Configurar y probar el escaneo de malware en Sophos Firewall

El escaneo de malware de Sophos Firewall analiza los archivos del tráfico web con los motores antivirus integrados. No basta con activar Web Filtering o seleccionar una Web Policy: la regla de firewall correspondiente debe utilizar Scan HTTP and decrypted HTTPS, y el tráfico cifrado debe descifrarse para poder inspeccionar su contenido.

Este artículo se centra en las descargas mediante HTTP y HTTPS. Para categorías, URL Groups y reglas de usuario, consulte Web Protection con Web Policies. Zero-Day Protection puede analizar además archivos desconocidos, mientras que el tráfico de correo electrónico se protege por separado mediante Mail Protection.

Aclarar el alcance, los requisitos y las licencias

El escaneo de malware clásico está vinculado a protocolos y reglas. Las descargas web requieren Web Protection; la Base License por sí sola no incluye Web Malware Protection. Zero-Day Protection es una suscripción independiente que complementa el escaneo antivirus, pero no lo sustituye. SMTP, POP3 e IMAP requieren Email Protection. Compruebe el estado real y la fecha de caducidad en Administration > Licensing; el módulo necesario debe mostrar Subscribed o Evaluating. Una firewall conectada a Internet sincroniza las licencias automáticamente cada 24 horas. Si el estado parece obsoleto, Administration > Licensing > Synchronize fuerza una actualización.

Antes de realizar cambios, cumpla estos requisitos:

• Documente la regla de firewall, su Rule ID y posición, y el estado actual de sus opciones de escaneo.
• Para HTTPS, decida si el descifrado lo realiza DPI Engine o Web Proxy y asegúrese de que el cliente de prueba confía en la Signing CA utilizada.
• Identifique las Web Exceptions y SSL/TLS Exclusion Rules que se aplican a la ruta de prueba.
• Prepare un cliente de prueba aislado, una ventana de mantenimiento o piloto y acceso a Log Viewer.
• Cree una copia de seguridad actual en Backup and firmware > Backup and restore. Anote también los pocos valores afectados para que el rollback no restaure innecesariamente toda la configuración.

FTP y el correo electrónico utilizan controles distintos del tráfico web. Active Scan FTP for malware en la regla de firewall correspondiente; su límite global está en Web > General settings > Maximum file scan size for FTP. Para el correo, seleccione al final de la regla los protocolos realmente utilizados: IMAP, IMAPS, POP3, POP3S, SMTP y/o SMTPS; Add ports añade los puertos estándar que falten. Las policies MTA y Legacy, la cuarentena y las acciones sobre adjuntos se administran después en Email. El escáner principal de correo se encuentra en Email > General settings > Malware protection. Aquí se delimitan estas rutas separadas; su configuración completa corresponde al artículo enlazado sobre Mail Protection.

Los controles de tipo de archivo tampoco demuestran una detección antivirus. Una Web Policy puede permitir o bloquear descargas según el tipo de archivo, y una policy de correo puede actuar sobre adjuntos. Solo una entrada correlacionada en el Malware log demuestra que el escáner antivirus detectó el contenido.

Qué debe funcionar conjuntamente para que el escaneo sea eficaz

El resultado depende de varios niveles:

• La regla de firewall correcta debe procesar realmente el tráfico del cliente.
• Scan HTTP and decrypted HTTPS activa el escaneo de malware para esa ruta de regla.
• Web > General settings determina el motor, el comportamiento del escaneo, los límites de tamaño y el tratamiento de los contenidos que no se pueden analizar.
• El contenido HTTPS solo se inspecciona si DPI o Web Proxy descifra la conexión.
• Las Web Exceptions no deben omitir accidentalmente el escaneo de malware.
• Es necesario controlar QUIC porque su tráfico no puede analizarse como el tráfico HTTP y HTTPS clásico.

