Implementación correcta de la inspección TLS en Sophos Firewall

Con TLS Inspection, Sophos Firewall finaliza la conexión cifrada del cliente y establece una segunda conexión con el servidor de destino. Puede inspeccionar el texto sin formato entre los dos. El firewall vuelve a firmar el certificado del servidor presentado al cliente con su propia CA (Autoridad de certificación). Si el cliente no confía en esta CA, muestra una advertencia de certificado o finaliza la conexión.

Esto hace posible inspeccionar el contenido descifrado, por ejemplo, el análisis de malware y de contenido. Sin descifrado, las funciones de protección pueden limitarse, según el módulo, a información como la dirección IP, el dominio, el SNI, el certificado o los metadatos del protocolo. Eso no justifica una implementación inicial amplia: la fijación de certificados, la privacidad, la compatibilidad de las aplicaciones y la carga adicional del firewall deben abordarse antes de la implementación.

La versión corta segura es: determinar si se utilizará la ruta DPI o Web Proxy, distribuir la CA que vuelve a firmar a un grupo pequeño, documentar el estado actual, crear una regla de descifrado de alcance limitado, ejecutar una prueba positiva y una negativa, y solo entonces expandir el alcance.

Decisiones previas al proyecto piloto

Licencia, CA y responsabilidades

Las reglas de inspección SSL/TLS y los grupos de URL utilizados en ellas se aplican con Base License. Web Protection no es un requisito previo general para la inspección TLS. Es necesario cuando se utilizan categorías web como criterio de regla o cuando se necesitan las funciones de Protección web correspondientes. Las inspecciones de malware, día cero y otras inspecciones requieren la suscripción correspondiente. ¿Qué paquetes de Sophos Firewall están disponibles? y Comprensión de la licencia básica de Sophos Firewall explican las diferencias.

Aclare lo siguiente antes de crear la primera regla:

• Documentar la versión de SFOS en uso, la licencia disponible y la ruta de inspección prevista.
• Definir un grupo piloto gestionado y una ventana de tiempo clara. El siguiente ejemplo utiliza el cliente 10.20.30.50 de la red de prueba 10.20.30.0/24; reemplace estos valores con sus propios objetos.
• Obtener la aprobación de las partes interesadas responsables de la privacidad para el alcance, el registro, la retención y la notificación al usuario.
• Haga una copia de seguridad del estado inicial exacto de la regla del firewall, las reglas TLS, el perfil de descifrado, la CA y cualquier configuración global.
• Identifique al propietario, los criterios de cancelación, el proceso de excepción y la ruta de reversión.

La CA que vuelve a firmar debe estar en el almacén de confianza de los sistemas operativos o navegadores afectados. Como alternativa, utilice una CA empresarial subordinada. Una CA de confianza pública no está disponible para este propósito porque el firewall vuelve a firmar certificados para dominios de terceros. Con una CA externa, se deben importar tanto la CA raíz como la subordinada; si la CA firmante contiene una sección EKU, debe permitir TLS Web Server Authentication. Instalar certificado CA de Sophos Firewall para escaneo HTTPS describe la distribución, mientras que Configurar una CA subordinada para la inspección TLS de Sophos Firewall cubre el método de CA empresarial.

⚠️ No empiece con todos los usuarios. Los dispositivos sin un almacén de confianza manejable, BYOD y aplicaciones que utilicen fijación de certificados deberían permanecer inicialmente en un ámbito separado. Una excepción restaura la conexión, pero elimina su contenido del descifrado.

Mantenga separados el DPI y el proxy web

SFOS utiliza DPI engine de forma predeterminada. En esta ruta, el firewall procesa primero la regla de firewall y luego las reglas de inspección SSL/TLS. La regla de inspección en sí misma no permite el tráfico: incluso Services: Any solo significa que el tráfico TLS ya permitido por la regla de firewall en cualquier puerto TCP es elegible para esta regla de inspección.

Para la ruta DPI, abra Rules and policies > Firewall rules, edite la regla LAN a WAN relevante y verifique Security features > Web filtering:

1. Deje Use web proxy instead of DPI engine deshabilitado.
2. Seleccione una Política web sólo si la protección planificada lo requiere; no es un requisito previo para la regla de descifrado.
3. Scan HTTP and decrypted HTTPS activa el análisis de malware para HTTP y para el tráfico HTTPS ya descifrado. La opción por sí sola no habilita el descifrado HTTPS.

