Uso de categorías web y alertas instantáneas en Sophos Firewall

Las categorías web controlan a qué sitios pueden acceder los usuarios. Las alertas instantáneas añaden avisos por correo para unas pocas categorías seleccionadas y monitorizadas. Para que ambas funciones sean fiables, la categoría, la política web, la regla de firewall, el registro y el envío de correo deben estar alineados.

Esto resulta especialmente útil en centros educativos, áreas empresariales sensibles o entornos donde determinados accesos web no deben pasar inadvertidos hasta el informe mensual.

Una categoría por sí sola no modifica el tráfico. Una política web debe asociarla a una acción y asignarse a una regla de firewall coincidente. La inspección TLS, el tratamiento de QUIC y el registro también determinan lo que el firewall puede identificar y mostrar después.

Para la planificación general de políticas web, primero configure Protección web de Sophos Firewall con políticas web. Para la base de reglas, consulte Entender y configurar correctamente las reglas de Sophos Firewall. Este artículo se centra en la parte operativa web: categorías, grupos de URL, alertas instantáneas, evaluación y reacción.

Orientación y requisitos previos

Primero debe quedar claro qué función web cumple cada tarea. Así se evita confundir después categorías, grupos de URL, políticas web e Instant Alerts.

Separar términos claramente

Sophos utiliza varios objetos web que pueden confundirse fácilmente en el día a día.

• Categoría web: Agrupa dominios, URL o palabras clave. Muchas categorías provienen de Sophos, pero es posible crear categorías propias. Se utiliza en políticas para permitir, bloquear, limitar o registrar accesos web según el riesgo o el contenido.
• Grupo de URL: Lista de dominios que puede usarse en políticas web o excepciones TLS. Sirve para definir listas explícitas de permitidos o bloqueados cuando los dominios específicos son más importantes que las categorías.
• Política web: Conjunto de reglas para usuarios, grupos, categorías, grupos de URL, tipos de archivos, filtros de contenido y acciones. Controla los accesos web cuando se vincula con una regla de firewall.
• Alertas instantáneas: Notificaciones por correo electrónico sobre accesos a categorías monitoreadas. Proporcionan avisos rápidos para categorías especialmente sensibles o de alto riesgo.
• Visor de registros e informes: Permiten evaluar la decisión real y verificar si la categoría, la política, el usuario y la regla de firewall funcionan como se espera.

Una política web solo tiene efecto cuando se selecciona en una regla de firewall adecuada bajo Security features > Web filtering. Por sí sola, la política web no es una regla que gestione tráfico de producción.

Cuándo son útiles las categorías web

Las categorías web son especialmente útiles cuando los accesos web no solo deben permitirse o bloquearse de manera general. Escenarios típicos:

• Bloquear categorías de malware, phishing y fraude.
• Restringir servicios de anonimización (Anonymizers), proxies y servicios de evasión.
• Monitorear especialmente categorías de Command-and-Control o spyware.
• Bloquear categorías como contenido para adultos, juegos de azar o sustancias controladas según el entorno.
• Permitir aplicaciones en la nube críticas para el negocio, pero restringir servicios personales en la nube o de intercambio de archivos.
• En escuelas o entornos supervisados, monitorear categorías especialmente sensibles con alertas instantáneas.
• Limitar el ancho de banda para ciertas categorías web mediante modelado de tráfico.

Las categorías no deben configurarse indiscriminadamente para bloquear o alertar. De lo contrario, se generan muchos aciertos que nadie puede revisar de manera efectiva. Es mejor un conjunto pequeño y claro con propietario, ruta de reacción y revisión.

Requisitos previos

Antes de la configuración, deben aclararse los siguientes puntos:

• Se ha licenciado Protección web o un paquete adecuado de Sophos Firewall.
• Existe una regla de cliente o usuario que debe usar filtrado web.
• Se ha planificado la coincidencia de usuarios o grupos si las políticas deben aplicarse por usuario.
• Log firewall traffic está activo en la regla de firewall relevante.
• En System services > Log settings, al menos Content filtering está seleccionado para Local reporting. Para Central Reporting o Syslog, seleccione el mismo tipo de registro en la columna de destino correspondiente.
• Las notificaciones por correo electrónico funcionan si se van a utilizar alertas instantáneas.
• El modelo utilizado admite alertas instantáneas; XGS 87 y XGS 88 no admiten esta función.
• Para evaluación a largo plazo, se ha planificado Central Firewall Reporting o Syslog.
• Se ha tomado una decisión consciente sobre cómo gestionar QUIC y la inspección TLS.

Para la evaluación centralizada, consulte Activar Central Firewall Reporting. Si los registros deben enviarse a un SIEM propio, el artículo de conexión adecuado es Enviar Syslog de Sophos Firewall a SIEM.

Planificar el diseño de la policy

Antes de la configuración técnica, debe quedar definido qué categorías se controlan, cuáles solo generan avisos y quién responde a las alertas. Un diseño de políticas pequeño y claro suele ser mejor que un catálogo máximo.

Planificar categorías y grupos de URL

Para los administradores, es importante saber cuándo es mejor una categoría web propia y cuándo un grupo de URL.