Una Web Policy y el escaneo de malware realizan tareas distintas. La Web Policy decide, por ejemplo, cómo tratar categorías o tipos de archivo. El escaneo antivirus examina el contenido de los archivos para detectar malware conocido y PUAs. Por tanto, el escaneo de malware también puede estar activo en una regla de firewall con Web policy: None. A la inversa, seleccionar una Web Policy no significa automáticamente que las descargas se analicen en busca de malware.

Elegir Single o Dual Engine

El motor antivirus primario se define en System services > Malware protection. Sophos Firewall utiliza Sophos y Avira; el motor seleccionado como Primary Engine analiza solo con Single engine y lo hace en primer lugar con Dual engine. Sophos es el Primary Engine predeterminado.

La selección global para el tráfico web se encuentra en:

Web > General settings > Malware and content scanning

• Single engine: utiliza únicamente el Primary Engine. Requiere menos recursos y ofrece el mejor rendimiento. Para Zero-Day Protection, Sophos debe ser el Primary Engine.
• Dual engine: utiliza primero el motor primario y después el segundo motor. Esto amplía la capacidad de detección, pero requiere más tiempo y recursos.

Para Zero-Day Protection, seleccione Single engine con Sophos como Primary Engine o Dual engine.

Para redes de clientes normales, Single engine con Sophos como Primary Engine es un punto de partida razonable cuando el rendimiento y la latencia son importantes. Dual engine resulta adecuado cuando se prioriza la máxima capacidad de detección y el appliance puede soportar la carga adicional en condiciones reales. La decisión no debe basarse solo en valores de ficha técnica: una prueba piloto con descargas habituales, videoconferencias y distribución de software muestra mejor el impacto real.

⚠️ Cambiar el Primary Engine o pasar de Single a Dual tiene efecto global sobre las rutas de escaneo correspondientes. Antes de realizar el cambio, se deben tener en cuenta las Web, FTP y Mail Policies existentes, así como Zero-Day Protection, y documentar una vía de reversión. Cambiar el motor antivirus primario global también puede cambiar un motor antivirus definido localmente. Después del cambio, compruebe las selecciones locales de motor.

Controlar la detección por machine learning del motor de escaneo

SFOS 22 permite activar machine learning, o ML, de forma global para el motor de escaneo de Sophos y después por separado para distintos grupos de funciones. ML busca patrones sospechosos que aún pueden no existir en la base de firmas. Amplía así la detección de amenazas nuevas o de rápida propagación, pero también aumenta el riesgo de falsos positivos.

Los comandos de esta sección se ejecutan en la Device Console (opción 4 del menú principal CLI), no en Advanced Shell ni en el terminal del cliente de prueba. Primero se registra el estado actual con el comando de solo lectura:

show scanengine

Los valores predeterminados documentados son ml_scan on globalmente, ml_web_detection off para Web Proxy y DPI Engine, ml_email_detection on para Email y ml_legacy_detection off para WAF y FTP Proxy. Si ml_scan está globalmente en off, ML no puede activarse de forma efectiva para los grupos de funciones individuales. Los interruptores por función determinan si una detección ML puede provocar allí una acción de bloqueo.

Las siguientes líneas muestran la sintaxis de los comandos que modifican ajustes, no una lista que deba ejecutarse tal cual. Antes de realizar un cambio, anote los valores anteriores y los grupos de funciones afectados. Sustituya <on|off> por exactamente on u off, y <1-128|default> por un número válido o default. No introduzca los marcadores literalmente:

set scanengine ml_scan <on|off>
set scanengine ml_web_detection <on|off>
set scanengine ml_email_detection <on|off>
set scanengine ml_legacy_detection <on|off>
set scanengine thread_count <1-128|default>

thread_count se aplica a cada motor de escaneo. El rango va de 1 a 128; default calcula el número dinámicamente a partir de las CPU disponibles. Un número fijo de hilos no debe adoptarse como ajuste genérico de rendimiento. Requiere una carga de escaneo reproducible, mediciones de CPU y memoria, una prueba de rendimiento y, normalmente, instrucciones concretas del soporte. La opción anterior max_buffer_size está obsoleta y no debe modificarse.

