Controllare Spoof Protection e DoS Settings
Spoof Protection e DoS Settings rientrano tra le classiche funzioni di hardening di un Sophos Firewall. Le funzionalità riducono i pacchetti semplici, rumorosi o ovviamente errati prima che diventino rumore inutile nei log, nelle regole o nei servizi pubblicati. Allo stesso tempo queste impostazioni non costituiscono una protezione magica contro ogni tipo di attacco.
L’articolo classifica le funzioni come un accurato rafforzamento di base: comprendere prima la progettazione della rete e i percorsi di ritorno, quindi attivare, testare e controllare i log. La distinzione è particolarmente importante: queste funzioni completano le regole del firewall, IPS, Threat Feeds, WAF pulite e logging. Non sostituiscono questi elementi costitutivi.
Breve spiegazione
Spoof Protection controlla se i pacchetti con un indirizzo di origine plausibile arrivano sull’interfaccia prevista. Ad esempio, se un pacchetto con un indirizzo di origine interno appare dalla direzione di Internet, ciò è sospetto nella maggior parte dei progetti. DoS Settings, d’altro canto, rispondono a determinati modelli di Flooding o di attacco alla connessione, ad esempio quantità notevoli di traffico SYN, UDP o ICMP.
Il tipico percorso del menu, a seconda della versione SFOS, è nell’intervallo:
Intrusion prevention > DoS & spoof protection
Se l’interfaccia è etichettata in modo leggermente diverso in una versione più recente, dovresti cercare DoS, protezione spoof o prevenzione delle intrusioni. Ciò che è importante non è l’esatto percorso del clic, ma piuttosto che la funzione sia pianificata, testata e successivamente registrata consapevolmente.
Cosa fanno le funzioni
- Spoof Protection: Scarta i pacchetti con IP di origine non plausibile, riduce i semplici tentativi di spoofing, rende visibili i pacchetti instradati in modo errato. non sostituisce la zona pulita, l’interfaccia e la pianificazione del routing.
- DoS Settings: limita semplici schemi di allagamento, rende evidenti attacchi rumorosi o configurazioni errate in precedenza. non sostituisce la protezione DDoS del provider, nessun WAF e nessun design a monte ben dimensionato.
Non confondere i tipi di protezione
In pratica, queste funzioni sono particolarmente interessanti come rafforzamento di base. Il vantaggio è ridurre le ovvie sciocchezze. Nei veri attacchi DDoS volumetrici, la connessione Internet è spesso già al completo prima che il firewall possa rispondere in modo significativo. Quindi è necessaria la protezione da parte del provider, lo scrubbing a monte o un’altra architettura.
Quando Spoof Protection ha senso
Spoof Protection si adatta particolarmente bene a reti chiaramente segmentate in cui le reti di origine, le interfacce e i percorsi sono chiaramente pianificati. Quanto più chiara è la struttura della rete, tanto più facile è valutare se un indirizzo sorgente su un’interfaccia è plausibile.
Applicazioni utili:
- Internet WAN su cui non dovrebbero apparire fonti interne RFC1918.
- DMZ o zone server con reti di origine e destinazione libere.
- Zone client, ospiti o IoT in cui nessuna rete interna esterna deve apparire come origine.
- Luoghi in cui il percorso, VLAN e zone sono chiaramente documentati.
- Gli ambienti in cui i pacchetti vengono rilasciati devono essere successivamente tracciabili con Packet Capture e registri.
Le cose diventano più difficili con routing asimmetrico, reti di transito complesse, percorsi di migrazione temporanei, VLANs documentati in modo errato o più firewall nello stesso percorso dati. Un flusso di dati legittimo può sembrare uno spoofing, sebbene la progettazione del routing o il percorso di ritorno siano in realtà impuri.
Controllo prima dell’attivazione
Spoof Protection e DoS Settings non devono essere attivati alla cieca in un ambiente di produzione. Dovrebbe essere chiaro in anticipo quali reti e servizi sono interessati.
Punti di controllo importanti:
- Zone documento, interfacce, VLAN, bridge e LAG.
- Controlla i percorsi statici, i percorsi SD-WAN, i percorsi VPN e i percorsi asimmetrici.