En Web Proxy Mode, el proxy maneja el descifrado HTTPS. Decrypt HTTPS during web proxy filtering es la configuración relevante en la ruta del proxy. Las reglas de DPI bajo Rules and policies > SSL/TLS inspection rules no se aplican a las conexiones descifradas por el proxy web. Con el proxy transparente, los puertos 80 y 443 pasan a través del proxy, mientras que SSL/TLS en otros puertos aún puede ser manejado por la ruta DPI; con el Proxy explícito, el Proxy web realiza el descifrado.

Las CA también están separadas: DPI utiliza la CA de la configuración SSL/TLS o del perfil de descifrado seleccionado. El proxy web utiliza la CA de Web > General settings. Al cambiar de modo, compruebe no sólo las reglas sino también la CA realmente presentada. Elija correctamente el motor DPI o el proxy web explica las diferencias con más detalle.

Esta ruta de inspección saliente no está destinada a servidores web publicados en Internet. Web Server Protection / WAF o un proxy inverso suele ser la arquitectura más adecuada en estos casos. Las reglas de inspección SSL/TLS se aplican al tráfico saliente, por lo que solo se pueden seleccionar zonas internas como Source zones. Detectan TLS en cualquier puerto TCP, pero no se aplican en UDP.

Incluir QUIC en la ruta de inspección

QUIC, o HTTP/3, utiliza UDP. Block QUIC protocol en una regla de firewall descarta paquetes UDP salientes a los puertos 80 y 443 dentro del alcance de esa regla, lo que obliga a los clientes a recurrir a una ruta TCP inspeccionable. SFOS selecciona la opción de forma predeterminada tan pronto como se selecciona una política web en la regla o se habilita Scan HTTP and decrypted HTTPS. Esto es por regla, no global, así que verifique la regla de firewall que realmente coincida.

Este filtro web no puede escanear QUIC. Eso no significa que se omitan todos los demás controles del firewall, pero la ruta TCP TLS y el filtro web esperados no se aplican. Bloquear correctamente QUIC y HTTP/3 en Sophos Firewall muestra la prueba de regla; Creación de una política de protección web de Sophos Firewall cubre la política web.

Seleccionar alcance por propósito y riesgo

El punto de partida habitual es el tráfico de usuarios administrado desde LAN a WAN. Una red inalámbrica corporativa separada puede seguir como Wi-Fi > WAN. Para el acceso remoto, VPN > WAN solo es relevante cuando el tráfico de Internet de los usuarios realmente atraviesa el firewall a través de un túnel completo. Incluya conexiones internas de LAN a DMZ solo cuando la inspección de contenido tenga un beneficio claro allí y ambas partes confíen en la CA que vuelve a firmar.

La compatibilidad técnica y el permiso para descifrar son decisiones independientes. Los portales bancarios, de atención médica y gubernamentales, los administradores de contraseñas, los proveedores de identidad, las actualizaciones de sistemas operativos y proveedores, y los servicios de voz, video y colaboración requieren una evaluación funcional y de privacidad antes de su inclusión. La fijación o un error piloto no justifica una excepción general para una categoría completa: primero identifique la fuente, el dominio y la aplicación realmente requerida.

Configurar un piloto completo

Para un piloto que se puede probar directamente, utilizamos estos valores de ejemplo:

• Cliente piloto: 10.20.30.50 de la red de prueba documentada 10.20.30.0/24
• Regla de firewall: LAN to WAN - TLS pilot
• Regla de inspección SSL/TLS: TLS decrypt pilot client
• Zona de origen: LAN, Zona de destino: WAN
• Redes y Servicios de Destino: Any
• Acción: Decrypt
• Perfil de descifrado: inicialmente Block insecure SSL o un perfil piloto derivado de él
• Registro: Log connections habilitado para el piloto

10.20.30.0/24, la IP del host y los nombres de los objetos son ejemplos. La fuente de producción debe ser lo suficientemente estrecha como para identificar a un cliente sin ambigüedades. Any para Destino y Servicio facilita la observación de TLS fuera de TCP 443 durante la prueba piloto; no amplía lo que permite la regla de firewall anterior. Si se permite la inspección solo para un grupo de destino específico, agregue un grupo de URL u otro criterio de destino apropiado.

