Operar Sophos Firewall NDR y Active Threat Response

Sophos Firewall puede proporcionar indicios adicionales de tráfico de red sospechoso con NDR Essentials y NDR Active Threat Intelligence. Esto es útil cuando se desea no solo bloquear ataques, sino también detectarlos, investigarlos y procesarlos en Sophos Fusion (antes Sophos Central), XDR, MDR o un SIEM.

Es importante tener expectativas claras: NDR en el firewall no es un interruptor mágico que resuelve automáticamente todos los problemas. La función requiere licencias adecuadas, tráfico visible, tipos de registro activados, reglas de firewall seleccionadas conscientemente y un proceso para evaluar los resultados. Sin esta parte operativa, solo se generan registros adicionales.

Decisión rápida para SFOS 22: NDR Essentials aprende de los flujos de las interfaces seleccionadas y mantiene los IoC de IP y dominio detectados en un feed local. NDR Active Threat Intelligence solo comprueba el tráfico de las reglas donde está activo Scan with NDR Active threat intelligence. En ambas funciones, Action está fijada en Log threats; por tanto, los propios módulos NDR no bloquean el tráfico detectado.

Aclaración de la documentación de SFOS 23: Las alertas de NDR Essentials y NDR Active Threat Intelligence se registran, pero por sí solas no cambian el estado Security Heartbeat de los endpoints ni los aíslan. Cualquier contención necesaria sigue siendo una acción que requiere autorización por separado. Se trata de una limitación documentada, no de un cambio de versión probado aquí.

Para indicadores clásicos de compromiso como direcciones IP maliciosas, dominios o URLs, primero configure y opere de manera segura Sophos Firewall Threat Feeds. Este artículo se centra en NDR Essentials, NDR Active Threat Intelligence y la evaluación operativa.

Límite pendiente al consultar la guía de Threat Feeds: El texto sobre ATR y la matriz de tráfico SVG de la documentación de Sophos discrepan sobre la aplicabilidad de Sophos X-Ops a determinadas direcciones de coincidencia, especialmente al destino y al origen local del tráfico saliente. Este conflicto sigue sin resolverse. Solo pueden darse por válidos los casos confirmados para el módulo y la ruta de tráfico concretos; las afirmaciones sobre MDR, NDR o Threat Feeds de terceros no demuestran un comportamiento equivalente de X-Ops, tampoco para DNAT/WAF o tráfico dirigido al sistema. Los casos discutidos requieren controles restrictivos de firewall, DNAT/WAF y acceso independientes del feed, además de una verificación autorizada y controlada de la dirección de coincidencia, el módulo, los registros y el efecto real. Hasta contar con una aclaración fiable, no base la protección en el comportamiento del feed que está en disputa.

Separar claramente los términos

Sophos utiliza varios nombres similares. Para los administradores, es importante distinguirlos, ya que cada función opera de manera diferente.

• NDR Essentials: El firewall recopila metadatos del tráfico TLS cifrado y consultas DNS, los envía al servicio Sophos Cloud para su análisis y detecta IoCs como direcciones IP o dominios. Indicaciones basadas en red sin una VM de sensor separada y sin descifrado TLS completo para cada detección.
• NDR Active Threat Intelligence: El firewall utiliza patrones NDR curados de Taegis, detecta tráfico sospechoso, registra eventos y los envía al Sophos Data Lake. Detección de alta señal para XDR, MDR u operaciones de seguridad.
• Sophos NDR: Producto NDR separado con su propia VM de sensor, típicamente a través de SPAN, Mirror o TAP. Vista más amplia del tráfico este-oeste, dispositivos no gestionados y movimientos internos de red.
• Threat Feeds: Listas de IoC como IPs, dominios o URLs se verifican contra el tráfico. Bloquear o monitorear objetivos o fuentes maliciosas conocidas.

