Vérifier les paramètres IPS globaux de Sophos Firewall

Sous SFOS 22, la Device Console de Sophos Firewall contient dans set ips des paramètres globaux du moteur IPS. Ils contrôlent notamment fail-close, l’étendue d’analyse, la détection des applications, le traitement SIP, PKI Acceleration et le comportement lors des mises à jour de signatures. Ces valeurs ne se limitent pas à une politique IPS ou une règle de pare-feu.

Le point de départ sûr est show ips-settings, qui affiche les valeurs configurées et les instances en cours. Un seul paramètre est modifié pendant une fenêtre de maintenance lorsqu’un symptôme reproductible le désigne. La valeur initiale, l’effet attendu, un flux témoin et le retour arrière sont consignés avant la fenêtre de maintenance.

⚠️ set ips n’est pas une liste générale d’optimisation. Certaines options peuvent rejeter de nouvelles connexions, contourner Application Control ou Active Threat Response, laisser tout le trafic contourner IPS pendant un redémarrage du moteur ou imposer un redémarrage du pare-feu.

Configurer et tester IPS sur Sophos Firewall traite l’activation, les politiques, les signatures et les faux positifs. Cet article ajoute la couche CLI globale.

Vérifier d’abord la disponibilité et l’état de protection

Les valeurs globales ne prouvent pas à elles seules que l’IPS protège le trafic. IPS protection doit être activé sous Intrusion prevention > IPS policies, et la règle concernée doit utiliser l’IPS policy prévue. Les signatures IPS exigent une souscription Network Protection ou une trial license active. Après expiration, le commutateur peut rester actif alors que l’IPS n’est plus appliqué. S’il est désactivé manuellement, Sophos supprime toutes les signatures et règles IPS après 30 jours ; il faut auparavant exporter la configuration IPS ou effectuer un backup.

Sous Backup & firmware > Pattern updates, le pattern IPS doit afficher une version actuelle, une heure plausible et Success. Les Application Signatures restent disponibles ; sur un pare-feu connecté, les signatures IPS ne sont téléchargées que si la licence et le commutateur IPS sont actifs. En HA, mettre à jour le Primary, qui se synchronise avec l’Auxiliary. Configurer et vérifier les Pattern Updates détaille les mises à jour automatiques, manuelles et air gap.

Procédure courte et sûre

1. Noter connexion, Firewall Rule ID, politique IPS, signature, heure et symptôme.
2. Enregistrer show ips-settings et, si nécessaire, la sortie en lecture seule de show ips_conf.
3. Vérifier si une adaptation limitée de politique ou de signature évite un changement global.
4. Modifier une seule valeur avec des tests positif, négatif et témoin adaptés.
5. Prévoir l’étape Apply et l’impact opérationnel de failclose ou des instances IPS.
6. Contrôler Log Viewer, ips.log, application et ressources, puis annuler immédiatement sans bénéfice clair.

Après une connexion SSH sécurisée, sélectionner 4. Device Console. Dépannage CLI de Sophos Firewall explique clé hôte, accès et limite avec Advanced Shell.

show ips-settings
show ips_conf

show ips_conf expose une vue technique de la configuration Snort. Les clés internes ne constituent pas un modèle approuvé pour des modifications personnalisées.

Comprendre fail-close et les limites de ressources

failclose détermine la réaction quand le moteur IPS atteint sa limite de connexions ou de mémoire. Avec on, les nouvelles connexions sont rejetées. Avec off, le service IPS retire d’anciennes connexions du cache pour libérer de la place.

Sophos documente la valeur selon la RAM :

La restauration d’un backup peut transférer un autre état failclose. La valeur est donc vérifiée explicitement après restauration au lieu d’être déduite du seul matériel.

