Sophos Firewall Missing Heartbeat Alerts richtig prüfen
Ein Missing Heartbeat Alert bedeutet nicht automatisch Malware. Sophos Firewall meldet damit, dass ein zuvor erkanntes Endpoint weiter Netzwerkverkehr erzeugt, aber keinen passenden Security Heartbeat mehr sendet. Das kann ein defekter Sophos Endpoint sein, entsteht aber ebenso bei LAN/WLAN-Wechseln, Sleep und Wake, falschem DNS-Design oder einem ungeeigneten Netzwerkpfad.
Eine gute Analyse beginnt deshalb nicht mit dem Abschalten von Security Heartbeat. Zuerst prüft man, ob die Firewall das Gerät überhaupt überwachen soll, welcher Traffic den Status auslöst und ob Endpoint, Firewall und Sophos Central denselben Zustand sehen.
Schnellprüfung
- Nutzen zwei verschiedene Endpoints dieselbe Dockingstation oder USB-Schnittstelle, zuerst den Firmwarestand prüfen. SFOS 22.0 MR2 Build 546 behebt dafür NC-176012. Auf einem älteren SFOS-22-Build sollte man aktualisieren, bevor Timer oder Policies geändert werden.
- Unter System > Sophos Central > Optional configurations kontrollieren, ob die Zone bewusst unter Missing heartbeat zones liegt.
- In der tatsächlich getroffenen Firewall-Regel die Heartbeat-Bedingungen und in Sophos Central Status sowie Events desselben Endpoints prüfen.
- Im Log Viewer Rule ID, Source IP und No Heartbeat zeitlich mit Adapterwechsel, DNS, VPN oder Sleep/Wake abgleichen.
- Erst bei einem reproduzierbaren Übergangsproblem und aktuellem Firmwarestand einen Timer ändern.
Wie Missing Heartbeat entsteht
Sophos Endpoint sendet seinen Status alle 15 Sekunden an Sophos Firewall. Fehlen drei aufeinanderfolgende Heartbeats, während das Endpoint weiter Netzwerkverkehr sendet, setzt die Firewall den Status auf Missing. Sobald wieder ein Heartbeat eintrifft, gilt das Endpoint erneut als aktiv.
Die Zuordnung erfolgt über die MAC-Adresse. Dabei berücksichtigt die Firewall alle Interfaces des Geräts. Wechselt ein Endpoint zwischen Ethernet und WLAN, kann ein alter Netzwerkpfad noch Traffic erzeugen, während der Heartbeat bereits über ein anderes Interface läuft. Zwei verschiedene Endpoints an derselben Dockingstation oder USB-Schnittstelle sind dagegen ein eigener, versionsabhängiger Fehlerfall.
Missing ist ausserdem nicht dasselbe wie ein roter oder gelber Heartbeat:
- Missing: Die Firewall sieht Traffic, erhält aber keinen aktuellen Heartbeat.
- Yellow: Das Endpoint meldet einen Warnzustand, etwa eine veraltete Signatur oder eine PUA.
- Red: Das Endpoint meldet einen kritischen Zustand, beispielsweise nicht bereinigte aktive Malware.
Ein Missing-Status ist damit ein Kommunikations- und Zuordnungsproblem, bis die Analyse etwas anderes beweist.
Scope und Betriebsmodell zuerst prüfen
Security Heartbeat setzt eine registrierte Sophos Firewall, Sophos Central Endpoint Protection und eine gültige Network Protection Subscription voraus. Die Grundkonfiguration ist in Sophos Firewall mit Sophos Central verbinden beschrieben.
In unterstützten Windows-10-AD-Umgebungen kann derselbe Heartbeat zusätzlich die Benutzeridentität tragen. Synchronized User ID Authentication erklärt die AD-Zuordnung und weshalb ein verlorener Heartbeat den erkannten Benutzer abmelden kann.
Missing heartbeat zones kontrollieren
Unter System > Sophos Central > Optional configurations legt das Feld Missing heartbeat zones fest, in welchen Zonen die Firewall fehlende Heartbeats erkennt. Nur Zonen aufnehmen, in denen verwaltete Sophos Endpoints erwartet werden.
Gast-, IoT-, Drucker- oder Servernetze ohne Sophos Endpoint gehören normalerweise nicht in diesen Scope. In gemischten Umgebungen mit Microsoft Defender oder einem anderen EDR sind die Geräte möglicherweise gut geschützt, können aber keinen Sophos Security Heartbeat senden.
