Uso de categorías web y alertas instantáneas en Sophos Firewall

Las categorías web controlan a qué sitios pueden acceder los usuarios. Las alertas instantáneas añaden avisos por correo para unas pocas categorías seleccionadas y monitorizadas. Para que ambas funciones sean fiables, la categoría, la política web, la regla de firewall, el registro y el envío de correo deben estar alineados.

Esto resulta especialmente útil en centros educativos, áreas empresariales sensibles o entornos donde determinados accesos web no deben pasar inadvertidos hasta el informe mensual.

Una categoría por sí sola no modifica el tráfico. Una política web debe asociarla a una acción y asignarse a una regla de firewall coincidente. La inspección TLS, el tratamiento de QUIC y el registro también determinan lo que el firewall puede identificar y mostrar después.

Para la planificación general de políticas web, primero configure Protección web de Sophos Firewall con políticas web. Para la base de reglas, consulte Entender y configurar correctamente las reglas de Sophos Firewall. Este artículo se centra en la parte operativa web: categorías, grupos de URL, alertas instantáneas, evaluación y reacción.

Orientación

Primero conviene elegir el método de protección o configuración adecuado para el caso real. Así se evitan reglas demasiado amplias y diagnósticos duplicados.

Separar términos claramente

Sophos utiliza varios objetos web que pueden confundirse fácilmente en el día a día.

• Categoría web: Categoría para dominios, URLs o palabras clave. Muchas categorías provienen de Sophos, pero es posible crear categorías propias. Permitir, bloquear, limitar o informar accesos web según riesgo o contenido.
• Grupo de URL: Lista de dominios que puede usarse en políticas web o excepciones TLS. Listas de permitidos o bloqueados explícitas, cuando dominios específicos son más importantes que las categorías.
• Política web: Conjunto de reglas para usuarios, grupos, categorías, grupos de URL, tipos de archivos, filtros de contenido y acciones. Controlar accesos web y vincular con una regla de firewall.
• Alertas instantáneas: Notificación por correo electrónico para accesos a categorías monitoreadas. Notificación rápida para categorías especialmente sensibles o de alto riesgo.
• Visor de registros e informes: Evaluación de la decisión real. Verificar si la categoría, política, usuario y regla de firewall funcionan como se espera.

Una política web solo tiene efecto cuando se selecciona en una regla de firewall adecuada bajo Security features > Web filtering. La política web por sí sola no es una regla productiva.

Cuándo son útiles las categorías web

Las categorías web son especialmente útiles cuando los accesos web no solo deben permitirse o bloquearse de manera general. Escenarios típicos:

• Bloquear categorías de malware, phishing y fraude.
• Restringir anonimato, proxies y servicios de evasión.
• Monitorear especialmente categorías de Command-and-Control o spyware.
• Bloquear categorías como contenido para adultos, juegos de azar o sustancias controladas según el entorno.
• Permitir aplicaciones en la nube críticas para el negocio, pero restringir servicios de nube privada o intercambio de archivos.
• En escuelas o entornos supervisados, monitorear categorías especialmente sensibles con alertas instantáneas.
• Limitar el ancho de banda para ciertas categorías web mediante modelado de tráfico.

Las categorías no deben configurarse indiscriminadamente para bloquear o alertar. De lo contrario, se generan muchos aciertos que nadie puede revisar de manera efectiva. Es mejor un conjunto pequeño y claro con propietario, ruta de reacción y revisión.

Requisitos previos

Antes de la configuración, deben aclararse los siguientes puntos:

• Se ha licenciado Protección web o un paquete adecuado de Sophos Firewall.
• Existe una regla de cliente o usuario que debe usar filtrado web.
• Se ha planificado la coincidencia de usuarios o grupos si las políticas deben aplicarse por usuario.
• Log firewall traffic está activo en la regla de firewall relevante.
• En System services > Log settings, al menos Content filtering está seleccionado para Local reporting. Para Central Reporting o Syslog, seleccione el mismo tipo de registro en la columna de destino correspondiente.
• Las notificaciones por correo electrónico funcionan si se van a utilizar alertas instantáneas.
• El modelo utilizado admite alertas instantáneas; XGS 87 y XGS 88 no admiten esta función.
• Para evaluación a largo plazo, se ha planificado Central Firewall Reporting o Syslog.
• QUIC e inspección TLS se han decidido conscientemente.

Para la evaluación centralizada, consulte Activar Central Firewall Reporting. Si los registros deben enviarse a un SIEM propio, el artículo de conexión adecuado es Enviar Syslog de Sophos Firewall a SIEM.

