Verificare le impostazioni IPS globali di Sophos Firewall

In SFOS 22, la Device Console di Sophos Firewall contiene in set ips impostazioni globali del motore IPS. Controllano fail-close, ambito di scansione, rilevamento applicazioni, elaborazione SIP, PKI Acceleration e comportamento durante gli aggiornamenti delle firme. Questi valori non si limitano a una singola IPS Policy o regola firewall.

Il punto di partenza sicuro è show ips-settings, che mostra valori configurati e istanze attive. Si modifica un solo parametro quando un sintomo riproducibile lo indica. Valore iniziale, effetto atteso, flusso di controllo e rollback vanno registrati prima della manutenzione.

⚠️ set ips non è una lista generale di tuning. Alcune opzioni possono scartare nuove connessioni, aggirare Application Control o Active Threat Response, far bypassare IPS a tutto il traffico durante un riavvio del motore o richiedere il riavvio del firewall.

Configurare e testare IPS su Sophos Firewall tratta attivazione, policy, firme e falsi positivi. Questo articolo aggiunge il livello CLI globale.

Verificare prima disponibilità e stato della protezione

I valori globali non dimostrano da soli che IPS protegga il traffico. IPS protection deve essere attivo in Intrusion prevention > IPS policies e la regola interessata deve usare la IPS policy prevista. Le firme IPS richiedono una sottoscrizione Network Protection o una trial license attiva. Dopo la scadenza, l’interruttore può restare attivo benché IPS non venga più applicato. Se viene disattivato manualmente, dopo 30 giorni Sophos elimina tutte le firme e regole IPS; prima occorre esportare la configurazione IPS o creare un backup.

In Backup & firmware > Pattern updates, il pattern IPS deve mostrare versione corrente, orario plausibile e Success. Le Application Signatures sono sempre disponibili; su un firewall connesso, le firme IPS vengono scaricate solo con licenza e interruttore IPS attivi. In HA si aggiorna il Primary e si sincronizza con l’Auxiliary. Configurare e verificare i Pattern Updates tratta aggiornamenti automatici, manuali e air gap.

Procedura breve e sicura

1. Registrare connessione, Firewall Rule ID, IPS Policy, firma, ora e sintomo.
2. Salvare show ips-settings e, se necessario, l’output in sola lettura di show ips_conf.
3. Verificare se una modifica limitata di policy o firma evita l’intervento globale.
4. Modificare un solo valore con test positivo, negativo e di controllo.
5. Pianificare Apply e impatto operativo di failclose o delle istanze IPS.
6. Controllare Log Viewer, ips.log, applicazione e risorse, poi annullare senza beneficio chiaro.

Dopo un accesso SSH protetto, scegliere 4. Device Console. Troubleshooting CLI di Sophos Firewall spiega chiave host, accesso e confine con Advanced Shell.

show ips-settings
show ips_conf

show ips_conf espone una vista tecnica della configurazione Snort. Le chiavi interne non sono un modello approvato per modifiche personalizzate.

Comprendere fail-close e limiti delle risorse

failclose stabilisce la reazione quando il motore IPS raggiunge il limite di connessioni o memoria. Con on scarta le nuove connessioni. Con off, il servizio IPS rimuove vecchie connessioni dalla cache per liberare spazio.

Sophos documenta il valore in base alla RAM:

Il ripristino di un backup può trasferire uno stato failclose diverso. Il valore va quindi verificato dopo il restore e non dedotto solo dall’hardware.

I timeout TCP e UDP accettano da 1 a 43200 secondi. Sophos documenta 180 secondi con failclose off e 600 con failclose on. Dopo una modifica di stato o timeout, eseguire separatamente set ips failclose apply.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

L’esempio mostra la sintassi collegata al default on, non una raccomandazione generale. Prima verificare valori attuali, RAM, nuove connessioni, applicazioni critiche e risposta desiderata all’esaurimento risorse. Il rollback ripristina stato e timeout registrati e poi esegue failclose apply.

Per un rollback personalizzato, sostituire i segnaposto con stato e timeout salvati ed eseguire apply:

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Dopo ogni apply, eseguire di nuovo show ips-settings. Dopo l’esempio deve indicare failclose on ed entrambi i timeout a 600; dopo il rollback deve mostrare i valori iniziali salvati. Non modificare un altro valore globale se l’output è diverso.

Tornare al default documentato solo dopo aver controllato la RAM: fino a 8 GB, off e 180 secondi; oltre 8 GB, on e 600 secondi. Non sovrascrivere una configurazione ripristinata o personalizzata.

