Mạng và chống virus

Bài này giới thiệu ba lớp bảo vệ: mọi người được mở Genie từ những mạng nào, Genie được phép kết nối tới những hệ thống nội bộ nào, và cách quét virus các tệp mọi người tải lên. Mọi cài đặt trong bài này đều do quản trị viên hệ thống đặt: danh sách mạng riêng của từng workspace nằm ở Thông tin workspace của workspace đó, phần còn lại chủ yếu nằm ở Cài đặt → Mạng và chống virus trong nhóm Quản trị hệ thống.

Giới hạn nơi mọi người mở Genie

Bạn có thể giới hạn để Genie chỉ dùng được từ mạng công ty và VPN. Có hai danh sách, và mỗi yêu cầu phải đáp ứng cả hai:

Danh sách	Ở đâu	Ai đặt	Giới hạn gì
Danh sách của workspace	Cài đặt → Thông tin workspace → Truy cập theo mạng	Quản trị viên hệ thống, khi đang làm việc trong workspace đó	Nội dung của riêng workspace đó
Danh sách của nền tảng	Cài đặt → Mạng và chống virus → Giới hạn IP truy cập	Quản trị viên hệ thống	Toàn bộ Genie: trang đăng nhập, ứng dụng web, khóa API, Quản trị hệ thống

Danh sách của workspace chỉ có thể thu hẹp danh sách của nền tảng chứ không bao giờ mở rộng được. Cả hai đều nhận địa chỉ và dải địa chỉ IPv4 hoặc IPv6, mỗi dòng một mục, ví dụ 203.0.113.0/24 hoặc 10.20.0.0/16, tối đa 200 mục mỗi danh sách. Địa chỉ đơn lẻ được lưu thành /32 (hoặc /128 với IPv6).

Trước khi giới hạn, hãy thu thập đủ địa chỉ công khai của mọi mạng mà mọi người dùng để làm việc: từng văn phòng (với Contoso là Hà Nội, Đà Nẵng và TP. Hồ Chí Minh) và dải địa chỉ của VPN. Bộ phận phụ trách mạng của công ty nắm các địa chỉ này.

Chỉ cho phép một workspace dùng trong mạng công ty

Quản trị viên hệ thống đặt danh sách này ngay trong workspace cần giới hạn: hãy chuyển sang workspace đó trước (xem Cài đặt của từng workspace). Bạn cần là Quản trị viên hoặc Chủ sở hữu của workspace đó mới mở được Thông tin workspace. Quản trị viên và Chủ sở hữu không phải quản trị viên hệ thống thì không thấy mục Truy cập theo mạng.

1. Mở Cài đặt → Thông tin workspace.
2. Trong Truy cập theo mạng, xem dòng "Genie thấy địa chỉ của bạn là …". Đây là địa chỉ Genie dùng để kiểm tra yêu cầu của bạn.
3. Đánh dấu Chỉ cho phép các mạng này vào workspace.
4. Trong Dải địa chỉ được phép, nhập các dải, mỗi dòng một dải. Bấm Thêm địa chỉ của tôi để thêm địa chỉ bạn đang dùng.
5. Nếu cần, đánh dấu Áp dụng cả cho API key dùng trong workspace này. Nếu không đánh dấu, giới hạn chỉ áp dụng cho người đăng nhập vào Genie.
6. Bấm Lưu.

Khi ở ngoài các mạng này, thành viên vẫn đăng nhập, mở hồ sơ và chuyển sang workspace khác được; chỉ nội dung của workspace này bị từ chối truy cập. Họ sẽ thấy Không thể truy cập workspace này từ mạng này kèm danh sách các workspace khác của họ.

Giới hạn toàn bộ nền tảng

Quản trị viên hệ thống đặt danh sách của nền tảng:

1. Mở Cài đặt → Mạng và chống virus.
2. Trong Giới hạn IP truy cập, xem dòng "Genie thấy địa chỉ của bạn là …". Nếu có cảnh báo về proxy, hãy dừng lại và nhờ nhà cung cấp Genie của bạn xử lý trước; nếu không, Genie có thể thấy mọi người như cùng đến từ một địa chỉ.
3. Trong Dải địa chỉ được phép, nhập các dải, mỗi dòng một dải. Bấm Thêm địa chỉ của tôi để thêm địa chỉ bạn đang dùng.
4. Trong Áp dụng danh sách cho, đánh dấu các phần cần giới hạn (xem bảng).
5. Bấm Lưu. Thay đổi có hiệu lực sau vài giây.