NDR Essentials y NDR Active Threat Intelligence amplían la visión del firewall. Sophos NDR es una arquitectura propia con un sensor separado. Los Threat Feeds de terceros son otro componente: trabajan basados en indicadores y pueden bloquear directamente según la acción.

Cuándo es útil su uso

NDR y Active Threat Response son especialmente útiles cuando un firewall no solo se opera como un filtro de paquetes, sino que es parte de un proceso de detección y respuesta.

Escenarios típicos:

• El tráfico de Internet de los clientes debe verificarse en busca de objetivos o patrones sospechosos.
• Los servidores o sistemas DMZ deben proporcionar señales de detección adicionales.
• XDR, MDR o SOC deben incluir eventos de firewall en investigaciones.
• Varias firewalls deben evaluarse centralmente en Sophos Fusion o un SIEM.
• Ya existe un proceso para alertas, tickets, falsos positivos y escalación.

Es menos útil si nadie revisa los eventos, no se reenvían registros o no se ajustan las reglas de firewall relevantes. En ese caso, primero es más importante Central Firewall Reporting o Enviar Syslog de Sophos Firewall a SIEM.

Requisitos previos

Antes de la activación, deben verificarse estos puntos:

• El firewall opera en una versión SFOS compatible.
• El Xstream Protection Bundle está activo para NDR Active Threat Intelligence.
• Para NDR Essentials se ha verificado la suscripción exacta. La descripción de los bundles de Sophos Firewall diferencia las opciones disponibles, pero no sustituye una comprobación en vivo: confirme la suscripción adquirida en el firewall o con el partner de Sophos, porque NDR Essentials puede asignarse de forma distinta a NDR Active Threat Intelligence y los entitlements pueden cambiar.
• Si utiliza Central Firewall Reporting o el análisis opcional en XDR/MDR para NDR Active Threat Intelligence, active Send reports and logs to Sophos Central en Sophos Central Services. La investigación en XDR o MDR requiere además la licencia XDR, MDR Essentials o MDR Complete correspondiente. La exportación a Central no es un requisito para la detección local y la revisión de registros IPS; siguen siendo necesarios la licencia Xstream, una plataforma compatible, la activación global y por regla y el registro IPS.
• Los tipos de registro relevantes están activados en System services > Log settings.
• Para NDR Active Threat Intelligence, el registro IPS está activo.
• Para NDR Essentials, el registro de Active-Threat-Response está activo.
• Hay un propietario definido para revisión, ajuste, excepciones y escalación.

Antes de la activación, deben verificarse los límites de la plataforma. NDR Essentials es compatible con todos los XGS Appliances Gen.1 y Gen.2, así como con VMware, KVM, Hyper-V, Azure, AWS, XEN y los appliances de software, pero no con HA activo-activo. NDR Active Threat Intelligence tampoco es compatible con XGS 87, XGS 87w, XGS 88 y XGS 88w; las demás plataformas indicadas sí están admitidas. En entornos HA, primero debe revisarse Entender las variantes de clúster HA de Sophos Firewall.

Esta guía cubre SFOS 22.0 MR2. NDR Active Threat Intelligence llegó con 22.0 MR1, que también extendió NDR Essentials a XGS Appliances y firewalls virtuales, de software y cloud. Antes de desplegar en un build 22.0 anterior, siga la preparación de la actualización del firmware de Sophos Firewall, anote el build instalado y compruebe la ruta de actualización compatible y el estado actual de los problemas conocidos en el firewall y el portal de partners o soporte.

Configurar NDR Essentials

Configure NDR Essentials en Protect > Active threat response > NDR Essentials and Active threat intelligence.

Procedimiento básico:

1. Activar NDR Essentials.
2. Añadir interfaces relevantes.
3. Elegir la ubicación del centro de datos para el análisis.
4. Establecer conscientemente el puntaje mínimo de amenaza.
5. Revisar la acción. NDR Essentials detecta y registra inicialmente.
6. Abrir System services > Log settings.
7. Activar el registro para Active threat response.
8. Seleccionar Save y, después de unos minutos, verificar Log Viewer, Reports o Central.

