Utilizzare le categorie web e gli avvisi istantanei di Sophos Firewall

Le categorie web controllano i siti ai quali gli utenti possono accedere. Gli avvisi istantanei aggiungono notifiche e-mail per poche categorie selezionate e monitorate. Perché entrambe le funzioni siano affidabili, categoria, web policy, regola firewall, logging e invio della posta devono essere coerenti.

È una funzione utile soprattutto nelle scuole, nei reparti aziendali sensibili o negli ambienti in cui determinati accessi web non devono emergere soltanto nel report mensile.

Una categoria da sola non modifica il traffico. Una web policy deve associarla a un’azione e la policy deve essere assegnata a una regola firewall corrispondente. Ispezione TLS, gestione di QUIC e logging determinano inoltre ciò che il firewall può identificare e mostrare in seguito.

Per la pianificazione generale delle politiche web, inizia con Configurare la protezione web di Sophos Firewall con le politiche web. Per la base delle regole, aiuta Comprendere e configurare correttamente le regole del firewall di Sophos. Questo articolo si concentra sulla parte operativa del web: categorie, gruppi di URL, avvisi istantanei, valutazione e reazione.

Orientamento

Per prima cosa si sceglie il metodo di protezione o configurazione adatto al caso concreto. Così si evitano regole troppo ampie e troubleshooting duplicato.

Separare chiaramente i termini

Sophos utilizza diversi oggetti web che possono essere facilmente confusi nella pratica quotidiana.

• Categoria web: Categoria per domini, URL o parole chiave. Molte categorie provengono da Sophos, ma è possibile crearne di proprie. Consentire, bloccare, limitare o segnalare accessi web in base al rischio o al contenuto.
• Gruppo di URL: Elenco di domini che può essere utilizzato in politiche web o eccezioni TLS. Liste di permessi o blocchi espliciti, quando domini specifici sono più importanti delle categorie.
• Politica web: Insieme di regole per utenti, gruppi, categorie, gruppi di URL, tipi di file, filtri di contenuto e azioni. Controllare gli accessi web e collegarli a una regola del firewall.
• Avvisi istantanei: Notifica e-mail per accessi a categorie monitorate. Rapida segnalazione per categorie particolarmente sensibili o a rischio.
• Visualizzatore di log e report: Valutazione della decisione effettiva. Controllare se categoria, politica, utente e regola del firewall funzionano come previsto.

Una politica web ha effetto solo se selezionata in una regola del firewall appropriata sotto Security features > Web filtering. La politica web da sola non è quindi una regola firewall che gestisce il traffico di produzione.

Quando le categorie web sono utili

Le categorie web sono particolarmente utili quando gli accessi web non devono essere semplicemente consentiti o bloccati in generale. Scenari tipici:

• Bloccare categorie di malware, phishing e frodi.
• Limitare anonimizzatori, proxy e servizi di elusione.
• Monitorare attentamente categorie di Command-and-Control o spyware.
• Bloccare categorie come contenuti per adulti, gioco d’azzardo o sostanze controllate a seconda dell’ambiente.
• Consentire applicazioni cloud critiche per il business, ma limitare servizi cloud privati o di condivisione file.
• In scuole o ambienti controllati, monitorare categorie particolarmente sensibili con avvisi istantanei.
• Limitare la larghezza di banda per determinate categorie web tramite shaping del traffico.

Le categorie non dovrebbero essere impostate indiscriminatamente su blocco o avviso. Altrimenti si generano molti risultati che nessuno può esaminare in modo significativo. È meglio avere un set piccolo e chiaro con proprietario, percorso di reazione e revisione.

Requisiti

Prima della configurazione, dovrebbero essere chiariti questi punti:

• La protezione web o un pacchetto Sophos Firewall appropriato è concesso in licenza.
• Esiste una regola client o utente che deve utilizzare il filtraggio web.
• È pianificato il matching di utenti o gruppi, se le politiche devono essere applicate in base agli utenti.
• Log firewall traffic è attivo nella regola del firewall pertinente.
• In System services > Log settings, almeno Content filtering è selezionato per Local reporting. Per Central Reporting o Syslog, selezionare lo stesso tipo di log nella relativa colonna di destinazione.
• Le notifiche e-mail funzionano se si desidera utilizzare avvisi istantanei.
• Il modello utilizzato supporta gli avvisi istantanei; XGS 87 e XGS 88 non supportano questa funzione.
• Per la valutazione a lungo termine è pianificato Central Firewall Reporting o Syslog.
• È stata presa una decisione consapevole su come gestire QUIC e l’ispezione TLS.

Per la valutazione centrale, consulta Attivare il Central Firewall Reporting. Se i log devono essere inviati a un proprio SIEM, l’articolo successivo è Inviare il Syslog di Sophos Firewall a SIEM.

Pianificare il design della policy

Prima di configurare gli alert, si definisce quali categorie sono rilevanti, chi riceve le notifiche e cosa deve succedere dopo un alert.

Pianificare categorie e gruppi di URL

Per gli amministratori è importante sapere quando è meglio una propria categoria web e quando un gruppo di URL.