Tùy chọn	Giới hạn gì
Ứng dụng web và API cho người đã đăng nhập, kể cả trang đăng nhập	Mọi thao tác của người dùng trên trình duyệt. Người ở ngoài danh sách thậm chí không thấy trang đăng nhập.
API key và MCP endpoint	Các tích hợp dùng khóa API của workspace hoặc của nền tảng, và các trợ lý kết nối tới máy chủ MCP của Genie. Không đánh dấu tùy chọn này nếu có tích hợp gọi Genie từ máy chủ nằm ngoài danh sách.
Quản trị hệ thống	Chỉ các trang Quản trị hệ thống.

Nếu không đánh dấu tùy chọn nào, danh sách vẫn được lưu nhưng không giới hạn gì.

Nếu chỉ muốn giới hạn phần quản trị trong mạng công ty, còn mọi người vẫn dùng Genie ở bất cứ đâu, hãy chỉ đánh dấu Quản trị hệ thống. Khi đó, nếu ở ngoài danh sách, quản trị viên hệ thống sẽ thấy Không thể mở trang quản trị hệ thống từ mạng này nhưng vẫn dùng các phần khác của Genie bình thường.

Dải địa chỉ cho SCIM (không bắt buộc) là danh sách riêng dành cho tự động cấp tài khoản (xem Thành viên và đăng nhập). Microsoft Entra ID cấp tài khoản từ đám mây của Microsoft, nên hãy để trống nếu bạn không chắc các địa chỉ đó.

Một số lưu lượng luôn được phép, bất kể danh sách thế nào, vì đến từ dịch vụ khác chứ không phải từ người dùng: tin nhắn từ Microsoft Teams, Zalo và các kênh nhắn tin khác, bước quay lại Genie sau khi đăng nhập một lần, tiện ích website (có danh sách website được phép riêng), liên kết tệp có chữ ký, và webhook của nguồn dữ liệu (có Địa chỉ được phép riêng, xem Nguồn dữ liệu). Vì vậy Genie trên Teams và Zalo vẫn dùng được ở bất cứ đâu.

Người ở ngoài mạng được phép sẽ thấy Không thể truy cập từ mạng này, kèm địa chỉ của họ và nút Thử lại.

Tránh tự khóa chính mình

• Genie không cho lưu danh sách thiếu địa chỉ bạn đang dùng, áp dụng cho cả danh sách của nền tảng (khi giới hạn ứng dụng web hoặc Quản trị hệ thống) lẫn danh sách của workspace. Trang sẽ báo rõ và gợi ý Thêm địa chỉ của tôi. Genie cũng không cho bật giới hạn khi danh sách còn trống.
• Hãy kiểm tra địa chỉ Genie hiển thị đúng là địa chỉ của bạn: địa chỉ công khai của văn phòng hoặc một địa chỉ trong dải VPN. Nếu đó là một địa chỉ nội bộ mà mọi người dùng chung, hãy hỏi nhà cung cấp Genie của bạn trước khi giới hạn.
• Thêm địa chỉ của mọi văn phòng và toàn bộ dải VPN trước khi bật giới hạn. Khi dải địa chỉ VPN thay đổi, hãy cập nhật danh sách trước.
• Sau khi lưu, hãy thử mở Genie trên điện thoại dùng dữ liệu di động: bạn sẽ thấy trang báo không có quyền truy cập, trong khi ở văn phòng vẫn dùng Genie bình thường.
• Nên có thêm một quản trị viên hệ thống làm việc từ một mạng được phép khác.
• Nếu mọi người vẫn bị khóa ngoài, hãy liên hệ nhà cung cấp Genie của bạn: họ có thể tạm tắt giới hạn phía máy chủ cho tới khi bạn sửa xong danh sách. Trong thời gian tắt, cả hai trang đều hiện cảnh báo rằng danh sách đã lưu nhưng chưa được áp dụng.
• Nhật ký kiểm toán ghi mọi thay đổi là Đã đổi danh sách IP được phép (nền tảng) hoặc Đã đổi danh sách IP được phép của workspace, và ghi các yêu cầu bị từ chối là Bị chặn vì địa chỉ IP không được phép (xem Mức sử dụng, phân tích và nhật ký kiểm toán).