Una categoría web propia es útil cuando:

• Se deben usar dominios o palabras clave como categoría en varias políticas web.
• La categoría debe ser visible en informes y registros.
• Se ha planificado un concepto de modelado de tráfico por categoría.
• Se debe crear una categoría monitoreada para alertas instantáneas.

Un grupo de URL suele ser mejor cuando:

• Solo se recopilan dominios específicos.
• Se necesita una lista pequeña de permitidos o bloqueados.
• La lista también debe usarse para excepciones TLS.
• Se debe evitar la coincidencia de palabras clave.

Para coincidencias solo de dominio, los grupos de URL son más directos y fáciles de revisar que las categorías con palabras clave. Utilizar estas categorías únicamente en reglas de bloqueo, no de acceso: los parámetros de consulta pueden forzar un acceso no deseado.

Un grupo de URL contiene dominios válidos. No se permiten expresiones regulares; las entradas se evalúan con OR, por lo que basta una coincidencia. La ayuda actual de SFOS 22 no especifica un máximo fijo. Esto no garantiza listas ilimitadas. Para listas grandes o mantenidas dinámicamente, conviene comprobar si una base de categorías importada o un threat feed es más adecuado.

Crear y utilizar URL Groups de forma segura muestra el procedimiento completo de creación, Web Policy, TLS y pruebas.

Distinguir categorías fijas, dinámicas y ausentes

La mayoría de las categorías integradas se basan en una consulta de URL. ActiveX, Applets, Cookies y HTTPUpload son dinámicas: el firewall las asigna mediante la inspección del contenido. Por tanto, una consulta de URL por sí sola no confirma si esa regla coincidirá con una solicitud real. ALLWebTraffic significa todo el tráfico HTTP, no solo los sitios aún desconocidos.

None y Uncategorized son resultados distintos. Con None, la consulta ha tenido éxito, pero la base de URL no contiene información de categoría. Con Uncategorized, la consulta ha fallado. Antes de crear una excepción, distinguir una clasificación ausente de un problema de categorización; ninguno de los dos resultados demuestra que un sitio sea seguro.

Elegir categorías según su significado

Una categoría no es un veredicto general de seguridad sobre todos los contenidos de un servicio. Estas diferencias importan al elegir las acciones de política:

• CRL and OCSP corresponde a comprobaciones de revocación de certificados; Software updates, a actualizaciones de software habitual. Estos accesos suelen ser necesarios. Download freeware & shareware excluye expresamente los sitios de actualización de sistemas operativos, antivirus y otros programas críticos. Bloquear descargas no debe impedir actualizaciones accidentalmente.
• Content delivery suele abarcar contenido secundario o integrado de otros sitios. Un bloqueo general puede romper sitios aprobados; revisar el host de destino real y el sitio principal en los registros antes de conceder una excepción.
• Command & control identifica servidores conocidos de control de malware, Spyware & malware, sitios con contenido malicioso, y Phishing & fraud, entre otros, sitios fraudulentos y de phishing. Newly registered websites y Parked Domain son señales de riesgo, no pruebas de malware.
• Business cloud apps, Personal cloud apps y Personal network storage distinguen aplicaciones empresariales, servicios personales en la nube y almacenamiento de red privado. Decidir según el riesgo de fuga de datos y la necesidad empresarial, no solo por la palabra «nube».
• Anonymizers y Translators pueden eludir el filtrado; Image search, Portal sites y los buscadores pueden mostrar contenidos de otras categorías. Permitir el sitio principal no significa permitir todos los destinos integrados.
• Live audio, Live video, Video hosting, Surveillance y Voice & video calls distinguen streaming, vídeo bajo demanda, vigilancia y comunicación. Elegir modelado de tráfico o bloqueo depende del servicio necesario. Los sitios de casinos, hoteles y complejos turísticos pertenecen a Travel cuando no ofrecen ni juegos de azar en línea ni consejos sobre apuestas o juegos. El nombre del hotel por sí solo no demuestra su clasificación.