Definire consapevolmente l’ambito di scansione

Fiducia o tutto il contenuto

inspect untrusted-content analizza solo contenuti non considerati affidabili da SophosLabs. È il default documentato con le migliori prestazioni. inspect all-content analizza tutto e, secondo Sophos, offre la migliore sicurezza.

La modifica è globale. Testare web, trasferimenti, server pubblicati, applicazioni VPN, CPU, memoria e throughput sotto carico comparabile. Interpretare le metriche di performance di Sophos Firewall spiega il metodo.

Analizzare traffico decrittografato indipendentemente dalla porta

scan_decrypted_port_agnostic on è attivo per impostazione predefinita. IPS può così analizzare un flusso decrittografato anche se una firma si aspetta HTTP ma il traffico usa un’altra porta.

Disattivarlo riduce la copertura su tutto il firewall e non risolve stabilmente un falso positivo. Un test mirato richiede ID firma, destinazione, porta, regola SSL/TLS Inspection e IPS Policy. Preferire poi un’eccezione limitata e ripristinare il valore globale. Il percorso completo è in Distribuire TLS Inspection per fasi.

Risposte HTTP e numero di pacchetti

http_response_scan_limit accetta da 0 a 262144; Sophos richiede 0 per la scansione completa. Un altro valore non va copiato senza prova perché cambia profondità e risorse.

maxpkts stabilisce quanti pacchetti le Application Filter policies analizzano da client e server nelle connessioni nuove o aggiornate. Il default è 8. Sophos raccomanda 80 per applicazioni proxy, P2P e tunnel complesse, ma avverte che valori troppo alti riducono la velocità di connessione.

La forma di input documentata è set ips maxpkts [numeric value more than 8|all|default]: un valore numerico esplicito deve essere maggiore di 8; all e default sono input alternativi, non una sequenza di comandi. Il default 8 non è quindi un esempio di impostazione numerica esplicita. Il numero di pacchetti limita la classificazione delle applicazioni separatamente per ciascuna direzione, non le successive verifiche IPS: con 9, vengono considerati per la classificazione i primi nove pacchetti del client e i primi nove del server; la scansione IPS prosegue. Per un test motivato, scegliere esattamente un input e salvare prima il valore attuale. Il rollback ripristina esattamente lo stato precedente; default è adatto solo a una baseline predefinita confermata, non come sostituto di una configurazione personalizzata. Se lo stato precedente non può essere letto in modo univoco o ripristinato in una forma documentata, coinvolgere Sophos Support prima del test. Dopo la modifica e il rollback, rileggere le impostazioni e confrontare classificazione, traffico di controllo e performance. Da questo riferimento non si deduce alcun ulteriore significato di all in fase di esecuzione.

80 non è un valore generale di performance IPS. Prima va dimostrata una classificazione insufficiente al default, poi si confrontano rilevamento, apertura, throughput e traffico di controllo.

Rilevamento applicazioni ed eccezioni ATR

enable_appsignatures on attiva le firme applicative ed è il default documentato. Un off globale riduce il rilevamento di applicazioni malevole e non corregge bene una singola classificazione errata.

ac_atr exception fwrules esclude una o più Firewall Rule IDs da Application Classification e Active Threat Response. Gli ID multipli sono separati da virgole; none elimina l’eccezione.

Prima dell’impostazione, salvare gli ID delle eccezioni esistenti da show ips-settings e definire l’intera lista di destinazione necessaria. Se la baseline o la procedura per ripristinarla esattamente non sono chiare, non effettuare modifiche e coinvolgere Sophos Support. 12,27 sono ID di esempio per la lista scelta consapevolmente; non ne deriva alcuna semantica documentata di aggiunta o unione.

Modifica scelta: impostare solo la lista di destinazione verificata, usando gli ID delle regole appropriati al posto degli ID di esempio:

set ips ac_atr exception fwrules 12,27

Rimozione alternativa, da non eseguire successivamente come ulteriore passaggio: scegliere none solo se non deve effettivamente rimanere alcuna eccezione. Come rollback, è adatto solo a una baseline vuota confermata; altrimenti reimpostare esattamente la lista salvata, senza eliminarla nel frattempo:

set ips ac_atr exception fwrules none

L’eccezione non consente né blocca le regole stesse. Rimuove il loro traffico da due percorsi aggiuntivi. Usarla solo per ID provati, con responsabile, scadenza e test negativo. Verificare prima Threat Feed, corrispondenza regola e configurazione Active Threat Response.

I due esempi sono alternative, non una sequenza di test. Dopo la modifica e il rollback, rileggere la lista con show ips-settings e confrontarla rispettivamente con la lista di destinazione scelta e con la baseline salvata. Verificare poi nuovamente Application Classification e ATR sia su una regola precedentemente esclusa sia su una regola non coinvolta.

