Comprobar los ajustes IPS globales de Sophos Firewall

En SFOS 22, Device Console de Sophos Firewall contiene en set ips ajustes globales del motor IPS. Controlan fail-close, alcance del análisis, detección de aplicaciones, procesamiento SIP, PKI Acceleration y comportamiento durante las actualizaciones de firmas. No se limitan a una IPS Policy o regla de firewall.

El punto de partida seguro es show ips-settings, que muestra valores configurados e instancias activas. Solo se modifica un parámetro si un síntoma reproducible apunta a él. Antes del mantenimiento se registran valor inicial, efecto esperado, flujo de control y reversión.

⚠️ set ips no es una lista general de tuning. Algunas opciones pueden descartar conexiones nuevas, omitir Application Control o Active Threat Response, hacer que todo el tráfico omita IPS durante un reinicio del motor o exigir un reinicio del firewall.

Configurar y probar IPS en Sophos Firewall cubre activación, políticas, firmas y falsos positivos. Este artículo añade la capa CLI global.

Comprobar primero la disponibilidad y el estado de protección

Los valores globales no demuestran por sí solos que IPS proteja el tráfico. IPS protection debe estar activo en Intrusion prevention > IPS policies, y la regla de firewall debe usar la IPS policy prevista. Las firmas IPS requieren una suscripción Network Protection o una trial license activa. Tras caducar una suscripción, el interruptor puede seguir encendido aunque IPS ya no se aplique. Si se apaga manualmente, Sophos elimina todas las firmas y reglas IPS después de 30 días; antes hay que exportar la configuración IPS o crear un backup.

En Backup & firmware > Pattern updates, el pattern IPS debe mostrar versión actual, hora plausible y Success. Las Application Signatures están siempre disponibles; en una firewall conectada, las firmas IPS solo se descargan con licencia e interruptor IPS activos. En HA se actualiza el Primary y se sincroniza con el Auxiliary. Configurar y comprobar Pattern Updates explica las actualizaciones automáticas, manuales y air gap.

Procedimiento breve y seguro

1. Registrar conexión, Firewall Rule ID, IPS Policy, firma, hora y síntoma.
2. Guardar show ips-settings y, si hace falta, la salida de solo lectura show ips_conf.
3. Comprobar si una corrección limitada de política o firma evita el cambio global.
4. Cambiar un único valor con pruebas positiva, negativa y de control.
5. Planificar Apply e impacto operativo de failclose o las instancias IPS.
6. Validar Log Viewer, ips.log, aplicación y recursos, y revertir sin beneficio claro.

Tras un acceso SSH protegido, seleccionar 4. Device Console. Solución de problemas de CLI en Sophos Firewall explica clave de host, acceso y límite con Advanced Shell.

show ips-settings
show ips_conf

show ips_conf muestra una vista técnica de la configuración Snort. Las claves internas no son una plantilla aprobada para cambios propios.

Comprender fail-close y los límites de recursos

failclose determina la reacción cuando el motor IPS alcanza su límite de conexiones o memoria. Con on descarta conexiones nuevas. Con off, el servicio IPS elimina conexiones antiguas de la caché para liberar espacio.

Sophos documenta el valor según la RAM:

Restaurar un backup puede transferir otro estado failclose. Se comprueba expresamente después del restore y no se deduce solo del hardware.

Los tiempos TCP y UDP aceptan de 1 a 43200 segundos. Sophos documenta 180 segundos con failclose off y 600 con failclose on. Tras cambiar estado o tiempo, ejecutar por separado set ips failclose apply.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

El ejemplo muestra la sintaxis relacionada con el valor on, no una recomendación general. Antes se comprueban valores actuales, RAM, conexiones nuevas, aplicaciones críticas y respuesta deseada al agotamiento. La reversión restaura estado y tiempos registrados y ejecuta failclose apply.

Para una reversión personalizada, sustituya los marcadores por el estado y los timeouts guardados y ejecute también apply:

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Después de cada apply, vuelva a ejecutar show ips-settings. Tras el ejemplo debe mostrar failclose on y ambos timeouts con 600; tras la reversión debe mostrar los valores iniciales guardados. No cambie otro valor global si la salida difiere.

Solo vuelva al valor documentado tras comprobar la RAM: hasta 8 GB, off y 180 segundos; por encima de 8 GB, on y 600 segundos. No sobrescriba por accidente una configuración restaurada o personalizada.

Definir conscientemente el alcance del análisis

Confianza o todo el contenido

inspect untrusted-content analiza solo contenido no considerado fiable por SophosLabs. Es el valor documentado con mejor rendimiento. inspect all-content analiza todo y, según Sophos, ofrece la mejor seguridad.

El cambio es global. Probar web, transferencias, servidores publicados, aplicaciones VPN, CPU, memoria y throughput con carga comparable. Interpretar métricas de rendimiento de Sophos Firewall explica el método.