Glosario compacto para el diagnóstico y los entornos sensibles

• HTTPUpload corresponde a restricciones de subida mediante HTTP y es una categoría dinámica; IPAddress corresponde a sitios a los que se accede mediante direcciones IP. Identifican casos distintos para las reglas y el diagnóstico, no sinónimos de clasificación ausente.
• Pro-suicide & self-harm abarca sitios que promueven el suicidio o las autolesiones. Los centros educativos pueden supervisar posibles riesgos para el alumnado con esta categoría. Las páginas de salud mental, ayuda y apoyo no pertenecen a ella solo por su temática. Una coincidencia exige revisión humana, no una conclusión automática de incidente.
• Sex education abarca sitios con imágenes o textos sobre el uso correcto de anticonceptivos, como la píldora y el DIU, y sobre cómo hablar con la pareja de enfermedades, embarazo y respeto de los límites personales. Excluye los sitios comerciales que venden productos sexuales, normalmente incluidos en Sexually explicit. Sexually explicit abarca productos para adultos, como juguetes sexuales, CD-ROM y vídeos; servicios para adultos, como videoconferencias, servicios de acompañantes y clubes de striptease; material de abuso sexual infantil y pedofilia, incluida la lista de la IWF; relatos eróticos y descripciones textuales de actos sexuales; dibujos y animaciones explícitos; grupos en línea, incluidos grupos de noticias y foros de contenido sexual explícito; sitios de carácter sexual o erótico con desnudos completos o parciales; y representaciones o imágenes de actos sexuales, incluso con animales u objetos inanimados utilizados de forma sexual. También incluye textos o imágenes de explotación o violencia sexual, bondage, fetiches, perforaciones genitales, sitios naturistas con desnudos y fotografía erótica o fetichista con desnudos. Excluye los sitios sobre salud sexual, cáncer de mama e infecciones de transmisión sexual, salvo aquellos con ejemplos gráficos.
• Intolerance & hate abarca sitios que promueven o incitan la degradación o los ataques contra poblaciones o instituciones por religión, raza, nacionalidad, género, edad, discapacidad u orientación sexual; agendas políticas o sociales supremacistas que excluyen a otros por esas características; negación o revisionismo del Holocausto y otros revisionismos que fomentan el odio; coacción o captación para pertenecer a bandas o sectas; militancia y extremismo; y material manifiestamente insensible u ofensivo, incluido el que no reconoce o respeta opiniones y creencias contrarias. En esta definición, una banda es un grupo cuya actividad principal consiste en cometer delitos graves, con un nombre, signo o símbolo común y miembros que, individual o colectivamente, delinquen en su nombre. Una secta capta y retiene seguidores mediante engaño, manipulación e influencia indebida que altera su personalidad y conducta; su liderazgo es todopoderoso, su ideología totalista, la voluntad individual queda subordinada al grupo y este se sitúa al margen de la sociedad. La categoría excluye noticias, material histórico y reportajes de prensa que puedan contener estos elementos, salvo ejemplos gráficos. Informar no equivale automáticamente a promover.
• Radio & audio hosting abarca audio y música legítimos bajo demanda, con Spotify y Pandora como ejemplos descriptivos, a diferencia de las emisiones en directo de eventos o programas en Live audio. Estos ejemplos no garantizan la clasificación actual de una URL concreta. Online Chat abarca chat web y mensajería instantánea; Voice & video calls corresponde a telefonía por Internet y videollamadas. Seleccionar según la forma de comunicación necesaria.
• Gambling abarca juegos de azar y loterías en línea con dinero real o virtual; información o consejos para apostar, participar en loterías o juegos de azar o en apuestas numéricas clandestinas; casinos virtuales y servicios de apuestas extraterritoriales; pronósticos deportivos y apuestas colectivas; y deportes virtuales y ligas de fantasía con grandes premios o apuestas de importe significativo. Games abarca sitios para jugar o descargar juegos, alojar juegos o concursos, consultar consejos y códigos de trucos, y leer revistas y publicaciones dedicadas a los juegos en línea. No equiparar los juegos de azar con los juegos en general; para sitios de casinos, hoteles y complejos turísticos sigue siendo válida la distinción de Travel explicada anteriormente.
• Unauthorized software stores abarca la distribución de software y aplicaciones de legitimidad dudosa para ordenadores y dispositivos móviles, con descargas potencialmente maliciosas o con troyanos. No toda tienda no autorizada es demostrablemente maliciosa. Distinguirla de las Software updates necesarias y aprobadas para productos habituales.

Para categorías sensibles, utilizar solo casos de prueba inocuos y aprobados y recursos de prueba controlados; nunca visitar contenido ilegal o perturbador. Revisar de forma humana categoría, contexto y posibles errores de clasificación antes de escalar. Las definiciones temáticas ordinarias del catálogo y los ejemplos históricos de servicios se omiten por motivos editoriales; no son mera navegación ni se presentan como una taxonomía completamente traducida.

Antes de cambios amplios, guardar la política y probar con destinos inocuos y aprobados tanto la coincidencia esperada como las actualizaciones necesarias y las comprobaciones de revocación. Si hay fallos, restaurar la acción de la categoría afectada y repetir las pruebas en vez de desactivar todo el filtrado web.

Generative AI como categoría web en SFOS 23.0

SFOS 23.0 documenta Generative AI como categoría web integrada para sitios y servicios que permiten crear o transformar contenido mediante prompts. Se excluyen expresamente los sitios cuyo propósito principal no es la IA generativa. Por tanto, una función adicional de IA dentro de otro servicio no basta para dar por hecho que ese servicio pertenece a esta categoría. La categoría no garantiza detectar todo uso de IA.

Esta clasificación de URL de Sophos se utiliza mediante una Web Policy. Es distinta de las firmas de aplicaciones y de la categoría de aplicaciones Generative AI de Application Control. Una categoría web personalizada con el mismo nombre no se sincroniza automáticamente con el catálogo de aplicaciones. Una lista de dominios mantenida por el administrador en un grupo de URL o categoría personalizada también es un objeto separado, con su propio responsable y fecha de revisión, no la categoría integrada.