Una propria categoria web è utile quando:

• Domini o parole chiave devono essere utilizzati come categoria in più politiche web.
• La categoria deve essere visibile in report e log.
• È pianificato un concetto di shaping del traffico per categoria.
• Deve essere creata una categoria monitorata per avvisi istantanei.

Un gruppo di URL è generalmente migliore quando:

• Vengono raccolti solo domini specifici.
• È necessaria una piccola lista di permessi o blocchi.
• La lista deve essere utilizzata anche per eccezioni TLS.
• Si vuole evitare il matching delle parole chiave.

Per le corrispondenze di soli domini, i gruppi di URL sono più diretti e facili da verificare rispetto alle categorie con parole chiave. Usare queste categorie solo nelle regole di blocco, non di autorizzazione: i parametri di query possono altrimenti forzare un accesso indesiderato.

Un gruppo di URL contiene domini validi. Le espressioni regolari non sono consentite; le voci vengono valutate con OR, quindi è sufficiente una sola corrispondenza. La guida attuale di SFOS 22 non indica un massimo fisso. Questo non garantisce liste illimitate. Per liste grandi o mantenute dinamicamente, verificare se sia più appropriato un database di categorie importato o un threat feed.

Creare e usare in sicurezza gli URL Groups mostra il processo completo di creazione, Web Policy, TLS e test.

Distinguere categorie fisse, dinamiche e mancanti

La maggior parte delle categorie integrate si basa sulla ricerca dell’URL. ActiveX, Applets, Cookies e HTTPUpload sono invece categorie dinamiche: il firewall le assegna tramite l’ispezione del contenuto. Una ricerca dell’URL da sola non conferma quindi che una regola di questo tipo corrisponda a una richiesta reale. ALLWebTraffic indica tutto il traffico HTTP, non soltanto i siti ancora sconosciuti.

None e Uncategorized sono risultati diversi. Con None, la ricerca è riuscita, ma il database degli URL non contiene informazioni sulla categoria. Con Uncategorized, la ricerca è fallita. Prima di creare un’eccezione, distinguere l’assenza di classificazione da un problema di categorizzazione; nessuno dei due risultati dimostra che un sito sia sicuro.

Scegliere le categorie in base al significato

Una categoria non è un giudizio generale di sicurezza su tutti i contenuti di un servizio. Queste differenze contano nella scelta delle azioni della politica:

• CRL and OCSP riguarda i controlli di revoca dei certificati; Software updates, gli aggiornamenti dei software comuni. Questi accessi sono normalmente necessari. Download freeware & shareware esclude espressamente i siti di aggiornamento di sistemi operativi, antivirus e altri software critici. Il blocco dei download non deve impedire accidentalmente gli aggiornamenti.
• Content delivery comprende generalmente contenuti secondari o incorporati da altri siti. Un blocco generalizzato può compromettere siti approvati; verificare nei log l’host di destinazione reale e il sito principale prima di concedere un’eccezione.
• Command & control identifica server di controllo di malware noti, Spyware & malware siti con contenuti dannosi e Phishing & fraud anche siti fraudolenti e di phishing. Newly registered websites e Parked Domain sono invece segnali di rischio, non prove di malware.
• Business cloud apps, Personal cloud apps e Personal network storage distinguono applicazioni aziendali, servizi cloud personali e archiviazione di rete privata. Decidere l’accesso in base al rischio di fuga dei dati e alle esigenze aziendali, non solo alla parola «cloud».
• Anonymizers e Translators possono aggirare il filtraggio; Image search, Portal sites e i motori di ricerca possono esporre contenuti di altre categorie. Consentire il sito principale non significa quindi autorizzare ogni destinazione incorporata.
• Live audio, Live video, Video hosting, Surveillance e Voice & video calls distinguono streaming, video su richiesta, sorveglianza e comunicazione. La scelta tra shaping e blocco dipende dal servizio necessario. I siti di casinò, hotel e resort rientrano in Travel se non offrono né gioco d’azzardo online né consigli su scommesse o giochi. Il nome dell’hotel da solo non ne dimostra la classificazione.

Glossario compatto per la diagnosi e gli ambienti sensibili

• Gambling comprende gioco d’azzardo e lotterie con denaro reale o virtuale; informazioni e consigli su scommesse, partecipazione a lotterie e gestione di giochi numerici a scommessa; casinò virtuali e attività di gioco d’azzardo offshore; pronostici sportivi e scommesse collettive; sport virtuali e fantasy league con premi elevati o puntate significative. Games comprende siti per giocare o scaricare giochi, ospitare giochi o competizioni, ottenere consigli e codici per trucchi (cheat code), nonché riviste dedicate al gioco online. Distinguere quindi le scommesse dalle attività di gioco senza presumere la categoria dal solo nome del servizio.

• HTTPUpload riguarda le restrizioni al caricamento tramite HTTP ed è dinamica; IPAddress riguarda i siti raggiunti tramite indirizzi IP. Sono casi distinti per le regole, non sinonimi di classificazione mancante.

• Pro-suicide & self-harm comprende siti che promuovono il suicidio o l’autolesionismo. Le scuole possono monitorare possibili rischi per gli studenti con questa categoria. Le pagine sulla salute mentale, di aiuto e di sostegno non vi rientrano solo per il loro argomento. Una corrispondenza richiede una valutazione umana, non una conclusione automatica di incidente.