⚠️ ML puede bloquear erróneamente archivos o tráfico legítimos, y sus detecciones generan telemetría para Sophos Labs. Por ello, antes del despliegue se deben aclarar la activación, la privacidad, las rutas de datos afectadas y el proceso para falsos positivos. Desactivar ML globalmente por sospecha no es una solución más limpia que crear una excepción sin verificar.

El piloto comienza con un solo grupo de funciones y un flujo controlado de cliente o correo. Antes y después se comparan show scanengine, la policy, la acción de bloqueo, Log Viewer, el resultado de la aplicación, la CPU y el tiempo de escaneo. EICAR confirma el escaneo de malware normal, pero no demuestra la detección ML de un patrón nuevo. El rollback restaura los valores registrados con show scanengine y no se equipara a ciegas con los valores predeterminados del producto.

Definir el comportamiento del escaneo

Además del motor, en Web > General settings se toman otras decisiones de protección.

Contenidos que no se pueden analizar

Action on malware scan failure define qué ocurre con los contenidos que no pueden inspeccionarse por completo. Esto puede suceder con archivos comprimidos cifrados o dañados, así como con archivos anidados a demasiada profundidad. Sophos Firewall analiza archivos comprimidos hasta 16 niveles de compresión.

Block ofrece mayor protección, pero puede detener archivos legítimos protegidos por contraseña o defectuosos. Allow mantiene el proceso de negocio, pero permite el paso de contenido no inspeccionado. Block es el punto de partida más seguro para redes de clientes normales. Si una aplicación empresarial deja de funcionar, primero se debe investigar la ruta concreta del archivo antes de relajar la configuración global.

Tamaños de archivo y streaming

Do not scan files larger than establece el tamaño máximo de escaneo para HTTP y HTTPS en MB. Los archivos de mayor tamaño no se analizan. En los archivos comprimidos cuenta el tamaño del archivo, no su posible tamaño después de la extracción. Para FTP existe un límite independiente en MB en Maximum file scan size for FTP. Los archivos FTP que superan ese límite tampoco se analizan.

Un límite pequeño no mejora automáticamente la seguridad, ya que puede permitir que instaladores o archivos grandes pasen sin analizar. Un valor muy elevado, en cambio, puede aumentar el tiempo de descarga y el consumo de recursos. Por ello, el valor debe ajustarse a la distribución de software, los paquetes de actualización y el rendimiento del appliance.

En Web > General settings, abra Advanced settings para acceder a Scan audio and video files. Scan audio and video files amplía el escaneo a contenidos multimedia, pero puede afectar al streaming. La opción solo debe activarse cuando la necesidad de protección justifique la carga adicional y las posibles interrupciones. Después de seleccionar los ajustes de escaneo web deseados, pulse Apply para guardar los cambios.

Tratar las PUAs

Block potentially unwanted applications impide descargar aplicaciones potencialmente no deseadas (PUAs). Estos programas no son necesariamente malware, pero pueden incluir adware, control remoto no deseado o cambios arriesgados en el sistema. Las PUAs incluidas en Authorized PUAs quedan excluidas de este bloqueo de PUAs. Solo se debe añadir una entrada en Authorized PUAs después de comprobar el archivo, su origen, finalidad y responsable. Una autorización general reduce la protección de todas las rutas de escaneo correspondientes.

API XML: asignar de forma segura los valores de análisis

Para la automatización, es necesario distinguir entre la selección global del motor, los valores de protección web y el funcionamiento del proxy. Las siguientes correspondencias muestran la estructura XML para SFOS 22/23; las solicitudes completas requieren además la operación y los demás campos obligatorios. No sustituyen ni la regla del firewall ni el descifrado HTTPS. Antes de implementarlas, se revisan la ayuda de la API de la versión de firmware utilizada y los valores guardados actualmente; los valores predeterminados documentados no son una recomendación de despliegue ni un objetivo de reversión.

