Globale IPS-Einstellungen auf Sophos Firewall sicher prüfen

Die Device Console der Sophos Firewall enthält unter set ips globale Einstellungen für die IPS Engine. Sie steuern unter anderem Fail-close, Scanumfang, Anwendungserkennung, SIP-Verarbeitung, PKI Acceleration und das Verhalten bei Signaturupdates. Diese Werte gelten nicht nur für eine einzelne IPS Policy oder Firewall-Regel.

Der sichere Einstieg ist show ips-settings. Die Ausgabe zeigt die aktuell konfigurierten IPS-Werte und laufenden Instanzen. Erst wenn ein reproduzierbares Fehlerbild zu genau einem Parameter passt, wird eine einzelne Einstellung in einem Wartungsfenster geändert. Ausgangswert, erwartete Wirkung, Kontrollflow und Rollback-Befehl werden vorher festgehalten.

⚠️ set ips ist keine allgemeine Performance-Tuning-Liste. Einzelne Optionen können neue Verbindungen verwerfen, Application Control oder Active Threat Response umgehen, den IPS-Schutz während eines Neustarts vollständig überbrücken oder einen Firewall-Neustart verlangen.

Die normale Aktivierung, Policy-Auswahl, Signaturbewertung und Behandlung von False Positives beschreibt Sophos Firewall IPS einrichten und sicher testen. Dieser Artikel ergänzt den globalen CLI-Layer.

Sicherer Kurzweg

1. Betroffene Verbindung, Firewall Rule ID, IPS Policy, Signatur, Zeitpunkt und Symptom dokumentieren.
2. In der Device Console show ips-settings und bei Bedarf das lesende show ips_conf sichern.
3. Prüfen, ob eine enge Policy- oder Signaturänderung das Problem ohne globalen Eingriff löst.
4. Nur einen globalen Wert mit passendem Positiv-, Negativ- und Kontrolltest ändern.
5. Bei failclose oder IPS-Instanzen den zusätzlich verlangten Apply-Schritt und den Betriebsimpact einplanen.
6. Ergebnis in Log Viewer, ips.log, Applikation und Ressourcenwerten prüfen und bei fehlendem Nutzen sofort zurückrollen.

Nach einem abgesicherten SSH-Login wird 4. Device Console gewählt. Zugriff, Host-Key-Prüfung und die Trennung zur Advanced Shell erklärt Sophos Firewall CLI Troubleshooting.

show ips-settings
show ips_conf

show ips_conf liefert eine technische Snort-Konfigurationsansicht. Einzelne interne Schlüssel sind keine freigegebene Vorlage für eigene Änderungen.

Fail-close und Ressourcenlimit verstehen

failclose bestimmt, wie die Firewall reagiert, wenn die IPS Engine ihr Verbindungs- oder Speicherlimit erreicht. Mit on werden neue Verbindungen verworfen. Mit off entfernt der IPS-Dienst alte Verbindungen aus seinem Cache, um Platz für neue zu schaffen.

Sophos dokumentiert den Standard abhängig vom Arbeitsspeicher der Appliance:

Ein Backup kann beim Restore einen anderen failclose-Zustand auf die Firewall übertragen. Deshalb wird der Wert nach einem Restore ausdrücklich erneut geprüft und nicht nur aus der Hardwaregrösse abgeleitet.

Die TCP- und UDP-Timeouts akzeptieren 1 bis 43200 Sekunden. Bei failclose off dokumentiert Sophos 180 Sekunden als Standard, bei failclose on 600 Sekunden. Nach einer Änderung von Zustand oder Timeout muss set ips failclose apply separat ausgeführt werden.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

Das Beispiel zeigt die zusammengehörige Syntax für den dokumentierten on-Standard, ist aber keine pauschale Empfehlung. Vor der Änderung werden aktuelle Werte, RAM-Auslastung, neue Verbindungen, kritische Anwendungen und das gewünschte Verhalten bei IPS-Ressourcenmangel geklärt. Der Rollback setzt Zustand und beide Timeouts auf die tatsächlich gesicherten Vorher-Werte und führt erneut failclose apply aus.

Scanumfang bewusst festlegen

Vertrauensbewertung oder gesamter Inhalt

inspect untrusted-content prüft nur Inhalte, die SophosLabs nicht als vertrauenswürdig einstuft, und ist der dokumentierte Standard mit dem besten Performanceprofil. inspect all-content prüft alle Inhalte und bietet laut Sophos den besten Schutz.

Der Wechsel ist global. Ein kurzer Downloadtest reicht nicht: Webtraffic, Dateiübertragungen, Serverpublikationen, VPN-Anwendungen, CPU, Speicher und Durchsatz müssen unter vergleichbarer Last geprüft werden. Die Messmethodik erklärt Sophos Firewall Performance-Metriken richtig interpretieren.

