Cómo interpretar User & Device Insights en Sophos Firewall

Control Center > User & device insights es una vista de triaje, no un único estado de alarma. Sus tarjetas usan fuentes y periodos distintos. Un endpoint rojo, un User Threat Quotient (UTQ) alto, un error TLS y muchas sesiones pueden estar relacionados, pero no necesariamente.

Secuencia segura: anotar tarjeta y periodo, abrir el detalle, correlacionar usuario/IP/hostname y hora con logs y la regla realmente aplicada, y solo entonces cambiar una policy o excepción. Antes del cambio, guardar captura o exportación, filtros, contador, destino, responsable y resultado esperado.

Qué demuestra cada señal y qué no

• Security Heartbeat muestra el estado enviado por endpoints Sophos. No demuestra que se bloqueara cada conexión ni que un dispositivo verde esté libre de toda amenaza.
• Synchronized Application Control muestra aplicaciones notificadas por equipos gestionados. Una entrada demuestra detección, no enforcement ni actividad maliciosa.
• Zero-day protection cuenta archivos analizados y hallazgos. El contador no demuestra que toda descarga fuese visible o dañina.
• UTQ prioriza cuentas según siete días de navegación. Es una pista, no prueba de culpabilidad o compromiso.
• SSL/TLS connections describe conexiones y determinados errores de descifrado. Los porcentajes no prueban la protección de un flujo concreto.
• Firewall sessions muestra conexiones activas y cercanía a la capacidad. Un valor alto no prueba por sí solo ataque ni sobrecarga.

Buscar al menos dos evidencias coincidentes, como tarjeta y log detallado o evento endpoint y Firewall Rule ID. Para un flujo activo, usar Live Connections y Connection List.

Comprobar Security Heartbeat y aplicaciones

Los estados son At risk (rojo), malware activo; Missing (rojo), hay tráfico pero no estado de salud; Warning (amarillo), malware inactivo o detectado y limpiado; y Connected (verde), sin malware detectado y endpoint saludable.

La tarjeta cuenta todos, pero el detalle solo enumera endpoints rojos y amarillos con hostname, IP, usuario y tiempo desde el cambio. Si todos están verdes, queda vacío: no es un fallo ni un inventario completo.

En esta vista de detalles del endpoint se puede filtrar por estado de salud para examinar, por ejemplo, los mensajes Missing rojos por separado de los mensajes Warning amarillos.

Si un endpoint abandona la red mientras su Heartbeat está Missing, ese estado permanece en Control Center y en los informes. Solo cambia cuando el endpoint vuelve a conectarse. Antes de eliminar una entrada obsoleta confirmada, registrar el nombre del endpoint, la antigüedad del estado, el último usuario y timestamp conocidos y su visualización actual en Control Center y el informe. Completar primero el análisis de la causa, abrir la CLI y seleccionar 4. Device Console. Se pueden eliminar todas las entradas Missing que hayan alcanzado o superado una antigüedad concreta de 1 a 90 días, o el nombre exacto de un endpoint:

system synchronized-security missing-endpoints delete days-missing 7
system synchronized-security missing-endpoints delete name endpoint1

7 y endpoint1 son ejemplos que deben sustituirse por la antigüedad aprobada o el nombre exacto. El comando por antigüedad afecta a todas las entradas que lleven ese número de días o más en Missing y puede retirar de Control Center y los informes más dispositivos de los previstos; el comando por nombre es más limitado para un único dispositivo retirado conocido. La eliminación no repara el endpoint ni Heartbeat y no restaura el historial eliminado. Después, recargar Control Center y el informe afectado, confirmar que solo hayan desaparecido las entradas previstas y, si el dispositivo sigue en servicio, verificar la reconexión y su nuevo estado Heartbeat.

Ante una entrada roja o amarilla, comprobar primero hora y endpoint en Sophos Fusion (antes Sophos Central) y después si la regla coincidente incluye una condición Heartbeat. La visibilidad no bloquea tráfico. Conectar Sophos Firewall con Sophos Fusion explica requisitos y efecto; analizar Missing Heartbeat cubre estados persistentes.