Les délais TCP et UDP acceptent de 1 à 43200 secondes. Sophos documente 180 secondes avec failclose off et 600 secondes avec failclose on. Après modification de l’état ou d’un délai, exécuter séparément set ips failclose apply.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

L’exemple montre la syntaxe liée au standard on, pas une recommandation générale. Vérifier valeurs actuelles, RAM, nouvelles connexions, applications critiques et comportement souhaité en cas de manque de ressources. Le retour arrière restaure état et délais consignés, puis exécute failclose apply.

Pour un retour personnalisé, remplacer les marqueurs par l’état et les timeouts sauvegardés, puis exécuter apply :

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Après chaque apply, exécuter de nouveau show ips-settings. Après l’exemple, la sortie doit indiquer failclose on et 600 pour les deux timeouts ; après le retour arrière, elle doit afficher les valeurs initiales consignées. Ne modifier aucun autre paramètre global si la sortie diffère.

Ne revenir au défaut documenté qu’après vérification de la RAM : jusqu’à 8 Go, off et 180 secondes ; au-delà, on et 600 secondes. Ne pas écraser une configuration restaurée ou personnalisée.

Définir consciemment l’étendue d’analyse

Confiance ou contenu intégral

inspect untrusted-content n’analyse que le contenu non approuvé par SophosLabs. C’est la valeur documentée offrant les meilleures performances. inspect all-content analyse tout le contenu et offre selon Sophos la meilleure sécurité.

Le changement est global. Tester trafic Web, transferts, serveurs publiés, applications VPN, processeur, mémoire et débit sous charge comparable. Interpréter les mesures de performance Sophos Firewall explique la méthode.

Analyser le trafic déchiffré indépendamment du port

scan_decrypted_port_agnostic on est actif par défaut. IPS peut ainsi analyser un flux déchiffré même si une signature attend HTTP alors que le flux utilise un autre port.

Le désactiver réduit la couverture sur tout le pare-feu et ne corrige pas durablement un faux positif. Un test ciblé exige l’ID de signature, la destination, le port, la règle SSL/TLS Inspection et la politique IPS. Préférer ensuite une exception étroite et restaurer la valeur globale. Le chemin détaillé se trouve dans Déployer TLS Inspection progressivement.

Réponses HTTP et nombre de paquets

http_response_scan_limit accepte de 0 à 262144 ; Sophos exige 0 pour une analyse complète. Une autre valeur ne se copie pas sans preuve, car elle change profondeur de détection et ressources.

maxpkts fixe le nombre de paquets analysés côté client et serveur par les Application Filter policies pour les connexions nouvelles ou actualisées. La valeur documentée est 8. Sophos recommande 80 pour les applications proxy, P2P ou tunnel complexes, mais avertit qu’une valeur trop élevée réduit la vitesse de connexion.

La forme de saisie documentée est set ips maxpkts [numeric value more than 8|all|default] : une valeur numérique explicite doit être supérieure à 8 ; all et default sont des entrées alternatives, pas une séquence de commandes. La valeur par défaut 8 n’est donc pas un exemple de valeur numérique à définir explicitement. Le nombre de paquets limite la classification applicative séparément dans chaque direction, et non la poursuite de l’analyse IPS : avec 9, les neuf premiers paquets du client et les neuf premiers paquets du serveur sont pris en compte pour la classification ; l’analyse IPS se poursuit. Pour un test justifié, choisir exactement une entrée et consigner au préalable la valeur actuelle. Le retour arrière restaure exactement l’état initial ; default ne convient que si l’état initial correspond de manière confirmée à la valeur par défaut, et ne remplace pas une configuration personnalisée. Si l’état initial ne peut pas être lu sans ambiguïté ou restauré sous une forme documentée, faire intervenir Sophos Support avant le test. Après la modification et le retour arrière, relire les paramètres et comparer la classification, le trafic témoin et les performances. Aucune signification supplémentaire de all à l’exécution n’est déduite de cette référence.