- Identificare i servizi pubblicati tramite DNAT o WAF.
- Nota servizi critici come VoIP, monitoraggio, backup, scansioni, VPN e connessioni al sito.
- Preparare la registrazione e la valutazione centrale se gli eventi devono essere tracciabili in un secondo momento.
- Imposta la finestra di manutenzione o l’area pilota per la prima attivazione.
Se le normali regole del firewall sono difficili da comprendere, è necessario prima ripulire la regola e lo stato del routing. Per le singole connessioni di test, Test della regola firewall con Log Viewer, Policy Test e Packet Capture è un inizio migliore.
Spoof Protection attivare con attenzione
Un approccio graduale ha senso per Spoof Protection. Dovresti proteggere prima le aree più libere, non tutte le zone speciali immediatamente.
Processo pratico:
- Salvare la configurazione corrente o almeno documentare le impostazioni interessate.
- Iniziare con una zona o interfaccia libera, ad esempio WAN o una zona client nettamente separata.
- Salva attivazione.
- Esegui test di connessione pianificati: accesso a Internet, VPN, servizi pubblicati, server centrali, monitoraggio.
- Controllare Log Viewer e Packet Capture per eventuali cadute impreviste.
- Non gestire immediatamente evidenti cali legittimi con ampie eccezioni, ma prima controlla il routing, l’IP di origine e l’interfaccia.
Un errore comune è considerare Spoof Protection come un puro e semplice gancio di sicurezza. In realtà, la funzione verifica un’ipotesi sulla progettazione della rete. Se questa ipotesi non è corretta, Spoof Protection non deve necessariamente essere sbagliato. Spesso un’interfaccia, un percorso, un VLAN o un percorso di ritorno non vengono costruiti come previsto.
Capire correttamente IP, MAC e coppie IP-MAC
Sophos distingue diversi tipi di controllo. IP spoofing scarta il traffico quando l’IP sorgente non corrisponde alla tabella di routing o a una subnet direttamente collegata. MAC filter lavora con indirizzi MAC attendibili; per questo deve essere mantenuta almeno una Trusted MAC Address. Il MAC filter non viene applicato ai pacchetti DHCP. IP-MAC pair filter controlla se la combinazione in ingresso tra indirizzo IP e indirizzo MAC corrisponde a una coppia nota.
Questo è utile in reti statiche e chiaramente controllate, ma negli ambienti dinamici può generare rapidamente lavoro di manutenzione. DHCP, roaming Wi-Fi, macchine virtuali, hypervisor, cluster, NAC, docking station o sostituzione di dispositivi possono produrre cambi MAC/IP legittimi. Per queste reti è meglio osservare prima e creare binding solo dove la realtà operativa è sufficientemente stabile.
L’aspettativa è importante: un IP-MAC pair filter attivato senza Trusted MAC o coppie IP-MAC mantenute non protegge automaticamente. Se non esistono voci corrispondenti, il traffico non viene bloccato ma consentito. La protezione nasce solo da binding mantenuti e testati.
L’opzione Restrict unknown IP on trusted MAC è particolarmente severa: pacchetti da una Trusted MAC senza binding IP corrispondente possono essere scartati se l’IP risulta sconosciuto dal punto di vista del firewall. È un guadagno di sicurezza in reti controllate, ma un ostacolo con DHCP, migrazioni e cambi IP temporanei.
DoS Settings piano
DoS Settings dovrebbe adattarsi all’ambiente. Raramente ha senso adottare i valori di un altro esempio senza verificarli. Un sito con pochi utenti, VoIP e un piccolo WAN si comporta in modo diverso rispetto a un data center, una rete scolastica o un sito con scansioni e monitoraggio regolari.
Prima di adattarsi, rispondi a queste domande:
- Quali servizi pubblici sono esposti?
- Sono presenti picchi di carico, scansioni, monitoraggio o controlli di integrità legittimi?
- Vengono utilizzati VoIP, VPN, WAF, DNAT o trasferimenti di file di grandi dimensioni?
- Quali eventi dovrebbero essere solo registrati e quali dovrebbero essere realmente bloccati?
- Chi controlla i log dopo l’attivazione?