Analizar tráfico descifrado sin depender del puerto

scan_decrypted_port_agnostic on está activo de forma predeterminada. IPS puede analizar tráfico descifrado aunque una firma espere HTTP y el flujo utilice otro puerto.

Desactivarlo reduce la cobertura en todo el firewall y no es una solución permanente para un falso positivo. Una prueba concreta exige ID de firma, destino, puerto, regla SSL/TLS Inspection e IPS Policy. Después se prefiere una excepción limitada y se restaura el valor global. El flujo está en Desplegar TLS Inspection gradualmente.

Respuestas HTTP y número de paquetes

http_response_scan_limit acepta de 0 a 262144; Sophos exige 0 para análisis completo. Otro valor no se copia sin pruebas porque cambia profundidad y recursos.

maxpkts define cuántos paquetes analizan las Application Filter policies desde cliente y servidor en conexiones nuevas o actualizadas. El valor documentado es 8. Sophos recomienda 80 para aplicaciones proxy, P2P y túnel complejas, pero avisa de menor velocidad con valores demasiado altos.

80 no es un ajuste general de rendimiento IPS. Primero se demuestra que una aplicación no se clasifica bien con el valor normal; después se comparan detección, establecimiento, throughput y tráfico de control.

Detección de aplicaciones y excepciones ATR

enable_appsignatures on activa firmas de aplicaciones y es el valor documentado. Un off global reduce la detección de aplicaciones maliciosas y no soluciona una clasificación incorrecta individual.

ac_atr exception fwrules excluye una o más Firewall Rule IDs de Application Classification y Active Threat Response. Los ID múltiples se separan con comas; none elimina la excepción.

set ips ac_atr exception fwrules 12,27
set ips ac_atr exception fwrules none

La excepción no permite ni bloquea las reglas. Retira su tráfico de dos rutas adicionales. Solo se usa para ID demostrados, con responsable, caducidad y prueba negativa. Antes se revisan Threat Feed, coincidencia y configuración Active Threat Response.

Antes de configurar una excepción se guardan las Rule IDs actuales de show ips-settings. La reversión predeterminada es none; si ya había una lista personalizada, se restaura exactamente esa lista. Después se prueban Application Classification y ATR con una regla antes excluida y otra no relacionada.

Motor, CPU y aceleración de hardware

No mover instancias IPS como optimización rápida

ips-instance add y clear asignan o quitan una instancia IPS de una CPU. Sophos exige después set ips-instance apply y solicita reiniciar el firewall. La asignación no está activa sin reinicio.

La asignación manual no es tuning en vivo. Pertenece a un mantenimiento con plataforma, instancias actuales, recomendación Sophos y carga antes/después documentadas.

Mantener sin cambios los interruptores obsoletos

Sophos considera obsoletos ips_mmap y packet-streaming desde SFOS 18.0; ambos aparecen como on. No se usan para optimizar SFOS 22. packet-streaming off es arriesgado: sin reensamblado, contenido malicioso dividido entre paquetes Telnet, POP3, SMTP o HTTP puede evitar las firmas.

Clasificar correctamente PKI Acceleration

pki-acceleration enable es el valor documentado. En modelos de XGS Appliance compatibles, Xstream Flow Processor puede descargar la nueva firma de certificados X.509 para flujos SSL/TLS inspeccionados por DPI Engine.

show ips-settings muestra el estado. Versiones o modelos no compatibles indican disabled; con PKI Acceleration activa y Firewall Acceleration apagada aparece enabled (inactive). No evalúe PKI Acceleration de forma aislada. Sophos indica que cambiar el requisito Firewall Acceleration provoca una interrupción; ese cambio requiere una ventana planificada y no es un paso de diagnóstico de este artículo.

No adivinar el método de búsqueda

Sophos documenta ac-bnfa con poca memoria y alto rendimiento, ac-q con mucha memoria y el mejor rendimiento, y hyperscan con poca memoria y el mejor rendimiento. hyperscan es el valor predeterminado.

Las etiquetas no justifican cambiar por intuición. Compatibilidad, memoria, carga reproducible y resultado de detección deben coincidir. Se mantiene el método documentado sin recomendación Sophos específica.

SIP y comportamiento TCP especial

sip_preproc enable analiza sesiones SIP contra ataques y está activo por defecto. sip_ignore_call_channel enable excluye de forma predeterminada los canales de audio y vídeo del análisis IPS. Ambos valores son globales.

Primero se separan señalización, medios, dirección, NAT, helper, evento IPS y VPN. Solo una llamada reproducible justifica una comparación CLI temporal. Optimizar y probar VoIP en Sophos Firewall ofrece el procedimiento.

tcp urgent-flag remove elimina y reinicia el flag y puntero urgent TCP y es el valor documentado. allow los reenvía sin cambios. Relajarlo requiere Packet Capture y una aplicación legacy concreta.