Motor, protección web y límites por protocolo

• Motor global: MalwareProtection contiene PrimaryAntiVirusEngine. La documentación indica Sophos como valor predeterminado y muestra Sophos/Avira como opciones de selección en el ejemplo, no como un valor combinado que deba enviarse literalmente. Se trata de la selección global del motor primario, no del selector Single/Dual de la configuración global de análisis web. Como se ha descrito anteriormente, el cambio también puede afectar a las selecciones locales de motor; después se revisan las políticas web, FTP y de correo.
• Configuración HTTP/HTTPS: AntiVirusHTTPsConfiguration contiene directamente ScanMode, FileSizeThreshold, AudioVideoFileScanning y PUADetection. En cambio, el nodo padre anidado HTTPSConfigurations contiene HTTPSScanningCA, DenyUnknownProtocol, AllowInvalidCertificate y NoHttpsNotification. Estos nodos hijos no van directamente bajo AntiVirusHTTPsConfiguration. La tabla de parámetros identifica ScanMode, FileSizeThreshold, AudioVideoFileScanning y HTTPSScanningCA como campos obligatorios. Para ScanMode se indican RealTime y BatchMode; esta correspondencia se aplica al modo de análisis del proxy explicado en la sección de HTTPS, no como una posibilidad de cambiar DPI al modo por lotes.
• Configuración más amplia de protección web: WebFilterProtectionSettings muestra los campos HTTPS directamente bajo este nodo padre, sin HTTPSConfigurations. Además, el ejemplo contiene FTPFileSizeThreshold, PharmingProtection, Scanning, BlockUnscannableContent y PUAWhitelist con entradas PUA repetibles. Scanning selecciona Single o Dual, no el motor primario; los valores documentados son Single Anti-Virus (Maximum Performance) y Dual Anti-Virus (Maximum Security). BlockUnscannableContent corresponde al tratamiento del contenido que no se puede analizar; la tabla indica Allow y Block (Best Protection). La lista de PUA contiene las PUA permitidas cuando la detección de PUA está activa. Por tanto, los dos nodos padre de configuración web no son contenedores intercambiables para una misma solicitud.
• Límites de tamaño: FileSizeThreshold se aplica a HTTP/HTTPS y FTPFileSizeThreshold, por separado, a FTP. La API documenta ambos en KB, no en los MB de la interfaz de usuario descrita anteriormente. Para ambos indica números enteros de 1 a 1572864 y el valor predeterminado documentado 1024. El valor objetivo elegido se aplica con la unidad correcta, no se copia de la interfaz de usuario sin comprobarlo. La operación independiente de FTP utiliza AntiVirusFTP con el campo obligatorio FileSize, también en KB y con el mismo intervalo y valor predeterminado documentados. Los archivos que superan el límite del protocolo correspondiente no se analizan; ninguno de estos valores de tamaño activa Scan FTP for malware en una regla.

⚠️ Los ejemplos no son cargas útiles listas para copiar: para AudioVideoFileScanning, ambos ejemplos de configuración web muestran Enable/Disable, mientras que las tablas de parámetros indican on/off. Tampoco hay una concordancia completa entre los ejemplos y las tablas para otros selectores; por ejemplo, BlockUnscannableContent muestra Enable/Disable en el ejemplo, pero en la tabla aparecen los valores de acción mencionados anteriormente. Para PUADetection aparecen los símbolos sin resolver $ANTIVIRUS{PUA_DETECTION_ENABLE} y $ANTIVIRUS{PUA_DETECTION_DISABLE}. De ellos no se deducen alias ni valores Disable ausentes. Antes de realizar una operación de escritura en producción, debe aclararse la sintaxis válida para la versión concreta de firmware. Permitir globalmente los certificados no válidos no es una solución para un problema de confianza en la CA.

