Sophos Endpoint Web Control configureren
Sophos Fusion (voorheen Sophos Central) biedt twee configuratiemodellen voor Endpoint Web Control. Het actuele model gebruikt herbruikbare Web Filtering Profiles. Classic Web Control blijft relevant voor oudere Windows Agents en macOS.
De veilige werkwijze is: inventariseer apparaten en agentversies, bouw een Web Filtering Profile, wijs een kleine User- of Device-pilotpolicy toe, activeer logging en test een toegestane, gewaarschuwde en geblokkeerde aanvraag. Breid de toewijzing pas na acceptatie uit. Globale Website Exclusions vervangen geen gerichte Site Lists of tags.
Dit onderscheid is cruciaal voor het beheer. Een correct geconfigureerde nieuwe policy heeft geen effect op een Mac of Windows Endpoint met een oudere agent. Omgekeerd kan de Base Policy beide configuraties bevatten en zo een fallback bieden.
Nieuw profiel of Classic?
Het Web Profile-model vereist Windows Endpoint 2026.1 of nieuwer en is alleen beschikbaar op Windows, niet op Linux of macOS. Sophos noemt Classic vooral voor macOS en Windows Endpoint 2025.2.3.8 of ouder.
Een Custom Policy gebruikt het nieuwe profiel of Classic. De Base Policy kan beide onderdelen bevatten. De agent gebruikt vervolgens de variant die bij platform en versie past.
Als een toegewezen apparaat Web Filtering Profiles niet ondersteunt, wordt de betreffende Web Profile-policy overgeslagen en geldt de volgende toepasselijke Web Control-policy. Dit is een selectie tussen policies, niet een omschakeling naar Classic binnen dezelfde Custom Policy. De hierboven beschreven Classic-fallback binnen de Base Policy is een afzonderlijk mechanisme.
Inventariseer vóór migratie daarom het besturingssysteem, de agentversie en de volledige volgorde van toepasselijke policies tot en met de Base Policy. Voor Macs en oudere Windows-agents moet vaststaan welke compatibele Classic-policy daadwerkelijk volgt en welke instellingen deze bevat. Wijzig de toewijzing pas wanneer de doelgroep het nieuwe model ondersteunt of de compatibele fallback is gecontroleerd.
Een Web Filtering Profile opbouwen
Maak een profiel onder Global Settings > Protection & Remediation > Web Settings > Web Filtering Profiles; de rol vereist Manage web profiles. Sophos staat 20 profielen toe en categorieën en Site Lists kunnen tegelijk actief zijn. De limiet geldt per tenant.
De actuele keuzes zijn Keep it clean, Optimal productivity, Block generative AI, Conserve bandwidth en Business only. Stel met Custom per groep Allow, Warn, Block of Let me specify in; Let me specify toont de afzonderlijke categorieën. View Details laat vóór de keuze zien wat elk niveau daadwerkelijk controleert.
Site Lists hebben voorrang op beslissingen over categorieën en bestandstypen. Een lijst kan Domains, URL’s, IP Addresses of CIDR Ranges bevatten; bevestig elk item met Enter of Tab. Volgens Sophos komen example.com en *.example.com overeen met alle domeinen die eindigen op example.com, zonder http:// of https://. Eén Site List bevat maximaal 750 items en één profiel maximaal 20 lijsten. De volgorde van boven naar beneden bepaalt de prioriteit.
In Site Lists toont het tabblad Category Checker voor elk item de SophosLabs Intelix-categorie en de risicoclassificatie. Vergelijk deze classificatie bij een beoordeling met de categorieactie in het profiel, de actie en prioriteit van de Site List en de oorspronkelijke reden voor de uitzondering. Zo kun je oude blokkeeritems herkennen waarvan het doel inmiddels al door de categorie wordt bereikt, of toegestane items die een risicovolle classificatie kunnen overrulen. De weergave alleen bewijst niet dat de filtering werkt of dat een item veilig kan worden verwijderd. Controleer vóór verwijdering alle profielen en policies die de lijst gebruiken, documenteer het bestaande item met actie en volgorde voor herstel en test de wijziging eerst in een beperkte pilot; controleer daarna de benodigde toegang en bijbehorende gebeurtenissen. Herstel bij onverwachte werking het gedocumenteerde item en controleer opnieuw.