Antes de aplicar un bloqueo generalizado, se verifica el efecto en la versión instalada mediante un piloto limitado:

1. Comprobar la categoría en Web > Categories y utilizar Diagnostics > URL category lookup con una URL de prueba autorizada e inocua. La consulta solo muestra la clasificación, no la decisión real de la política; una categoría personalizada puede determinar el resultado mostrado.
2. En Web > Policies, revisar la categoría, las acciones HTTP/HTTPS y el orden de las reglas. La política debe estar seleccionada en la regla de firewall correspondiente, bajo Security features > Web filtering. Comprobar Enable logging and reporting, Log firewall traffic y Content filtering en System services > Log settings > Local reporting.
3. Complementar Policy tester con una solicitud real y controlada desde un cliente; revisar en Log Viewer la categoría utilizada, la Web Policy, la regla de firewall y la acción. Evaluar por separado las decisiones de Application Control. Ante diferencias, comprobar primero categorías personalizadas, orden de reglas, excepciones y ruta TLS/QUIC, sin asumir una detección completa de IA.

Controlar la IA generativa explica cómo elegir entre categoría web, Application Filter y lista de dominios complementaria, además del procedimiento piloto.

¿Bloquear, alertar o solo informar?

No todas las categorías necesitan el mismo tratamiento. Un buen diseño de protección web separa las decisiones de seguridad estrictas de las advertencias y la evaluación pura.

• Bloquear: Malware, phishing, servicios de evasión conocidos y categorías claramente prohibidas. Un sitio legítimo puede quedar bloqueado si la clasificación es incorrecta.
• Advertir: Áreas grises, entornos de capacitación y categorías permitidas de forma deliberada. Los usuarios pueden acostumbrarse a las advertencias y continuar automáticamente.
• Alerta instantánea: Pocas categorías con una obligación real de respuesta. Demasiadas alertas provocan fatiga de alertas.
• Solo informar: Análisis de tendencias, informes de uso y señales débiles. Las coincidencias solo se hacen visibles más tarde.

Para entornos productivos, a menudo es mejor una selección pequeña y clara que un catálogo máximo. Si nadie evalúa una alerta, la categoría no debe configurarse como alerta instantánea. Si una categoría siempre debe bloquearse, una alerta adicional solo es útil si resulta en un seguimiento concreto.

Existe un límite fijo del sistema para los sitios que Sophos clasifica como actividad criminal especialmente reprobable: el firewall los bloquea independientemente de la política web o de una excepción y oculta el nombre de dominio en los registros e informes. En este caso, la ausencia del dominio no es un error de registro.

Configuración

La configuración consta de cuatro partes: categoría o grupo de URL, política web, regla de firewall y, opcionalmente, Instant Alerts. Solo cuando estas partes encajan se observa un efecto en el tráfico de producción.

Crear o ajustar una categoría web

La ruta del menú es:

Web > Categories

Proceso básico:

1. Editar una categoría existente o seleccionar Add.
2. Asignar un nombre.
3. Seleccionar la clasificación.
4. Opcionalmente, seleccionar una política de modelado de tráfico.
5. Elegir el tipo de configuración.
6. Agregar dominios o palabras clave.
7. Opcionalmente, activar Instant alerts.
8. Guardar.

En categorías propias, el nombre debe describir claramente el propósito. Nombres como Custom1 o Blocklist no son útiles más adelante. Es mejor usar nombres como Alert_Self_Harm, Block_Proxy_Anonymizer o Allow_Business_Cloud_Exceptions.

Los dominios se verifican contra el nombre de dominio en la URL e incluyen automáticamente subdominios. Las palabras clave, en cambio, se verifican contra la URL completa, incluyendo la ruta y la consulta. Esto puede ser útil, pero genera más fácilmente falsos positivos.

Si se utiliza una base de datos de URL externa, el firewall verifica esta lista cada 48 horas para actualizaciones. Este intervalo no se puede cambiar. Para listas de bloqueo públicas, se debe verificar si Configurar y operar de manera segura Sophos Firewall Threat Feeds es una mejor opción técnica.

Una categoría personalizada no sustituye la categoría predeterminada de Sophos para una URL. Una URL puede pertenecer a varias categorías. El firewall evalúa las categorías en el orden de la lista; los registros e informes muestran la utilizada para la decisión de la política. Por eso debe repetirse una solicitud real después de cambiar las entradas o su orden.

Con Local database se admiten como máximo 2,000 entradas. Un archivo .txt local contiene una entrada por línea, mientras que un archivo .csv contiene las entradas separadas por comas en una sola línea. External URL database acepta un archivo .txt, .csv, .tar, .gz o .bz2 accesible por HTTP o FTP, pero no admite autenticación en el servidor de origen. Las entradas no válidas se ignoran.

El tamaño de la caché externa depende de la memoria RAM del firewall. Sophos indica que la mayoría de los modelos con más de 4 GB de RAM pueden almacenar hasta 122,880 entradas. Antes de usar una lista grande en producción, se comprueba el límite realmente disponible en /log/nSXLd.log.

