Sophos Firewall Malware-Scanning konfigurieren und testen

Das Malware-Scanning der Sophos Firewall prüft Dateien im Webtraffic mit den integrierten Antivirus-Engines. Ein aktiviertes Web-Filtering oder eine Web Policy genügt dafür nicht: Die passende Firewall-Regel muss Scan HTTP and decrypted HTTPS verwenden, und verschlüsselter Traffic muss für eine Inhaltsprüfung entschlüsselt werden.

Dieser Artikel konzentriert sich auf Downloads über HTTP und HTTPS. Für Kategorien, URL Groups und Benutzerregeln passt Web Protection mit Web Policies. Unbekannte Dateien kann Zero-Day Protection zusätzlich analysieren; E-Mail-Traffic wird separat über Mail Protection geschützt.

Was für einen wirksamen Scan zusammenpassen muss

Das Ergebnis entsteht aus mehreren Ebenen:

• Die richtige Firewall-Regel muss den Clienttraffic tatsächlich treffen.
• Scan HTTP and decrypted HTTPS aktiviert das Malware-Scanning für diesen Regelpfad.
• Web > General settings bestimmt Engine, Scanverhalten, Grössenlimits und die Behandlung nicht scanbarer Inhalte.
• HTTPS-Inhalte werden nur geprüft, wenn DPI oder Web Proxy die Verbindung entschlüsselt.
• Web Exceptions dürfen das Malware-Scanning nicht unbeabsichtigt überspringen.
• QUIC muss kontrolliert werden, weil QUIC-Traffic nicht wie klassisches HTTP und HTTPS gescannt werden kann.

Eine Web Policy und Malware-Scanning lösen unterschiedliche Aufgaben. Die Web Policy entscheidet beispielsweise über Kategorien oder Dateitypen. Der Antivirus-Scan untersucht den Dateiinhalt auf bekannte Malware und PUAs. In einer Firewall-Regel kann Malware-Scanning deshalb auch mit Web policy: None aktiv sein. Umgekehrt bedeutet eine ausgewählte Web Policy nicht automatisch, dass Downloads auf Malware geprüft werden.

Single oder Dual Engine wählen

Unter System services > Malware protection wird die primäre Antivirus-Engine festgelegt. Sophos Firewall verwendet Sophos und Avira; die gewählte Primary Engine scannt bei Single engine allein und bei Dual engine zuerst.

Die globale Auswahl für Webtraffic liegt unter:

Web > General settings > Malware and content scanning

• Single engine: verwendet nur die Primary Engine. Das benötigt weniger Ressourcen und bietet die beste Performance. Für Zero-Day Protection muss Sophos die Primary Engine sein.
• Dual engine: lässt zuerst die Primary und danach die zweite Engine prüfen. Das erhöht die Erkennungsbreite, benötigt aber mehr Zeit und Ressourcen.

Für normale Clientnetze ist Single engine mit Sophos als Primary Engine ein nachvollziehbarer Ausgangspunkt, wenn Durchsatz und Latenz wichtig sind. Dual engine passt, wenn maximale Erkennungsbreite höher gewichtet wird und die Appliance den zusätzlichen Aufwand unter realer Last tragen kann. Die Entscheidung sollte nicht nur nach Datenblattwerten fallen: Ein Pilot mit typischen Downloads, Videokonferenzen und Softwareverteilung zeigt die tatsächliche Auswirkung besser.

⚠️ Ein Wechsel der Primary Engine oder von Single auf Dual wirkt global auf passende Scanpfade. Vor einer Änderung müssen bestehende Web-, FTP- und Mail-Policies sowie Zero-Day Protection berücksichtigt und ein Rückweg dokumentiert werden.

Scanverhalten festlegen

Unter Web > General settings werden neben der Engine weitere Schutzentscheidungen getroffen.

