Globale IPS-instellingen van Sophos Firewall veilig controleren

In SFOS 22 bevat de Device Console van Sophos Firewall onder set ips globale instellingen voor de IPS-engine. Ze regelen fail-close, scanbereik, applicatiedetectie, SIP-verwerking, PKI Acceleration en gedrag bij signature-updates. Deze waarden gelden niet voor slechts één IPS Policy of firewallregel.

Het veilige beginpunt is show ips-settings, met geconfigureerde waarden en actieve instanties. Wijzig één instelling tijdens een onderhoudsvenster als een reproduceerbaar symptoom precies die parameter aanwijst. Leg oorspronkelijke waarde, verwacht effect, controleflow en rollback vóór het onderhoud vast.

⚠️ set ips is geen algemene tuninglijst. Opties kunnen nieuwe verbindingen laten vallen, Application Control of Active Threat Response omzeilen, al het verkeer tijdens een engine-restart IPS laten omzeilen of een firewallrestart vereisen.

IPS op Sophos Firewall instellen en testen behandelt activering, policies, signatures en false positives. Dit artikel voegt de globale CLI-laag toe.

Controleer eerst beschikbaarheid en beschermingsstatus

Globale waarden bewijzen op zichzelf niet dat IPS verkeer beschermt. IPS protection moet aanstaan onder Intrusion prevention > IPS policies en de firewallregel moet de bedoelde IPS policy gebruiken. IPS-signatures vereisen een actief Network Protection-abonnement of een trial license. Na afloop kan de schakelaar aan blijven terwijl IPS niet meer wordt afgedwongen. Na handmatig uitschakelen verwijdert Sophos na 30 dagen alle IPS-signatures en -regels; exporteer daarom eerst de IPS-configuratie of maak een backup.

Onder Backup & firmware > Pattern updates moet het IPS-pattern een actuele versie, aannemelijke tijd en Success tonen. Application Signatures zijn altijd beschikbaar; een verbonden firewall downloadt IPS-signatures alleen met actieve licentie en IPS-schakelaar. Werk in HA het Primary bij; synchronisatie naar het Auxiliary gebeurt automatisch. Pattern Updates configureren en controleren behandelt automatische, handmatige en air-gap-updates.

Korte veilige werkwijze

1. Noteer verbinding, Firewall Rule ID, IPS Policy, signature, tijd en symptoom.
2. Sla show ips-settings en zo nodig alleen-lezen show ips_conf op.
3. Controleer of een beperkte policy- of signaturewijziging de globale ingreep voorkomt.
4. Wijzig één waarde met passende positieve, negatieve en controletests.
5. Plan Apply en operationele impact van failclose of IPS-instanties.
6. Valideer Log Viewer, ips.log, applicatie en resources en draai zonder duidelijk voordeel direct terug.

Kies na beveiligde SSH-login 4. Device Console. Sophos Firewall CLI-troubleshooting behandelt hostkey, toegang en grens met Advanced Shell.

show ips-settings
show ips_conf

show ips_conf toont een technische Snort-configuratie. Interne sleutels zijn geen goedgekeurde basis voor eigen wijzigingen.

Fail-close en resourcelimieten begrijpen

failclose bepaalt de reactie wanneer de IPS-engine haar verbindings- of geheugenlimiet bereikt. Met on vallen nieuwe verbindingen weg. Met off verwijdert de IPS-service oude cacheverbindingen om ruimte te maken.

Sophos documenteert de standaard volgens RAM:

Een backuprestore kan een andere failclose-status overnemen. Controleer de waarde na restore expliciet in plaats van haar alleen uit de hardware af te leiden.

TCP- en UDP-time-outs accepteren 1 tot 43200 seconden. Sophos documenteert 180 seconden bij failclose off en 600 bij failclose on. Voer na wijziging afzonderlijk set ips failclose apply uit.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

Het voorbeeld toont de samenhangende syntax voor de on-standaard, geen algemene aanbeveling. Controleer huidige waarden, RAM, nieuwe verbindingen, kritieke applicaties en gewenst gedrag bij uitputting. Rollback herstelt status en time-outs en voert failclose apply uit.