Revisar entradas e importaciones

Classification permite filtrar y gestionar categorías. Traffic shaping policy define límites de uso y ancho de banda de subida y bajada; mantener None si no se desea limitarlo. Configuration type inicialmente es Local. Introducir una entrada en Search/Add y seleccionar Add, o importar un archivo local mediante Browse. Para una base externa, añadir allí la URL de origen.

Las entradas de dominio pueden incluir una ruta o consulta, como example.com/research o example.com/search?q=report; no deben incluir un prefijo de protocolo como https://. Son ejemplos de sintaxis, no destinos de prueba autorizados. Las palabras clave deben empezar por una letra, un dígito o _. Se descartan caracteres no válidos, entradas de dominio incorrectas y líneas vacías. Si un archivo local supera 2,000 entradas, solo se importan las primeras 2,000. Los archivos comprimidos de bases externas deben contener archivos de texto. La base externa no tiene un límite fijo de entradas; eso no convierte en ilimitada su caché, que depende de la RAM.

No crear una lista de permitidos con palabras clave: estas comprobaciones son menos eficientes e incluyen parámetros de consulta. Una categoría permitida con la palabra clave research podría coincidir con blocked.example/?tag=research, aunque el dominio debería seguir bloqueado. Utilizar categorías con palabras clave solo en reglas de bloqueo, no para conceder acceso. Un grupo de URL es más adecuado para excepciones basadas únicamente en dominios. Documentar las entradas y la política antes de importar; después, verificar la lista guardada, una coincidencia prevista y una no coincidencia. Si los resultados son incorrectos, restaurar las entradas anteriores en lugar de relajar ampliamente los bloqueos.

Página de bloqueo específica de la categoría

En Advanced settings > Override default notification page, un mensaje personalizado puede sustituir al predeterminado cuando esta categoría bloquea un sitio. Los marcadores {category}, {user} y {url} muestran categoría, nombre de usuario y URL bloqueada. Incluir solo los datos necesarios: los usuarios y las URL pueden revelar información sensible. Guardar el mensaje y la configuración anteriores; después, comprobar un destino inocuo bloqueado en una prueba controlada. Si la presentación no es adecuada, restaurar el texto anterior o la página predeterminada; modificar el mensaje no permite acceder al sitio.

Configurar la política web

La ruta del menú es:

Web > Policies

Una política web contiene reglas para usuarios, grupos, actividades, categorías, grupos de URL, tipos de archivos, filtros de contenido, acciones y horarios.

Proceso básico:

1. Crear una nueva política web o editar una política existente.
2. Agregar una regla.
3. Seleccionar usuarios o grupos si la política debe aplicarse por usuario.
4. Seleccionar categorías o grupos de URL.
5. Establecer la acción para HTTP.
6. Verificar acción separada para HTTPS.
7. Establecer un horario si es necesario.
8. En Advanced settings, activar Enable logging and reporting si la política debe aparecer en registros e informes.
9. Activar el estado de la regla.
10. Verificar la posición de la regla.
11. Guardar.

Enable logging and reporting en la política web y Log firewall traffic en la regla de firewall cumplen funciones diferentes. Para una evaluación trazable se deben revisar ambas opciones.

El orden dentro de la política web es crucial. Las reglas se evalúan de arriba a abajo. Una regla de permitidos amplia por encima de una regla de bloqueos específica puede hacer que la regla de bloqueos nunca se aplique.

Si los usuarios están configurados en la regla de firewall y en la política web, se debe probar conscientemente el efecto. Los usuarios en las reglas de firewall pueden tener prioridad sobre los usuarios en las políticas web. En caso de aciertos poco claros, no solo se debe verificar la política web, sino también la regla de firewall.

Activar la política web en la regla de firewall

La ruta del menú es:

Rules and policies > Firewall rules > [Rule] > Security features > Web filtering

Proceso básico:

1. Abrir la regla de cliente o servidor relevante.
2. Verificar zona de origen, red de origen, zona de destino y servicios.
3. Activar Log firewall traffic.
4. En Web filtering, seleccionar la política web deseada.
5. Activar conscientemente Block QUIC protocol o desactivarlo con una justificación documentada.
6. Verificar configuraciones de escaneo de malware y escaneo HTTPS.
7. Guardar.
8. Probar con el probador de políticas, el visor de registros y el tráfico real del cliente.

QUIC es un factor perturbador común para el filtrado web. Cuando los navegadores se comunican a través de UDP 443, la lógica y la visibilidad no siempre coinciden con la expectativa de HTTPS clásico a través de TCP. Para más detalles, consulte Bloquear correctamente QUIC y HTTP/3 en Sophos Firewall.

Si los contenidos HTTPS o las rutas completas de URL son relevantes, la categorización web por sí sola no siempre es suficiente. Entonces, debe planificarse la inspección TLS. Esto no debe hacerse de manera improvisada, ya que afecta certificados, excepciones, privacidad, rendimiento y procesos de soporte. El despliegue está descrito en Implementar correctamente la inspección TLS en Sophos Firewall.