Motore, CPU e accelerazione hardware

Non spostare le istanze IPS come ottimizzazione rapida

Sophos documenta in set ips la struttura degli argomenti ips-instance [add|clear] IPS cpu <0-maximum CPUs in the device> e un intervallo CPU da 0 al numero massimo di CPU del dispositivo. La documentazione SFOS 22/23 presenta una contraddizione su Apply: l’elenco della sintassi riporta ips-instance apply sotto set ips, mentre il testo esplicativo indica set ips-instance apply. Qui non se ne ricava alcuna invocazione Apply eseguibile e non si ipotizza la numerazione delle CPU. Prima di una modifica, Sophos Support deve confermare gli ID CPU validi, la sintassi esatta di Add/Clear/Apply e il ripristino esatto dell’assegnazione precedente per la build installata. Salvare le istanze attive con show ips-settings; senza una baseline univoca e una procedura di ripristino confermata, non effettuare modifiche. Secondo la fonte, dopo Apply è richiesto il riavvio del firewall; senza riavvio, la nuova configurazione non viene applicata. Dopo la modifica e il ripristino, rileggere le istanze attive dopo il riavvio pianificato e confrontarle rispettivamente con lo stato di destinazione e con la baseline.

L’assegnazione manuale non è tuning live. Va eseguita in manutenzione con piattaforma, istanze attuali, raccomandazione Sophos e carico prima/dopo documentati.

Lasciare invariati gli interruttori obsoleti

Secondo Sophos, ips_mmap e packet-streaming sono obsoleti da SFOS 18.0; per entrambi, il riferimento indica on come default, non come valore attuale misurato sull’appliance. Non vengono quindi usati come leve di ottimizzazione in SFOS 22. In particolare, packet-streaming off è rischioso: senza riassemblaggio, contenuti malevoli suddivisi tramite protocolli come Telnet, POP3, SMTP o HTTP possono sfuggire alla verifica delle firme.

Inquadrare correttamente PKI Acceleration

pki-acceleration enable è il default documentato. Sui modelli di XGS Appliance supportati, Xstream Flow Processor può eseguire nuovamente la firma dei certificati server X.509 per i flussi SSL/TLS ispezionati dalla DPI Engine.

show ips-settings mostra lo stato. Versioni o modelli non supportati indicano disabled; con PKI Acceleration attiva e Firewall Acceleration spenta compare enabled (inactive). PKI Acceleration non va valutata isolatamente. Sophos indica che modificare il prerequisito Firewall Acceleration causa un’interruzione; la modifica richiede una finestra pianificata e non è un passo diagnostico di questo articolo.

Non scegliere a intuito il metodo di ricerca

Sophos documenta ac-bnfa con poca memoria e alte prestazioni, ac-q con molta memoria e prestazioni migliori, e hyperscan con poca memoria e prestazioni migliori. hyperscan è il default.

Le etichette non giustificano un cambio istintivo. Supporto della piattaforma, memoria, carico riproducibile e rilevamento devono coincidere. Mantenere il metodo documentato senza una raccomandazione Sophos specifica.

SIP e comportamento TCP particolare

sip_preproc enable analizza le sessioni SIP per attacchi ed è attivo di default. sip_ignore_call_channel enable esclude per impostazione predefinita i canali audio e video dalla scansione IPS. Entrambi sono globali.

Separare prima segnalazione, media, direzione, NAT, helper, evento IPS e VPN. Solo una chiamata riproducibile giustifica un confronto CLI temporaneo. Ottimizzare e testare VoIP su Sophos Firewall fornisce il flusso completo.

tcp urgent-flag remove rimuove e reimposta flag e puntatore urgent TCP ed è il default. allow li inoltra invariati. Una riduzione del controllo richiede Packet Capture e una specifica applicazione legacy.

Applicare in sicurezza ambito dei pattern e firme

Full Signature Pack solo da 32 GB di RAM

system ips full-signature-pack stabilisce se Pattern Updates scarica il pacchetto IPS completo. Sophos richiede almeno 32 GB di RAM e segnala possibili effetti sulle prestazioni. Poiché la documentazione CLI non indica un default, leggere prima lo stato:

system ips full-signature-pack show

Prima della modifica registrare RAM, versione e ora del pattern IPS, CPU e memoria. enable o disable agisce sul download durante Pattern Updates. Dopo l’aggiornamento controllato successivo, verificare Success, versione e show. In caso di errore o variazione delle risorse, ripristinare lo stato salvato con un solo comando e osservare il ciclo seguente:

system ips full-signature-pack enable
system ips full-signature-pack disable

Non attivarlo per prova sotto 32 GB. Più firme non sostituiscono una IPS policy adeguata. SFOS 22.0 MR2 distribuisce nuovi pattern PQC con azione Disabled; per usarli occorre creare consapevolmente una regola IPS e sceglierne l’azione.