Vervang voor een aangepaste rollback de placeholders door de opgeslagen status en time-outs en voer ook apply uit:

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Voer na elke apply opnieuw show ips-settings uit. Na het voorbeeld moeten failclose on en beide time-outs als 600 verschijnen; na de rollback moeten de opgeslagen oorspronkelijke waarden verschijnen. Wijzig geen andere globale waarde als de uitvoer afwijkt.

Ga alleen na controle van het RAM terug naar de gedocumenteerde standaard: tot en met 8 GB off en 180 seconden; boven 8 GB on en 600 seconden. Overschrijf een herstelde of aangepaste configuratie niet per ongeluk.

Scanbereik bewust bepalen

Vertrouwen of alle inhoud

inspect untrusted-content inspecteert alleen inhoud die SophosLabs niet vertrouwt. Dit is de gedocumenteerde standaard met de beste prestaties. inspect all-content inspecteert alles en biedt volgens Sophos de beste beveiliging.

De wijziging is globaal. Test webverkeer, overdrachten, gepubliceerde servers, VPN-applicaties, CPU, geheugen en throughput onder vergelijkbare belasting. Sophos Firewall-prestatiemetrics interpreteren beschrijft de methode.

Ontsleuteld verkeer poortonafhankelijk scannen

scan_decrypted_port_agnostic on staat standaard aan. IPS kan ontsleuteld verkeer daardoor ook scannen wanneer een signature HTTP verwacht maar de flow een andere poort gebruikt.

Uitschakeling vermindert firewallbreed de dekking en is geen blijvende oplossing voor één false positive. Een gerichte test vereist signature-ID, bestemming, poort, SSL/TLS Inspection-regel en IPS Policy. Kies daarna een beperkte uitzondering en herstel de globale waarde. Het volledige pad staat in TLS Inspection gefaseerd uitrollen.

HTTP-antwoorden en pakketaantal

http_response_scan_limit accepteert 0 tot 262144; Sophos vereist 0 voor volledige scanning. Kopieer geen andere waarde zonder bewijs, omdat die detectiediepte en resources verandert.

maxpkts bepaalt hoeveel pakketten Application Filter policies vanaf client en server scannen bij nieuwe of bijgewerkte verbindingen. De standaard is 8. Sophos beveelt 80 aan voor complexe proxy-, P2P- en tunnelapplicaties, maar waarschuwt dat te hoge waarden de verbindingssnelheid verlagen.

De gedocumenteerde invoervorm is set ips maxpkts [numeric value more than 8|all|default]: een expliciete numerieke waarde moet groter zijn dan 8; all en default zijn alternatieve invoerwaarden, geen reeks opdrachten. De standaard 8 is daarom geen voorbeeld van een expliciete numerieke instelopdracht. Het pakketaantal begrenst de applicatieclassificatie afzonderlijk per richting, niet de verdere IPS-inspectie: bij 9 worden de eerste negen pakketten van de client en de eerste negen van de server voor classificatie bekeken; de IPS-scanning blijft doorgaan. Kies voor een onderbouwde test precies één invoerwaarde en sla vooraf de huidige waarde op. De rollback herstelt exact de oorspronkelijke toestand; default is alleen geschikt voor een bevestigde standaardbaseline, niet als vervanging voor een aangepaste klantconfiguratie. Als de oorspronkelijke toestand niet eenduidig kan worden uitgelezen of in een gedocumenteerde vorm kan worden hersteld, wordt vóór de test Sophos Support ingeschakeld. Na wijziging en rollback worden de instellingen opnieuw uitgelezen en worden classificatie, controleverkeer en prestaties vergeleken. Uit deze referentie wordt geen verdere betekenis van all tijdens runtime afgeleid.

80 is geen algemene IPS-prestatie-instelling. Bewijs eerst gebrekkige classificatie bij de standaard en vergelijk daarna detectie, opbouw, throughput en controleverkeer.