Kiểm soát những gì Genie kết nối tới

Genie cũng tự kết nối ra các hệ thống khác: Microsoft 365 cho nguồn dữ liệu và đăng nhập, dịch vụ tìm kiếm web, các website mà Genie thu thập hoặc đọc trong lúc trò chuyện, dịch vụ MCP, cơ sở dữ liệu và dịch vụ mô hình. Genie được phép kết nối tới địa chỉ công khai trên internet. Địa chỉ thuộc mạng nội bộ, như intranet, máy chủ tệp và cơ sở dữ liệu nội bộ, sẽ bị từ chối trừ khi quản trị viên hệ thống cho phép. Nhờ vậy, một liên kết hay prompt được soạn có chủ đích không thể dẫn Genie vào hệ thống nội bộ của bạn.

Nội dung	Đặt ở đâu	Ai đặt
Các máy nội bộ mà Genie được phép kết nối tới: intranet cần thu thập, máy chủ tệp, cơ sở dữ liệu hoặc dịch vụ MCP nội bộ	Cài đặt → Cài đặt hệ thống → Bảo mật & quyền riêng tư → Danh sách cho phép chống SSRF	Quản trị viên hệ thống
Genie Search, dịch vụ tìm kiếm riêng của một workspace, và các website cần tránh hoặc ưu tiên khi tìm trên web	Cài đặt → Tìm trên web (trong nhóm Quản trị hệ thống), xem Cài đặt tìm trên web	Quản trị viên hệ thống, cho cả công ty; một workspace có thể có cài đặt riêng. Quản trị viên workspace chỉ tắt được tìm trên web cho workspace của mình, ở mục Tính năng
Mã chạy trong sandbox Mặc định hệ thống được kết nối tới đâu	Cài đặt → Mạng và chống virus → Mạng của sandbox mặc định, xem bên dưới	Quản trị viên hệ thống, cho mọi workspace hoặc riêng một workspace
Mã chạy trong cấu hình sandbox riêng của một workspace được kết nối tới đâu	Cài đặt → Sandbox (trong nhóm Quản trị hệ thống), chọn workspace ở đầu trang: Chính sách mạng của cấu hình đó, xem Sandbox và kỹ năng	Quản trị viên hệ thống
Tường lửa, kết nối giữa Genie và mạng văn phòng, proxy, và Genie có nhận được kết nối từ internet hay không (cần cho thông báo thay đổi từ Microsoft 365)	Phía máy chủ	Nhà cung cấp Genie của bạn

Cho phép một máy nội bộ

1. Mở Cài đặt → Cài đặt hệ thống và chọn tab Bảo mật & quyền riêng tư.
2. Trong Danh sách cho phép chống SSRF, nhập một mục rồi nhấn Enter: tên máy (intranet.contoso.test), tên miền có ký tự đại diện (*.contoso.test), một địa chỉ IP hoặc một dải (10.20.0.0/16). Xác nhận.
3. Thay đổi có hiệu lực ngay. Hãy kiểm tra lại kết nối của nguồn dữ liệu, cơ sở dữ liệu hoặc dịch vụ MCP.

Hãy cho phép càng ít càng tốt: một tên máy thay vì cả tên miền hay cả dải địa chỉ. Mọi thành phần của Genie đều có thể kết nối tới máy đã được cho phép, kể cả agent đọc trang web trong lúc trò chuyện. Danh sách này chỉ cho phép Genie thử kết nối; nhà cung cấp Genie của bạn vẫn phải nối Genie vào mạng công ty. Họ cũng có thể đã cho phép sẵn một số máy ở phía máy chủ, và các máy đó không hiện trong danh sách này.