Ejemplo: permitir categorías solo a un grupo de investigación

Una excepción limitada a un grupo es más segura que una regla de acceso general. Primero documentar la política, la posición de la regla de firewall y la configuración del grupo; comprobar también que los usuarios de prueba se identifican correctamente. Research, Web categories y Web research group son nombres de ejemplo elegidos libremente.

1. Crear Research en Authentication > Groups > Add. Elegir conscientemente Surfing quota y Access time, y seleccionar Save. Unlimited internet access y Allowed all the time son valores posibles, no requisitos para una excepción de categoría: el uso ilimitado y el acceso permanente requieren aprobación independiente.
2. En Web > Policies > Add policy, crear Web categories y seleccionar Add rule. La nueva regla está arriba, inicialmente desactivada, y su configuración inicial bloquearía todo el tráfico HTTP de todos los usuarios. Cambiar la selección antes de activarla.
3. En Activities, abrir All web traffic > Add new item, desmarcar All web traffic y seleccionar únicamente las categorías aprobadas en Show only > Web category. Confirmar con Apply selected items.
4. En Action, seleccionar Allow HTTP, revisar conscientemente la acción HTTPS independiente, activar Status y guardar. No omitir por accidente el registro ni las demás reglas.
5. En Rules and policies > Firewall rules, elegir IPv4 o IPv6 y Add firewall rule. Limitar Web research group a las redes de origen, zonas, destinos y servicios necesarios. En el selector de usuarios/grupos, usar Add new item, desmarcar Any, elegir Research y seleccionar Apply selected items. Asignar la política en Security features > Web filtering.
6. Después de Save, arrastrar la regla antes de la regla general del entorno de trabajo, sin colocarla indiscriminadamente por encima de otras reglas de seguridad. Probar con un miembro y un no miembro: solo el grupo autorizado debe acceder a la categoría aprobada; otras categorías y usuarios deben seguir la política base prevista. Confirmar ID de regla, categoría y acción en Log Viewer.

Si se permite acceso inesperado, desactivar la nueva regla de excepción y restaurar el orden o la asignación de política documentados. Repetir ambas pruebas de usuario. La pertenencia al grupo no demuestra por sí sola que se haya aplicado la regla de firewall correcta.

El ejemplo documentado denomina Identity a la asignación de usuarios y Advanced a la selección de política. Los nombres de sección pueden variar entre interfaces. Lo importante es la selección restringida de usuarios/grupos y la asignación de Web Policy en Web filtering en la versión instalada; no activar la excepción si la asignación no está clara.

Activar alertas instantáneas

Las alertas instantáneas se activan a nivel de categoría. Están desactivadas de forma predeterminada para todas las categorías. El icono de filtro junto a Instant alerts en Web > Categories permite mostrar y revisar las categorías supervisadas.

La ruta del menú es:

Web > Categories

Proceso básico:

1. Editar la categoría.
2. Seleccionar conscientemente la categoría para monitoreo.
3. Activar Instant alerts.
4. Guardar.
5. Abrir System services > Notifications list.
6. Activar Email notifications en la parte superior.
7. Buscar Web – Instant alerts.
8. Marcar la casilla bajo Email.
9. Verificar el servidor de correo, el remitente y los destinatarios en Administration > Notification settings.
10. Generar una solicitud de prueba y comprobar el siguiente lote de notificaciones, enviado cada cinco minutos.

El firewall envía notificaciones por correo electrónico para categorías monitoreadas en lotes cada cinco minutos. Este intervalo no se puede cambiar. Por lo tanto, una alerta no es una alarma en tiempo real precisa al segundo, sino una notificación rápida por correo electrónico en comparación con los informes retrospectivos.

Las alertas instantáneas no están disponibles en XGS 87 y XGS 88. Si la función no aparece en uno de estos modelos, la configuración de correo o notificaciones no es necesariamente incorrecta.

Las alertas instantáneas solo deben activarse para categorías donde un destinatario definido pueda realmente reaccionar. Una lista grande de alertas sin responsabilidad generalmente conduce a fatiga de alerta.

Análisis y operación

Después de la activación, no basta con que la política funcione técnicamente. También importa quién ve las coincidencias, cómo se evalúan las alertas y si los registros están disponibles para análisis posteriores.

Privacidad y responsabilidad interna

Las alertas de categorías web pueden contener información sobre el usuario, IP de origen, momento, categoría y, dependiendo de la visibilidad, también información de destino. Esto es útil para la seguridad y operación, pero puede plantear preguntas laborales o de privacidad según la organización.

Antes de la implementación productiva, debe aclararse:

• ¿Quién puede ver las alertas web?
• ¿Qué aciertos se revisan solo técnicamente y cuáles se tratan como incidentes de seguridad?
• ¿Cuánto tiempo se conservan los correos electrónicos de alerta, informes o eventos SIEM?
• ¿La evaluación se coordina con RRHH, privacidad o políticas internas?
• ¿Cómo se evita que se sobreinterpreten aciertos individuales inofensivos?

Técnicamente, la configuración se activa rápidamente. Operativamente, debe tratarse como un pequeño proceso de monitoreo: destinatarios, propósito, ruta de reacción y conservación deben estar alineados.