Seleccione un perfil de descifrado

En Profiles > Decryption profiles, hay disponibles tres perfiles predeterminados no editables:

• Maximum compatibility maximiza la compatibilidad y no restringe los cifrados.
• Block insecure SSL bloquea cifrados débiles y permite el tráfico que no se puede descifrar.
• Strict compliance aplica requisitos estrictos, incluidos requisitos basados ​​en PCI DSS.

Maximum compatibility puede ayudar a aislar temporalmente a un cliente problemático, pero sus controles relajados lo hacen inadecuado como criterio de aceptación de producción. Para el piloto, Block insecure SSL o un perfil derivado deliberadamente es el punto de partida más transparente. Tolera versiones antiguas de TLS o claves RSA de menos de 2048 bits solo para un servidor heredado con nombre y en una regla de alcance limitado.

Un perfil personalizado puede anular la configuración global de SSL/TLS. Las opciones de CA para volver a firmar son Use CAs defined in SSL/TLS settings, Re-sign RSA with y Re-sign EC with. Para el tráfico que no se puede descifrar, las opciones son Use SSL/TLS settings default, Allow without decryption, Drop y Reject. La referencia predeterminada global no se aplica a Unrecognized cipher suites; este caso deberá valorarse explícitamente en el perfil. Dependiendo de la configuración, los errores de certificado, el tamaño mínimo de RSA, las versiones TLS y los cifrados bloqueados utilizan Drop, Reject o Reject and notify como Block action.

La inspección no hace que un certificado de servidor autofirmado o uno con una cadena incompleta sea confiable. En lugar de excluirlo apresuradamente, primero verifique el nombre de host, el certificado original y la cadena completa.

Con TLS 1.3, los errores de certificado, el tamaño mínimo de RSA, una degradación global y Reject and notify se comportan como se documenta solo con Action: Decrypt. Con Don’t decrypt o Deny, Reject se utiliza para la gestión de este perfil. Una degradación global a TLS 1.2 introduce un riesgo de seguridad y no es una solución de compatibilidad general.

Crear la regla y comprobar su orden

En Rules and policies > SSL/TLS inspection rules > Add, configure los campos de la siguiente manera:

1. Rule name: TLS decrypt pilot client
2. Rule position: Top, por lo que la regla piloto precede a las reglas generales personalizadas de descifrado.
3. Action: Decrypt
4. Log connections: habilitado para monitoreo piloto
5. Decryption profile: el perfil piloto seleccionado
6. Source zones: LAN
7. Source networks and devices: objeto de host para 10.20.30.50
8. Destination zones: WAN
9. Destination networks: Any
10. Services: Any
11. Categories and websites: vacío o limitado al alcance de destino aprobado

Log connections es opcional y no es necesario para que la regla funcione. Sin embargo, es útil para un piloto de tiempo limitado porque se puede rastrear la negociación TLS y el cierre de la conexión. La retención debe seguir la política de privacidad y operaciones acordada.

La tabla se evalúa de arriba a abajo y el procesamiento se detiene en la primera coincidencia. Todos los criterios configurados deben coincidir simultáneamente. La regla predeterminada fija Exclusions by website or category permanece en la parte superior y no puede ir precedida por la selección de Rule position: Top. Coloque excepciones Don't decrypt personalizadas inmediatamente debajo, seguidas de reglas piloto específicas y, finalmente, reglas de descifrado más amplias.

Los criterios de usuario y grupo son confiables sólo si SFOS conoce el contexto del usuario para la conexión. Si esto no está garantizado, comience con un host u objeto de red inequívoco y agregue criterios de identidad solo después de una prueba de coincidencia separada.

Mantenga las excepciones limitadas

La regla predeterminada Exclusions by website or category usa Don’t decrypt con Maximum compatibility y permanece en la primera posición. La lista Local TLS exclusion list está vacía de forma predeterminada; la lista Managed TLS exclusion list contiene sitios incompatibles conocidos y se mantiene mediante actualizaciones de firmware.