Der Scope muss zur Firewall-Policy passen. Sophos weist auf einen wenig intuitiven Sonderfall hin: Blockiert eine Heartbeat-Policy eine Zone, die nicht unter Missing heartbeat zones eingetragen ist, kann das Security-Heartbeat-Widget im Control Center trotzdem Missing anzeigen. Darum Zonenfeld und betroffene Firewall-Regeln immer gemeinsam prüfen.
Lizenz und Central-Zustand verifizieren
Unter System > Sophos Central müssen Registrierung und Security Heartbeat aktiv sein. In Sophos Central prüft man beim betroffenen Computer:
- Ist das Endpoint online und dem richtigen Tenant zugeordnet?
- Zeigt es einen grünen, gelben oder roten Gesundheitsstatus?
- Gibt es zeitgleiche Endpoint Events?
- Wurde das Gerät neu installiert, umbenannt, dupliziert oder aus Central entfernt?
Wenn mehrere Geräte gleichzeitig betroffen sind, liegt die Ursache eher bei Registrierung, Netzwerkpfad oder Policy. Einzelne wiederkehrende Geräte deuten eher auf Endpoint-Dienst, Adapterwechsel oder lokale Netzwerkkonfiguration.
In einer reinen Sophos-Endpoint-Umgebung kann Heartbeat als harte Zugriffsvoraussetzung sinnvoll sein. Dann müssen Zonen, Regel-Scope, Central-Monitoring und ein Runbook für fehlende Heartbeats zusammenpassen. In gemischten Umgebungen sollte Heartbeat gezielt eingesetzt werden: Geräte mit Microsoft Defender oder einem anderen EDR können geschützt sein, senden aber kein Sophos-Signal. Separate Regeln und Segmentierung sind zuverlässiger als eine globale Heartbeat-Pflicht mit ständig wachsenden Ausnahmen.
Typische Ursachen richtig einordnen
Adapterwechsel, Sleep und gemeinsam genutzte Hardware
Nutzen zwei verschiedene Endpoints dieselbe Dockingstation oder USB-Schnittstelle, ist vor der allgemeinen Ursachenanalyse der Firmwarestand entscheidend. Sophos hat NC-176012 mit SFOS 22.0 MR2 Build 546 behoben. Die Release Notes nennen keine Introduktionsversion des Fehlers; auf einem älteren SFOS-22-Build sollte deshalb zuerst aktualisiert und derselbe Ablauf erneut getestet werden. Ein längerer Timer würde dieses Fehlerbild nur verdecken.
Der Standard-Timer für die Erkennung eines fehlenden Heartbeats beträgt 60 Sekunden. Bei einem Adapterwechsel kann die Firewall in diesem Zeitraum noch DNS-Anfragen oder Hintergrundverbindungen über die alte IP beziehungsweise MAC-Zuordnung sehen. Power-off, Suspend, Hibernate und Wake können ein ähnliches Muster erzeugen.
Windows-Geräte mit Modern Standby und Sophos Endpoint Protection Core Agent 2023.2 oder neuer informieren die Firewall vor dem Schlafzustand. Modern Standby allein sollte deshalb keinen Missing Alert erzeugen. Bei älteren Agent-Versionen oder anderen Energiesparzuständen bleibt die zeitliche Korrelation trotzdem wichtig.
macOS-Fehlalarme ausschliessen
Sophos führt mit MACEP-6842 weiterhin falsche Heartbeat-Drops unter macOS 12 Monterey und neuer. Sie können mehrmals täglich auftreten, obwohl die Verbindung nicht tatsächlich abgebrochen ist; ein Fix ist noch nicht terminiert und Sophos nennt keinen Workaround. Sind ausschliesslich Macs betroffen, prüft man deshalb zuerst macOS- und Endpoint-Version sowie die zeitgleichen Central Events, statt Firewall-Regeln oder Timer auf Verdacht zu ändern.
DNS-Traffic während eines Netzwerkwechsels
DNS ist häufig der letzte sichtbare Traffic eines wechselnden Clients. Sophos dokumentiert dieses Muster im Known-Issue-Eintrag NC-178843 für SFOS 21.5 GA: Besonders externe DNS-Resolver können während eines Netzwerkwechsels zusätzliche Missing Alerts auslösen.