Per l’automazione tramite API XML, IPSFullSignaturePack usa il campo obbligatorio Status con i valori minuscoli enable, disable o show: attivano il download completo, lo disattivano o interrogano lo stato, rispettivamente. La tabella dei parametri API indica disable come default; questo non stabilisce uno stato iniziale universale della CLI o dell’appliance. L’esempio di configurazione non documenta un’operazione Get generale. Anche l’automazione richiede le verifiche di RAM, licenza, aggiornamento e rollback descritte sopra.

Mantenere reload ed evitare il bypass della protezione

set ips engine_update_mode reload è il default documentato. Un reload può scartare alcuni pacchetti durante il caricamento. restart riavvia il motore; durante il riavvio tutto il traffico in entrata e uscita bypassa IPS.

Sophos raccomanda vivamente di non cambiare il valore per motivi di sicurezza. In caso di interruzioni riproducibili, salvare ora, versione pattern, flussi e log per Sophos Support.

Prima show ips_conf deve mostrare config update_mode reload. Solo se Sophos Support richiede eccezionalmente un confronto, preparare la finestra e ripristinare subito lo stato:

set ips engine_update_mode restart
set ips engine_update_mode reload

Il secondo comando è il rollback predefinito. In seguito, show ips_conf deve mostrare di nuovo config update_mode reload. In caso contrario, non ripetere restart e registrare l’anomalia per Sophos Support. Se restart era già la baseline personalizzata documentata, non eseguire l’esempio e chiarire prima la deviazione con Support. Salvare ora, versione del pattern, flussi, durata del bypass e log.

Se il servizio IPS rimane Dead su SFOS 22 mentre falliscono anche gli aggiornamenti dei pattern IPS, non usare engine_update_mode restart come contromisura. Salvare lo stato del servizio, ips.log, sig_upgrade.log, la configurazione della web policy e il nodo HA. L’ambito delle build, la diagnosi e il percorso di supporto per NC-181971 sono descritti in Il servizio IPS è DEAD in Configurare e testare IPS in sicurezza. Pianificare separatamente un cambio di versione con il controllo dell’upgrade a SFOS 22.

Lasciare set ips_conf a Sophos Support

set ips_conf può aggiungere, modificare o eliminare coppie chiave-valore interne di Snort. Sophos avverte esplicitamente che solo gli ingegneri Sophos Support devono eseguire questi comandi.

L’output in sola lettura show ips_conf può essere una baseline per il supporto. Non derivarne comandi add, update o del. Una chiave errata può influire su protezione, stabilità e supportabilità senza rollback sicuro.

Validare e annullare una modifica

Creare prima e dopo una nuova connessione con stessa origine, destinazione e regola. Un flusso di controllo non coinvolto deve continuare a mostrare IPS Policy e azione previste. Valutare insieme Log Viewer, ips.log, CPU, memoria, apertura e risultato applicativo.

Il rollback usa il valore iniziale documentato con show ips-settings. Per failclose, segue nuovamente set ips failclose apply; in caso di modifica delle istanze, i requisiti di Apply e riavvio valgono anche per il ripristino. Anche il ripristino delle istanze IPS richiede il chiarimento con Sophos Support, relativo alla build e descritto sopra, sulla sintassi Apply contraddittoria. Non modificare a titolo di prova parametri obsoleti o interni al supporto.

Se Log Viewer non mostra gli eventi attesi, controllare prima licenza, interruttore IPS, pattern, Firewall Rule ID e policy assegnata. Un evento mancante non giustifica restart né una riduzione globale della scansione. Se un aggiornamento resta Failed dopo un tentativo manuale documentato, inviare versione, ora, build e log a Sophos Support.

Checklist operativa

• show ips-settings, build SFOS, modello hardware, ora e responsabile registrati.
• Parametro e percorso di traffico specifici isolati.
• Correzione limitata di policy o firma verificata prima del cambio globale.
• Stato failclose dipendente dalla RAM ed effetto del restore considerati.
• Licenza, interruttore IPS, policy assegnata e stato del pattern verificati.
• Full Signature Pack valutato solo da 32 GB con stato iniziale salvato.
• Rischi Apply, restart e bypass della protezione chiariti.
• Flussi positivo, negativo e di controllo testati.
• Valore iniziale reale preparato per il rollback.
• Nessuna modifica personalizzata set ips_conf eseguita.

FAQ