Edite la lista local en:

Web > URL groups > Local TLS exclusion list

Los grupos de URL o coincidencias SNI son más eficientes para excepciones de dominio que muchos hosts FQDN. Según Sophos, por ejemplo, 200 hosts FQDN provocan 200 búsquedas para cada nueva conexión SSL/TLS. Las excepciones de origen y destino tampoco se pueden combinar. Crear y utilizar grupos de URL de forma segura explica el alcance del dominio, los comodines y las pruebas negativas.

Una regla de inspección SSL/TLS personalizada con Action: Don’t decrypt debe registrar el dominio, la fuente afectada, el motivo, el ticket, el propietario y la fecha de revisión. Don’t decrypt no es una omisión incondicional: las restricciones del perfil de descifrado seleccionado aún se aplican. Para permitir SSL 2/3, compresión o cifrados desconocidos para un caso heredado aprobado explícitamente, utilice un perfil con Allow without decryption junto con Action: Don’t decrypt. Esta combinación no pertenece a una regla general de Internet.

Las exclusiones SSL/TLS y las excepciones web resuelven diferentes problemas. Una excepción TLS controla el descifrado en cualquier puerto TCP en modo DPI. Una excepción web cambia las comprobaciones seleccionadas de la política web; en modo proxy, afecta la ruta de proxy relevante. Antes de realizar un cambio, determine si se debe excluir el descifrado o solo una verificación web. Crear y probar excepciones web de forma segura muestra el flujo de trabajo de selección y expresiones regulares.

Compatibilidad con Android en un alcance limitado

Algunas conexiones de Android utilizan la fijación de certificados. La verificación de conectividad, Play Store o las actualizaciones pueden fallar cuando se aplica el descifrado. El flujo de trabajo documentado por Sophos utiliza una VLAN aislada o una red inalámbrica y un grupo de hosts FQDN que contiene:

• *.play.googlezip.net
• *.gvt1.com
• *.app-measurement.com
• el dominio local de Google, por ejemplo *.google.ch en Suiza

Encima de la regla general de descifrado, agregue una regla de inspección SSL/TLS con Action: Don’t decrypt, Decryption profile: Maximum compatibility, Source zone: Wi-Fi, la red de dispositivos móviles como Source networks and devices, WAN como Destination zone y el grupo de Google como Destination networks. Se encuentra por debajo de la exclusión predeterminada fija pero por encima de la regla general de Decrypt. Mantenga la red móvil aislada de recursos internos sensibles.

Acepte el cambio usando un dispositivo piloto de Android: ejecute Verificación de conectividad, navegador, descarga y actualización de Play Store. En Log viewer, solo los destinos esperados de Google pueden coincidir con la excepción; otro destino HTTPS de la misma VLAN aún debe usar la regla de descifrado prevista. Esta prueba negativa impide la aceptación de una excepción que funciona pero que es demasiado amplia. Crear excepciones web y exclusiones TLS de forma segura cubre otros métodos y limitaciones de SNI.

Comprobar el resultado

Una simulación de política, un cliente real y los registros responden a diferentes preguntas. Combínelos para realizar una prueba de aceptación confiable.

En Diagnostics > Tools > Pop-out tools > Policy tester, seleccione Firewall, SSL/TLS, and web y configure la IP de origen, el destino o URL, el protocolo y, si es necesario, el puerto. Sin un protocolo, la herramienta prueba HTTP utilizando el puerto predeterminado específico del protocolo. El probador de políticas simula tráfico web transparente; no modela rutas SD-WAN y las reglas con direcciones MAC en Source networks and devices no coinciden allí. Web policy only prueba solo la política web. Por tanto, el resultado es una predicción, no una prueba de la ruta de datos real.

Ejecute cuatro pruebas específicas en el cliente:

1. Antes del cambio, registre el dominio de destino, el emisor del certificado, el tiempo de respuesta y si la aplicación comercial funciona.
2. Abra un destino positivo aprobado. El navegador debe mostrar la CA que vuelve a firmar seleccionada para DPI como emisor, y el Log viewer debe mostrar una coincidencia con la regla y el perfil de descifrado esperados.
3. Abra un destino deliberadamente excluido. Debe coincidir con la regla Don't decrypt esperada; el navegador no debe mostrar allí ningún certificado vuelto a firmar por el firewall.
4. Aún se debe descifrar un segundo destino no excluido del mismo ámbito de cliente. Ésta es la prueba negativa de la excepción.