DoS Settings può contribuire a limitare semplici schemi di allagamento. Tuttavia, soglie troppo rigide possono incidere anche sul traffico legittimo. È necessario prestare particolare attenzione a VoIP, ai sistemi di monitoraggio, ai processi di backup, alle scansioni di vulnerabilità e ai servizi pubblicati molto utilizzati.
Nella schermata non contano solo i flood classici. Ci sono anche flag come Dropped source routed packets, Disable ICMP/ICMPv6 redirect packet e ARP hardening. Queste opzioni sono un buon hardening di base, perché possono ridurre manipolazioni del routing o del comportamento ARP. Dopo l’attivazione vanno comunque testate, soprattutto in reti con router downstream, segmenti vecchi o design Layer 2 insoliti.
Per le soglie sono importanti due termini:
- Packet rate: numero di pacchetti che un host può inviare o ricevere al minuto prima che il traffico venga scartato.
- Burst rate: picco breve sopra il Packet Rate consentito senza essere subito trattato come flood persistente.
L’Apply flag decide se il limite configurato viene realmente applicato al protocollo. Valori troppo alti servono a poco. Valori troppo bassi bloccano picchi legittimi. I valori vanno quindi allineati al traffico reale, ai servizi pubblicati e alle finestre di manutenzione note.
Caso particolare: secondo Sophos, la configurazione IP flood non è disponibile nell’interfaccia web, ma solo via CLI. Queste impostazioni non andrebbero modificate di sfuggita, ma con change, documentazione e piano di rollback.
Usare le DoS bypass rules solo in modo mirato
Le DoS bypass rules sono utili quando un flusso chiaramente noto viene altrimenti colpito erroneamente in modo affidabile. L’eccezione dovrebbe essere il più precisa possibile: sorgente specifica, destinazione specifica, protocollo adatto e intervallo porte ristretto.
Regole ampie con reti grandi, logica any o intervalli di porte generici sono pericolose. Rendono cieca l’ispezione DoS proprio dove potrebbe servire in seguito.
L’ordine è importante: Sophos Firewall verifica prima se una DoS bypass rule corrisponde e applica DoS Protection solo al traffico restante. Una regola di bypass troppo ampia può quindi rendere inefficace anche una buona configurazione DoS. Per le regole bypass occorre impostare consapevolmente sorgente, destinazione, protocollo, porta sorgente e porta destinazione, invece di usare * per comodità.
Cosa non risolvono queste impostazioni
Spoof Protection e DoS Settings sono elementi costitutivi importanti, ma non risolvono tutti i problemi di sicurezza.
- Il server viene attaccato tramite richieste HTTP consentite: Controlla WAF protezione regole e server web.
- Attacchi IP di origine dannosa noti: Threat Feeds o Controlla paese/blocco IP.
- Tentativo di exploit contro un servizio: Attiva IPS-Policy secondo la regola.
- La linea Internet è piena a causa di DDoS: Includi provider, scrubbing o protezione DDoS upstream.
- La regola del firewall consente troppo: Regole di pulizia, NAT e modello a oggetti.
- I drop sono incomprensibili: Migliora la registrazione, Packet Capture, syslog o reporting centrale.
L’articolo Pubblica server con DNAT su Sophos Firewall è rilevante anche per i server accessibili pubblicamente. Riguarda NAT, le regole del firewall e gli errori tipici di pubblicazione.
Log e controlli successivi
Dopo l’attivazione non dovresti solo controllare se il normale accesso a Internet funziona ancora. Ciò che è importante è se il firewall mostra chiaramente gli eventi attesi e imprevisti.
Controllare:
- Log Viewer filtro per firewall ed eventi di sicurezza rilevanti.
- Attiva il traffico di test con IP di origine, IP di destinazione e servizio chiari.
- Utilizzare Packet Capture per gocce poco chiare.
- Per un’archiviazione più lunga, pianificare syslog su SIEM o server di registro.
- Quando si esegue Sophos Central, verificare se Central Firewall Reporting rende visibili gli eventi desiderati.
Se un pacchetto viene scartato ma il motivo non è chiaro, l’analisi sistematica della caduta in Sophos Firewall perde pacchetti: controlla le cause aiuta. Descrive inoltre perché Log Viewer e Packet Capture rispondono a domande diverse.