Planificar el diseño de la policy

Antes de configurar las alertas, se define qué categorías son relevantes, quién recibe las notificaciones y qué debe ocurrir tras una alerta.

Planificar categorías y grupos de URL

Para los administradores, es importante saber cuándo es mejor una categoría web propia y cuándo un grupo de URL.

Una categoría web propia es útil cuando:

• Se deben usar dominios o palabras clave como categoría en varias políticas web.
• La categoría debe ser visible en informes y registros.
• Se ha planificado un concepto de modelado de tráfico por categoría.
• Se debe crear una categoría monitoreada para alertas instantáneas.

Un grupo de URL suele ser mejor cuando:

• Solo se recopilan dominios específicos.
• Se necesita una lista pequeña de permitidos o bloqueados.
• La lista también debe usarse para excepciones TLS.
• Se debe evitar la coincidencia de palabras clave.

Para coincidencias de dominio puras, los grupos de URL son más directos y fáciles de revisar que las categorías con palabras clave. Las categorías de palabras clave deben usarse con moderación, especialmente para reglas de permitidos.

Un grupo de URL contiene dominios válidos. No se permiten expresiones regulares; las entradas se evalúan con OR, por lo que basta una coincidencia. La ayuda actual de SFOS 22 no especifica un máximo fijo. Esto no garantiza listas ilimitadas. Para listas grandes o mantenidas dinámicamente, conviene comprobar si una base de categorías importada o un threat feed es más adecuado.

Crear y utilizar URL Groups de forma segura muestra el procedimiento completo de creación, Web Policy, TLS y pruebas.

Generative AI como categoría web en SFOS 23.0

SFOS 23.0 documenta Generative AI como categoría web integrada para sitios y servicios que permiten crear o transformar contenido mediante prompts. Se excluyen expresamente los sitios cuyo propósito principal no es la IA generativa. Por tanto, una función adicional de IA dentro de otro servicio no basta para dar por hecho que ese servicio pertenece a esta categoría. La categoría no garantiza detectar todo uso de IA.

Esta clasificación de URL de Sophos se utiliza mediante una Web Policy. Es distinta de las firmas de aplicaciones y de la categoría de aplicaciones Generative AI de Application Control. Una categoría web personalizada con el mismo nombre no se sincroniza automáticamente con el catálogo de aplicaciones. Una lista de dominios mantenida por el administrador en un grupo de URL o categoría personalizada también es un objeto separado, con su propio responsable y fecha de revisión, no la categoría integrada.

Antes de aplicar un bloqueo generalizado, se verifica el efecto en la versión instalada mediante un piloto limitado:

1. Comprobar la categoría en Web > Categories y utilizar Diagnostics > URL category lookup con una URL de prueba autorizada e inocua. La consulta solo muestra la clasificación, no la decisión real de la política; una categoría personalizada puede determinar el resultado mostrado.
2. En Web > Policies, revisar la categoría, las acciones HTTP/HTTPS y el orden de las reglas. La política debe estar seleccionada en la regla de firewall correspondiente, bajo Security features > Web filtering. Comprobar Enable logging and reporting, Log firewall traffic y Content filtering en System services > Log settings > Local reporting.
3. Complementar Policy tester con una solicitud real y controlada desde un cliente; revisar en Log Viewer la categoría utilizada, la Web Policy, la regla de firewall y la acción. Evaluar por separado las decisiones de Application Control. Ante diferencias, comprobar primero categorías personalizadas, orden de reglas, excepciones y ruta TLS/QUIC, sin asumir una detección completa de IA.

Controlar la IA generativa explica cómo elegir entre categoría web, Application Filter y lista de dominios complementaria, además del procedimiento piloto.

¿Bloquear, alertar o solo informar?

No todas las categorías necesitan el mismo tratamiento. Un buen diseño de protección web separa las decisiones de seguridad estrictas de las advertencias y la evaluación pura.

• Bloquear: Malware, phishing, servicios de evasión conocidos, categorías claramente prohibidas. un sitio legítimo puede ser bloqueado si la categoría es incorrecta
• Advertir: Áreas grises, entornos de capacitación, categorías conscientemente permitidas. los usuarios se acostumbran a las advertencias y hacen clic automáticamente para continuar
• Alerta instantánea: pocas categorías con verdadera obligación de reacción. demasiadas alertas conducen a fatiga de alerta
• Solo informar: análisis de tendencias, informes de uso, señales débiles. los aciertos solo se hacen visibles más tarde

Para entornos productivos, a menudo es mejor una selección pequeña y clara que un catálogo máximo. Si nadie evalúa una alerta, la categoría no debe configurarse como alerta instantánea. Si una categoría siempre debe bloquearse, una alerta adicional solo es útil si resulta en un seguimiento concreto.