80 n’est pas un réglage général de performance IPS. Il faut d’abord prouver une classification insuffisante avec la valeur standard, puis comparer détection, établissement, débit et trafic témoin.

Détection applicative et exceptions ATR

enable_appsignatures on active les signatures applicatives et constitue la valeur documentée. Un off global réduit la détection d’applications malveillantes et ne corrige pas proprement une classification erronée unique.

ac_atr exception fwrules exclut une ou plusieurs Firewall Rule IDs d’Application Classification et d’Active Threat Response. Séparer les IDs par des virgules ; none supprime l’exception.

Avant de définir les exceptions, consigner les IDs d’exception existants affichés par show ips-settings et établir la liste cible complète nécessaire. Si l’état initial ou la procédure permettant de le restaurer exactement n’est pas clair, ne rien modifier et faire intervenir Sophos Support. 12,27 sont des IDs d’exemple pour la liste délibérément choisie ; cela ne documente aucun comportement d’ajout ou de fusion.

Modification choisie : définir uniquement la liste cible vérifiée, en remplaçant les IDs d’exemple par les IDs de règle appropriés :

set ips ac_atr exception fwrules 12,27

Alternative de suppression, à ne pas exécuter ensuite : choisir none uniquement si aucune exception ne doit effectivement subsister. Cette option ne convient comme retour arrière que si l’état initial était vide de manière confirmée ; sinon, rétablir exactement la liste consignée, sans la supprimer entre-temps :

set ips ac_atr exception fwrules none

L’exception n’autorise ni ne bloque les règles elles-mêmes. Elle retire leur trafic de deux chemins de protection ou de classification. L’utiliser seulement pour des IDs prouvés, avec responsable, expiration et test négatif. Vérifier d’abord Threat Feed, correspondance de règle et configuration Active Threat Response.

Les deux exemples sont des alternatives, pas une séquence de test. Après la modification et le retour arrière, relire la liste avec show ips-settings et la comparer respectivement à la liste cible choisie ou à l’état initial consigné. Vérifier ensuite de nouveau Application Classification et ATR aussi bien sur une règle auparavant exclue que sur une règle non concernée.

Moteur, processeur et accélération matérielle

Ne pas déplacer les instances IPS comme optimisation rapide

Sophos documente sous set ips la structure d’arguments ips-instance [add|clear] IPS cpu <0-maximum CPUs in the device> et une plage de processeurs allant de 0 au nombre maximal de processeurs de l’appareil. La documentation SFOS 22/23 se contredit concernant Apply : la liste de syntaxe place ips-instance apply sous set ips, tandis que le texte explicatif indique set ips-instance apply. Aucun appel Apply exécutable n’en est déduit ici et aucune numérotation des processeurs n’est supposée. Avant toute modification, Sophos Support doit confirmer les IDs de processeur valides, la syntaxe exacte d’Add/Clear/Apply et la procédure de restauration exacte de l’affectation existante pour le build installé. Consigner les instances en cours avec show ips-settings ; sans état initial non ambigu et procédure de retour confirmée, ne rien modifier. Selon la source, Apply est suivi d’un redémarrage obligatoire du pare-feu ; sans redémarrage, la nouvelle configuration n’est pas appliquée. Après la modification et le retour arrière, relire les instances en cours après le redémarrage planifié et les comparer respectivement à l’état cible ou à l’état initial.

L’affectation manuelle n’est pas un réglage à chaud. Elle appartient à une fenêtre de maintenance avec plateforme, instances actuelles, recommandation Sophos et charge avant/après documentées.

Laisser inchangés les commutateurs obsolètes

Selon Sophos, ips_mmap et packet-streaming sont obsolètes depuis SFOS 18.0 ; pour les deux, la référence indique on comme valeur par défaut, et non comme valeur actuelle mesurée sur l’appliance. Ils ne sont donc pas utilisés comme leviers d’optimisation sous SFOS 22. packet-streaming off est particulièrement risqué : sans réassemblage, des contenus malveillants fragmentés via des protocoles tels que Telnet, POP3, SMTP ou HTTP peuvent échapper à la vérification des signatures.