Según la descripción de las fuentes, DenyUnknownProtocol sirve para bloquear el tráfico no válido a través del puerto HTTPS. En AntiVirusHTTPsConfiguration, el campo se encuentra bajo HTTPSConfigurations: el ejemplo muestra Enable/Disable y la tabla indica Disable como valor predeterminado, pero solo enumera on como valor permitido; falta una forma de escritura para desactivarlo. En WebFilterProtectionSettings, el campo se encuentra directamente bajo el nodo padre: también aquí el ejemplo muestra Enable/Disable y la tabla indica Disable como valor predeterminado, pero enumera como valores permitidos on y el símbolo sin resolver $ANTIVIRUS{DENY_PROTOCOL_DISABLE}. Por tanto, no queda aclarada una forma de escritura utilizable para desactivarlo en ninguna de las dos operaciones. De ello no se deduce que off, Disable u otros alias sean valores válidos para una operación de escritura.

Según la descripción de las fuentes, AllowInvalidCertificate se refiere al permiso para acceder a sitios web con un certificado SSL no válido. Tanto en AntiVirusHTTPsConfiguration, bajo HTTPSConfigurations, como directamente bajo WebFilterProtectionSettings, el ejemplo muestra Enable/Disable, mientras que la tabla indica on/off como valores permitidos y Enable como valor predeterminado documentado. Estas representaciones contradictorias siguen sin resolverse: de ellas no se deduce una equivalencia confirmada ni una forma de escritura válida para el firmware, ni tampoco una recomendación de permitir certificados no válidos. El valor predeterminado documentado no indica el estado actual del dispositivo.

Cambiar el funcionamiento del proxy solo cuando sea necesario

WebFilterAdvancedSettings es un nodo padre independiente para los valores de funcionamiento del proxy, no un selector adicional de análisis de malware:

• WebCaching controla la caché de contenido web con los valores documentados Enable y Disable. La caché se evalúa únicamente para la ruta de proxy que se utiliza realmente, no como un ajuste general de DPI o del analizador.
• WebProxyPort es el puerto de escucha cuando el firewall actúa como Web Proxy Server. La API indica de 1 a 65535 y el valor predeterminado documentado 3128. Un cambio puede interrumpir las configuraciones existentes de los clientes o de PAC; no es un consejo general para aumentar el rendimiento. La adaptación de los clientes y el procedimiento de reversión se planifican con Direct Web Proxy.
• WebProxyMinimumTLSVersion establece la versión mínima para Web Proxy y Captive Portal, no para todas las conexiones DPI. La tabla de la API indica TLS 1.0, TLS 1.1, TLS 1.2 y el valor predeterminado documentado TLS 1.1; esta enumeración no es una recomendación para permitir versiones antiguas de TLS. Antes de realizar un cambio, se comprueban la compatibilidad del firmware, los requisitos de seguridad y los clientes afectados.
• TrustedPorts contiene entradas Port repetibles para el acceso a sitios web en puertos no estándar. No se trata de puertos de escucha adicionales ni de una autorización general de servicios en el firewall. Solo se incluyen, con la debida justificación, los puertos de destino realmente necesarios.

Para realizar un cambio, se elige exactamente un grupo de valores y se guarda una copia de su estado previo. Después de guardar, se vuelven a leer los valores guardados y se comparan con el objetivo; una respuesta satisfactoria de la API, por sí sola, no demuestra ni que el análisis sea efectivo ni que los clientes puedan acceder. A continuación se realizan una descarga normal, la prueba EICAR aislada descrita más abajo y, en caso de cambios en el proxy, también las comprobaciones de los clientes, de PAC y del portal cautivo. Si se producen errores, primero se comprueba el estado realmente guardado, en lugar de repetir la escritura a ciegas o cambiar simultáneamente el motor, el puerto de escucha y la política de protección. El procedimiento de reversión restaura únicamente los valores afectados cuyo estado previo se haya guardado.