• Sex education comprende siti con immagini o testi sull’uso corretto dei contraccettivi, comprese pillola e spirale, e discussioni su come parlare con il partner di malattie, gravidanza e rispetto dei limiti personali. Esclude i siti commerciali che vendono articoli sessuali, normalmente classificati come Sexually explicit. Sexually explicit comprende prodotti per adulti, come giocattoli sessuali, CD-ROM e video; materiale pedopornografico e siti sulla pedofilia, inclusi quelli dell’elenco IWF; servizi per adulti, come videoconferenze, escort e strip club; racconti erotici e descrizioni testuali di atti sessuali; fumetti, animazioni, gruppi e forum sessualmente espliciti; siti erotici con nudità totale o parziale; rappresentazioni di atti sessuali, anche con animali o oggetti; testi o immagini di sfruttamento o violenza sessuale; bondage, feticismi e piercing genitali; siti naturisti con nudità e fotografie erotiche o fetish con nudità. Esclude i siti sulla salute sessuale, sul tumore al seno e sulle infezioni sessualmente trasmissibili, salvo quelli con esempi grafici.

• Intolerance & hate comprende siti che sostengono o incitano alla denigrazione o all’attacco di popolazioni o istituzioni per religione, razza, nazionalità, genere, età, disabilità o orientamento sessuale; programmi politici o sociali suprematisti che escludono altri in base a razza, religione, nazionalità, genere, età, disabilità o orientamento sessuale; revisionismo o negazionismo dell’Olocausto e altri revisionismi che incoraggiano l’odio; coercizione o reclutamento in bande o sette; militanza ed estremismo; materiale palesemente insensibile o offensivo, anche irrispettoso di opinioni e convinzioni diverse. Qui una banda è un gruppo dedito principalmente a gravi reati, con un nome o segno comune e membri che commettono reati in suo nome. Una setta è un gruppo che recluta e trattiene i seguaci con inganno, manipolazione e indebita influenza, alterandone personalità e comportamento, con una leadership onnipotente, un’ideologia totalizzante e la volontà individuale subordinata al gruppo, che si pone al di fuori della società. Notizie, materiale storico e servizi giornalistici che riportano questi fatti sono esclusi, salvo esempi grafici. Descrivere i fatti non equivale automaticamente a sostenerli.

• Radio & audio hosting comprende audio e musica legittimi su richiesta, con Spotify e Pandora come esempi descrittivi, diversamente dalle dirette di eventi o programmi in Live audio. Gli esempi non attestano la classificazione attuale di ogni URL dei due servizi. Online Chat comprende chat web e messaggistica istantanea; Voice & video calls riguarda telefonia via Internet e videochiamate. Scegliere in base alla forma di comunicazione necessaria.

• Unauthorized software stores comprende la distribuzione di software e app di dubbia legittimità per computer e dispositivi mobili, con download potenzialmente dannosi o contenenti trojan. Non ogni negozio non approvato è dimostrabilmente dannoso. Distinguerlo dai necessari Software updates approvati per i prodotti comuni.

Per le categorie sensibili, usare solo casi di prova innocui e approvati e risorse di test controllate; non visitare mai materiale illegale o angosciante. Far valutare da una persona categoria, contesto ed eventuali errori di classificazione prima di un’escalation. Le normali definizioni tematiche del catalogo e gli esempi storici di servizi restano esclusi per scelta editoriale; non sono semplice navigazione né vengono presentati come una tassonomia interamente tradotta.

Prima di modifiche estese, salvare la politica e usare destinazioni innocue e approvate per testare sia la corrispondenza prevista sia gli aggiornamenti necessari e i controlli di revoca. In caso di guasti, ripristinare l’azione della categoria interessata e ripetere i test invece di disattivare tutto il filtraggio web.

Generative AI come categoria web in SFOS 23.0

SFOS 23.0 documenta Generative AI come categoria web integrata per siti e servizi che consentono di creare o trasformare contenuti tramite prompt. Sono espressamente esclusi i siti il cui scopo principale non è l’IA generativa. Una funzione di IA aggiuntiva all’interno di un altro servizio non basta quindi a presumere che quel servizio appartenga a questa categoria. La categoria non garantisce il rilevamento di ogni utilizzo dell’IA.

Questa classificazione degli URL di Sophos si utilizza tramite una Web Policy. È distinta dalle firme applicative e dalla categoria di applicazioni Generative AI di Application Control. Una categoria web personalizzata con lo stesso nome non si sincronizza automaticamente con il catalogo delle applicazioni. Anche un elenco di domini gestito dall’amministratore in un gruppo di URL o in una categoria personalizzata rimane un oggetto separato, con un proprio responsabile e una data di revisione, non la categoria integrata.