La tarjeta Synchronized Application Control muestra New, Categorized y total, y abre Applications > Synchronized Application Control. Evaluar una aplicación por dispositivo, usuario y hora, categorizarla y solo después controlarla con un Application Filter. Limpiar directamente la base no es triaje: para problemas de recopilación o espacio, seguir el procedimiento seguro. La asignación se explica en Application Control.

Interpretar los contadores Zero-day y UTQ

La tarjeta Zero-day requiere una suscripción Zero-Day Protection activa. En Administration > Licensing, el módulo debe mostrar Subscribed o Evaluating; sin suscripción, el enlace de Control Center permite iniciar una evaluación gratuita de 30 días.

Si Zero-Day Protection está configurada para ello, el firewall envía las descargas sospechosas a la nube para su análisis. Allí se ejecutan los archivos para detectar ransomware y otras amenazas avanzadas, en lugar de ejecutarlos en el dispositivo local del usuario para este análisis. Si la función está activada, el firewall retiene las descargas que cumplen los criterios configurados hasta que finaliza el análisis. Esto explica los tiempos de espera en las descargas afectadas, pero no garantiza que todos los dispositivos o todos los archivos estén libres de amenazas.

Los periodos difieren: Recent son nuevos informes malicious, suspicious o PUA de siete días; Incidents cuenta todos esos archivos y retiene informes hasta seis meses, configurable en Report settings > Data management; Scanned incluye todo el tráfico detectado, incluidos archivos limpios, según la retención de la base.

La ayuda de SFOS 22 indica expresamente que los contadores de Zero-day Protection no se pueden restablecer. La ayuda disponible de SFOS 23 omite esta nota; esa omisión no demuestra que se admita restablecerlos. Reset ‘Failed’ count solo se aplica al contador independiente de fallos SSL/TLS, no a Zero-day Protection. Conservar los valores de los contadores y los logs para la investigación: reiniciar, borrar datos, cambiar la retención o usar un reset por CLI no son métodos recomendados para restablecer estos contadores, tampoco en SFOS 23.

No restar estos contadores. Abrir Zero-day protection > Downloads and attachments y correlacionar archivo, veredicto, usuario/IP, hora y ruta web o de correo. La falta de resultados también puede deberse a licencia, policy, tráfico sin descifrar o retención. Véase la guía de Zero-day Protection.

UTQ evalúa siete días de navegación. Indica que no hay usuarios arriesgados o el número de usuarios que concentran el 80 % del riesgo de red. En Reports > Dashboards, comprobar usuarios, Threat Score, categorías, destinos, horas y calidad de identidad. Cuentas compartidas, NAT o falta de autenticación distorsionan la atribución; una puntuación alta no justifica automáticamente bloquear al usuario.

Analizar SSL/TLS connections con seguridad

Los detalles se actualizan cada cinco minutos. Si faltan en Control Center y Log Viewer, comprobar SSL/TLS inspection en Rules and policies > SSL/TLS inspection rules y Enabled en SSL/TLS inspection settings > Advanced settings > SSL/TLS engine.

Of traffic es el porcentaje SSL/TLS del tráfico total; Decrypted, el porcentaje descifrado de conexiones SSL/TLS; Failed, el número de fallos. Failed se reinicia a medianoche y manualmente con Reset ‘Failed’ count. El reinicio manual es irreversible y no recupera el valor anterior. Registrar valor, hora y prueba; después repetir el flujo, esperar un ciclo y revisar logs. El reset no corrige la causa.

El detalle muestra sesiones de las últimas 24 horas y errores de los últimos 7 días. Ambos excluyen conexiones por web proxy. Top websites y Top users o IP ayudan a acotar; pulsar el número abre logs filtrados con el destino en Server name. Solo incluye errores potencialmente solucionables mediante regla SSL/TLS o que sugieren falta de confianza en CA/aplicación del cliente; no bloqueos de Web Policy u otras Security Policies.