Een nieuw profiel heeft niet automatisch een geschikte organisatorische baseline. Categorieën, Site Lists en acties worden bewust gekozen en daarna in een Web Control Policy gebruikt.
Policy maken en toewijzen
- Klik onder My Products > Endpoint > Policies op Add policy.
- Kies Web Control als Feature en, afhankelijk van het doel, User of Device als Type. Later andere objecten toewijzen vervangt het kiezen van het juiste type niet.
- Geef de policy een duidelijke naam, zoals
WC-Pilot-Windows-Profile, en wijs onder Users of Computers alleen de pilotgroep toe. - Kies onder Settings het policytype Web profile en selecteer het voorbereide profiel. Optioneel kunnen op verschillende tijden verschillende profielen gelden.
- Configureer Risky File Types bewust. Recommended is het veilige startpunt; Allow, Warn, Block of Let me specify vereisen een gedocumenteerde zakelijke onderbouwing. Eigen bestandstypen kunnen niet worden toegevoegd.
- Activeer Log web control events en sla de policy op. Zonder deze optie registreert Sophos alleen toegang tot geïnfecteerde websites, niet alle geblokkeerde aanvragen en waarschuwingen.
Een Custom Policy bevat Web profile of Classic settings, nooit beide. Alleen Base Policy kan beide bevatten en Classic als fallback gebruiken. De Base Policy valt terug op Classic als het Web Profile niet op een apparaat kan worden toegepast.
Website Management correct gebruiken
Website Management lost twee andere taken op: aangepaste tags voor sites en een tenantbrede categoriecorrectie. Een domeinitem omvat subdomeinen zonder wildcard. Er kunnen maximaal 5.000 tags worden gemaakt. Onder Global Settings > Protection & Remediation > Web Settings > Website Management > Add accepteert een item afzonderlijke URL’s, volledige domeinen, IP-adressen, CIDR-bereiken of topleveldomeinen. Een opmerking met eigenaar en ticketnummer vereenvoudigt latere beoordelingen.
Website Management-tags horen bij de workflow voor Classic Web Control. In het nieuwe Web Profile-model worden eigen bestemmingen in plaats daarvan beheerd met Site Lists in het Web Filtering Profile:
- Ga naar Global Settings > Protection & Remediation > Web Settings > Website Management > Add, voer de bestemmingen in, kies onder Add tags een nieuwe of bestaande tag en klik op Save.
- Ga naar My Products > Endpoint > Policies > Web Control, open een policy met Classic settings en selecteer Settings.
- Selecteer onder Control sites tagged in Website Management > Add New de tag, stel Action in op Allow, Warn of Block en klik eerst in het venster en daarna in de policy op Save.
Een Category Override kan een pagina die Sophos als Malware, Phishing, Hacking of Command-and-Control classificeert niet toestaan. Als de Sophos-categorie onjuist is, raadt Sophos aan een supportcase voor herclassificatie te openen. Een Website Exclusion omzeilt Web Control-controles en heeft een veel groter beveiligingseffect. Een Category override wijzigt de Sophos-categorie tenantbreed. Een Tag groepeert bestemmingen zodat een policy ze gericht kan beheren. IP-gebaseerde Website Management-items beheren alleen browsertoegang, geen andere applicaties of lokale firewallregels.
Webgebaseerde JavaScript-cryptominers worden via de categorie Hacking geblokkeerd. Daarmee wordt de hele categorie geblokkeerd, niet alleen miningcode; test de wijziging daarom eerst in een pilotpolicy. Moet één website om een onderbouwde zakelijke reden bereikbaar blijven, geef deze dan in Website Management een eigen tag en sta die gericht toe in de betreffende Web Control-policy. Sophos classificeert zulke cryptominers als parasitaire malware; een toelating blijft een gedocumenteerde uitzondering en is geen aanbevolen baseline.
HTTPS en waarschuwingspagina’s
Warnings in het nieuwe Web Profile-model vereisen HTTPS Decryption, geactiveerd in de effectieve Threat Protection Policy. HTTPS Decryption staat voor Endpoints standaard uit. Schakel dit onder My Products > Endpoint > Policies in de effectieve Threat Protection-policy in met SSL/TLS decryption of HTTPS websites.