Como Data center location, SFOS selecciona de forma predeterminada la región con menor latencia. Cambiarla posteriormente puede hacer que se pierdan análisis en curso. No use la región como simple ajuste de rendimiento: aclare primero la residencia de datos, la aprobación interna y la conectividad, documente región y hora y repita la prueba después de cualquier cambio necesario.

No se deben seleccionar interfaces al azar. SFOS 22 admite interfaces físicas, VLAN directamente sobre interfaces físicas, LAG y miembros de bridge en zonas LAN, DMZ y personalizadas. No admite interfaces RED y XFRM, VLAN sobre LAG o bridge, la interfaz de administración dedicada ni las zonas WAN y Wi-Fi. Si una interfaz supervisada se desvincula de su zona, SFOS la elimina de la lista NDR. El firewall solo necesita supervisar un lado del flujo.

Si no se seleccionan interfaces, NDR Essentials no detectará nuevos IoCs del tráfico. Sin embargo, el firewall puede seguir trabajando con IoCs ya detectados. Esto es fácil de pasar por alto en la operación.

Para Minimum threat score, High risk (Score 9 and 10) - Recommended es un punto de partida sensato. Sophos conserva IoC con puntuación 6 o superior. El widget Summary muestra los flujos de tráfico supervisados y los IoC únicos agrupados por puntuación; la cantidad de IoC que puede almacenarse depende del tamaño del appliance. Para el tráfico posterior, SFOS genera registros, notificaciones por correo electrónico e informes locales y de Central según los destinos configurados.

Cada IoC tiene un TTL y una tarea diaria elimina las entradas caducadas. Si un IoC recibe después una puntuación inferior, la puntuación guardada no cambia y solo se actualiza el TTL. Con una puntuación superior, SFOS también actualiza la valoración. En Threat indicators se puede buscar por dirección IP, dominio o cadena parcial. Esta dinámica es importante antes de convertir un valor aislado en un bloqueo permanente.

NDR Essentials permanece en Log threats. Para bloquear un IoC confirmado, conéctese por SSH al firewall, elija 5. Device Management y después 3. Advanced Shell, y lea el feed con cd /content/ndr y cat threatfeed.json. Cree el objeto exacto en Hosts and services > IP host o FQDN host y úselo como Destination network en una regla drop limitada y registrada bajo Rules and policies > Firewall rules, por encima de una regla allow más general.

Es una acción manual controlada, no una automatización del feed. Fuente, ticket, responsable, caducidad y la misma prueba forman parte de la aprobación. Para revertirla, conserve primero las estadísticas, desactive la regla drop, repita la prueba y elimine el objeto solo si ninguna otra regla lo referencia.

Validar NDR Essentials con la prueba de Sophos

Sophos ofrece una prueba inofensiva que simula una comunicación con características sospechosas de dominio y certificado. Se ejecuta en un equipo Windows de prueba autorizado detrás del firewall, cuyo tráfico pase realmente por una de las interfaces supervisadas. El archivo debe obtenerse únicamente de Sophos Test. Aunque la simulación no es maliciosa, debe realizarse en una ventana de prueba anunciada porque genera intencionadamente un evento de seguridad.

1. En Sophos Test, abrir Network Security > Network Detection and Response y descargar el archivo de prueba.
2. Extraer el archivo en el equipo Windows de prueba e iniciar el símbolo del sistema como administrador.
3. En el directorio extraído, ejecutar NdrEicarClient.exe -- all.
4. Esperar unos minutos y ejecutar el mismo comando una segunda vez.
5. Buscar el nuevo IoC en Threat indicators y el evento NDR correspondiente en Log viewer > Active threat response.

