Configurare Sophos Endpoint Web Control
Sophos Central offre due modelli di configurazione per Endpoint Web Control. Quello attuale usa Web Filtering Profiles riutilizzabili. Classic Web Control resta necessario per agent Windows meno recenti e piattaforme che non supportano il nuovo modello.
La distinzione è decisiva: una nuova policy correttamente configurata non agisce su un Mac o un Endpoint Windows con agent troppo vecchio. Una Base Policy può invece contenere entrambe le configurazioni e fungere da fallback.
Nuovo profilo o Classic?
Il modello Web Profile è previsto per Windows Endpoint dalla versione 2026.1. I Web Filtering Profiles sono attualmente disponibili solo su Windows; macOS e Linux continuano a usare le impostazioni Classic supportate.
Una Custom Policy usa il nuovo profilo oppure Classic. La Base Policy può contenere entrambi e l’agent sceglie la variante adatta a piattaforma e versione.
Prima della migrazione, inventariare sistema operativo, versione dell’agent e policy effettiva. Passare completamente al nuovo modello solo quando il gruppo target lo supporta.
Creare un Web Filtering Profile
Creare il profilo in Global Settings > Protection & Remediation > Web Settings > Web Filtering Profiles. Sophos consente fino a 20 profili per tenant, con filtri per categorie e Site Lists personalizzate.
Sono disponibili livelli come Keep it clean, Gentle guidance, Conserve bandwidth e Business only. Con Let me specify si definisce Allow, Warn o Block per categoria.
Le Site Lists hanno priorità sulle categorie e possono contenere domini, URL, indirizzi IP o intervalli CIDR. Ogni lista contiene al massimo 750 voci, ogni profilo 20 liste. L’ordine delle liste ne determina la priorità.
Un nuovo profilo non include automaticamente una baseline aziendale adeguata. Categorie, Site Lists e azioni vanno scelte consapevolmente e il profilo deve poi essere usato in una policy Web Control.
Usare correttamente Website Management
Website Management gestisce tag personalizzati e correzioni di categoria valide per il tenant. Una voce di dominio include anche i sottodomini senza wildcard. È possibile creare fino a 5'000 tag.
Una Category Override non può consentire siti classificati da Sophos come Malware, Phishing, Hacking o Command-and-Control. Se la categoria è errata, richiedere la riclassificazione a Sophos. Una Website Exclusion disattiva invece i controlli Web e ha un raggio di sicurezza molto maggiore.
I cryptominer JavaScript sono bloccati tramite la categoria Hacking. Ciò blocca tutta la categoria, non solo i miner. Se un’applicazione richiede JavaScript simile, definire URL e necessità esatti; ogni autorizzazione resta ristretta e documentata, mai un’apertura globale di Hacking.
HTTPS e pagine di avviso
Gli avvisi del nuovo modello richiedono HTTPS Decryption nella Threat Protection Policy effettiva. Per impostazione predefinita, HTTPS Decryption è disattivata sugli Endpoint.
La decrittazione consente a Sophos di vedere URL completi e contenuti e di inviare campioni a SophosLabs. Prima dell’attivazione vanno chiariti privacy, regole interne e categorie sensibili. Le eccezioni HTTPS globali impediscono la decrittazione; i controlli che richiedono il contenuto decifrato non agiscono su tali destinazioni.
Su Windows, la decrittografia HTTPS sposta il flusso di dati da Windows Filtering Platform nel Kernel a un processo Sophos in User Space. Qui viene decrittografato, controllato e ricifrato. Ciò richiede CPU, memoria e query Cloud aggiuntive. Processori meno recenti e storage lenti possono quindi perdere una quantità sproporzionata di throughput. Se il problema riguarda solo alcuni siti o resta invariato con la decrittografia disattivata, questa causa generale di Performance non è dimostrata.
Firefox usa un archivio certificati proprio e può usare un proprio DNS over HTTPS. Su Windows, security.enterprise_roots.enabled deve essere true affinché Firefox consideri attendibile l’archivio Windows. Verificare anche che rispetti le regole DNS gestite per un controllo SNI affidabile.
Un sito HTTPS interno con certificato autofirmato o non attendibile può mostrare un altro errore dopo la decrittazione. La correzione permanente è un certificato attendibile con catena completa. Disattivare la decrittazione o aggiungere una Website Exclusion ampia nasconde il problema e indebolisce l’ispezione.