Prima di estendere il blocco, verificare l’effetto sulla versione installata con un progetto pilota limitato:

1. Controllare la categoria in Web > Categories e usare Diagnostics > URL category lookup con un URL di prova autorizzato e innocuo. La ricerca mostra solo la classificazione, non la decisione effettiva della policy; una categoria personalizzata può determinare il risultato visualizzato.
2. In Web > Policies, verificare categoria, azioni HTTP/HTTPS e ordine delle regole. La policy deve essere selezionata nella regola firewall corrispondente, in Security features > Web filtering. Controllare Enable logging and reporting, Log firewall traffic e Content filtering in System services > Log settings > Local reporting.
3. Integrare Policy tester con una richiesta reale e controllata dal client, quindi verificare in Log Viewer la categoria utilizzata, la Web Policy, la regola firewall e l’azione. Valutare separatamente le decisioni di Application Control. In caso di differenze, controllare prima categorie personalizzate, ordine delle regole, eccezioni e percorso TLS/QUIC, senza presumere un rilevamento completo dell’IA.

Controllare l’IA generativa spiega come scegliere tra categoria web, Application Filter ed elenco di domini aggiuntivo, oltre alla procedura pilota.

Blocco, avviso o solo reporting?

Non tutte le categorie richiedono lo stesso trattamento. Un buon design di protezione web separa le decisioni di sicurezza rigide dagli avvisi e dalla semplice valutazione.

• Blocco: Malware, phishing, servizi di elusione noti e categorie chiaramente vietate. Un sito legittimo può essere bloccato se la classificazione è errata.
• Avviso: Aree grigie, ambienti di formazione e categorie consentite consapevolmente. Gli utenti possono abituarsi agli avvisi e proseguire automaticamente.
• Avviso istantaneo: Poche categorie con un reale obbligo di risposta. Troppi avvisi causano affaticamento da allarmi.
• Solo reporting: Analisi delle tendenze, rapporti di utilizzo e segnali deboli. I risultati diventano visibili solo successivamente.

Per ambienti produttivi, spesso è meglio una selezione piccola e chiara rispetto a un catalogo massimo. Se nessuno valuta un avviso, la categoria non dovrebbe essere impostata come avviso istantaneo. Se una categoria deve sempre essere bloccata, un avviso aggiuntivo è utile solo se ne deriva un follow-up concreto.

Un limite fisso del sistema si applica ai siti che Sophos classifica come attività criminale particolarmente riprovevole: il firewall li blocca indipendentemente dalla politica web o da un’eccezione e nasconde il nome del dominio nei log e nei report. In questo caso, l’assenza del dominio non è un errore di logging.

Configurazione

La configurazione comprende quattro parti: categoria o gruppo di URL, Web Policy, regola firewall e, facoltativamente, Instant alerts. L’effetto sul traffico di produzione dipende dalla corretta combinazione di questi elementi.

Creare o modificare una categoria web

Il percorso del menu è:

Web > Categories

Procedura di base:

1. Modificare una categoria esistente o scegliere Add.
2. Assegnare un nome.
3. Selezionare la classificazione.
4. Facoltativamente, selezionare una politica di shaping del traffico.
5. Scegliere il tipo di configurazione.
6. Aggiungere domini o parole chiave.
7. Facoltativamente, attivare Instant alerts.
8. Salvare.

Per le categorie personalizzate, il nome dovrebbe descrivere chiaramente lo scopo. Nomi come Custom1 o Blocklist non aiutano in seguito. Meglio nomi come Alert_Self_Harm, Block_Proxy_Anonymizer o Allow_Business_Cloud_Exceptions.

I domini vengono confrontati con il nome di dominio nell’URL e includono automaticamente i sottodomini. Le parole chiave, invece, vengono confrontate con l’URL completo, inclusi percorso e query. Questo può essere utile, ma genera più facilmente falsi positivi.

Se viene utilizzato un database di URL esterno, il firewall controlla questa lista ogni 48 ore per gli aggiornamenti. Questo intervallo non può essere modificato. Per le liste di blocco pubbliche, è comunque consigliabile verificare se Configurare e gestire in sicurezza i Sophos Firewall Threat Feeds sia più adatto.

Una categoria personalizzata non sostituisce la categoria Sophos predefinita di un URL. Un URL può appartenere a più categorie. Il firewall valuta le categorie nell’ordine dell’elenco; log e report mostrano quella usata per la decisione di policy. Dopo aver modificato le voci o il loro ordine, occorre quindi ripetere una richiesta reale.

Con Local database sono possibili al massimo 2,000 voci. Un file .txt locale contiene una voce per riga, mentre un file .csv contiene le voci separate da virgole su un’unica riga. External URL database accetta un file .txt, .csv, .tar, .gz o .bz2 raggiungibile tramite HTTP o FTP, ma non supporta l’autenticazione al server sorgente. Le voci non valide vengono ignorate.

La dimensione della cache esterna dipende dalla RAM del firewall. Sophos indica che la maggior parte dei modelli con più di 4 GB di RAM può memorizzare fino a 122,880 voci. Prima di usare in produzione una lista di grandi dimensioni, si controlla il limite effettivamente disponibile in /log/nSXLd.log.

Controllare voci e importazioni

Classification serve a filtrare e gestire le categorie. Traffic shaping policy definisce i limiti di utilizzo e la banda in upload e download; lasciare None se non è prevista una limitazione. Configuration type è inizialmente Local. Inserire una voce in Search/Add e selezionare Add, oppure importare un file locale con Browse. Per un database esterno, aggiungere invece l’URL della sorgente nello stesso campo.