Applicatiedetectie en ATR-uitzonderingen

enable_appsignatures on activeert applicatiesignatures en is de gedocumenteerde standaard. Globaal off vermindert detectie van schadelijke applicaties en lost één verkeerde classificatie niet netjes op.

ac_atr exception fwrules sluit één of meer Firewall Rule IDs uit van Application Classification en Active Threat Response. Scheid meerdere IDs met komma’s; none verwijdert de uitzondering.

Vóór het instellen worden de bestaande uitzonderings-ID’s uit show ips-settings opgeslagen en wordt de volledige benodigde doellijst vastgesteld. Als de baseline of de exacte herstelprocedure onduidelijk is, wordt niets gewijzigd en wordt Sophos Support ingeschakeld. 12,27 zijn voorbeeld-ID’s voor de bewust gekozen lijst; daaruit volgt geen gedocumenteerde semantiek voor toevoegen of samenvoegen.

Gekozen wijziging: stel alleen de gecontroleerde doellijst in, met de juiste regel-ID’s in plaats van de voorbeeld-ID’s:

set ips ac_atr exception fwrules 12,27

Alternatieve verwijdering, niet aansluitend uitvoeren: kies none alleen als er daadwerkelijk geen uitzondering mag overblijven. Als rollback is dit alleen geschikt bij een bevestigde lege baseline; stel anders exact de opgeslagen lijst opnieuw in, zonder deze tussentijds te verwijderen:

set ips ac_atr exception fwrules none

Deze uitzondering staat firewallregels zelf niet toe en blokkeert ze ook niet. Ze haalt hun verkeer uit twee extra paden. Gebruik alleen bewezen IDs met eigenaar, vervaldatum en negatieve test. Controleer eerst Threat Feed, regelmatch en Active Threat Response-configuratie.

De twee voorbeelden zijn alternatieven, geen testreeks. Na wijziging en rollback wordt de lijst opnieuw uitgelezen met show ips-settings en vergeleken met respectievelijk de gekozen doellijst en de opgeslagen baseline. Daarna moeten zowel een eerder uitgezonderde als een niet-betrokken regel opnieuw worden gecontroleerd op Application Classification en ATR.

Engine, CPU en hardwareacceleratie

Verplaats IPS-instanties niet als snelle optimalisatie

Sophos documenteert onder set ips de argumentstructuur ips-instance [add|clear] IPS cpu <0-maximum CPUs in the device> en een CPU-bereik van 0 tot het maximale aantal CPU’s van het apparaat. De SFOS-22/23-documentatie spreekt zichzelf tegen bij Apply: de syntaxlijst vermeldt ips-instance apply onder set ips, terwijl de toelichting set ips-instance apply noemt. Hieruit wordt geen uitvoerbare Apply-opdracht afgeleid en er wordt niet gegist naar de CPU-nummering. Vóór een wijziging moet Sophos Support de geldige CPU-ID’s, de exacte Add-/Clear-/Apply-syntax en het exacte herstel van de bestaande toewijzing voor de geïnstalleerde build bevestigen. De actieve instanties worden vastgelegd met show ips-settings; zonder eenduidige baseline en bevestigde herstelprocedure wordt niets gewijzigd. Volgens de bron volgt op Apply een vereiste firewallrestart; zonder restart wordt de nieuwe configuratie niet toegepast. Na wijziging en herstel worden de actieve instanties na de geplande restart opnieuw uitgelezen en vergeleken met respectievelijk de gewenste toestand en de baseline.

Handmatige CPU-toewijzing is geen live tuning. Ze hoort in onderhoud met platform, huidige instanties, Sophos-aanbeveling en belasting vóór en na gedocumenteerd.

Laat verouderde schakelaars ongewijzigd

ips_mmap en packet-streaming zijn volgens Sophos sinds SFOS 18.0 verouderd; voor beide noemt de referentie on als standaard, niet als gemeten huidige waarde van de appliance. Daarom worden ze in SFOS 22 niet gebruikt voor optimalisatie. Vooral packet-streaming off is riskant: zonder reassembly kan schadelijke inhoud die over protocollen zoals Telnet, POP3, SMTP of HTTP is verdeeld, aan de signature-inspectie ontsnappen.