Giới hạn những gì mã trong sandbox kết nối tới

Mã mà agent và kỹ năng chạy trong sandbox Mặc định hệ thống, như script hay lệnh cài gói, chỉ được kết nối ra ngoài trong phạm vi quản trị viên hệ thống cho phép. Việc tìm trên web và đọc trang web của chính Genie không bị ảnh hưởng.

1. Mở Cài đặt → Mạng và chống virus, tìm thẻ Mạng của sandbox mặc định.
2. Ở dòng Mặc định cho mọi workspace, bấm Sửa.
3. Chọn Mở: được kết nối mọi nơi, hoặc Chặn: chỉ cho phép các địa chỉ dưới đây rồi liệt kê các địa chỉ, mỗi dòng một mục:
   • Được truy cập đầy đủ: tên miền (hỗ trợ *.contoso.test), địa chỉ IP hoặc dải địa chỉ mà mã được gửi và nhận dữ liệu;
   • Chỉ được tải về: các host mà mã chỉ được tải về, nên cài được gói nhưng không gửi được tệp ra ngoài. Bấm Thêm PyPI (pip install) để thêm kho gói Python.
4. Bấm Lưu.

Với workspace cần chính sách khác, bấm Thêm workspace ở mục Riêng từng workspace, chọn workspace rồi đặt chính sách cho workspace đó. Dùng mặc định đưa một workspace về chính sách mặc định, còn Về cấu hình triển khai đưa chính sách mặc định về thiết lập của nhà cung cấp Genie. Chính sách mới áp dụng cho sandbox khởi động sau khi lưu; sandbox đang chạy giữ chính sách cũ cho đến khi Genie thu hồi. Nếu hệ thống của bạn không có sandbox Mặc định hệ thống, thẻ sẽ ghi rõ.

Các cấu hình sandbox riêng của workspace vẫn giữ Chính sách mạng của chúng. Mở Cài đặt → Sandbox rồi chọn workspace ở ô Workspace đầu trang (xem Sandbox và kỹ năng): ở hầu hết các loại sandbox, đặt Lưu lượng ra mặc định thành Mặc định từ chối (khuyên dùng) sẽ chặn internet, còn Đích được cho phép liệt kê các website mà mã vẫn được truy cập. Muốn không cho chạy mã nữa, hãy tắt Chạy mã ở phần Chạy mã trong mọi workspace trên cùng trang.

Quét virus tệp tải lên

Khi bật quét virus, Smart AntiVirus sẽ kiểm tra mọi tệp người dùng đưa cho Genie trước khi Genie lưu hoặc đọc tệp:

• tài liệu tải lên kho tri thức, kể cả phiên bản mới của tài liệu;
• tệp và hình ảnh đính kèm trong trò chuyện, kể cả trong tiện ích website;
• gói kỹ năng;
• hình ảnh và tệp dùng để thử mô hình;
• tệp gửi cho Genie trên Microsoft Teams và các kênh nhắn tin khác;
• tệp do nguồn dữ liệu nhập vào, chỉ khi đã đánh dấu Quét cả tệp nhập từ nguồn dữ liệu (SharePoint, Exchange…).

Nhà cung cấp Genie của bạn cài đặt trình quét và cập nhật mẫu virus. Quản trị viên hệ thống quyết định cách xử lý tệp.

Đặt chính sách quét

1. Mở Cài đặt → Mạng và chống virus.
2. Trong Smart AntiVirus, xem trạng thái. Đã kết nối nghĩa là tính năng quét đang hoạt động. Chưa cấu hình hoặc Không kết nối được nghĩa là chưa có trình quét hoặc trình quét đang ngừng; khi đó hãy liên hệ nhà cung cấp Genie của bạn.
3. Chọn các tùy chọn trong bảng. Mỗi thay đổi được lưu ngay.

Cài đặt	Lựa chọn
Quét virus	Quét và chặn tệp nhiễm virus, hoặc Tắt.
Khi không quét được tệp	Từ chối tệp (khuyến nghị): không tải tệp lên được trong lúc trình quét ngừng hoạt động. Vẫn nhận tệp chưa quét: Genie vẫn dùng được, nhưng tệp chưa quét sẽ lọt vào, và nhật ký kiểm toán ghi mỗi tệp như vậy là Không quét virus được tệp.
Quét cả tệp nhập từ nguồn dữ liệu (SharePoint, Exchange…)	Mặc định tắt. Bật để quét các tệp đồng bộ về trước khi lưu.