Los datos de errores se actualizan cada cinco minutos. Top websites muestra el número de errores y de usuarios afectados por sitio web; Top users muestra el número de errores por usuario. Mediante Fix errors, se abre SSL/TLS errors in the past 7 days y se selecciona la vista adecuada:

• En Top websites, buscar un sitio web mediante la barra de búsqueda y seleccionarlo. Los detalles muestran los tipos de errores, así como los usuarios y las direcciones IP afectados.
• En Top users, buscar por usuario o dirección IP y seleccionar la entrada. Aquí aparecen los tipos de errores y los sitios web afectados.
• En Errors, hacer clic en el número correspondiente, también para un tipo de error individual o un interlocutor afectado. Esto abre una ventana emergente de registros que contiene solo las entradas correspondientes; el sitio web figura en Server name.

Así se puede distinguir si un destino afecta a muchos usuarios o si los errores se producen en un solo cliente. Comprobar la causa mediante los registros y realizar los cambios de política necesarios en Rules and policies > SSL/TLS inspection rules, no únicamente en función de la clasificación.

En Fix errors, Hide oculta sitio, usuario o IP sin cambiar el descifrado; Show hidden y Unhide lo revierten. Registrar el filtro para no confundir una entrada oculta con un error resuelto.

Exclude from decryption es un cambio de seguridad. Add domain o Add subdomain añade el destino al grupo Local TLS exclusion list, editable en Web > URL groups. Antes, registrar FQDN exacto, clientes, Error ID, responsable, caducidad y pruebas positiva/negativa. Preferir el subdominio más específico si solo falla un host. Verificar funcionamiento, ausencia de descifrado en ese flujo y mantenimiento de la regla TLS en otros dominios. Véase el despliegue gradual de TLS Inspection.

Las listas de exclusión también se comprueban en Rules and policies > SSL/TLS inspection rules. Los sitios web excluidos solo desaparecen de la tabla de errores una vez transcurrido el intervalo de siete días; los errores anteriores siguen siendo visibles inicialmente. Ni su posterior desaparición ni Hide demuestran que se haya resuelto un problema de certificado o de confianza. Una excepción omite el descifrado dentro de su ámbito y, por tanto, debe seguir revisándose.

Para revertir, eliminar únicamente la entrada exacta añadida y solo tras confirmar propietario y uso actual. Repetir la prueba y vigilar nuevos errores de confianza/TLS. Nunca borrar como rollback una excepción compartida o preexistente.

Sesiones firewall y capacidad de descifrado

El gráfico ofrece Live, 24h, 48h, Week, Month y Year. Live se actualiza cada 30 segundos; los demás, cada cinco minutos. Categorías: Other traffic, Undecrypted SSL/TLS y Decrypted SSL/TLS.

Las categorías significan:

• Other traffic: tráfico sin cifrar.
• Undecrypted SSL/TLS: conexiones SSL/TLS que no se descifraron durante el periodo seleccionado. Para contextualizarlas, comprobar las listas de exclusión y los Decryption Profiles en Rules and policies > SSL/TLS inspection rules; esta categoría por sí sola no demuestra que exista un error.
• Decrypted SSL/TLS: número de conexiones descifradas durante el periodo seleccionado.

Para obtener valores concretos de tráfico, mover el puntero del ratón sobre el gráfico. Esto también se aplica al gráfico de sesiones de 24 horas en el desglose de TLS, que se actualiza cada cinco minutos y muestra las mismas categorías de tráfico.

Decryption peak es el máximo de conexiones descifradas simultáneas del periodo y solo aparece cuando el tráfico se acerca o supera ese nivel. Decryption limit es la capacidad del modelo y también aparece solo al acercarse. Una línea ausente no significa capacidad ilimitada. Un pico breve no prueba sobrecarga: comparar periodos y recurrencia con latencia, recursos, drops y errores de usuarios.

Validar y revertir cambios

1. Guardar valor base, periodo, filtros, usuario/IP/hostname, Error ID y Rule ID.
2. Probar una hipótesis con el cambio de menor alcance posible.
3. Repetir la misma prueba positiva; para una excepción, añadir prueba negativa fuera de alcance.
4. Respetar el intervalo de actualización y comparar logs detallados, no solo porcentajes.
5. Si no mejora, revertir y revisar fuente, periodo, web proxy, autenticación y regla aplicada.

Hide/Unhide es totalmente reversible. Una nueva exclusión TLS se revierte eliminando exactamente esa entrada si nadie más la usa. Un contador Failed reiniciado manualmente no puede restaurarse; el registro previo es la única referencia histórica fiable.