Nicht scanbare Inhalte

Action on malware scan failure legt fest, was mit Inhalten passiert, die nicht vollständig geprüft werden können. Das kann bei verschlüsselten oder beschädigten Archiven sowie bei zu tief verschachtelten Dateien vorkommen. Sophos Firewall scannt Archive bis zu 16 Komprimierungsebenen.

Block bietet den stärkeren Schutz, kann aber legitime passwortgeschützte oder defekte Dateien stoppen. Allow erhält den Geschäftsprozess, lässt dafür ungeprüften Inhalt passieren. In normalen Clientnetzen ist Block der sicherere Ausgangspunkt. Wenn eine Fachanwendung dadurch ausfällt, sollte zuerst der konkrete Dateipfad untersucht werden, bevor die globale Einstellung gelockert wird.

Dateigrössen und Streaming

Do not scan files larger than setzt die maximale Scan-Grösse für HTTP und HTTPS. Grössere Dateien werden nicht gescannt. Bei komprimierten Dateien zählt die Grösse des Archivs, nicht die mögliche Grösse nach dem Entpacken. Für FTP gibt es mit Maximum file scan size for FTP einen eigenen Grenzwert.

Ein kleiner Grenzwert verbessert nicht automatisch die Sicherheit, sondern kann grosse Installer oder Archive ungeprüft passieren lassen. Ein sehr hoher Wert kann dagegen Downloadzeit und Ressourcenverbrauch erhöhen. Der Wert muss deshalb zu Softwareverteilung, Updatepaketen und Appliance-Leistung passen.

Scan audio and video files erweitert den Scan auf Medieninhalte, kann Streaming aber beeinträchtigen. Die Option sollte nur aktiviert werden, wenn der Schutzbedarf die zusätzliche Last und mögliche Unterbrechungen rechtfertigt.

PUAs behandeln

Block potentially unwanted applications erkennt Programme, die nicht zwingend Malware sind, aber beispielsweise Adware, unerwünschte Fernsteuerung oder riskante Systemänderungen mitbringen können. Ein Eintrag unter Authorized PUAs sollte nur nach Prüfung von Datei, Quelle, Einsatzzweck und Owner erfolgen. Eine pauschale Freigabe schwächt den Schutz für alle passenden Scanpfade.

Malware-Scanning in der Firewall-Regel aktivieren

Die Regel liegt unter:

Rules and policies > Firewall rules

Für eine typische Client-Internetregel wird unter Web filtering Folgendes geprüft:

1. Source zone und Source networks entsprechen dem Clientnetz.
2. Destination zone ist WAN, und die Services decken den vorgesehenen Webtraffic ab.
3. Log firewall traffic ist aktiviert.
4. Scan HTTP and decrypted HTTPS ist aktiviert.
5. Block QUIC protocol ist aktiviert, wenn der Webtraffic über den kontrollierten TCP-Pfad laufen soll.
6. DPI oder Web Proxy ist bewusst gewählt.
7. Use Zero-day protection ist nur zusätzlich aktiviert, wenn unbekannte Dateien analysiert werden sollen.

Ein kompaktes Regelbeispiel:

Rule name: LAN_USERS_WEB
Source zones: LAN
Source networks and devices: LAN_CLIENTS
Destination zones: WAN
Destination networks: Any
Services: Any
Web policy: LAN_STANDARD_WEB
Scan HTTP and decrypted HTTPS: On
Block QUIC protocol: On
Use web proxy instead of DPI engine: Off
Log firewall traffic: On

Das Beispiel verwendet den DPI Engine. Namen und Netze müssen an die eigene Umgebung angepasst werden. Eine allgemeinere Regel oberhalb von LAN_USERS_WEB kann den Traffic vorher übernehmen; deshalb gehören Rule ID und Regelreihenfolge immer zur Abnahme. Die Grundlagen erklärt Firewall-Regeln verstehen und sauber aufbauen.

HTTPS: DPI oder Web Proxy richtig ergänzen

Scan HTTP and decrypted HTTPS entschlüsselt HTTPS nicht selbst. Die Option scannt nur unverschlüsseltes HTTP und HTTPS-Inhalte, die ein anderer Teil der Konfiguration bereits entschlüsselt hat.