Für verwaltete Clients empfiehlt sich ein konsistentes DNS-Design. Wenn die Sophos Firewall als einziger DNS-Forwarder dient, müssen interne Domains mit passenden DNS Request Routes an interne Resolver weitergeleitet werden. Der Ablauf steht in DNS Request Routes auf Sophos Firewall konfigurieren.
Direkte interne DNS-Server sind ebenfalls ein legitimes Design. Entscheidend ist, dass DHCP, VPN-Profile und Endpoint-Konfiguration denselben Resolverpfad erwarten. Ein Wechsel auf die Firewall als DNS-Forwarder ist keine pauschale Pflicht, sondern eine gezielte Korrektur, wenn externe Resolver nachweislich das Alert-Rauschen verursachen.
VPN, Router und NAT im Pfad
Security Heartbeat funktioniert nur zuverlässig, wenn Endpoint und Firewall den erwarteten Pfad teilen:
- Vor dem Aufbau der Heartbeat-Verbindung darf der Endpoint-Traffic nicht bereits durch einen anderen VPN-Tunnel geroutet werden.
- Bei Sophos Connect kann unter Remote access VPN > IPsec > Advanced settings die Option Send Security Heartbeat through tunnel erforderlich sein.
- Ein Endpoint hinter einem zwischengeschalteten Router kann zu falschen Ergebnissen führen.
- Hinter einem NAT-Gateway können Endpoints ihren individuellen Gesundheitsstatus nicht korrekt mit der Firewall teilen.
Packet Capture und Routingprüfung sind hier aussagekräftiger als ein isolierter Blick auf den Central-Status.
Ein eigener Sonderfall ist NC-147863: Nutzt ein Benutzer hinter der lokalen Firewall Heartbeat-Authentifizierung und baut zu einer externen Firewall eine Split-Tunnel-SSL-VPN-Verbindung auf, kann der neue VPN-Adapter eine Connect/Disconnect-Schleife mit blockiertem Internetzugriff auslösen. Sophos nennt als Workaround, Match known users aus der lokalen VPN-Regel zu entfernen oder Captive Portal zu verwenden. Der allgemeine Client-Ablauf steht unter Sophos Connect Client für Sophos Firewall konfigurieren.
Firewall-Regel präzise prüfen
Die Heartbeat-Steuerung befindet sich unter Rules and policies > Firewall rules > [Regel] > Configure Synchronized Security Heartbeat. Die vier Einstellungen haben unterschiedliche Aufgaben:
- Minimum source HB permitted: Erlaubt nur Source-Endpoints mit mindestens Green oder Yellow. No restriction lässt auch Geräte ohne Heartbeat oder mit rotem Status zu.
- Block clients with no heartbeat: Blockiert Source-Geräte ohne Heartbeat.
- Minimum destination HB permitted: Prüft den Gesundheitsstatus interner Zielgeräte. Diese Kontrolle gilt nicht für Ziele in der WAN-Zone.
- Block request to destination with no heartbeat: Blockiert Anfragen an interne Ziele ohne Heartbeat.
Ein wichtiger Sonderfall wird leicht übersehen: Hat ein Endpoint zuerst einen Heartbeat gesendet und verliert ihn später, behandelt die Firewall es gemäss der konfigurierten Policy. Ein Gerät, das noch nie einen Heartbeat gesendet hat, bleibt dagegen erlaubt, solange nicht beide Optionen Block clients with no heartbeat und Block request to destination with no heartbeat aktiv sind.
Web-Traffic hat eine weitere Ausnahme. Eine passende Ausnahme unter Web > Exceptions kann Webanfragen trotz Block clients with no heartbeat zulassen. Bei Port 80 und 443 deshalb sowohl Firewall- als auch Web-Filter-Logs prüfen. Wie man Rule ID, Policy Test und Packet Capture kombiniert, zeigt Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.
Heartbeat-Bedingungen sollten nur für klar definierte Sophos-Endpoint-Gruppen gelten. Drucker, Scanner, IoT, Gäste und Drittanbieter-EDR-Clients benötigen meist eine separate, eng gefasste Regel statt einer breiten Ausnahme in der Hauptregel.