Existe un límite fijo del sistema para los sitios que Sophos clasifica como actividad criminal especialmente reprobable: el firewall los bloquea independientemente de la política web o de una excepción y oculta el nombre de dominio en los registros e informes. En este caso, la ausencia del dominio no es un error de registro.

Configuración

La configuración debe ser precisa, comprobable y fácil de revisar más adelante.

Crear o ajustar una categoría web

La ruta del menú es:

Web > Categories

Proceso básico:

1. Editar una categoría existente o seleccionar Add.
2. Asignar un nombre.
3. Seleccionar la clasificación.
4. Opcionalmente, seleccionar una política de modelado de tráfico.
5. Elegir el tipo de configuración.
6. Agregar dominios o palabras clave.
7. Opcionalmente, activar Instant alerts.
8. Guardar.

En categorías propias, el nombre debe describir claramente el propósito. Nombres como Custom1 o Blocklist no son útiles más adelante. Es mejor usar nombres como Alert_Self_Harm, Block_Proxy_Anonymizer o Allow_Business_Cloud_Exceptions.

Los dominios se verifican contra el nombre de dominio en la URL e incluyen automáticamente subdominios. Las palabras clave, en cambio, se verifican contra la URL completa, incluyendo la ruta y la consulta. Esto puede ser útil, pero genera más fácilmente falsos positivos.

Si se utiliza una base de datos de URL externa, el firewall verifica esta lista cada 48 horas para actualizaciones. Este intervalo no se puede cambiar. Para listas de bloqueo públicas, se debe verificar si Configurar y operar de manera segura Sophos Firewall Threat Feeds es una mejor opción técnica.

Una categoría personalizada no sustituye la categoría predeterminada de Sophos para una URL. Una URL puede pertenecer a varias categorías. El firewall evalúa las categorías en el orden de la lista; los registros e informes muestran la utilizada para la decisión de la política. Por eso debe repetirse una solicitud real después de cambiar las entradas o su orden.

Con Local database se admiten como máximo 2,000 entradas. Un archivo .txt local contiene una entrada por línea, mientras que un archivo .csv contiene las entradas separadas por comas en una sola línea. External URL database acepta un archivo .txt, .csv, .tar, .gz o .bz2 accesible por HTTP o FTP, pero no admite autenticación en el servidor de origen. Las entradas no válidas se ignoran.

El tamaño de la caché externa depende de la memoria RAM del firewall. Sophos indica que la mayoría de los modelos con más de 4 GB de RAM pueden almacenar hasta 122,880 entradas. Antes de usar una lista grande en producción, se comprueba el límite realmente disponible en /log/nSXLd.log.

Configurar la política web

La ruta del menú es:

Web > Policies

Una política web contiene reglas para usuarios, grupos, actividades, categorías, grupos de URL, tipos de archivos, filtros de contenido, acciones y horarios.

Proceso básico:

1. Crear una nueva política web o editar una política existente.
2. Agregar una regla.
3. Seleccionar usuarios o grupos si la política debe aplicarse por usuario.
4. Seleccionar categorías o grupos de URL.
5. Establecer la acción para HTTP.
6. Verificar acción separada para HTTPS.
7. Establecer un horario si es necesario.
8. En Advanced settings, activar Enable logging and reporting si la política debe aparecer en registros e informes.
9. Activar el estado de la regla.
10. Verificar la posición de la regla.
11. Guardar.

Enable logging and reporting en la política web y Log firewall traffic en la regla de firewall cumplen funciones diferentes. Para una evaluación trazable se deben revisar ambas opciones.

El orden dentro de la política web es crucial. Las reglas se evalúan de arriba a abajo. Una regla de permitidos amplia por encima de una regla de bloqueos específica puede hacer que la regla de bloqueos nunca se aplique.

Si los usuarios están configurados en la regla de firewall y en la política web, se debe probar conscientemente el efecto. Los usuarios en las reglas de firewall pueden tener prioridad sobre los usuarios en las políticas web. En caso de aciertos poco claros, no solo se debe verificar la política web, sino también la regla de firewall.