Met decryptie kan Sophos volledige URL’s en inhoud zien en bij een detectie samples ter analyse naar SophosLabs sturen. Beoordeel daarom vóór activering privacy, interne voorschriften en gevoelige categorieën. Globale HTTPS-uitzonderingen beschermen bepaalde categorieën en websites tegen decryptie. De vooraf gedefinieerde categorieën kunnen worden in- of uitgeschakeld, maar niet worden toegevoegd of verwijderd; afzonderlijke domeinen, IP-adressen en bereiken kunnen wel worden toegevoegd. Voor uitgezonderde bestemmingen werken downloadscanning en Risky File Types-controles die ontsleutelde inhoud vereisen niet. Controles die geen decryptie nodig hebben, blijven mogelijk.
Onder Windows verplaatst HTTPS-decryptie de datastroom vanuit Windows Filtering Platform in de kernel naar een Sophos-proces in User Space. Daar wordt hij ontsleuteld, gecontroleerd en opnieuw versleuteld. Dit gebruikt CPU, geheugen en aanvullende cloudquery’s. Oudere processors en trage opslag kunnen daardoor onevenredig veel throughput verliezen. Treft de storing alleen afzonderlijke websites of blijft ze bij uitgeschakelde decryptie ongewijzigd, dan is deze algemene performanceoorzaak daarentegen niet aangetoond.
Firefox gebruikt een eigen Certificate Store en kan eigen DNS over HTTPS gebruiken. Op Windows moet security.enterprise_roots.enabled op true staan, zodat Firefox de Windows Certificate Store vertrouwt. Controleer voor betrouwbare SNI-gebaseerde inspectie ook of Firefox de beheerde DNS-vereisten volgt.
Bij een interne HTTPS-site met een zelfondertekend of anderszins niet-vertrouwd servercertificaat kan de browser na activering van decryptie naar het Sophos RSA-rootcertificaat verwijzen. Dat betekent niet automatisch dat het Sophos-certificaat onjuist is: Sophos bouwt de verbinding opnieuw op, maar neemt de ongeldige vertrouwensstatus van de oorspronkelijke server over. De juiste oplossing is de certificaatketen van de website of het vertrouwen daarin op de endpoints herstellen. Met een decryptie-uitzondering accepteer je daarentegen bewust minder controle; gebruik die alleen met een beperkte reikwijdte. Een brede Website Exclusion zou het probleem verbergen en de inspectie verzwakken.
Classic Web Control
Classic biedt aanvullende Security Options, vooraf gedefinieerde Acceptable Use Levels en Data Sharing Controls. Schedules zijn niet beschikbaar in de Base Policy. Wanneer een Schedule wordt gebruikt, volgt deze de lokale tijd van de Endpoint.
De Policy kan User- of Device-gebaseerd zijn. Controleer toewijzing, prioriteit, versie en platform en bevestig na wijzigingen de effectieve policy in Reports > Events. Controleer bij een User Policy de Central-gebruikerskoppeling en het lokaal aangemelde account; controleer bij een Device Policy de computertoewijzing. De prioriteit bepaalt welke passende Custom Policy daadwerkelijk geldt. Wacht op synchronisatie en controleer via gebeurtenissen, niet alleen op basis van de bedoelde toewijzing.
Op macOS kan Sophos Endpoint momenteel IPv6-webverkeer niet filteren of blokkeren. Een succesvolle IPv4-test bewijst daarom niet dat dezelfde toegang via IPv6 wordt beheerd.
Pilot en acceptatie
Een Web Control-pilot controleert een toegestane, gewaarschuwde en geblokkeerde categorie, een Site List met hogere prioriteit, een Website Management-tag, een riskant bestandstype, een HTTPS-pagina en een bewust gekozen decryptie-uitzondering. Test de door de organisatie ondersteunde browsers, plus IPv4 en waar relevant IPv6. Test geplande policies in de lokale tijd van de Endpoint. Test bij gemengde doelgroepen bovendien per geval een apparaat dat geen profielen ondersteunt: verwacht de vooraf vastgestelde volgende compatibele policy en de geplande actie daarvan, niet de overgeslagen Web Profile-policy. Controleer de policynaam op het apparaat en de werking afzonderlijk.