Entschlüsselten Traffic portunabhängig prüfen

scan_decrypted_port_agnostic on ist standardmässig aktiv. Dadurch scannt IPS entschlüsselten Traffic auch dann passend, wenn eine Signatur beispielsweise HTTP erwartet, der entschlüsselte Datenstrom aber über einen anderen Port ankommt.

Ein Abschalten reduziert den Prüfbereich firewallweit und ist kein sinnvoller Dauerfix für einen einzelnen False Positive. Für einen belegten Sondertest müssen Signatur-ID, Ziel, Port, SSL/TLS-Inspection-Regel und IPS Policy feststehen. Danach wird die enge Signatur- oder Policy-Ausnahme bevorzugt und der globale Wert wieder auf den Ausgangszustand gesetzt. Der konkrete TLS-Testpfad steht unter TLS Inspection schrittweise ausrollen.

HTTP-Antworten und Paketanzahl

http_response_scan_limit akzeptiert Werte von 0 bis 262144. 0 verlangt laut Sophos vollständiges Scanning. Ein anderer Wert wird nicht auf Verdacht übernommen, weil ein begrenzter Scan Erkennungstiefe und Ressourcennutzung verändert.

maxpkts bestimmt, wie viele Pakete Application-Filter-Policies bei neuen und aktualisierten Verbindungen jeweils vom Client und vom Server prüfen. Der dokumentierte Standard ist 8. Sophos empfiehlt für komplexe oder evasive Anwendungen wie Proxy-, P2P- und Tunnelanwendungen den Wert 80, warnt aber gleichzeitig vor geringerer Verbindungsgeschwindigkeit bei zu hohen Werten.

Die Empfehlung 80 ist deshalb kein allgemeiner IPS-Performancewert. Zuerst muss eine konkrete Anwendung mit dem Standard nicht zuverlässig klassifiziert werden. Danach werden Erkennungsresultat, Verbindungsaufbau, Durchsatz und unbeteiligter Kontrolltraffic verglichen.

Anwendungserkennung und ATR-Ausnahmen

enable_appsignatures on aktiviert anwendungsbasierte Signaturen und ist der dokumentierte Standard. Ein globales off reduziert die Erkennung bösartiger Anwendungen anhand ihrer Trafficmuster und ist keine saubere Lösung für eine einzelne falsch klassifizierte Anwendung.

Mit ac_atr exception fwrules lassen sich eine oder mehrere Firewall Rule IDs von Application Classification und Active Threat Response ausnehmen. Mehrere IDs werden kommasepariert angegeben, none entfernt die Ausnahme.

set ips ac_atr exception fwrules 12,27
set ips ac_atr exception fwrules none

Diese Ausnahme erlaubt oder sperrt die Firewall-Regeln nicht selbst. Sie nimmt ihren Traffic aus zwei zusätzlichen Schutz- beziehungsweise Klassifizierungspfaden. Deshalb wird sie nur für nachgewiesene Regel-IDs, mit Owner, Ablaufdatum und Negativtest verwendet. Bei ATR-Problemen müssen Threat Feed, Regelmatch und lokale Active-Threat-Response-Konfiguration zuerst getrennt geprüft werden.

Engine, CPU und Hardwarebeschleunigung

IPS-Instanzen nicht als Schnelloptimierung verschieben

Mit ips-instance add oder clear kann eine IPS-Instanz einer CPU zugeordnet beziehungsweise entfernt werden. Nach der Änderung verlangt Sophos set ips-instance apply; anschliessend wird zum Neustart der Firewall aufgefordert. Ohne Neustart ist die neue Zuordnung nicht aktiv.

Eine manuelle CPU-Zuordnung ist damit keine laufende Tuningmassnahme. Sie gehört in ein Wartungsfenster und sollte nur mit dokumentierter Plattform, aktuellem Instanzzustand, Sophos-Empfehlung sowie vorher und nachher gemessener Last erfolgen.

Veraltete Schalter unverändert lassen

ips_mmap und packet-streaming sind laut Sophos seit SFOS 18.0 veraltet; beide stehen in der dokumentierten Ausgabe auf on. Sie werden deshalb in SFOS 22 nicht als Optimierungshebel verwendet. Besonders packet-streaming off ist riskant: Ohne Reassembly können über Protokolle wie Telnet, POP3, SMTP oder HTTP aufgeteilte schädliche Inhalte der Signaturprüfung entgehen.

PKI Acceleration richtig einordnen

pki-acceleration enable ist der dokumentierte Standard. Auf unterstützten XGS-Modellen kann der Xstream Flow Processor das erneute Signieren von X.509-Serverzertifikaten für durch die DPI Engine geprüfte SSL/TLS-Flows übernehmen.

show ips-settings zeigt den Status. Auf nicht unterstützten SFOS-Versionen oder Modellen erscheint er als disabled. Ist PKI Acceleration aktiviert, Firewall Acceleration aber aus, lautet der Zustand enabled (inactive). Das Ein- oder Ausschalten kann IPS beziehungsweise DPI Engine neu starten und gehört daher in ein beobachtetes Wartungsfenster.