Activar la política web en la regla de firewall

La ruta del menú es:

Rules and policies > Firewall rules > [Rule] > Security features > Web filtering

Proceso básico:

1. Abrir la regla de cliente o servidor relevante.
2. Verificar zona de origen, red de origen, zona de destino y servicios.
3. Activar Log firewall traffic.
4. En Web filtering, seleccionar la política web deseada.
5. Activar o desactivar conscientemente Block QUIC protocol.
6. Verificar configuraciones de escaneo de malware y escaneo HTTPS.
7. Guardar.
8. Probar con el probador de políticas, el visor de registros y el tráfico real del cliente.

QUIC es un factor perturbador común para el filtrado web. Cuando los navegadores se comunican a través de UDP 443, la lógica y la visibilidad no siempre coinciden con la expectativa de HTTPS clásico a través de TCP. Para más detalles, consulte Bloquear correctamente QUIC y HTTP/3 en Sophos Firewall.

Si los contenidos HTTPS o las rutas completas de URL son relevantes, la categorización web por sí sola no siempre es suficiente. Entonces, debe planificarse la inspección TLS. Esto no debe hacerse de manera improvisada, ya que afecta certificados, excepciones, privacidad, rendimiento y procesos de soporte. El despliegue está descrito en Implementar correctamente la inspección TLS en Sophos Firewall.

Activar alertas instantáneas

Las alertas instantáneas se activan a nivel de categoría.

La ruta del menú es:

Web > Categories

Proceso básico:

1. Editar la categoría.
2. Seleccionar conscientemente la categoría para monitoreo.
3. Activar Instant alerts.
4. Guardar.
5. Abrir System services > Notifications list.
6. Activar Email notifications en la parte superior.
7. Buscar Web – Instant alerts.
8. Marcar la casilla bajo Email.
9. Verificar el servidor de correo, el remitente y los destinatarios en Administration > Notification settings.
10. Generar una solicitud de prueba y comprobar el siguiente lote de notificaciones, enviado cada cinco minutos.

El firewall envía notificaciones por correo electrónico para categorías monitoreadas en lotes cada cinco minutos. Este intervalo no se puede cambiar. Por lo tanto, una alerta no es una alarma en tiempo real al segundo, sino una notificación por correo electrónico rápida en comparación con los informes puramente posteriores.

Las alertas instantáneas no están disponibles en XGS 87 y XGS 88. Si la función no aparece en uno de estos modelos, la configuración de correo o notificaciones no es necesariamente incorrecta.

Las alertas instantáneas solo deben activarse para categorías donde un destinatario definido pueda realmente reaccionar. Una lista grande de alertas sin responsabilidad generalmente conduce a fatiga de alerta.

Análisis y operación

Las alertas solo son útiles si se revisan, clasifican y gestionan de forma coherente en la operación diaria.

Privacidad y responsabilidad interna

Las alertas de categorías web pueden contener información sobre el usuario, IP de origen, momento, categoría y, dependiendo de la visibilidad, también información de destino. Esto es útil para la seguridad y operación, pero puede plantear preguntas laborales o de privacidad según la organización.

Antes de la implementación productiva, debe aclararse:

• ¿Quién puede ver las alertas web?
• ¿Qué aciertos se revisan solo técnicamente y cuáles se tratan como incidentes de seguridad?
• ¿Cuánto tiempo se conservan los correos electrónicos de alerta, informes o eventos SIEM?
• ¿La evaluación se coordina con RRHH, privacidad o políticas internas?
• ¿Cómo se evita que se sobreinterpreten aciertos individuales inofensivos?

Técnicamente, la configuración se activa rápidamente. Operativamente, debe tratarse como un pequeño proceso de monitoreo: destinatarios, propósito, ruta de reacción y conservación deben estar alineados.

Establecer triage de alertas

Las alertas instantáneas no deben tratarse todas por igual. Un solo acierto de categoría puede ser un clic accidental inofensivo, un servicio mal clasificado, un problema de política o un verdadero incidente de seguridad. Por lo tanto, debe definirse de antemano qué aciertos se revisan de inmediato y cuáles solo se incluyen en la revisión normal.