La primera ejecución proporciona la conexión para el análisis en la nube. Después de que NDR clasifique el destino como IoC y actualice el feed del firewall, la segunda ejecución confirma la detección y el registro locales. Si no aparece ningún evento, comprobar primero la interfaz supervisada, la ruta de salida real, la conectividad con la nube, el registro de Active Threat Response y el tiempo de espera. Un interruptor activado no sustituye esta prueba de extremo a extremo.

Configurar NDR Active Threat Intelligence

NDR Active Threat Intelligence utiliza patrones de detección NDR curados de Taegis. El firewall detecta y registra eventos relevantes y los envía al Sophos Data Lake. Estas señales pueden investigarse luego en Sophos Fusion, XDR, MDR o en un contexto SOC.

Los patrones típicos incluyen el uso indebido de Certutil para descargar archivos ejecutables, el escaneo SSH y los intentos de fuerza bruta desde un host ya comprometido, tráfico HTTP GET por el puerto DNS estándar o la exfiltración de datos con herramientas legítimas como finger. Estas actividades no siempre pueden bloquearse de inmediato como amenazas confirmadas. Son señales importantes para la investigación y deben correlacionarse con información del host, del usuario y de la red.

Procedimiento básico:

1. Abrir Protect > Active threat response > NDR Essentials and Active threat intelligence.
2. Activar NDR Active threat intelligence.
3. Elegir el nivel mínimo de severidad.
4. Revisar Action. La acción está en Log threats.
5. Abrir System services > Log settings.
6. Activar el registro IPS.
7. Guardar.
8. Abrir Rules and policies > Firewall rules y editar una regla relevante.
9. En Other security features, activar la opción Scan with NDR Active threat intelligence.
10. Guardar cambios y validar con tráfico definido.

El último punto es crucial. La activación global por sí sola no es suficiente. NDR Active Threat Intelligence debe activarse en cada regla de firewall cuyo tráfico se desee analizar.

Minimum severity level es un umbral acumulativo. Critical (1) incluye únicamente patrones críticos, mientras que Warning (5) incluye todos los niveles desde Critical hasta Warning. El widget Summary muestra el total de los últimos siete días y agrupa las detecciones por severidad. El umbral debe ajustarse a la capacidad de análisis disponible; una recopilación amplia sin un proceso de triaje solo genera más señales sin atender.

Qué reglas seleccionar primero

Un buen despliegue no comienza con todas las reglas a la vez. Es mejor un piloto controlado con tráfico bien comprendido.

Puntos de inicio recomendados:

• Redes de clientes con acceso a Internet.
• Redes de servidores con acceso saliente a Internet.
• Reglas DMZ con servicios publicados.
• Reglas para segmentos internos especialmente críticos.
• Reglas con conceptos de IPS, Web o TLS Inspection ya activados.

Reglas sin registro claro, sin propietario o con tráfico muy amplio no clasificado no son un buen comienzo. Primero debe limpiarse la base de reglas. Para análisis de reglas y coincidencias, consulte Probar reglas de firewall con Log Viewer, Policy Test y Packet Capture.

Un ejemplo de piloto adaptable es una regla LAN-WAN con logging para una red de prueba administrada como 192.0.2.0/24. Sustituya esta red de documentación por la red real. Los clientes deben coincidir de forma verificable con esa regla y el responsable debe revisar los eventos IPS adicionales.

Visibilidad, TLS y DNS

Las señales NDR son tan buenas como el tráfico que el firewall realmente ve. En NDR Essentials, el punto importante es que la función puede evaluar metadatos TLS y consultas DNS y, por tanto, aportar indicios de comunicación cifrada sospechosa sin inspección TLS completa. Esto no sustituye una inspección Web o TLS bien planificada cuando deben revisarse contenidos, descargas, categorías web u otros módulos de protección.

Para NDR Active Threat Intelligence y otras funciones de seguridad, la planificación de reglas e inspección sigue siendo decisiva. Si el tráfico no pasa por la regla de firewall esperada, falta el logging o el navegador evita la ruta prevista, aparecen lagunas en la evaluación.