Definir la clasificación inicial de alertas

Las alertas instantáneas no deben tratarse todas por igual. Un solo acierto de categoría puede ser un clic accidental inofensivo, un servicio mal clasificado, un problema de política o un verdadero incidente de seguridad. Por lo tanto, debe definirse de antemano qué aciertos se revisan de inmediato y cuáles solo se incluyen en la revisión normal.

Una clasificación inicial sencilla ayuda a priorizar las alertas:

• Alta: Malware, phishing, Command-and-Control y categorías de exploits o spyware. Revisar cuanto antes el visor de registros, el usuario, el estado del endpoint y otros registros de seguridad.
• Media: Anonimizadores, proxies, intercambio de archivos, almacenamiento privado en la nube o evasión repetida de políticas. Revisar patrones, aclarar el contexto del usuario y ajustar la política.
• Baja: Casos aislados en áreas grises, sin repetición. Incluirlos en los informes o en la revisión semanal, sin escalar de inmediato.
• Falso positivo: Sitio necesario para el negocio mal clasificado. Revisar un grupo de URL específico o ajustar la categoría, sin establecer una regla amplia de permitidos.

Esta clasificación no debe existir solo en la mente de un administrador. Es útil una breve nota operativa: categorías monitoreadas, destinatarios, tiempo de reacción, ruta de escalación, excepciones permitidas y fecha de revisión. Esto mantiene claro si una alerta solo debe documentarse, corregirse técnicamente o tratarse como un incidente.

Usar URL Category Lookup antes de la prueba de policy

Con una suscripción Web Protection activa, Diagnostics > URL category lookup muestra qué categoría asigna Sophos a una URL concreta. Se introduce la URL de prueba completa en Search URL y se hace clic en Search. El resultado muestra el nombre y la descripción de la categoría. Si la URL pertenece tanto a una categoría personalizada como a una predeterminada, la búsqueda muestra la categoría personalizada.

El lookup solo confirma la categorización. No demuestra qué regla de firewall o web policy coincide con un cliente real, si se aplica una excepción ni cómo se comportan TLS, QUIC y la ruta de tráfico efectiva. Por eso, después del lookup se utiliza Policy tester, una solicitud controlada desde un cliente y la evaluación en Log Viewer.

Probar y evaluar

Después de cada cambio, no solo se debe guardar, sino también verificar el efecto.

Pasos de verificación útiles:

1. Abrir Diagnostics > Tools > Pop-out tools > Policy tester. Web > Policies > Policy tester es un acceso alternativo a la misma herramienta.
2. Indicar URL, usuario, hora, dirección IP de origen y zona de origen; después probar Firewall, SSL/TLS, and web. Web policy only omite deliberadamente las reglas de firewall.
3. En un cliente de prueba, acceder a un sitio web adecuado.
4. Abrir Log viewer.
5. Verificar registros de filtrado web, firewall, inspección SSL/TLS y control de aplicaciones.
6. Verificar en la regla de firewall si el acierto está en la regla esperada.
7. En alertas instantáneas, verificar la recepción de correo electrónico.
8. Verificar en Sophos Fusion (antes Sophos Central) o SIEM si los eventos llegan allí.

Policy tester simula tráfico web transparente y no tiene en cuenta las rutas SD-WAN, por lo que no sustituye un flujo real. Si una regla no coincide o TLS/QUIC cambia el camino, la diferencia suele aparecer únicamente en Log Viewer o en una captura de paquetes. Para tales casos, consulte Probar regla de firewall con visor de registros, prueba de políticas y captura de paquetes.

Para la asignación de archivos de registro, consulte Solución de problemas de Sophos Firewall: Servicios y registros. Allí se incluyen awarrenhttp.log, webproxy.log y nSXLd.log para preguntas de web y categorización.

Establecer reacción a alertas instantáneas

Una alerta instantánea solo es útil si después está claro qué debe suceder. De lo contrario, se genera tráfico de correo electrónico adicional, pero no una mejor seguridad. Antes de la activación, debe definirse un flujo de reacción simple.

Para cada tipo de categoría monitoreada, al menos debe estar claro:

• ¿Quién recibe la alerta?: Evita listas de distribución sin responsables.
• ¿Qué tan rápido se debe reaccionar?: Separa aciertos críticos de la mera revisión.
• ¿Qué registros se revisan?: El visor de registros, Central Reporting, Syslog o registros de servicios ofrecen diferentes profundidades.
• ¿Cuándo es un acierto un incidente?: No todos los aciertos de categoría son automáticamente un incidente de seguridad.
• ¿Quién puede aprobar una excepción?: Evita reglas rápidas y amplias de permitidos sin evaluación de riesgos.
• ¿Cuándo se revisa la selección de categorías?: Reduce la fatiga de alerta debido a conjuntos de alertas demasiado amplios.