Activar el escaneo de malware en la regla de firewall

La regla se encuentra en:

Rules and policies > Firewall rules

Para una regla típica de acceso a Internet de clientes, se comprueba lo siguiente en Web filtering:

1. Source zone y Source networks corresponden a la red de clientes.
2. Destination zone es WAN y los Services cubren el tráfico web previsto.
3. Log firewall traffic está activado.
4. Scan HTTP and decrypted HTTPS está activado.
5. Block QUIC protocol está activado si el tráfico web debe utilizar la ruta TCP controlada.
6. Se ha elegido de forma consciente DPI o Web Proxy.
7. Use Zero-day protection solo se activa adicionalmente si se deben analizar archivos desconocidos.

Ejemplo compacto de regla:

Rule name: LAN_USERS_WEB
Source zones: LAN
Source networks and devices: LAN_CLIENTS
Destination zones: WAN
Destination networks: Any
Services: HTTP, HTTPS
Web policy: LAN_STANDARD_WEB
Scan HTTP and decrypted HTTPS: On
Block QUIC protocol: On
Use web proxy instead of DPI engine: Off
Log firewall traffic: On

El ejemplo utiliza DPI Engine. LAN_USERS_WEB, LAN_CLIENTS y LAN_STANDARD_WEB son nombres de ejemplo que se deben sustituir por los objetos propios. Para limitarse al escaneo de malware, Web policy también puede ser None. Services solo debe contener los protocolos necesarios; Any sería más amplio de lo requerido en este ejemplo web. Una regla más general situada por encima de LAN_USERS_WEB puede procesar antes el tráfico; por ello, Rule ID y el orden de las reglas deben formar siempre parte de la validación. Los fundamentos se explican en Comprender y crear correctamente reglas de firewall.

Completar HTTPS correctamente con DPI o Web Proxy

Scan HTTP and decrypted HTTPS no descifra HTTPS por sí mismo. La opción solo analiza HTTP sin cifrar y contenidos HTTPS que otra parte de la configuración ya haya descifrado.

DPI Engine

Con DPI Engine, el descifrado se configura en:

Rules and policies > SSL/TLS inspection rules

Una regla de SSL/TLS Inspection adecuada debe procesar el cliente de prueba y el destino, y utilizar Action: Decrypt. Los clientes deben confiar en la Signing CA utilizada. Implementar TLS Inspection paso a paso describe la planificación, la prueba piloto y las excepciones; la distribución del certificado se explica en Instalar el certificado CA para HTTPS Scanning.

Web Proxy

Para la ruta de proxy se activan en la regla de firewall Use web proxy instead of DPI engine y, para HTTPS, Decrypt HTTPS during web proxy filtering. En Web > General settings, el proxy puede analizar después en dos modos:

• Batch: descarga primero el archivo completo en la firewall y solo lo entrega después del escaneo. Ofrece una inspección más estricta, pero puede retrasar notablemente las descargas.
• Real-time: transfiere partes de la descarga, pero no completa la transmisión hasta que el contenido se ha evaluado como limpio.

Con Batch, la descarga previa hacia la firewall puede utilizar todo el ancho de banda y afectar a otros accesos web. En la ruta general de escaneo del proxy, Traffic Shaping se aplica al entregar el contenido al navegador tanto en Batch como en Real-time; esto no garantiza limitar esa descarga Batch previa. Direct Web Proxy tiene una excepción explícita: una Traffic Shaping Policy no se aplica a esa ruta. Antes de cambiar el modo de escaneo, documentar el valor anterior; comparar utilización WAN, tiempo de descarga del cliente, resultado del escaneo y Rule ID con las mismas descargas representativas. Si hay una regresión, restaurar el modo anterior en lugar de cambiar simultáneamente el engine o la política.

DPI Engine siempre funciona en modo Real-time. No se debe cambiar entre Proxy y DPI solo por un error aislado, ya que difieren en funciones, puertos, logs y comportamiento para los usuarios.

La elección entre DPI Real-time, proxy Batch o Real-time y el cambio piloto seguro se explican en Elegir correctamente DPI Engine o Web Proxy.

