trung | Tối đa 50 AP và 30 Switch DrayTek |
Suricata là mã nguồn mở, tích hợp trên Vigor3912S miễn phí. Không có phí subscription cho từng tính năng.
Bạn xem được rule nào báo, bật hoặc bỏ từng rule để giảm báo động giả theo đúng môi trường.
Tự viết điều kiện chặn: theo Priority, theo họ tấn công, theo từ khóa riêng của doanh nghiệp.
Cùng thiết bị còn chạy được VigorConnect, Portainer và các ứng dụng Docker khác, không cần mua thêm máy chủ.
Nhờ Zeek, đội IT có log kết nối và giao thức chi tiết để truy vết, thay vì chỉ một dòng cảnh báo.
Core và rules tự cập nhật mỗi 24 giờ, không phải chờ bản firmware mới.
Suricata và Zeek chỉ thấy lưu lượng đi qua router, nên hãy phân VLAN trên Switch để lưu lượng giữa các vùng đều được định tuyến qua Vigor3912S.
Priority 1: .*\[Classification:.*\]\s*\[Priority: 1\].* Theo họ tấn công: (MALWARE|Exploit|Phishing|WORM|DOS)
Cần bật Firewall >> DoS Defense và Diagnostics >> Data Flow Monitor để Block IP hoạt động đúng. Giải pháp là lớp phòng thủ bổ sung, không thay thế cập nhật firmware và sao lưu, và không bảo đảm an toàn tuyệt đối.
Đội ngũ presales An Phát khảo sát hiện trạng, đề xuất sơ đồ VLAN và cấu hình Suricata, Zeek, Smart Action, DraySOAR phù hợp quy mô doanh nghiệp.