Aplicar de forma segura el alcance de patterns y las firmas

Full Signature Pack solo a partir de 32 GB de RAM

system ips full-signature-pack controla si Pattern Updates descarga el paquete IPS completo. Sophos exige al menos 32 GB de RAM y advierte de posibles efectos sobre el rendimiento. Como no documenta un valor predeterminado, primero se consulta el estado:

system ips full-signature-pack show

Antes del cambio se anotan RAM, versión y hora del pattern IPS, CPU y memoria. enable o disable afecta a la descarga durante Pattern Updates. Tras la siguiente actualización controlada se comprueban Success, la versión y de nuevo show. Si falla o cambian los recursos, se restaura el estado guardado con uno solo de estos comandos y se observa el ciclo siguiente:

system ips full-signature-pack enable
system ips full-signature-pack disable

No se activa como prueba con menos de 32 GB. Más firmas tampoco sustituyen una IPS policy adecuada. SFOS 22.0 MR2 entrega nuevos patterns PQC con la acción Disabled; para utilizarlos hay que crear conscientemente una regla IPS y elegir su acción.

Mantener reload y evitar un bypass de protección

set ips engine_update_mode reload es el valor documentado. Un reload puede descartar algunos paquetes durante la recarga. restart reinicia el motor; todo el tráfico entrante y saliente omite el análisis IPS durante el reinicio.

Sophos recomienda expresamente no cambiarlo por seguridad. Ante interrupciones reproducibles, se guardan hora, versión de patrones, flujos y logs para Sophos Support.

Primero, show ips_conf debe mostrar config update_mode reload. Solo si Sophos Support solicita excepcionalmente una comparación, se prepara la ventana y se restaura el estado de inmediato:

set ips engine_update_mode restart
set ips engine_update_mode reload

El segundo comando es la reversión predeterminada. Después, show ips_conf debe volver a mostrar config update_mode reload. Si no lo hace, no repita restart; documente la desviación para Sophos Support. Si restart ya era el estado personalizado documentado, no ejecute el ejemplo y aclare primero esa desviación con Support. Guarde hora, versión del pattern, flujos, duración del bypass y logs.

Si el servicio IPS permanece en estado Dead en SFOS 22 mientras también fallan las actualizaciones de patterns IPS, no use engine_update_mode restart como contramedida. Guarde el estado del servicio, ips.log, sig_upgrade.log, la configuración de la web policy y el nodo HA. El alcance de las builds, el diagnóstico y la vía de soporte para NC-181971 se explican en El servicio IPS está DEAD dentro de Configurar y probar IPS de forma segura. Planifique por separado cualquier cambio de versión con el check de actualización a SFOS 22.

Reservar set ips_conf para Sophos Support

set ips_conf puede añadir, actualizar o eliminar pares clave-valor internos de Snort. Sophos advierte expresamente que solo sus ingenieros Support deben ejecutar estos comandos.

La salida de solo lectura show ips_conf puede servir como línea base de soporte. No se derivan comandos add, update o del. Una clave incorrecta puede afectar a protección, estabilidad y soporte sin reversión segura.

Validar y revertir un cambio

Se crea antes y después una conexión nueva con mismo origen, destino y regla. Un flujo de control no afectado debe conservar IPS Policy y acción esperadas. Se valoran juntos Log Viewer, ips.log, CPU, memoria, establecimiento y resultado de aplicación.

La reversión usa el valor inicial registrado por show ips-settings. Tras restaurar fail-close se ejecuta otra vez set ips failclose apply; las instancias también exigen Apply y reinicio. No se experimenta con parámetros obsoletos o internos.

Si Log Viewer no muestra los eventos esperados, compruebe primero licencia, interruptor IPS, pattern, Firewall Rule ID y policy asignada. Un evento ausente no justifica restart ni reducir el análisis global. Si una actualización sigue en Failed tras un intento manual documentado, envíe versión, hora, build y logs de diagnóstico a Sophos Support.

Lista de comprobación operativa

• show ips-settings, build SFOS, modelo, hora y responsable registrados.
• Parámetro y ruta de tráfico específicos aislados.
• Corrección limitada de política o firma comprobada antes del cambio global.
• Estado failclose según RAM y efecto de restore considerados.
• Licencia, interruptor IPS, policy asignada y estado del pattern comprobados.
• Full Signature Pack evaluado solo desde 32 GB y con estado inicial guardado.
• Riesgos de Apply, restart y bypass aclarados.
• Flujos positivo, negativo y de control probados.
• Valor inicial real preparado para reversión.
• Ningún cambio propio con set ips_conf ejecutado.

FAQ