Suchmethode nicht raten

Sophos dokumentiert drei Suchmethoden: ac-bnfa mit niedrigem Speicherbedarf und hoher Leistung, ac-q mit hohem Speicherbedarf und bester Leistung sowie hyperscan mit niedrigem Speicherbedarf und bester Leistung. hyperscan ist der Standard.

Diese Kurzbeschreibungen sind keine Aufforderung, die Engine nach Gefühl umzustellen. Plattformunterstützung, Speicher, reproduzierbare Last und Schutzresultat müssen zusammenpassen. Ohne konkrete Sophos-Empfehlung bleibt die dokumentierte Methode bestehen.

SIP und TCP-Sonderverhalten

sip_preproc enable scannt SIP-Sessions auf Netzwerkangriffe und ist standardmässig aktiv. sip_ignore_call_channel enable nimmt Audio- und Videodatenkanäle standardmässig vom IPS-Scanning aus. Beide Werte gelten global und können mehrere Telefonanlagen, Provider und Firewall-Regeln betreffen.

Ein VoIP-Fehler wird zuerst nach Signalisierung, Medienfluss, Richtung, NAT, Helper, IPS-Treffer und VPN-Ereignis getrennt. Nur ein reproduzierbarer Testanruf rechtfertigt einen zeitlich begrenzten CLI-Vergleich. Der vollständige Ablauf und Rollback stehen unter VoIP auf Sophos Firewall optimieren und prüfen.

tcp urgent-flag remove entfernt und setzt TCP Urgent Flag sowie Pointer zurück und ist der dokumentierte Standard. allow reicht beide unverändert weiter. Eine Lockerung benötigt einen Packet Capture und eine konkrete Legacy-Anwendung, nicht nur einen allgemeinen TCP-Abbruch.

Signaturupdate sicher anwenden

set ips engine_update_mode reload ist der dokumentierte Standard. Beim Reload können einzelne Pakete während des Neuladens verworfen werden. Die Alternative restart startet die IPS Engine neu; währenddessen umgeht sämtlicher ein- und ausgehender Traffic die IPS-Prüfung.

Sophos empfiehlt aus Sicherheitsgründen ausdrücklich, diesen Wert nicht zu ändern. Ein Signaturupdate darf deshalb nicht durch einen dauerhaften Schutz-Bypass vermeintlich stabilisiert werden. Wenn Reloads reproduzierbare Störungen erzeugen, werden Zeitpunkt, Pattern-Version, betroffene Flows und Logs gesichert und an Sophos Support übergeben.

set ips_conf bleibt beim Sophos Support

set ips_conf kann interne Key-Value-Paare der Snort-Konfiguration hinzufügen, ändern oder löschen. Sophos warnt ausdrücklich, dass nur Sophos Support Engineers diese Befehle ausführen sollen.

Die lesende Ausgabe show ips_conf kann einem Supportfall als Baseline dienen. Daraus werden aber keine eigenen add, update oder del-Befehle abgeleitet. Ein falsch gesetzter interner Schlüssel kann Schutzwirkung, Stabilität und Supportfähigkeit beeinflussen und besitzt ohne bekannte Vorher-Werte keinen sicheren Rollback.

Änderung validieren und zurückrollen

Vorher und nachher wird eine neue Verbindung mit identischer Quelle, identischem Ziel und derselben Firewall-Regel erzeugt. Neben dem betroffenen Flow muss mindestens ein unbeteiligter Kontrollflow weiterhin die erwartete IPS Policy und Aktion zeigen. Log Viewer, ips.log, CPU, Speicher, Verbindungsaufbau und Anwendungsergebnis werden gemeinsam bewertet.

Der Rollback verwendet den mit show ips-settings dokumentierten Ausgangswert. Bei failclose folgt danach erneut set ips failclose apply; bei einer Instanzänderung gelten Apply- und Neustartanforderung ebenfalls für den Rückweg. Veraltete oder supportinterne Parameter werden nicht versuchsweise verändert.

Betriebscheckliste

• show ips-settings, SFOS-Build, Hardwaremodell, Zeitpunkt und verantwortliche Person dokumentiert.
• Konkreter Parameter und betroffener Trafficpfad eingegrenzt.
• Enge IPS-Policy- oder Signaturkorrektur vor globaler Änderung geprüft.
• RAM-abhängiger failclose-Zustand und Restore-Effekt berücksichtigt.
• Apply-, Restart- und Schutz-Bypass-Risiken vorab geklärt.
• Positiv-, Negativ- und Kontrollflow nach der Änderung getestet.
• Tatsächlicher Ausgangswert als Rollback vorbereitet.
• Keine eigenen set ips_conf-Änderungen ausgeführt.

FAQ