Esto no significa que se deba activar la inspección TLS en todas partes de inmediato. La inspección TLS es un proyecto operativo propio con certificados, excepciones, privacidad, rendimiento y esfuerzo de soporte. Para un despliegue planificado, consulte Introducir correctamente la inspección TLS de Sophos Firewall.

También QUIC y HTTP/3 pueden influir en los conceptos de inspección web. Si el tráfico del navegador pasa por alto las rutas clásicas de inspección HTTPS, debe verificarse Bloquear correctamente el protocolo QUIC y HTTP/3 en Sophos Firewall.

Registros y evaluación

Sin evaluación de registros, NDR es de poca utilidad. Dependiendo de la función, son relevantes diferentes áreas de registro.

• NDR Essentials: Registros de Active threat response, Indicadores de amenaza, Central Reporting o SIEM.
• NDR Active Threat Intelligence: Registros IPS, Filtro de Log Viewer Category is NDR Active threat intelligence, Central Firewall Reporting.
• Evaluación XDR/MDR: Sophos Fusion Threat Analysis Center, Detecciones o Casos.
• Correlación a largo plazo: Syslog, SIEM, plataforma SOC o MDR.

Para los informes locales, la ruta es Reports > Network & Threat > Intrusion attacks. En Sophos Fusion, los eventos se encuentran en My Products > Firewall Management > Report Generator; en Report templates, seleccionar el informe IPS. Ambas vistas complementan el filtro de Log Viewer, pero no sustituyen la comprobación de la ruta de tráfico real y de la regla de firewall coincidente.

Para Sophos Fusion, el firewall debe enviar registros e informes a Central. El procedimiento está en Activar y operar Sophos Firewall Central Reporting. Para un SIEM propio, el tipo de registro adecuado debe reenviarse mediante Syslog y analizarse en el sistema de destino. Solo activar la función no prueba que las detecciones sean localizables más tarde.

Puntos de verificación después de la activación:

• ¿Aparecen entradas de registro locales en el Log Viewer?
• ¿Se envían registros de Active-Threat-Response o IPS a Central?
• ¿Llegan los registros al SIEM?
• ¿Se reconocen correctamente campos como Source, Destination, Firewall, Rule ID y Category?
• ¿Existe un panel de control o búsqueda para resultados NDR/ATR?
• ¿Está claro quién evalúa los resultados?

Para aceptar NDR Active Threat Intelligence, un informe vacío no demuestra el éxito. Compruebe primero el ajuste global, el logging IPS, el envío a Central si se utiliza la evaluación en Central/XDR/MDR y el contador de la regla piloto realmente coincidente. Una detección solo es un criterio de extremo a extremo si procede de una prueba documentada por Sophos o de un evento existente y comprendido. No ejecute simulaciones de exploit o malware no verificadas en producción.

Qué hacer ante un resultado

Un resultado es primero una señal de investigación. No todos los resultados son automáticamente un ataque confirmado, pero cada resultado relevante necesita un procedimiento.

La documentación de SFOS 23 lo aclara para ambas funciones NDR: una alerta por sí sola no cambia el estado Security Heartbeat del endpoint ni desencadena su aislamiento. Cualquier aislamiento o bloqueo manual necesario tras la investigación debe autorizarse y ejecutarse por separado, y debe comprobarse su efecto real.

Procedimiento mínimo:

1. Registrar IP de origen, IP de destino, usuario, regla y hora.
2. Verificar en Log Viewer qué regla y módulo estuvieron involucrados.
3. Buscar en Central, XDR, MDR o SIEM otros eventos del mismo host.
4. Correlacionar registros de Endpoint, DNS, Web y autenticación.
5. Decidir si hacen falta aislamiento de Endpoint, un bloqueo de firewall limitado o más análisis. Considere una Threat Exclusion solo después de confirmar un falso positivo y documentar su impacto.
6. Documentar el resultado.