Le voci di dominio possono includere un percorso o una query, come example.com/research o example.com/search?q=report; un prefisso di protocollo come https:// non va inserito nella voce. Sono esempi di sintassi, non destinazioni di test approvate. Le parole chiave devono iniziare con una lettera, una cifra o _. Caratteri non validi, domini non validi e righe vuote vengono scartati. Se un file locale supera 2,000 voci, vengono importate soltanto le prime 2,000. Gli archivi dei database esterni devono contenere file di testo. Il database esterno non ha un limite fisso di voci; questo non rende illimitata la sua cache, che dipende dalla RAM.

Non creare liste di autorizzazione basate su parole chiave: questi controlli sono meno efficienti e includono i parametri di query. Una categoria consentita con la parola chiave research potrebbe corrispondere a blocked.example/?tag=research, anche se il dominio dovrebbe restare bloccato. Usare categorie con parole chiave soltanto nelle regole di blocco, non per consentire l’accesso. Un gruppo di URL è più adatto alle eccezioni per soli domini. Documentare le voci e la politica prima dell’importazione; poi verificare l’elenco salvato, una corrispondenza prevista e una mancata corrispondenza. Se i risultati sono errati, ripristinare le voci precedenti invece di allentare ampiamente i blocchi.

Pagina di blocco specifica per categoria

In Advanced settings > Override default notification page, un messaggio personalizzato può sostituire quello predefinito quando la categoria blocca un sito. I segnaposto {category}, {user} e {url} mostrano categoria, nome utente e URL bloccato. Includere solo i dati necessari: utenti e URL possono rivelare informazioni sensibili. Conservare messaggio e impostazione precedenti, poi verificare con una destinazione innocua bloccata in un test controllato. Se la visualizzazione non è adatta, ripristinare il testo precedente o la pagina standard; cambiare il messaggio non autorizza il sito.

Configurare la politica web

Il percorso del menu è:

Web > Policies

Una politica web contiene regole per utenti, gruppi, attività, categorie, gruppi di URL, tipi di file, filtri di contenuto, azioni e pianificazioni.

Procedura di base:

1. Creare una nuova politica web o modificare una politica esistente.
2. Aggiungere una regola.
3. Selezionare utenti o gruppi, se la politica deve essere basata sugli utenti.
4. Selezionare categorie o gruppi di URL.
5. Impostare l’azione per HTTP.
6. Verificare l’azione separata per HTTPS.
7. Impostare una pianificazione oraria, se necessario.
8. In Advanced settings, attivare Enable logging and reporting se la politica deve comparire nei log e nei report.
9. Attivare lo stato della regola.
10. Verificare la posizione della regola.
11. Salvare.

Enable logging and reporting nella politica web e Log firewall traffic nella regola del firewall svolgono funzioni diverse. Per una valutazione tracciabile è necessario verificare entrambe.

L’ordine all’interno della politica web è cruciale. Le regole vengono valutate dall’alto verso il basso. Una regola di permesso ampia sopra una regola di blocco specifica può far sì che la regola di blocco non venga mai applicata.

Se gli utenti sono impostati nella regola del firewall e nella politica web, è necessario testare consapevolmente l’effetto. Gli utenti nelle regole del firewall possono avere la precedenza sugli utenti nelle politiche web. In caso di risultati poco chiari, è quindi necessario controllare non solo la politica web, ma anche la regola del firewall.

Attivare la politica web nella regola del firewall

Il percorso del menu è:

Rules and policies > Firewall rules > [Rule] > Security features > Web filtering

Procedura di base:

1. Aprire la regola client o server pertinente.
2. Controllare zona di origine, rete di origine, zona di destinazione e servizi.
3. Attivare Log firewall traffic.
4. Sotto Web filtering, selezionare la politica web desiderata.
5. Attivare consapevolmente o disattivare giustificatamente Block QUIC protocol.
6. Verificare le impostazioni di scansione malware e scansione HTTPS.
7. Salvare.
8. Testare con il tester delle politiche, il visualizzatore di log e il traffico reale del client.

QUIC è un fattore di disturbo comune per il filtraggio web. Quando i browser comunicano su UDP 443, la logica e la visibilità non sempre corrispondono alle aspettative del classico HTTPS su TCP. Per i dettagli, consulta Bloccare correttamente QUIC e HTTP/3 su Sophos Firewall.

Se i contenuti HTTPS o i percorsi URL completi sono rilevanti, la sola categorizzazione web potrebbe non essere sufficiente. In tal caso, deve essere pianificata l’ispezione TLS. Questo non dovrebbe essere fatto superficialmente, poiché coinvolge certificati, eccezioni, privacy, prestazioni e processi di supporto. Il rollout è descritto in Introdurre correttamente l’ispezione TLS su Sophos Firewall.

Esempio: consentire categorie solo a un gruppo di ricerca

Un’eccezione limitata a un gruppo è più sicura di una regola di autorizzazione generale. Prima documentare la politica, la posizione della regola firewall e le impostazioni del gruppo, poi confermare l’identificazione degli utenti di test. Research, Web categories e Web research group sono nomi di esempio liberamente scelti.