Fehlalarme kontrolliert reduzieren
Sophos stellt zwei unterstützte Device-Console-Timer bereit. Sie sind kein Ersatz für den Firmware-Fix bei gemeinsam genutzten Docks oder die Prüfung des macOS-Known-Issues. Vor jeder Änderung zuerst den aktuellen Wert anzeigen und Alert-Zeitpunkte dokumentieren.
Erkennung auf der Firewall verzögern
In der CLI wählt man 4. Device Console und prüft:
system synchronized-security delay-missing-heartbeat-detection show
Der zulässige Bereich liegt bei 30 bis 285 Sekunden in 15-Sekunden-Schritten, der Standardwert bei 60 Sekunden. Wenn nachweislich Adapterwechsel zu Fehlalarmen führen, kann man beispielsweise auf 90 Sekunden erhöhen:
system synchronized-security delay-missing-heartbeat-detection set seconds 90
Danach den gleichen LAN/WLAN- oder Docking-Ablauf erneut testen. Ein höherer Wert reduziert kurze Fehlalarme, verzögert aber ebenso die Erkennung eines echten fehlenden Heartbeats.
Ein höherer Wert ist nicht für jedes Symptom richtig. Bei verzögertem Ressourcenzugriff mit Block clients with no heartbeat und Switches beziehungsweise LAG startet die Sophos-Anleitung bei 30 Sekunden und erhöht nur bei Bedarf in 15-Sekunden-Schritten. Das ist ein anderer Fall als wiederkehrende Adapterwechsel, bei denen beispielsweise 90 Sekunden getestet werden.
Meldung an Sophos Central verzögern
Wenn die Firewall den Status korrekt erkennt, Sophos Central aber bei Sleep, Hibernate, Shutdown oder Wake zu schnell alarmiert, prüft man:
system synchronized-security suppress-missing-heartbeat-to-central show
Der Bereich liegt bei 0 bis 120 Sekunden, Standard ist 0. Eine gezielte Verzögerung von 60 Sekunden wird so gesetzt:
system synchronized-security suppress-missing-heartbeat-to-central set seconds 60
Dieser Timer ändert nicht die lokale Heartbeat-Policy. Er verzögert nur, wann die Firewall den Missing-Status an Sophos Central meldet.
Veraltete Missing-Einträge bereinigen
Alte Einträge kann man nach Abschluss der Ursachenanalyse aus Control Center und Reports entfernen:
system synchronized-security missing-endpoints delete name endpoint1
system synchronized-security missing-endpoints delete days-missing 7
Das Löschen entfernt nur den angezeigten Status. Es repariert weder das Endpoint noch die Heartbeat-Kommunikation. Keinen Eintrag löschen, bevor Gerät, Zeitpunkt und Ursache dokumentiert sind.
Prüfung nach der Anpassung
Eine Änderung ist erst abgeschlossen, wenn der ursprüngliche Ablauf reproduzierbar getestet wurde:
- Alert-Zeitpunkt, Endpoint-Name, IP, MAC, Zone und betroffene Rule ID notieren.
- Im Control Center den Security-Heartbeat-Status und unter System > Sophos Central den Zonen-Scope prüfen.
- In Sophos Central Gesundheitsstatus und Endpoint Events für denselben Zeitraum vergleichen.
- Im Log Viewer nach Rule ID, Source IP und dem Status No Heartbeat filtern. Bei Webtraffic zusätzlich den Web-Filter prüfen.
- Bei Pfadproblemen unter Diagnostics > Packet capture kontrollieren, über welches Interface DNS- und Nutztraffic laufen.
- Den realen Auslöser wiederholen, beispielsweise den Wechsel von Ethernet zu WLAN, und prüfen, ob Alert und Zugriff nun erwartungsgemäss reagieren.
Für tieferes Troubleshooting stehen unter Diagnostics > Tools > Troubleshooting logs insbesondere heartbeatd.log für Endpoint-Status und Anwendungsinformationen sowie hbtrust.log für die Kommunikation zwischen Firewall und Sophos Central zur Verfügung. Die Einordnung weiterer Dateien steht in Sophos Firewall Service-Logs finden und einordnen.
Fehler in heartbeatd.log zur Erfassung neuer Anwendungen gehören dagegen zu Synchronized Application Control und nicht automatisch zu einem Missing-Heartbeat-Problem. Dafür ist Synchronized Application Control Fehler sicher prüfen der passendere Ablauf.