Risoluzione dei problemi dopo l’attivazione
Dopo una modifica, i sintomi non dovrebbero essere interpretati troppo presto come un attacco. L’analisi più rapida consiste di solito nel confrontare aspettativa, osservazione e prossimo test.
- Una singola rete perde l’accesso: la rete sorgente potrebbe arrivare su un’interfaccia diversa da quella prevista. Confrontare route, VLAN, SD-WAN Route e Packet Capture.
- Molti client dietro NAT sono interessati: la soglia DoS conta il traffico dal punto di vista di una sorgente condivisa. Verificare soglia, percorso NAT e picco di carico legittimo.
- VoIP, monitoring o scanner genera drop: rate di pacchetti regolari possono sembrare flooding. Verificare una finestra di test ristretta, Log Viewer e, se necessario, una regola di bypass precisa.
- I dispositivi non funzionano più dopo una modifica DHCP: binding IP-MAC o logica Trusted MAC potrebbero non essere più corretti. Controllare lease, indirizzo MAC e binding.
- Manca solo il traffico di ritorno: è probabile un percorso asimmetrico o un gateway errato. Verificare separatamente andata e ritorno con Packet Capture.
- Una modifica ARP o ICMP crea effetti collaterali: ARP hardening, source-routed packets o ICMP redirect possono colpire design di rete insoliti. Controllare router downstream, segmenti Layer 2 e percorso di routing.
Errori tipici
- Spoof Protection attivare senza comprendere il routing: il traffico legittimo può essere bloccato. Controllare in anticipo zone, interfacce, percorsi e percorsi di ritorno.
- Applicare soglie DoS senza controllare: VoIP, il monitoraggio, le scansioni o i servizi pubblicati possono essere interrotti. Pianificare la linea di base e la fase di test.
- Confondere Packet Rate e Burst Rate: il rate permanente e il picco breve sono controlli diversi. Entrambi devono adattarsi al servizio.
- Risolvere ogni anomalia con un’eccezione generale: L’hardening diventa inefficace e confuso. Limitare la causa e documentare attentamente le eccezioni.
- Impostare una DoS bypass rule troppo ampia: il bypass viene verificato prima di DoS Protection e può aggirare completamente il controllo. Tenere stretti sorgente, destinazione, protocollo e porte.
- Lasciare vuoto IP-MAC pair filter: senza voci mantenute non esiste alcun binding efficace. Dopo l’attivazione testare sempre con un client noto.
- Vendere DoS Settings come protezione DDoS: false aspettative per attacchi alla larghezza di banda. Pianificare separatamente la protezione del provider e quella upstream.
- Non controllare i registri: I blocchi o gli attacchi errati rimangono invisibili. Definire Log Viewer, reporting centrale o syslog come punto operativo.
- Interpretare le eliminazioni di spoofing come un puro attacco: Gli errori di routing o VLAN vengono trascurati. Confrontare IP sorgente, interfaccia, percorso e Packet Capture.
Lista di controllo operativa
Prima dell’attivazione:
- zone, interfacce e routing compresi.
- Servizi critici e casi di test definiti.
- Packet Rate, Burst Rate e flag attivati valutati tecnicamente.
- Backup o modifica della documentazione disponibile.
- Registrazione e valutazione preparate.
- Area pilota o finestra di manutenzione impostata.
Dopo l’attivazione:
- Internet, VPN, WAF, DNAT, VoIP e monitoraggio testati.
- Log Viewer controllato per cadute impreviste.
- Packet Capture utilizzato per almeno un caso di test chiaro in caso di cadute.
- Le eccezioni vengono fatte solo in modo limitato e motivato.
- DoS bypass rules controllate per sorgente, destinazione, protocollo e porte.
- Risultato registrato nella documentazione operativa.
Regolarmente:
- Controlla gli eventi DoS e spoofing.
- Controlla le eccezioni per necessità.
- Eseguire nuovamente il test dopo modifiche alla rete, modifiche alla VPN o nuovi VLAN. Correlare i registri
- con IPS, feed delle minacce, WAF ed eventi delle regole firewall.