1. Creare Research in Authentication > Groups > Add. Scegliere consapevolmente Surfing quota e Access time, poi Save. Unlimited internet access e Allowed all the time sono valori possibili, non prerequisiti per un’eccezione di categoria: uso illimitato e accesso permanente richiedono un’approvazione separata.
2. In Web > Policies > Add policy, creare Web categories e selezionare Add rule. La nuova regola è in cima, inizialmente disattivata, e con le impostazioni iniziali bloccherebbe tutto il traffico HTTP per tutti gli utenti. Modificare la selezione prima di attivarla.
3. In Activities, aprire All web traffic > Add new item, deselezionare All web traffic e scegliere solo le categorie approvate in Show only > Web category. Confermare con Apply selected items.
4. In Action, scegliere Allow HTTP, controllare consapevolmente l’azione HTTPS separata, attivare Status e salvare. Non omettere accidentalmente il logging o le altre regole.
5. In Rules and policies > Firewall rules, scegliere IPv4 o IPv6, poi Add firewall rule. Limitare Web research group alle reti sorgente, zone, destinazioni e servizi necessari. Nel selettore di utenti/gruppi, usare Add new item, deselezionare Any, scegliere Research e Apply selected items. Assegnare la politica in Security features > Web filtering.
6. Dopo Save, spostare la regola con la maniglia di trascinamento prima della regola generale di lavoro, senza collocarla indiscriminatamente sopra altre regole di sicurezza. Testare con un membro e un non membro: solo il gruppo approvato deve raggiungere la categoria consentita; altre categorie e utenti devono continuare a seguire la politica di base prevista. Confermare ID della regola, categoria e azione in Log Viewer.

In caso di accesso consentito inaspettato, disattivare la nuova regola di eccezione e ripristinare l’ordine o l’assegnazione della politica documentati. Ripetere entrambi i test utente. L’appartenenza al gruppo non dimostra da sola che sia stata applicata la regola firewall corretta.

L’esempio documentato chiama l’assegnazione degli utenti Identity e la scelta della politica Advanced. I nomi delle sezioni possono variare tra interfacce. Contano la selezione limitata di utenti/gruppi e l’assegnazione della Web Policy in Web filtering sulla versione installata; non attivare l’eccezione se l’assegnazione non è chiara.

Attivare gli avvisi istantanei

Gli avvisi istantanei vengono attivati a livello di categoria. Sono disattivati per impostazione predefinita in tutte le categorie. L’icona del filtro accanto a Instant alerts in Web > Categories consente di visualizzare e controllare le categorie monitorate.

Il percorso del menu è:

Web > Categories

Procedura di base:

1. Modificare la categoria.
2. Selezionare consapevolmente la categoria per il monitoraggio.
3. Attivare Instant alerts.
4. Salvare.
5. Aprire System services > Notifications list.
6. Attivare Email notifications nella parte superiore.
7. Cercare Web – Instant alerts.
8. Selezionare la casella sotto Email.
9. Verificare server di posta, mittente e destinatari in Administration > Notification settings.
10. Generare una richiesta di prova e controllare il successivo batch di notifiche, inviato ogni cinque minuti.

Il firewall invia notifiche e-mail per le categorie monitorate in batch ogni cinque minuti. Questo intervallo non può essere modificato. Un avviso non è quindi un allarme in tempo reale preciso al secondo, ma una notifica e-mail rapida rispetto ai report disponibili solo successivamente.

Gli avvisi istantanei non sono disponibili su XGS 87 e XGS 88. Se la funzione manca su uno di questi modelli, la configurazione e-mail o delle notifiche non è quindi necessariamente errata.

Gli avvisi istantanei dovrebbero essere attivati solo per categorie in cui un destinatario definito può effettivamente reagire. Una lunga lista di avvisi senza responsabilità porta spesso a stanchezza da allarme.

Analisi e operatività

Gli alert sono utili solo se vengono controllati, classificati e gestiti in modo coerente nell’operatività quotidiana.

Privacy e responsabilità interna

Gli avvisi di categoria web possono includere utente, IP sorgente, orario, categoria e, a seconda della visibilità, anche informazioni sulla destinazione. Questo è utile per la sicurezza e il funzionamento, ma può sollevare questioni legali o di privacy a seconda dell’organizzazione.

Prima dell’uso produttivo, dovrebbe essere chiarito:

• Chi può vedere gli avvisi web?
• Quali risultati vengono esaminati solo tecnicamente e quali vengono trattati come casi di sicurezza?
• Per quanto tempo vengono conservate le e-mail di avviso, i report o gli eventi SIEM?
• La valutazione è coordinata con HR, privacy o politiche interne?
• Come si evita che singoli risultati innocui vengano sovrainterpretati?

Tecnicamente, l’impostazione è attivata rapidamente. Operativamente, dovrebbe essere trattata come un piccolo processo di monitoraggio: destinatari, scopo, percorso di reazione e conservazione devono essere coerenti.