Controlar excepciones y QUIC

Una Web Exception puede omitir Malware and content scanning. Para el tráfico correspondiente, esto también omite automáticamente el análisis de Zero-Day. Por tanto, las excepciones deben limitarse estrictamente a un host o URL, tener un responsable claro y una fecha de revisión.

QUIC, o HTTP/3, utiliza normalmente UDP 443. Sophos Firewall no puede analizar este tráfico como el tráfico web clásico. Block QUIC protocol bloquea UDP saliente en los puertos 80 y 443 en la regla de firewall correspondiente para que los clientes compatibles vuelvan a TCP y HTTPS. Encontrará información adicional y pruebas en Bloquear correctamente QUIC y HTTP/3.

Probar el funcionamiento de forma segura

Un Policy Test en verde o una casilla activada no demuestran que se inspeccione el contenido. La prueba debe originarse en un cliente situado detrás de la regla de firewall afectada; una descarga realizada directamente desde la firewall comprueba otra ruta de tráfico.

Para verificar la ruta web de Sophos Firewall, utilice específicamente la acción Anti-virus EICAR test de la página SophosTest para Web Security. Para probar el transporte del archivo de prueba estandarizado con independencia de ese sitio, utilice en su lugar una variante del archivo de prueba antimalware EICAR. EICAR no es malware real, pero los antivirus lo detectan deliberadamente como si lo fuera. Nunca introduzca software malicioso real en una red de producción ni abra o ejecute el archivo de prueba.

Procedimiento práctico:

1. Definir un cliente de prueba aislado y la Rule ID esperada de la firewall. No se necesita una excepción Allow temporal. Si Endpoint Protection actúa primero, no lo desactive; considere el resultado no concluyente para la firewall.
2. Anotar la hora, la IP del cliente, la URL de prueba elegida y la ruta de escaneo esperada.
3. Abrir en Log Viewer los módulos Firewall, SSL/TLS inspection, Web filter y Malware.
4. Para HTTPS, comprobar que la conexión se procesa realmente con Decrypt.
5. Ejecutar Anti-virus EICAR test en SophosTest o descargar exactamente una variante EICAR. Se espera que la firewall interrumpa la transferencia antes de que finalice la descarga.
6. Comprobar que el Malware log muestra una detección antivirus para el mismo cliente, la misma Rule ID, la misma URL y la misma hora.
7. Cerrar la página de prueba y eliminar cualquier archivo parcial o de prueba y los artefactos de la caché del navegador según el procedimiento de Endpoint; no restaurar ni ejecutar un objeto en cuarentena. Revertir los ajustes temporales de la prueba y confirmar con una descarga normal que el acceso web sigue funcionando.

Una página de bloqueo por sí sola no es suficiente. La Web Policy, una regla de tipo de archivo, un producto Endpoint o la propia categoría de la página de prueba también pueden bloquear. Lo decisivo es la entrada correlacionada de Malware de la firewall. En Syslog, una detección de malware web aparece con log_type="Anti-Virus"; los componentes son HTTP o HTTPS según el protocolo y el Subtype de una detección es Virus.

Si Log Viewer no aclara si el servicio antivirus local funciona, durante una prueba controlada también se puede observar el Service Log en Advanced Shell:

tail -f /log/avd.log

Con Ctrl+C se detiene la visualización. avd.log ayuda con los errores del servicio y del motor, pero no sustituye los datos de policy y conexión de Log Viewer. Un archivo sin actividad tampoco demuestra que el escaneo esté inactivo. Servicios y logs de Sophos Firewall explica la asignación de logs.