En caso de falsos positivos repetidos, no se debe establecer inmediatamente una excepción amplia. Es mejor una excepción estrecha con motivo, ticket y fecha de revisión. Las excepciones en Active Threat Response pueden eliminar la protección y, por lo tanto, deben formar parte de un proceso controlado.

Una Threat Exclusion excluye un origen o destino del análisis de todos los módulos de Active Threat Response, incluido NDR Active Threat Intelligence. No afecta solo a una firma y, por tanto, también puede debilitar otros Threat Feeds. Investigue primero el contexto. Considere una exclusión de host, red, dirección IP, dominio o URL lo más limitada posible solo si se confirma el falso positivo y se acepta el efecto en todos los módulos; de lo contrario, solicite al soporte de Sophos que revise los registros y los datos del patrón.

Revertir de forma segura

1. Documente el periodo, las reglas piloto, las interfaces, los umbrales y los últimos resultados relevantes.
2. Para NDR Active Threat Intelligence, quite primero Scan with NDR Active threat intelligence solo de las reglas piloto y luego desactive el ajuste global si es necesario.
3. Para NDR Essentials, quite las interfaces supervisadas o desactive la función. Sin interfaces, los IoC ya detectados pueden seguir aplicándose; revise Threat indicators y Log viewer > Active threat response.
4. Desactive y pruebe por separado las reglas drop manuales; apagar NDR Essentials no las elimina.
5. Revise por separado las Threat Exclusions creadas durante el piloto y elimínelas solo si no las necesita otro caso de uso aprobado.
6. Retire el logging IPS, Central Reporting o Syslog solo si ninguna otra función los necesita.

La reversión termina cuando la regla piloto sigue tratando el tráfico esperado, NDR Active Threat Intelligence ya no está activo en ella y no queda activa por error ninguna regla de bloqueo manual ni exclusión del piloto. Con NDR Essentials, los IoC ya detectados pueden seguir generando registros hasta que caduquen; esas entradas no indican automáticamente que la reversión haya fallado.

Errores típicos

• NDR Active Threat Intelligence se activa globalmente, pero no se enciende en las reglas de firewall.
• NDR Essentials se activa, pero no se seleccionan interfaces adecuadas.
• El registro IPS o Active-Threat-Response no está activo.
• Central Reporting o Syslog no está configurado, aunque se espera una evaluación central.
• Se generan detecciones, pero nadie las revisa.
• La severidad o el puntaje de amenaza se establece demasiado sensible y genera ruido innecesario.
• Las excepciones se establecen demasiado amplias.
• Se planea Active-Active HA o modelos XGS Appliance pequeños, aunque la función no es compatible allí.
• La inspección TLS se trata como un detalle menor en lugar de planificarse adecuadamente.

Dos problemas corregidos en los primeros builds de SFOS 22.0 también pueden confundir: NC-152904 mostraba interfaces no compatibles en la selección NDR y NC-165825 mostraba erróneamente Doesn’t comply en Firewall Health Check para firewalls virtuales. Ambos se corrigieron en el build 411. Si aparece el síntoma, use el ID como clave de búsqueda en el portal actual de partners o soporte, compare localmente el build instalado y siga la ruta de actualización compatible en lugar de eludir los límites de la plataforma.

Lista de verificación

• Versión SFOS y licencia verificadas.
• Appliance o plataforma compatible confirmada.
• Modo HA verificado.
• Registro en Sophos Fusion verificado si se utiliza Central Reporting, XDR o MDR.
• Tipos de registro relevantes activados en System services > Log settings.
• Interfaces NDR Essentials seleccionadas conscientemente.
• Ubicación del centro de datos y puntaje mínimo de amenaza documentados.
• NDR Active Threat Intelligence activado.
• Reglas de firewall relevantes con Scan with NDR Active threat intelligence.
• Log Viewer, Central Reporting o SIEM verificados para resultados.
• Propietario, proceso de alerta, proceso de falsos positivos e intervalo de revisión documentados.

Preguntas frecuentes