Definire il triage degli avvisi

Gli avvisi istantanei non dovrebbero essere trattati tutti allo stesso modo. Un singolo risultato di categoria può essere un clic accidentale innocuo, un servizio classificato erroneamente, un problema di politica o un vero caso di sicurezza. Occorre quindi stabilire in anticipo quali risultati esaminare immediatamente e quali includere soltanto nella revisione ordinaria.

Un semplice triage aiuta a stabilire le priorità degli avvisi:

• Alta: Malware, phishing, Command-and-Control e categorie di exploit o spyware. Controllare tempestivamente i log, l’utente, lo stato dell’endpoint e gli altri log di sicurezza.
• Media: Anonimizzatori, proxy, condivisione di file, archiviazione cloud privata o elusione ripetuta delle politiche. Controllare gli schemi ricorrenti, chiarire il contesto dell’utente e affinare la politica.
• Bassa: Casi isolati in aree grigie, senza ripetizioni. Includerli nel reporting o nella revisione settimanale, senza un’escalation immediata.
• Falso allarme: Sito necessario per l’attività classificato erroneamente. Esaminare un gruppo di URL mirato o adeguare la categoria, senza impostare una regola di autorizzazione generale.

Questa classificazione non dovrebbe esistere solo nella mente di un amministratore. È utile una breve nota operativa: categorie monitorate, destinatari, tempo di reazione, percorso di escalation, eccezioni consentite e data di revisione. In questo modo rimane chiaro se un avviso deve essere solo documentato, corretto tecnicamente o trattato come incidente.

Usare URL Category Lookup prima del test della policy

Con una sottoscrizione Web Protection attiva, Diagnostics > URL category lookup mostra la categoria assegnata da Sophos a un URL specifico. Si inserisce l’URL di test completo in Search URL e si fa clic su Search. Il risultato indica nome e descrizione della categoria. Se l’URL appartiene sia a una categoria personalizzata sia a una predefinita, la ricerca mostra la categoria personalizzata.

Il lookup conferma solo la categorizzazione. Non dimostra quale regola firewall o web policy corrisponda a un client reale, se si applichi un’eccezione o come operino TLS, QUIC e il percorso di traffico effettivo. Dopo il lookup si eseguono quindi Policy tester, una richiesta controllata dal client e l’analisi in Log Viewer.

Testare e valutare

Dopo ogni modifica, non solo bisogna salvare, ma anche verificare l’effetto.

Passi di verifica utili:

1. Aprire Diagnostics > Tools > Pop-out tools > Policy tester. Web > Policies > Policy tester è un accesso alternativo allo stesso strumento.
2. Indicare URL, utente, ora, indirizzo IP sorgente e zona sorgente, quindi testare Firewall, SSL/TLS, and web. Web policy only esclude deliberatamente le regole firewall.
3. Su un client di prova, visitare un sito web appropriato.
4. Aprire Log viewer.
5. Controllare i log di filtraggio web, firewall, ispezione SSL/TLS e controllo delle applicazioni.
6. Nella regola del firewall, controllare se il risultato si trova sulla regola prevista.
7. Per gli avvisi istantanei, controllare la posta in arrivo delle e-mail.
8. In Sophos Fusion (in precedenza Sophos Central) o SIEM, controllare se gli eventi arrivano lì.

Policy tester simula il traffico web trasparente e non considera le rotte SD-WAN, quindi non sostituisce un flusso reale. Se una regola non corrisponde o TLS/QUIC modifica il percorso, la differenza appare spesso solo in Log Viewer o in un packet capture. Per tali casi, consulta Testare le regole del firewall con Log Viewer, Policy Test e Packet Capture.

Per l’assegnazione dei file di log, aiuta Risoluzione dei problemi di Sophos Firewall: Servizi e Log. Lì sono inclusi awarrenhttp.log, webproxy.log e nSXLd.log per domande su web e categorizzazione.

Stabilire la reazione agli avvisi istantanei

Un avviso istantaneo è utile solo se dopo è chiaro cosa deve accadere. Altrimenti si genera traffico e-mail aggiuntivo, ma non una maggiore sicurezza. Prima dell’attivazione, dovrebbe quindi essere definito un semplice flusso di reazione.

Per ogni tipo di categoria monitorata, dovrebbe essere stabilito almeno:

• Chi riceve l’avviso? Evitare liste di distribuzione senza responsabili.
• Quanto velocemente bisogna reagire? Distinguere i risultati critici da quelli che richiedono solo una revisione ordinaria.
• Quali log vengono controllati? Log Viewer, Central Reporting, Syslog o log di servizio offrono livelli di dettaglio diversi.
• Quando un risultato è un incidente? Non ogni corrispondenza di categoria è automaticamente un incidente di sicurezza.
• Chi può approvare un’eccezione? Evitare regole di autorizzazione frettolose e troppo ampie senza una valutazione del rischio.
• Quando viene rivista la selezione delle categorie? Prevedere una revisione per ridurre l’affaticamento da allarmi causato da una selezione troppo ampia.