Definieer vóór uitbreiding van de pilot de rollback: leg de vorige toewijzing en het profiel vast, bepaal stopcriteria en wijs de eigenaar aan die de Custom Policy-toewijzing verwijdert of het vorige profiel herstelt. De automatische Classic-fallback van Base Policy geldt alleen voor apparaten waarop het Web Profile niet kan worden toegepast; het is geen rollback voor een ondersteund apparaat met een ongeschikte configuratie.
Controleer onder Reports > Events welke policy en actie werkelijk zijn geactiveerd. Alleen een zichtbare browserpagina is onvoldoende: Browser Cache, Secure DNS, Proxy en QUIC kunnen het waargenomen pad veranderen. Verwacht een Block- of Warn-gebeurtenis, de juiste gebruiker of computer en de geplande policy.
Ontbreken verwachte Events, controleer dan eerst Log web control events en daarna policytype, toewijzing, prioriteit, agentversie en platform. Zonder logging registreert Sophos alleen bezoeken aan geïnfecteerde sites; een leeg Event-filter bewijst niet dat de policy niet actief is.
Voor een veilige functietest is de Sophos-testpagina sophostest.com geschikt. Onder Windows toont C:\ProgramData\Sophos\Sophos Network Threat Protection\Logs\SophosNetFilter.log welke URL-categorie en actie zijn gebruikt en of de toegang was ontsleuteld. Op macOS staat de Web Intelligence-actie in /Library/Logs/Sophos Anti-Virus.log.
Zonder HTTPS-decryptie ziet Sophos bij HTTPS vaak alleen de servernaam uit SNI en niet het volledige pad. Een waarschuwingspagina kan dan niet in de versleutelde inhoud worden ingevoegd; de browser toont mogelijk alleen een algemene verbindingsfout. Exacte URL-regels zijn bovendien hoofdlettergevoelig. Een test met een volledig HTTPS-pad mag daarom niet als een zuivere domeinregel worden geïnterpreteerd.
Andere webcontroles afbakenen
Endpoint Web Control blijft een afzonderlijke productmodule. Als DNS Protection for endpoints, Protected Browser, een proxy of netwerkfirewall ook filtert, kan een andere laag eerder blokkeren; een Endpoint Allow heft die blokkering niet op. Dit artikel configureert alleen Endpoint Web Control. Controleer bij troubleshooting Events en Policies van elke werkelijk gebruikte laag afzonderlijk.
Veelvoorkomende fouten
Als een pagina onverwacht wordt toegestaan, controleer dan eerst Site List Priority, Global Website Exclusions, Category Override en effectieve policy. Als een Warning Page ontbreekt, controleer dan HTTPS Decryption, Certificate Trust en browserondersteuning.
Als alleen Firefox is getroffen, controleer dan de Trust Store en DNS over HTTPS. Als alleen Macs zijn getroffen, houd dan ook rekening met IPv6. Een brede Website Exclusion is geen diagnosemethode, omdat daarmee precies de onderzochte controles worden verwijderd.
Wanneer riskante bestandstypen verschillend worden behandeld, is dat niet noodzakelijk een policyfout. Sophos kan bekende vertrouwde bronnen via Reputation anders beoordelen dan onbekende bronnen. Deze controle vereist bij versleutelde downloads eveneens de passende HTTPS-decryptie. Meet de performance-impact daarvan met pilotapparaten.
Laadt een toegestane site slechts gedeeltelijk, dan komen scripts, stijlen, afbeeldingen of login vaak van andere domeinen. Gebruik Network Threat Protection-log en browsertools om elk doel te vinden, zonder een brede categorie toe te staan. Bepaal op het tabblad Network van de browserontwikkeltools welke aanvragen daadwerkelijk mislukken. Beoordeel en voeg alleen de noodzakelijke extra bestemmingen toe; een algemene uitzondering voor alle externe inhoud van de pagina zou onnodig ruim zijn.
Moet Web Protection kort uit om de oorzaak af te bakenen, gebruik dan een aparte policy voor enkele testapparaten met eigenaar en eindtijd. Schakel Base Policy niet globaal uit. Activeer direct opnieuw en bewaar Events en logs. Ook een globale Website Exclusion zou meerdere beschermingslagen tegelijk verwijderen en is geen aanvaardbare permanente noodoplossing.
Verwante artikelen
HTTPS Decryption is onderdeel van Sophos Endpoint Threat Protection Best Practices. Sophos Endpoint Control Policies praktisch invoeren biedt het overkoepelende uitrolproces.