Classic Web Control
Classic offre opzioni di sicurezza aggiuntive, livelli Acceptable Use predefiniti e controlli Data Sharing. Le pianificazioni non sono disponibili nella Base Policy; quando usate, valgono in base all’ora locale dell’Endpoint.
Endpoint Web Control è basato sull’utente. Dopo un cambio utente, la nuova User Policy può richiedere circa cinque minuti. Durante la transizione può ancora agire la Policy dell’utente precedente. Stato del computer, associazione Central User e account locale connesso vengono quindi controllati insieme.
Su macOS, Sophos Endpoint attualmente non filtra né blocca traffico Web IPv6. Un test IPv4 riuscito non prova quindi il controllo dello stesso accesso tramite IPv6.
Pilota e validazione
Testare una categoria consentita, una con avviso e una bloccata, una Site List con priorità superiore, una pagina HTTPS e un’eccezione globale. Verificare Chrome, Edge e Firefox, IPv4 e, se pertinente, IPv6.
In Reports > Events, controllare policy e azione effettive. Una pagina visibile non basta: cache del browser, Secure DNS, Proxy e QUIC possono modificare il percorso osservato.
Per un test di funzionamento sicuro si può usare la pagina Sophos sophostest.com. Su Windows, C:\ProgramData\Sophos\Sophos Network Threat Protection\Logs\SophosNetFilter.log mostra la categoria URL e l’azione utilizzate e indica se l’accesso è stato decrittografato. Su macOS, l’azione Web Intelligence si trova in /Library/Logs/Sophos Anti-Virus.log.
Senza HTTPS Decryption, per HTTPS Sophos vede spesso soltanto il nome del server tramite SNI e non il percorso completo. In questo caso non è possibile inserire una pagina di avviso nel contenuto cifrato e il browser può mostrare soltanto un errore di connessione generico. Le regole URL esatte dipendono inoltre dalla grafia. Un test con un percorso HTTPS completo non deve quindi essere interpretato come una semplice regola di dominio.
Interpretare correttamente più controlli Web Sophos
Endpoint Web Control resta un modulo di prodotto separato. Se sono attivi anche DNS Protection for endpoints, Protected Browser o il filtro di un Firewall di rete, è il primo blocco a decidere l’accesso. La pagina di blocco visualizzata può comunque provenire da un controllo successivo: DNS Protection, ad esempio, reindirizza verso un server di blocco, la cui apertura nel browser può poi essere bloccata da Endpoint Web Control.
In forma semplificata, Sophos controlla prima DNS Protection, poi Endpoint Web Control, Protected Browser e infine il filtro di rete o del Firewall. Un Allow successivo non può annullare un Block precedente. Pagine di blocco differenti non dimostrano quindi né che un livello precedente fosse inattivo né che la sola Endpoint Policy sia la causa. Per il troubleshooting vengono controllati separatamente Event e Policy di ogni livello effettivamente utilizzato.
Errori frequenti
Se un sito viene consentito inaspettatamente, controllare priorità delle Site Lists, Website Exclusions globali, Category Override e policy effettiva. Se manca l’avviso, verificare HTTPS Decryption, attendibilità del certificato e supporto del browser.
Se il problema riguarda solo Firefox, controllare Trust Store e DNS over HTTPS. Se riguarda solo Mac, verificare anche IPv6. Un’ampia Website Exclusion non è diagnostica perché elimina proprio i controlli da esaminare.
Se i tipi di file rischiosi vengono trattati in modo diverso, non si tratta necessariamente di un errore della Policy. Sophos può valutare tramite la Reputation le fonti note e affidabili in modo diverso dalle fonti sconosciute. Per i download cifrati anche questa verifica richiede una HTTPS Decryption adeguata. Il relativo impatto sulla Performance viene misurato con dispositivi pilota.
Se un sito consentito si carica solo in parte, script, stili, immagini o login provengono spesso da altri domini. Usare log Network Threat Protection e strumenti browser per identificare ogni destinazione, senza consentire categorie ampie.
Se Web Protection va disattivato brevemente per isolare la causa, usare una policy separata su pochi test device con responsabile e scadenza. Non disattivare Base Policy globalmente. Riattivare subito e conservare Events e log.
Articoli correlati
HTTPS Decryption fa parte delle Best practice Sophos Endpoint Threat Protection. Per introdurre più policy di controllo, seguire Introdurre in pratica le Sophos Endpoint Control Policies.