Si una política web es parte del diseño, bloquee también una categoría de prueba o una URL de prueba aprobada específicamente para este propósito. Ejecute una prueba de malware únicamente con un objeto de prueba de proveedor inofensivo y documentado y un resultado esperado predefinido; Este artículo no pretende ser una prueba de laboratorio. Antes y después del piloto, compare la carga de CPU y memoria, el tiempo de respuesta y los errores del usuario en el mismo período de tiempo.

Interpretar correctamente Control Center y Log viewer

El widget del Centro de control se denomina SSL/TLS connections. Sus detalles se actualizan cada cinco minutos. Las sesiones cubren las últimas 24 horas y los errores los últimos 7 días; Failed se reinicia a medianoche. Los datos detallados no incluyen conexiones de Web Proxy. Decryption peak aparece solo cerca o por encima del pico, y Decryption limit solo cerca del límite específico del dispositivo. Por tanto, no existe un umbral universal para todos los aparatos.

Abra Log viewer en la parte superior derecha y seleccione el módulo SSL/TLS inspection. Una conexión TLS se registra después de que se completa el protocolo de enlace y cuando se cierra. La acción, la regla, el perfil de descifrado, el origen, el destino, el dominio y el motivo del error son importantes; Los colores por sí solos no son un criterio de aceptación fiable. En Manage > Exclude, puede agregar dominios o subdominios a la lista de exclusión TLS local y categorías a la exclusión predeterminada. Exclude no está disponible para los ID de error 19004 y 19005.

Un evento Don't decrypt sólo prueba que la conexión no fue descifrada. Sólo la regla, la coincidencia de listas y la prueba negativa muestran si la excepción está justificada y es suficientemente limitada.

Acotar los errores y revertir los cambios de forma segura

Cuando ocurre un incidente, inicialmente limite el caso a un cliente, un dominio, un momento determinado, una regla de firewall y una regla de inspección SSL/TLS.

• Si el navegador muestra una advertencia de certificado, compare el emisor visible con la CA utilizada por el DPI o la ruta del proxy real. Luego verifique el almacén de confianza del cliente, la cadena raíz/subordinada y el nombre de host.
• Si faltan eventos SSL/TLS, primero verifique la coincidencia de la regla de firewall y el modo. Luego confirme que Rules and policies > SSL/TLS inspection rules y Advanced settings > SSL/TLS engine > Enabled estén activos.
• Si el tráfico está permitido pero no descifrado, busque de arriba a abajo la exclusión predeterminada fija, la lista administrada/local o una regla Don't decrypt personalizada. Luego repita la prueba negativa.
• Si el filtro web no se aplica, verifique la regla de firewall real para su política web, Scan HTTP and decrypted HTTPS, Block QUIC protocol y modo DPI/proxy. La presencia de una Política Web no prueba el Descifrado.
• Si solo falla una aplicación, utilice el motivo del error, la versión TLS, el cifrado, la cadena de certificados y la fijación para guiar la siguiente decisión. Mantenga limitada cualquier excepción temporal y asígnele una fecha de revisión.
• Si la carga aumenta, reduzca el alcance del piloto y compare la misma ventana de tiempo antes y después del cambio. Evalúe los avisos de picos o límites para el aparato específico.

Deshabilite SSL/TLS engine solo brevemente para solucionar problemas. Mientras está deshabilitado, no se aplican reglas de inspección SSL/TLS y el motor DPI no aplica la política web del firewall a HTTPS; El descifrado HTTPS del proxy web no se ve afectado. Por lo tanto, deshabilitarla no es un sustituto equivalente y de bajo riesgo de deshabilitar específicamente la regla piloto.

Pruebe IPS independiente del puerto solo con un estado inicial conocido

De forma predeterminada, SFOS verifica el tráfico descifrado con firmas IPS en cada puerto TCP. Ante un falso positivo reproducible, documente el ID de firma, el origen, el destino, el puerto TCP, la regla de firewall, la regla de inspección y la compilación SFOS. Prefiera una excepción de firma limitada con Action: Allow packet en la política IPS actualmente en uso; Configurar y probar Sophos Firewall IPS describe este método.