Classer correctement PKI Acceleration

pki-acceleration enable est la valeur documentée. Sur les modèles de XGS Appliance compatibles, Xstream Flow Processor peut décharger la resignature des certificats X.509 pour les flux SSL/TLS inspectés par DPI Engine.

show ips-settings affiche l’état. Une version ou un modèle non compatible indique disabled ; avec PKI Acceleration active et Firewall Acceleration désactivée, l’état est enabled (inactive). PKI Acceleration ne doit pas être évaluée isolément. Sophos indique qu’une modification du prérequis Firewall Acceleration provoque une interruption ; elle exige une fenêtre planifiée et ne constitue pas une étape de diagnostic de cet article.

Ne pas deviner la méthode de recherche

Sophos documente ac-bnfa avec peu de mémoire et de hautes performances, ac-q avec beaucoup de mémoire et les meilleures performances, et hyperscan avec peu de mémoire et les meilleures performances. hyperscan est la valeur par défaut.

Ces libellés ne justifient pas un changement intuitif. Compatibilité de plateforme, mémoire, charge reproductible et détection doivent coïncider. Conserver la méthode documentée sans recommandation Sophos précise.

SIP et comportement TCP particulier

sip_preproc enable analyse les sessions SIP contre les attaques et est actif par défaut. sip_ignore_call_channel enable exclut par défaut les canaux audio et vidéo de l’analyse IPS. Les deux valeurs sont globales.

Séparer d’abord signalisation, médias, direction, NAT, helper, événement IPS et VPN. Seul un appel reproductible justifie une comparaison CLI temporaire. Optimiser et tester VoIP sur Sophos Firewall fournit le déroulement et le retour arrière.

tcp urgent-flag remove retire et réinitialise le flag et le pointeur urgent TCP ; c’est la valeur documentée. allow les transmet sans modification. Un assouplissement exige une capture de paquets et une ancienne application précisément identifiée.

Appliquer en sécurité l’étendue des patterns et les signatures

Full Signature Pack uniquement à partir de 32 Go de RAM

system ips full-signature-pack détermine si Pattern Updates télécharge le paquet IPS complet. Sophos exige au moins 32 Go de RAM et signale un impact possible sur les performances. La documentation de la CLI ne précisant pas de valeur par défaut, lire d’abord l’état :

system ips full-signature-pack show

Avant la modification, relever la RAM, la version et l’heure du pattern IPS ainsi que CPU et mémoire. enable ou disable agit sur le téléchargement lors de Pattern Updates. Après la mise à jour contrôlée suivante, vérifier Success, la version et show. En cas d’échec ou de variation notable des ressources, restaurer l’état sauvegardé avec une seule commande et observer le cycle suivant :

system ips full-signature-pack enable
system ips full-signature-pack disable

Ne pas l’activer à titre d’essai sous 32 Go. Davantage de signatures ne remplace pas une IPS policy adaptée. SFOS 22.0 MR2 fournit par exemple de nouveaux patterns PQC avec l’action Disabled ; leur utilisation exige une règle IPS et une action explicites.

Pour l’automatisation via l’API XML, IPSFullSignaturePack utilise le champ obligatoire Status avec les valeurs en minuscules enable, disable ou show : elles activent le téléchargement complet, le désactivent ou interrogent l’état, respectivement. La table des paramètres de l’API indique disable comme valeur par défaut ; cela n’établit pas un état initial universel pour la CLI ou l’appliance. L’exemple de configuration ne documente pas d’opération Get générale. L’automatisation exige aussi les vérifications de RAM, de licence, de mise à jour et de retour arrière décrites ci-dessus.