Una triage simple ayuda:

• Alta: Malware, phishing, Command-and-Control, categorías de exploits o spyware. revisar rápidamente el visor de registros, usuario, estado del endpoint y otros registros de seguridad
• Media: Anonimizadores, proxy, intercambio de archivos, almacenamiento en la nube privado o evasión repetida de políticas. revisar patrones, aclarar contexto del usuario y ajustar la política
• Baja: áreas grises individuales sin repetición. incluir en informes o revisión semanal, no escalar de inmediato
• Falso positivo: sitio necesario para el negocio mal clasificado. revisar grupo de URL o ajuste de categoría, no establecer una regla amplia de permitidos

Esta clasificación no debe existir solo en la mente de un administrador. Es útil una breve nota operativa: categorías monitoreadas, destinatarios, tiempo de reacción, ruta de escalación, excepciones permitidas y fecha de revisión. Esto mantiene claro si una alerta solo debe documentarse, corregirse técnicamente o tratarse como un incidente.

Usar URL Category Lookup antes de la prueba de policy

Con una suscripción Web Protection activa, Diagnostics > URL category lookup muestra qué categoría asigna Sophos a una URL concreta. Se introduce la URL de prueba completa en Search URL y se hace clic en Search. El resultado muestra el nombre y la descripción de la categoría. Si la URL pertenece tanto a una categoría personalizada como a una predeterminada, la búsqueda muestra la categoría personalizada.

El lookup solo confirma la categorización. No demuestra qué regla de firewall o web policy coincide con un cliente real, si se aplica una excepción ni cómo se comportan TLS, QUIC y la ruta de tráfico efectiva. Por eso, después del lookup se utiliza Policy tester, una solicitud controlada desde un cliente y la evaluación en Log Viewer.

Probar y evaluar

Después de cada cambio, no solo se debe guardar, sino también verificar el efecto.

Pasos de verificación útiles:

1. Abrir Diagnostics > Tools > Pop-out tools > Policy tester. Web > Policies > Policy tester es un acceso alternativo a la misma herramienta.
2. Indicar URL, usuario, hora, dirección IP de origen y zona de origen; después probar Firewall, SSL/TLS, and web. Web policy only omite deliberadamente las reglas de firewall.
3. En un cliente de prueba, acceder a un sitio web adecuado.
4. Abrir Log viewer.
5. Verificar registros de filtrado web, firewall, inspección SSL/TLS y control de aplicaciones.
6. Verificar en la regla de firewall si el acierto está en la regla esperada.
7. En alertas instantáneas, verificar la recepción de correo electrónico.
8. Verificar en Sophos Fusion (antes Sophos Central) o SIEM si los eventos llegan allí.

Policy tester simula tráfico web transparente y no tiene en cuenta las rutas SD-WAN, por lo que no sustituye un flujo real. Si una regla no coincide o TLS/QUIC cambia el camino, la diferencia suele aparecer únicamente en Log Viewer o en una captura de paquetes. Para tales casos, consulte Probar regla de firewall con visor de registros, prueba de políticas y captura de paquetes.

Para la asignación de archivos de registro, consulte Solución de problemas de Sophos Firewall: Servicios y registros. Allí se incluyen awarrenhttp.log, webproxy.log y nSXLd.log para preguntas de web y categorización.

Establecer reacción a alertas instantáneas

Una alerta instantánea solo es útil si después está claro qué debe suceder. De lo contrario, se genera tráfico de correo electrónico adicional, pero no una mejor seguridad. Antes de la activación, debe definirse un flujo de reacción simple.

Para cada tipo de categoría monitoreada, al menos debe estar claro:

• ¿Quién recibe la alerta?: Evita distribuidores sin responsabilidad.
• ¿Qué tan rápido se debe reaccionar?: Separa aciertos críticos de la mera revisión.
• ¿Qué registros se revisan?: El visor de registros, Central Reporting, Syslog o registros de servicios ofrecen diferentes profundidades.
• ¿Cuándo es un acierto un incidente?: No todos los aciertos de categoría son automáticamente un incidente de seguridad.
• ¿Quién puede aprobar una excepción?: Evita reglas rápidas y amplias de permitidos sin evaluación de riesgos.
• ¿Cuándo se revisa la selección de categorías?: Reduce la fatiga de alerta debido a conjuntos de alertas demasiado amplios.

Un flujo pragmático se ve así:

1. Registrar alerta con usuario, IP de origen, categoría, URL o dominio y momento.
2. Verificar en el visor de registros qué regla de firewall y política web se aplicaron.
3. Si está disponible, usar Central Reporting o SIEM para la contextualización temporal.
4. Determinar si es un caso aislado, un patrón repetido o un falso positivo.
5. En caso de clasificación incorrecta, trabajar solo con grupo de URL o ajuste de categoría.
6. En caso de patrón sospechoso, evaluar contexto del usuario, estado del endpoint y otros registros de seguridad.
7. Documentar decisión: ignorar, observar, bloquear, excepción, incidente.