Un posible síntoma de un problema con la inspección independiente del puerto son las coincidencias repetidas de la misma firma IPS en el mismo sitio web. La repetición por sí sola no demuestra un falso positivo. Se cotejan la Signature ID exacta y el destino en los registros, se comprueba el flujo de trabajo legítimo afectado y se evalúa el riesgo antes de aprobar una excepción de firma de alcance limitado y reversible.

La inspección más exhaustiva de posibles amenazas puede aumentar la carga y reducir ligeramente el rendimiento del tráfico HTTPS descifrado en comparación con versiones anteriores de Sophos Firewall. Se trata de un posible efecto relacionado con la versión, no de una disminución garantizada ni de una prueba de regresión en la compilación actualmente en uso. Para contextualizar los resultados, se comparan el rendimiento, la carga de CPU y memoria y el tiempo de respuesta con una carga de tráfico comparable dentro de la misma ventana de tiempo; una única comparación no sustituye al análisis de las causas.

Se permite una comparación global en la consola del dispositivo solo si el valor actual exacto, on o off, ya se conoce a partir del registro de cambios o de una configuración respaldada de manera confiable. La documentación oficial de SFOS 22 no indica ningún comando para consultar el estado actual de este ajuste. Si se desconoce el estado inicial, no realice la prueba.

Sólo con un estado inicial documentado de on puede configurar lo siguiente para una comparación preparada:

set ips scan_decrypted_port_agnostic off
set ips scan_decrypted_port_agnostic on

El segundo comando aquí solo restaura el estado inicial conocido de on. Si el estado inicial era off, no lo habilite a ciegas; conserve off o restáurelo exactamente después de cualquier cambio autorizado. Esta configuración global afecta a todo el firewall y puede reducir ligeramente el rendimiento o, con off, limitar el alcance de la inspección. Documente el resultado y el período de tiempo sin tratar esto solo como prueba de una causa general.

Ejecutar el rollback en un orden definido

Una reversión restaura el estado inicial documentado en lugar de introducir una nueva arquitectura:

1. Deshabilite la regla piloto TLS decrypt pilot client. No cambie el perfil, la Política web y las excepciones al mismo tiempo.
2. Usando el cliente piloto, confirme que esta regla ya no coincida y que se use nuevamente la ruta documentada anteriormente. No asuma que las sesiones existentes se reevalúan inmediatamente; establezca una nueva conexión para la prueba.
3. Si solo un destino se ve afectado y las operaciones lo requieren, cree una excepción Don't decrypt de tiempo limitado y ejecute su prueba negativa.
4. Después de la aprobación, elimine las excepciones temporales, los objetos de prueba y las configuraciones de CA distribuidas solo para el piloto de manera controlada. No elimine las CA compartidas sin comprobarlas.
5. Registre el ID de la regla, el cliente, el destino, la CA visible, el evento de registro, la hora y la configuración restaurada en el registro de cambios.

La política web puede permanecer configurada, pero sin descifrado no puede escanear la carga útil HTTPS cifrada. Vuelva a Web Proxy solo si ese era el estado inicial verificado. No deshabilite todo el motor SSL/TLS como reversión estándar porque eso detiene todas las reglas DPI TLS y la aplicación de la política web DPI a HTTPS.

Detenga la implementación tan pronto como falle una aplicación crítica para el negocio, aparezcan advertencias de certificados fuera del grupo piloto, el alcance resulte más amplio de lo esperado o la carga y los errores excedan los límites predefinidos. Expanda el grupo de origen gradualmente solo después de que la prueba positiva, la prueba negativa de la excepción, las aplicaciones comerciales, los registros, los comentarios de los usuarios y el perfil de carga cumplan con los criterios acordados durante el período acordado.

Durante la operación, revise las exclusiones, los errores de TLS, las nuevas aplicaciones, la carga y los comentarios de los usuarios en un cronograma definido. Mantenga las excepciones temporales solo mientras el propietario, el motivo y la fecha de revisión sigan siendo válidos; de lo contrario, retírelos después de una nueva prueba positiva y negativa.

Preguntas frecuentes