DPI Engine

Beim DPI Engine erfolgt die Entschlüsselung über:

Rules and policies > SSL/TLS inspection rules

Eine passende SSL/TLS-Inspection-Regel muss den Testclient und das Ziel treffen und Action: Decrypt verwenden. Die Clients müssen der verwendeten Signing CA vertrauen. Planung, Pilot und Ausnahmen beschreibt TLS Inspection schrittweise ausrollen; die Zertifikatsverteilung steht unter CA-Zertifikat für HTTPS Scanning installieren.

Web Proxy

Beim Proxy-Pfad werden in der Firewall-Regel Use web proxy instead of DPI engine und für HTTPS zusätzlich Decrypt HTTPS during web proxy filtering aktiviert. Unter Web > General settings kann der Proxy danach in zwei Modi scannen:

• Batch: lädt die Datei zuerst vollständig auf die Firewall und gibt sie erst nach dem Scan weiter. Das bietet die strengere Prüfung, kann Downloads aber spürbar verzögern.
• Real-time: reicht Teile des Downloads weiter, schliesst die Übertragung jedoch erst ab, wenn der Inhalt als sauber bewertet wurde.

Der DPI Engine arbeitet immer im Real-time-Modus. Proxy und DPI sollten nicht nur wegen eines einzelnen Fehlers gewechselt werden, da sich Funktionsumfang, Ports, Logs und Benutzerverhalten unterscheiden.

Die Entscheidung zwischen Real-time-DPI, Batch- oder Real-time-Proxy und der sichere Pilotwechsel stehen in DPI Engine oder Web Proxy richtig wählen.

Ausnahmen und QUIC kontrollieren

Eine Web Exception kann Malware and content scanning überspringen. In diesem Fall wird für den passenden Traffic automatisch auch die Zero-Day-Analyse übersprungen. Ausnahmen sollten deshalb einen engen Host- oder URL-Bezug, einen klaren Owner und ein Review-Datum haben.

QUIC beziehungsweise HTTP/3 verwendet meist UDP 443. Sophos Firewall kann diesen Traffic nicht wie klassischen Webtraffic scannen. Block QUIC protocol blockiert in der betreffenden Firewall-Regel ausgehendes UDP auf Port 80 und 443, damit kompatible Clients auf TCP und HTTPS zurückfallen. Hintergründe und Tests stehen unter QUIC und HTTP/3 richtig blockieren.

Funktion mit einem sicheren Test prüfen

Ein grüner Policy Test oder eine aktivierte Checkbox beweist noch keine Inhaltsprüfung. Der Test muss von einem Client hinter der betroffenen Firewall-Regel ausgehen; ein Download direkt von der Firewall prüft einen anderen Trafficpfad.

Für den Funktionstest kann die SophosTest-Seite für Web Security oder die EICAR Anti-Malware Testdatei verwendet werden. EICAR ist keine echte Malware, wird von Antivirus-Produkten aber absichtlich wie Malware erkannt. Reale Schadsoftware gehört nicht in ein Produktivnetz.

Praktischer Ablauf:

1. Einen isolierten Testclient und die erwartete Firewall Rule ID festlegen.
2. Zeitpunkt, Client-IP, URL und erwarteten Scanpfad notieren.
3. Im Log Viewer die Module Firewall, SSL/TLS inspection, Web filter und Malware öffnen.
4. Bei HTTPS prüfen, ob die Verbindung tatsächlich mit Decrypt verarbeitet wird.
5. Auf SophosTest den Anti-virus EICAR test für Sophos Firewall ausführen oder die EICAR-Testdatei laden.
6. Prüfen, ob die Firewall den Download blockiert und im Malware-Log eine Antivirus-Erkennung für denselben Client, dieselbe Rule ID und denselben Zeitpunkt zeigt.

