Gestire in sicurezza i System Modules di Sophos Firewall

Sophos Firewall utilizza i System Modules come helper di protocollo quando il firewall deve seguire informazioni aggiuntive o considerare connessioni dinamiche. SFOS 22 elenca dns, h323, irc, pptp, sip e tftp. Questi moduli sono caricati per impostazione predefinita.

Un modulo caricato non è una regola firewall né una raccomandazione a utilizzare il relativo protocollo. Non sostituisce una regola NAT, una route o una policy di sicurezza. Anche scaricare tutti gli helper apparentemente inutilizzati non è una misura di hardening sensata. L’impostazione è globale e può modificare in modo imprevisto applicazioni esistenti.

⚠️ Regola operativa: Documentare prima lo stato e il flusso specifico che presenta l’errore. Modificare al massimo un modulo, ripetere lo stesso flusso e ripristinare lo stato originale se non si ottiene un miglioramento.

Distinguere correttamente i sei moduli

Per sip e h323, l’helper viene spesso indicato troppo rapidamente come causa o soluzione. Il processo completo con NAT, RTP, timeout, porta SIP personalizzata, Packet Capture e chiamate di prova è descritto in Risolvere i problemi VoIP con SIP e RTP.

Salvare la baseline in Device Console

I comandi appartengono a 4. Device Console, non ad Advanced Shell. Prima di una modifica si legge lo stato globale:

system system_modules show

Conservare l’intero output anche quando si analizza un solo modulo. In questo modo rimane visibile se un sistema migrato o modificato in passato differisce dal default. loaded dimostra solo lo stato del modulo, non che l’helper elabori un flusso specifico o ne causi l’errore.

Registrare anche IP sorgente e destinazione, porta, protocollo, Rule ID, NAT ID, orario e test applicativo esatto. Senza un flusso riproducibile non è possibile valutare una modifica globale. Log Viewer, Policy Test e Packet Capture sono adatti alla verifica tecnica.

Caricare o scaricare esattamente un modulo

I comandi di base seguono lo stesso schema. La tabella è un riferimento, non un blocco da eseguire integralmente.

Prima dell’esecuzione, verificare la sintassi sul build installato con ?. Dopo una sola modifica, eseguire nuovamente system system_modules show e ripetere il flusso applicativo documentato. Modifiche parallele a NAT, regole, routing, timeout o PBX rendono difficile attribuire il risultato e vanno evitate.

Sophos documenta espressamente che load e unload per SIP persistono dopo un riavvio. La pagina SFOS 22 non fornisce la stessa indicazione precisa per gli altri moduli. Leggere nuovamente il loro stato dopo un riavvio pianificato invece di presumere la persistenza.

Non dedurre le porte personalizzate da una sintassi abbreviata incompleta

La pagina elenca per IRC, SIP e TFTP termini aggiuntivi come port, portname, default o show, ma non ne spiega completamente la forma esatta. Questi valori non vanno indovinati. Device Console mostra la sintassi del build installato con ?.

Per SIP, Sophos pubblica separatamente il comando esatto system system_modules sip load ports <custom_port>. Questa decisione appartiene all’analisi VoIP, non a un test generale degli helper. Il placeholder va sostituito con la porta di segnalazione realmente usata dal provider o dal PBX.

Verificare effetto e ritorno allo stato iniziale

Un test utile controlla più del solo output CLI. Dopo il caricamento o lo scaricamento, verificare la connessione, il traffico bidirezionale, Rule e NAT ID, i drop e l’applicazione interessata. Per SIP o H.323, controllare registrazione, connessioni in entrata e uscita e media bidirezionali. Per DNS verificare richiesta e risposta con il nome atteso. Per TFTP verificare anche il trasferimento del file.

Se il sintomo rimane invariato o compaiono nuovi problemi, riportare solo il modulo modificato allo stato registrato in precedenza. Eseguire quindi system system_modules show e lo stesso flusso di test. Un riavvio non sostituisce questo rollback.

Se il comportamento cambia ma la causa rimane incerta, conservare gli stati prima e dopo, il build del firmware, i log e il Packet Capture. Un helper scaricato globalmente non dovrebbe restare una soluzione permanente solo perché un breve test sembra migliore.

FAQ