Conserver reload et éviter un contournement de la protection

set ips engine_update_mode reload est la valeur documentée. Un reload peut perdre certains paquets pendant le rechargement. restart redémarre le moteur ; tout le trafic entrant et sortant contourne alors l’analyse IPS.

Sophos recommande fortement de ne pas changer ce réglage pour des raisons de sécurité. En cas de perturbation reproductible, conserver heure, version de patterns, flux et journaux pour Sophos Support.

show ips_conf doit d’abord afficher config update_mode reload. Uniquement si Sophos Support demande exceptionnellement une comparaison, préparer la fenêtre puis restaurer aussitôt l’état :

set ips engine_update_mode restart
set ips engine_update_mode reload

La seconde commande est le retour par défaut. Ensuite, show ips_conf doit de nouveau afficher config update_mode reload. Dans le cas contraire, ne pas répéter restart et consigner l’écart pour Sophos Support. Si restart constituait déjà l’état personnalisé documenté, ne pas exécuter l’exemple et clarifier d’abord cet écart avec Support. Conserver l’heure, la version du pattern, les flux, la durée du contournement et les logs.

Si le service IPS reste à l’état Dead sous SFOS 22 tandis que les mises à jour des patterns IPS échouent également, ne pas utiliser engine_update_mode restart comme contre-mesure. Conserver l’état du service, ips.log, sig_upgrade.log, la configuration de la web policy et le nœud HA. Le périmètre des builds, le diagnostic et le parcours Support pour NC-181971 figurent sous Le service IPS est DEAD dans Configurer et tester IPS en toute sécurité. Planifier séparément tout changement de version avec le contrôle de mise à niveau SFOS 22.

Réserver set ips_conf à Sophos Support

set ips_conf peut ajouter, modifier ou supprimer des paires clé-valeur internes de Snort. Sophos avertit explicitement que seuls les ingénieurs Sophos Support doivent exécuter ces commandes.

La sortie en lecture seule show ips_conf peut servir d’état initial pour le support. Ne pas en dériver de commandes add, update ou del. Une mauvaise clé peut affecter protection, stabilité et support sans retour sûr si l’ancienne valeur est inconnue.

Valider et annuler une modification

Créer avant et après une nouvelle connexion avec même source, destination et règle. Un flux témoin non concerné doit conserver la politique et l’action IPS attendues. Évaluer ensemble Log Viewer, ips.log, CPU, mémoire, établissement et résultat applicatif.

Le retour arrière utilise la valeur initiale consignée avec show ips-settings. Pour failclose, exécuter ensuite de nouveau set ips failclose apply ; en cas de modification des instances, les exigences d’Apply et de redémarrage s’appliquent également au retour arrière. La restauration des instances IPS exige elle aussi la clarification auprès de Sophos Support, pour le build concerné, de la syntaxe Apply contradictoire décrite ci-dessus. Ne pas modifier à titre d’essai les paramètres obsolètes ou internes au support.

Si Log Viewer n’affiche pas les événements attendus, vérifier d’abord licence, commutateur IPS, pattern, Firewall Rule ID et policy assignée. Une absence d’événement ne justifie ni restart ni une réduction globale de l’analyse. Si une mise à jour reste en Failed après un essai manuel documenté, transmettre version, heure, build et logs à Sophos Support.

Liste de contrôle d’exploitation

• show ips-settings, build SFOS, modèle, heure et responsable consignés.
• Paramètre et chemin de trafic précis isolés.
• Correction étroite de politique ou signature vérifiée avant le changement global.
• État failclose dépendant de la RAM et effet d’un restore considérés.
• Licence, commutateur IPS, policy assignée et état du pattern vérifiés.
• Full Signature Pack évalué uniquement dès 32 Go avec état initial sauvegardé.
• Risques Apply, restart et contournement du contrôle clarifiés.
• Flux positif, négatif et témoin testés.
• Valeur initiale réelle préparée pour le retour arrière.
• Aucune modification personnalisée set ips_conf exécutée.

FAQ