Para análisis técnico detallado, consulte Solución de problemas de Sophos Firewall: Servicios y registros, Activar Central Firewall Reporting y Enviar Syslog de Sophos Firewall a SIEM. Si no está claro si se ha alcanzado la regla de firewall correcta, consulte Probar regla de firewall con visor de registros, prueba de políticas y captura de paquetes.

Recomendación operativa

Para entornos productivos, es útil un modelo de tres etapas:

1. Bloquear: Bloquear malware, phishing, fraude, Command-and-Control, anonimato y otras categorías claramente riesgosas.
2. Monitorear: Configurar alertas instantáneas para pocas categorías sensibles.
3. Evaluar: Revisar regularmente informes web, Central Reporting o SIEM.

La frontera más importante es organizativa: una alerta necesita un destinatario, un tiempo de reacción y una decisión sobre qué hacer con los aciertos. De lo contrario, las alertas instantáneas solo generan ruido adicional en el correo electrónico.

Lista de verificación

• Licencia de Protección web verificada.
• Regla de firewall relevante identificada.
• Política web creada o ajustada.
• Política web seleccionada en la regla de firewall.
• Log firewall traffic activado en la regla.
• Block QUIC protocol decidido conscientemente.
• Inspección TLS planificada conscientemente o no utilizada conscientemente.
• Categorías críticas definidas.
• Alertas instantáneas activadas solo para pocas categorías claras.
• System services > Notifications list > Web – Instant alerts activado por correo electrónico.
• Prueba realizada con el probador de políticas.
• Prueba realizada con tráfico real del cliente.
• Visor de registros verificado.
• Central Reporting o Syslog verificado, si se espera evaluación centralizada.
• Propietario y ruta de reacción para alertas documentados.

Revertir los cambios de forma segura

Antes de cambiar la configuración, anote el estado de la categoría, la política web y su asignación a la regla de firewall. Así podrá revertir solo lo necesario sin desactivar todo el filtrado web.

1. Para detener únicamente estas alertas, desactive Instant alerts en la categoría bajo Web > Categories. No desactive Email notifications de forma global si otros eventos utilizan el correo.
2. Si cambió entradas de categoría o el orden de las reglas, restaure las entradas y posiciones anotadas.
3. Si asignó otra política web a la regla de firewall, restaure la anterior en Rules and policies > Firewall rules > [Rule] > Security features > Web filtering.
4. Repita las pruebas originales en Policy tester y en el cliente; confirme después la acción esperada en Log Viewer.

Una notificación generada antes de la reversión aún puede llegar en el siguiente lote de cinco minutos. El criterio de éxito es que una nueva solicitud controlada vuelva a recibir la acción de política anotada. Si se desactivó Instant alerts, la solicitud no debe generar otro correo de alerta web.

Troubleshooting

Si falta el resultado esperado, conviene revisar paso a paso los logs, el rule matching y el comportamiento de las policies.

Errores típicos

• La política web no se aplica: La política no está seleccionada en la regla de firewall. Verificar regla de firewall bajo Web filtering
• La categoría se permite aunque debería bloquearse: Una regla de permitidos amplia está por encima de la regla de bloqueos. Verificar orden en políticas web y reglas de firewall
• No hay alerta instantánea: La categoría no está monitorizada, Email notifications está desactivado globalmente o la casilla Email del evento no está marcada. Revisar Web > Categories, System services > Notifications list y después Administration > Notification settings.
• No hay información de usuario en el registro: El usuario no es reconocido o la regla no coincide por usuario. Verificar autenticación, STAS, portal cautivo o usuario sin cliente
• HTTPS se permite inesperadamente: No hay inspección TLS adecuada o acción HTTPS. Verificar política web, reglas de inspección SSL/TLS y descifrado
• El filtro web parece incompleto: QUIC o ruta de tráfico incorrecta. Verificar Block QUIC protocol, servicios y visor de registros
• Demasiadas alertas: Categorías elegidas demasiado amplias. Reducir lista de alertas y establecer propietario
• Falta dominio en registro/informe: Categoría especialmente crítica está anonimizada. Verificar categoría y comportamiento de Sophos

Sophos bloquea sitios web de la categoría actividad criminal altamente objetable de manera predeterminada y oculta el nombre de dominio en registros e informes. Si una entrada en esta área aparece anonimizada, esto puede ser intencional.

Preguntas frecuentes