PKI Acceleration correct indelen

pki-acceleration enable is de gedocumenteerde standaard. Op ondersteunde XGS Appliance-modellen kan Xstream Flow Processor het opnieuw ondertekenen van X.509-certificaten voor door DPI Engine geïnspecteerde SSL/TLS-flows overnemen.

show ips-settings toont de status. Niet-ondersteunde versies of modellen tonen disabled; met PKI Acceleration aan en Firewall Acceleration uit verschijnt enabled (inactive). Beoordeel PKI Acceleration niet afzonderlijk. Volgens Sophos veroorzaakt het wijzigen van de vereiste Firewall Acceleration een onderbreking; dat hoort in gepland onderhoud en is geen diagnosestap in dit artikel.

Raad de zoekmethode niet

Sophos documenteert ac-bnfa voor weinig geheugen en hoge prestaties, ac-q voor veel geheugen en beste prestaties en hyperscan voor weinig geheugen en beste prestaties. hyperscan is standaard.

Deze labels rechtvaardigen geen intuïtieve wissel. Platformondersteuning, geheugen, reproduceerbare belasting en detectieresultaat moeten passen. Behoud de gedocumenteerde methode zonder specifieke Sophos-aanbeveling.

SIP en speciaal TCP-gedrag

sip_preproc enable scant SIP-sessies op aanvallen en staat standaard aan. sip_ignore_call_channel enable sluit audio- en videokanalen standaard uit van IPS-scanning. Beide waarden zijn globaal.

Scheid eerst signalering, media, richting, NAT, helper, IPS- en VPN-event. Alleen een reproduceerbaar gesprek rechtvaardigt een tijdelijke CLI-vergelijking. VoIP op Sophos Firewall optimaliseren en testen biedt de volledige werkwijze.

tcp urgent-flag remove verwijdert en reset TCP urgent flag en pointer en is standaard. allow stuurt ze ongewijzigd door. Versoepeling vereist Packet Capture en een specifieke legacyapplicatie.

Patternomvang en signature-updates veilig toepassen

Full Signature Pack alleen vanaf 32 GB RAM

system ips full-signature-pack bepaalt of Pattern Updates het volledige IPS-pakket downloadt. Sophos vereist minimaal 32 GB RAM en waarschuwt voor mogelijke prestatiegevolgen. Omdat de CLI-documentatie geen standaard noemt, leest u eerst de status:

system ips full-signature-pack show

Noteer vóór wijziging RAM, IPS-patternversie en -tijd, CPU en geheugen. enable of disable beïnvloedt downloads tijdens Pattern Updates. Controleer na de volgende beheerste update Success, versie en opnieuw show. Herstel bij een fout of relevante resourcewijziging de opgeslagen status met precies één opdracht en observeer de volgende cyclus:

system ips full-signature-pack enable
system ips full-signature-pack disable

Activeer dit niet als test onder 32 GB. Meer signatures vervangen geen passende IPS policy. SFOS 22.0 MR2 levert bijvoorbeeld nieuwe PQC-patterns met actie Disabled; gebruik vereist een bewust gemaakte IPS-regel en gekozen actie.

Voor automatisering via de XML-API gebruikt IPSFullSignaturePack het verplichte veld Status met de waarden in kleine letters enable, disable of show: deze schakelen de volledige download in, schakelen deze uit of vragen de status op. De API-parametertabel noemt disable als standaard; dit bepaalt geen universele CLI- of appliancebaseline. Het configuratievoorbeeld documenteert geen algemene Get-bewerking. Ook bij automatisering blijven de bovenstaande controles van RAM, licentie, update en rollback vereist.

Behoud reload en voorkom een beschermingsbypass

set ips engine_update_mode reload is de gedocumenteerde standaard. Een reload kan tijdens het laden enkele pakketten laten vallen. restart herstart de engine; al het inkomende en uitgaande verkeer omzeilt IPS tijdens de restart.