Delimitar metódicamente los errores habituales

• Web Policy activa, pero sin inspección de malware: falta Scan HTTP and decrypted HTTPS en la regla de firewall que realmente procesa el tráfico.
• La prueba HTTP funciona, pero la prueba HTTPS no: la regla de SSL/TLS Inspection no coincide, no utiliza Decrypt o Web Proxy no descifra HTTPS.
• El navegador utiliza otra ruta: QUIC está permitido u otra regla de firewall se aplica primero.
• El archivo no se analiza pese a la regla correcta: una Web Exception omite Malware and content scanning o el archivo supera el límite de tamaño configurado.
• EICAR se bloquea, pero no por la firewall: Endpoint Protection, una regla de tipo de archivo o una categoría web ha actuado antes. Comprobar la Rule ID y el Malware log de la firewall.
• Se bloquean archivos legítimos: comprobar Action on malware scan failure, cifrado, daños y anidamiento. No cambiar inmediatamente la configuración global a Allow.
• Dual Engine ralentiza las descargas: comparar la carga del appliance, el tamaño de los archivos, la concurrencia y el modo Proxy o DPI con Single Engine en una prueba piloto controlada.
• Zero-Day Protection no muestra nada: comprobar por separado el escaneo de malware clásico, el descifrado HTTPS, el tipo de archivo, las excepciones y Use Zero-day protection.
• Falta una opción de escaneo o no se puede guardar: comprobar en Administration > Licensing el estado y la caducidad de Web Protection, Email Protection o Zero-Day Protection y sincronizar después las licencias. No eludir el problema con una regla Allow más amplia.
• No se analiza un archivo FTP: comprobar conjuntamente la Rule ID aplicada, Scan FTP for malware, el Service y Maximum file scan size for FTP. La opción HTTP/HTTPS no activa el escaneo FTP.
• No se detecta un adjunto de correo: determinar primero la ruta real: MTA, Legacy SMTP o POP/IMAP. Después, correlacionar los protocolos y puertos seleccionados en la regla aplicada, la policy de correo correspondiente, Single/Dual Antivirus, las excepciones y los Mail o Malware logs.

Log Viewer, Policy Tester y Packet Capture permiten determinar qué regla de firewall y policy se aplican realmente.

Revertir los cambios conservando el estado

Un rollback restaura únicamente los valores modificados durante el piloto. Restablezca en orden inverso la configuración anotada: la regla de SSL/TLS Inspection y su posición, la regla de firewall con su Rule ID y posición, la selección Proxy/DPI, los controles de escaneo y QUIC, la selección global Single/Dual Engine y los valores de show scanengine. No elimine una regla ni desactive globalmente el escaneo de malware porque falle una descarga.

Guarde la configuración y repita dos controles: una descarga normal representativa debe funcionar y la prueba EICAR aislada debe mostrar exactamente el comportamiento anterior al cambio. Si la Rule ID, el estado de descifrado o la acción del log difieren de la referencia, el rollback no ha terminado. La copia de seguridad completa es la vía de emergencia para una configuración errónea más amplia, no la primera respuesta a una casilla.

Caso especial al actualizar a SFOS 22.0 GA

En NC-177529 se documenta un error de actualización estrictamente delimitado para SFOS 22.0 GA Respin Build 411. Durante esta actualización pueden aparecer temporalmente mensajes como Malware Unscannable, a menudo para www.msftconnecttest.com. En ese momento, el nuevo motor de escaneo de Sophos aún no está disponible si es el único motor seleccionado en modo Single Engine. Legacy Web Proxy muestra entonces páginas de bloqueo y, con DPI Engine, las páginas pueden dejar de cargar; la interrupción puede durar aproximadamente un minuto más. Antes de cualquier actualización, compruebe también la Maintenance Release actual y las rutas admitidas; la verificación enlazada a continuación cubre este control dependiente de la versión.

Quien actualice expresamente a esta versión GA debe cambiar en Web > General settings de Single engine a Dual engine antes de la actualización y volver al Single engine utilizado anteriormente una vez finalizada. Esta medida temporal no es una recomendación general para MR1, MR2 ni versiones posteriores. La comprobación de actualización a SFOS 22 describe la ruta completa de actualización y otros bloqueos.

Preguntas frecuentes