Tệp không quét được khi trình quét không phản hồi kịp, hoặc khi tệp lớn hơn mức Tệp lớn nhất được quét hiển thị trên thẻ. Thẻ còn cho biết Phiên bản Smart AntiVirus, Cơ sở dữ liệu mẫu virus và Mẫu virus cập nhật lúc (hãy kiểm tra ngày này còn mới), số tệp đã quét, số tệp nhiễm virus, số lỗi, cùng Lỗi quét gần đây.

Mọi người thấy gì khi tệp bị từ chối

Genie không bao giờ lưu tệp nhiễm virus. Người tải tệp lên sẽ thấy thông báo bằng ngôn ngữ của họ, ví dụ: "Tệp "hoa-don.pdf" bị từ chối vì trình quét virus phát hiện Win.Test.EICAR_HDB-1." Genie ghi Đã chặn tệp nhiễm virus vào nhật ký kiểm toán của hệ thống và của workspace, kèm tên tệp, loại virus và người đã tải tệp lên.

Tình huống	Người dùng thấy gì
Tệp nhiễm virus	Thông báo ở trên. Tệp không được lưu.
Trình quét ngừng hoạt động và chính sách là từ chối	"Không kiểm tra virus được cho tệp này nên tệp chưa được nhận. Hãy thử lại sau vài phút hoặc liên hệ quản trị viên."
Tệp lớn hơn giới hạn quét	"Tệp lớn hơn giới hạn quét virus (… MB) nên chưa được nhận."
Tệp gửi cho Genie trên Teams hoặc kênh nhắn tin khác bị từ chối	Genie trả lời ngay trong cuộc trò chuyện và nêu cùng lý do.
Nguồn dữ liệu gặp tệp nhiễm virus khi nhập	Genie không nhập tệp đó, lần đồng bộ kết thúc ở trạng thái Một phần và tệp được liệt kê ở mục Tài liệu thất bại trong lịch sử đồng bộ.

Để kiểm tra tính năng quét có hoạt động không, hãy tải tệp thử EICAR (tệp vô hại do eicar.org công bố, trình quét nào cũng nhận diện là virus) lên một kho tri thức thử nghiệm. Genie phải từ chối tệp và nhật ký kiểm toán phải có Đã chặn tệp nhiễm virus. Lưu ý: phần mềm chống virus trên máy tính của bạn có thể xóa tệp ngay khi bạn lưu tệp về máy.

Lưu ý

• Cài đặt mạng và chống virus có hiệu lực trên mọi máy chủ Genie sau vài giây.
• Các danh sách kiểm tra theo địa chỉ mà Genie nhìn thấy. Phía sau tường lửa công ty, mọi người trong cùng văn phòng thường dùng chung một địa chỉ công khai, nên bạn cho phép theo văn phòng chứ không phải từng máy tính.
• Nếu văn phòng hoặc VPN dùng IPv6, hãy thêm cả các dải IPv6.
• Danh sách của workspace không bao giờ ảnh hưởng tới Quản trị hệ thống: chỉ danh sách của nền tảng mới có tác dụng ở đó.
• Không danh sách nào chặn kênh nhắn tin, tiện ích website hay webhook của nguồn dữ liệu. Các thành phần này có cách kiểm soát riêng: danh sách website được phép của tiện ích và Địa chỉ được phép của webhook.
• Tài liệu Genie tự tải về khi nhập từ địa chỉ web sẽ không được quét virus.
• Muốn đổi giới hạn dung lượng quét hoặc thời gian chờ quét, hãy liên hệ nhà cung cấp Genie của bạn.

Trang liên quan

• Quản trị hệ thống
• Thành viên và đăng nhập
• Nguồn dữ liệu
• Cài đặt tìm trên web
• Sandbox và kỹ năng
• Mức sử dụng, phân tích và nhật ký kiểm toán