Sophos raadt om veiligheidsredenen sterk af dit te wijzigen. Bewaar bij reproduceerbare storing tijd, patternversie, flows en logs voor Sophos Support.

Controleer eerst dat show ips_conf config update_mode reload toont. Alleen wanneer Sophos Support uitzonderlijk een vergelijking opdraagt, bereidt u het onderhoudsvenster en controleverkeer voor en herstelt u direct daarna de vastgelegde uitgangsstatus:

set ips engine_update_mode restart
set ips engine_update_mode reload

De tweede opdracht is de standaardrollback. Daarna moet show ips_conf opnieuw config update_mode reload tonen. Zo niet, herhaal restart dan niet en leg de afwijking vast voor Sophos Support. Was restart al de gedocumenteerde aangepaste baseline, voer het voorbeeld dan niet uit en bespreek die afwijking eerst met Support. Bewaar tijd, patternversie, flows, bypassduur en logs.

Blijft de IPS-service op SFOS 22 Dead terwijl ook IPS-patternupdates mislukken, gebruik engine_update_mode restart dan niet als tegenmaatregel. Leg servicestatus, ips.log, sig_upgrade.log, web-policyconfiguratie en de HA-node vast. Buildafbakening, diagnose en het supporttraject voor NC-181971 staan onder IPS-service staat op DEAD in Sophos Firewall IPS instellen en veilig testen. Plan een versiewijziging afzonderlijk met de SFOS 22-upgradecontrole.

Houd set ips_conf bij Sophos Support

set ips_conf kan interne Snort-key-valueparen toevoegen, wijzigen of verwijderen. Sophos waarschuwt expliciet dat alleen Sophos Support-engineers deze commando’s mogen uitvoeren.

Alleen-lezen show ips_conf kan als supportbaseline dienen. Leid er geen add, update of del uit af. Een verkeerde sleutel kan beveiliging, stabiliteit en ondersteuning beïnvloeden; zonder bekende oorspronkelijke waarden is er geen veilige rollback.

Een wijziging valideren en terugdraaien

Maak vóór en na de wijziging een nieuwe verbinding met dezelfde bron, bestemming en regel. Een onafhankelijke controleflow moet de verwachte IPS Policy en actie behouden. Beoordeel Log Viewer, ips.log, CPU, geheugen, opbouw en applicatieresultaat samen.

De rollback gebruikt de oorspronkelijke waarde die met show ips-settings is vastgelegd. Bij failclose volgt daarna opnieuw set ips failclose apply; bij een instantiewijziging gelden de Apply- en restartvereisten ook voor het herstel. Ook voor het herstellen van de IPS-instanties is de hierboven beschreven verduidelijking van de tegenstrijdige Apply-syntax door Sophos Support voor de betreffende build vereist. Verouderde of supportinterne parameters worden niet bij wijze van proef gewijzigd.

Toont Log Viewer geen verwachte events, controleer dan eerst licentie, IPS-schakelaar, pattern, Firewall Rule ID en toegewezen policy. Een ontbrekend event rechtvaardigt geen restart of globale scanvermindering. Blijft een update na één gedocumenteerde handmatige poging Failed, stuur versie, tijd, build en diagnostische logs naar Sophos Support.

Operationele checklist

• show ips-settings, SFOS-build, model, tijd en verantwoordelijke vastgelegd.
• Specifieke parameter en verkeerspad geïsoleerd.
• Beperkte policy- of signaturecorrectie vóór globale wijziging onderzocht.
• RAM-afhankelijke failclose-status en restore-effect meegewogen.
• Licentie, IPS-schakelaar, toegewezen policy en patternstatus gecontroleerd.
• Full Signature Pack alleen vanaf 32 GB en met opgeslagen beginstatus beoordeeld.
• Apply-, restart- en bypassrisico’s vooraf duidelijk.
• Positieve, negatieve en controleflows getest.
• Werkelijke beginwaarde voor rollback voorbereid.
• Geen eigen set ips_conf-wijziging uitgevoerd.

FAQ