Eine Blockseite allein genügt nicht. Die Web Policy, eine Dateityp-Regel, ein Endpoint-Produkt oder bereits die Kategorie der Testseite kann ebenfalls blockieren. Entscheidend ist der korrelierte Malware-Eintrag der Firewall. Im Syslog erscheint ein Web-Malware-Treffer mit log_type="Anti-Virus"; die Komponenten sind je nach Protokoll HTTP oder HTTPS, der Subtype bei einer Erkennung Virus.

Wenn der Log Viewer nicht erklärt, ob der lokale Antivirus-Dienst arbeitet, kann in der Advanced Shell während eines kontrollierten Tests zusätzlich das Service-Log beobachtet werden:

tail -f /log/avd.log

Mit Ctrl+C wird die Anzeige beendet. avd.log hilft bei Dienst- und Engine-Fehlern, ersetzt aber nicht die Policy- und Verbindungsdaten im Log Viewer. Eine ruhige Datei beweist ebenfalls nicht, dass der Scan inaktiv ist. Die Logzuordnung erklärt Sophos Firewall Services und Logs.

Typische Fehler gezielt eingrenzen

• Web Policy aktiv, aber keine Malware-Prüfung: Scan HTTP and decrypted HTTPS fehlt in der tatsächlich getroffenen Firewall-Regel.
• HTTP-Test funktioniert, HTTPS-Test nicht: Die SSL/TLS-Inspection-Regel trifft nicht, verwendet nicht Decrypt, oder der Web Proxy entschlüsselt HTTPS nicht.
• Browser verwendet einen anderen Pfad: QUIC ist erlaubt oder eine andere Firewall-Regel greift zuerst.
• Datei wird trotz richtiger Regel nicht geprüft: Eine Web Exception überspringt Malware and content scanning, oder die Datei liegt oberhalb des konfigurierten Grössenlimits.
• EICAR wird blockiert, aber nicht von der Firewall: Endpoint-Schutz, Dateityp-Regel oder Webkategorie hat früher reagiert. Rule ID und Malware-Log der Firewall prüfen.
• Legitime Archive werden blockiert: Action on malware scan failure, Verschlüsselung, Beschädigung und Verschachtelung prüfen. Nicht sofort global auf Allow wechseln.
• Dual Engine verlangsamt Downloads: Appliance-Auslastung, Dateigrössen, Parallelität und Proxy-/DPI-Modus mit Single Engine in einem kontrollierten Pilot vergleichen.
• Zero-Day Protection zeigt nichts: Klassischer Malware-Scan, HTTPS-Entschlüsselung, Dateityp, Ausnahmen und Use Zero-day protection separat prüfen.

Welche Firewall-Regel und Policy tatsächlich greift, lässt sich mit Log Viewer, Policy Tester und Packet Capture nachvollziehen.

Sonderfall beim Upgrade auf SFOS 22.0 GA

Sophos führt unter NC-177529 einen eng begrenzten Upgradefehler für SFOS 22.0 GA Respin Build 411. Während dieses Upgrades können vorübergehend Meldungen wie Malware Unscannable auftreten, häufig für www.msftconnecttest.com. In diesem Moment ist die neue Sophos-Scan-Engine noch nicht verfügbar, wenn nur sie als Single Engine eingestellt ist. Im Legacy Web Proxy erscheinen dann Blockseiten, beim DPI Engine können Seitenaufrufe abbrechen; die Unterbrechung kann ungefähr eine Minute länger dauern.

Wer gezielt auf diese GA-Version aktualisiert, stellt vor dem Upgrade unter Web > General settings von Single engine auf Dual engine um und nach abgeschlossenem Upgrade wieder auf die zuvor verwendete Single engine zurück. Diese temporäre Massnahme ist keine allgemeine Empfehlung für MR1, MR2 oder spätere Releases. Den gesamten Upgradepfad und weitere Blocker beschreibt der SFOS 22 Upgrade-Check.

FAQ