Un flusso pragmatico appare così:

1. Registrare l’avviso con utente, IP sorgente, categoria, URL o dominio e orario.
2. Nel visualizzatore di log, controllare quale regola del firewall e politica web hanno avuto effetto.
3. Se disponibile, utilizzare Central Reporting o SIEM per il contesto temporale.
4. Determinare se è un caso isolato, un modello ripetuto o un falso allarme.
5. In caso di classificazione errata, lavorare solo miratamente con un gruppo di URL o un adattamento della categoria.
6. In caso di modello sospetto, valutare il contesto dell’utente, lo stato dell’endpoint e altri log di sicurezza.
7. Documentare la decisione: ignorare, osservare, bloccare, eccezione, incidente.

Per l’analisi tecnica dettagliata, aiutano Risoluzione dei problemi di Sophos Firewall: Servizi e Log, Attivare il Central Firewall Reporting e Inviare il Syslog di Sophos Firewall a SIEM. Se non è chiaro se il traffico ha soddisfatto i criteri della regola firewall prevista, consulta Testare le regole del firewall con Log Viewer, Policy Test e Packet Capture.

Raccomandazioni operative

Per ambienti produttivi, è utile un modello a tre livelli:

1. Bloccare: Bloccare malware, phishing, frodi, Command-and-Control, anonimizzatori e altre categorie chiaramente rischiose.
2. Monitorare: Attivare gli avvisi istantanei per poche categorie sensibili.
3. Valutare: Controllare regolarmente i report web, Central Reporting o SIEM.

Il limite più importante è organizzativo: un avviso ha bisogno di un destinatario, un tempo di reazione e una decisione su cosa fare con i risultati. Altrimenti, gli avvisi istantanei diventano solo rumore e-mail aggiuntivo.

Lista di controllo

• Verificata la licenza di protezione web.
• Identificata la regola del firewall pertinente.
• Creata o modificata la politica web.
• Selezionata la politica web nella regola del firewall.
• Attivato Log firewall traffic nella regola.
• Deciso consapevolmente Block QUIC protocol.
• Pianificata consapevolmente l’ispezione TLS o non utilizzata consapevolmente.
• Definite categorie critiche.
• Attivati avvisi istantanei solo per poche categorie chiare.
• Attivato System services > Notifications list > Web – Instant alerts via e-mail.
• Test eseguito con il tester delle politiche.
• Test eseguito con traffico reale del client.
• Verificato il visualizzatore di log.
• Verificato Central Reporting o Syslog, se è prevista una valutazione centrale.
• Documentato proprietario e percorso di reazione per gli avvisi.

Annullare le modifiche in sicurezza

Prima di intervenire, annotare lo stato della categoria, la web policy e la sua assegnazione alla regola firewall. In questo modo si può eseguire un rollback mirato senza disattivare tutto il filtraggio web.

1. Per interrompere solo questi avvisi, disattivare Instant alerts per la categoria in Web > Categories. Non disattivare globalmente Email notifications se altri eventi usano l’e-mail.
2. Se le voci della categoria o l’ordine delle regole sono stati modificati, ripristinare le voci e le posizioni annotate.
3. Se alla regola firewall è stata assegnata un’altra web policy, ripristinare quella precedente in Rules and policies > Firewall rules > [Rule] > Security features > Web filtering.
4. Ripetere i test iniziali in Policy tester e sul client, quindi confermare l’azione prevista in Log Viewer.

Una notifica generata prima del rollback può ancora arrivare nel successivo batch di cinque minuti. Il criterio di successo è che una nuova richiesta controllata riceva nuovamente l’azione di policy annotata. Se Instant alerts è stato disattivato, la richiesta non deve generare un’altra e-mail di avviso web.

Troubleshooting

Se il risultato atteso manca, si controllano passo per passo logging, rule matching e comportamento delle policy.

Errori comuni

• La politica web non funziona: La politica non è selezionata nella regola del firewall. Controllare la regola del firewall sotto Web filtering.
• La categoria è consentita, anche se dovrebbe essere bloccata: Una regola di autorizzazione ampia precede la regola di blocco. Controllare l’ordine nelle politiche web e nelle regole del firewall.
• Nessun avviso istantaneo: La categoria non è monitorata, Email notifications è disattivato globalmente oppure la casella Email dell’evento non è selezionata. Controllare Web > Categories, System services > Notifications list e poi Administration > Notification settings.
• Nessuna indicazione dell’utente nel log: L’utente non è riconosciuto oppure il traffico non corrisponde ai criteri utente della regola. Verificare autenticazione, STAS, Captive Portal o utenti senza client.
• HTTPS è consentito inaspettatamente: Manca un’ispezione TLS appropriata oppure l’azione HTTPS non è configurata come previsto. Controllare politica web, regole di ispezione SSL/TLS e decrittazione.
• Il filtro web sembra incompleto: La causa può essere QUIC o un percorso di traffico errato. Controllare Block QUIC protocol, servizi e visualizzatore di log.
• Troppi avvisi: La selezione delle categorie è troppo ampia. Ridurre la lista degli avvisi e assegnare un responsabile.
• Dominio mancante nel log/report: Il dominio può essere oscurato perché appartiene a una categoria particolarmente critica. Controllare la categoria e il comportamento previsto da Sophos.

Sophos blocca sempre i siti web della categoria highly objectionable criminal activity e oscura il nome del dominio nei log e nei report. Se un elemento in questa area appare anonimizzato, potrebbe essere intenzionale.

Domande frequenti