Un flujo pragmático se ve así:

1. Registrar alerta con usuario, IP de origen, categoría, URL o dominio y momento.
2. Verificar en el visor de registros qué regla de firewall y política web se aplicaron.
3. Si está disponible, usar Central Reporting o SIEM para la contextualización temporal.
4. Determinar si es un caso aislado, un patrón repetido o un falso positivo.
5. En caso de clasificación incorrecta, trabajar solo con grupo de URL o ajuste de categoría.
6. En caso de patrón sospechoso, evaluar contexto del usuario, estado del endpoint y otros registros de seguridad.
7. Documentar decisión: ignorar, observar, bloquear, excepción, incidente.

Para análisis técnico detallado, consulte Solución de problemas de Sophos Firewall: Servicios y registros, Activar Central Firewall Reporting y Enviar Syslog de Sophos Firewall a SIEM. Si no está claro si se ha alcanzado la regla de firewall correcta, consulte Probar regla de firewall con visor de registros, prueba de políticas y captura de paquetes.

Recomendación operativa

Para entornos productivos, es útil un modelo de tres etapas:

1. Bloquear: Bloquear malware, phishing, fraude, Command-and-Control, anonimizadores (Anonymizers) y otras categorías claramente riesgosas.
2. Monitorear: Configurar alertas instantáneas para pocas categorías sensibles.
3. Evaluar: Revisar regularmente informes web, Central Reporting o SIEM.

La frontera más importante es organizativa: una alerta necesita un destinatario, un tiempo de reacción y una decisión sobre qué hacer con los aciertos. De lo contrario, las alertas instantáneas solo generan ruido adicional en el correo electrónico.

Lista de verificación

• Licencia de Protección web verificada.
• Regla de firewall relevante identificada.
• Política web creada o ajustada.
• Política web seleccionada en la regla de firewall.
• Log firewall traffic activado en la regla.
• Decisión documentada sobre si activar Block QUIC protocol.
• Inspección TLS planificada o decisión consciente de no utilizarla.
• Categorías críticas definidas.
• Alertas instantáneas activadas solo para pocas categorías claras.
• System services > Notifications list > Web – Instant alerts activado por correo electrónico.
• Prueba realizada con el probador de políticas.
• Prueba realizada con tráfico real del cliente.
• Visor de registros verificado.
• Central Reporting o Syslog verificado, si se espera evaluación centralizada.
• Propietario y ruta de reacción para alertas documentados.

Revertir los cambios de forma segura

Antes de cambiar la configuración, anote el estado de la categoría, la política web y su asignación a la regla de firewall. Así podrá revertir solo lo necesario sin desactivar todo el filtrado web.

1. Para detener únicamente estas alertas, desactive Instant alerts en la categoría bajo Web > Categories. No desactive Email notifications de forma global si otros eventos utilizan el correo.
2. Si cambió entradas de categoría o el orden de las reglas, restaure las entradas y posiciones anotadas.
3. Si asignó otra política web a la regla de firewall, restaure la anterior en Rules and policies > Firewall rules > [Rule] > Security features > Web filtering.
4. Repita las pruebas originales en Policy tester y en el cliente; confirme después la acción esperada en Log Viewer.

Una notificación generada antes de la reversión aún puede llegar en el siguiente lote de cinco minutos. El criterio de éxito es que una nueva solicitud controlada vuelva a recibir la acción de política anotada. Si se desactivó Instant alerts, la solicitud no debe generar otro correo de alerta web.

Solución de problemas

Si las categorías web o Instant Alerts no funcionan como se espera, la causa suele estar en la relación entre la regla de firewall, la política web, la identificación del usuario, QUIC, la inspección TLS o las notificaciones.

Errores típicos

• La política web no se aplica: La política no está seleccionada en la regla de firewall. Verificar la selección en Web filtering de esa regla.
• La categoría se permite aunque debería bloquearse: Una regla de permitidos amplia está por encima de la regla de bloqueos. Verificar el orden de las reglas en las políticas web y en la lista de reglas de firewall.
• No hay alerta instantánea: La categoría no está monitorizada, Email notifications está desactivado globalmente o la casilla Email del evento no está marcada. Revisar Web > Categories, System services > Notifications list y después Administration > Notification settings.
• No hay información de usuario en el registro: El usuario no es reconocido o la regla no coincide por usuario. Verificar la autenticación, STAS, el portal cautivo o la configuración del usuario sin cliente.
• HTTPS se permite inesperadamente: La inspección TLS o la acción HTTPS no son adecuadas. Verificar la política web, las reglas de inspección SSL/TLS y el descifrado.
• El filtro web parece incompleto: QUIC o una ruta de tráfico incorrecta pueden afectar al filtrado. Verificar Block QUIC protocol, los servicios y el visor de registros.
• Demasiadas alertas: La selección de categorías es demasiado amplia. Reducir la lista de alertas y asignar un responsable.
• Falta el dominio en un registro o informe: Sophos oculta el dominio para una categoría especialmente crítica. Verificar la categoría y el comportamiento de Sophos.

Sophos bloquea siempre los sitios web de la categoría highly objectionable criminal activity, independientemente de la política web o de las excepciones y oculta el nombre de dominio en registros e informes. Si una entrada en esta área aparece anonimizada, esto puede ser intencional.

Preguntas frecuentes