Naar de inhoud
Avanet

Sophos Firewall ATP: X-Ops Threat Feeds instellen

Sophos Firewall

De vroegere Advanced Threat Protection (ATP) heet in actuele SFOS-versies Sophos X-Ops Threat Feeds. De firewall vergelijkt uitgaand verkeer met een door Sophos beheerde database van bekende schadelijke IP-adressen, domeinen en URL’s. Zo kan de firewall bijvoorbeeld voorkomen dat een geïnfecteerde client een bekende command-and-controlserver bereikt.

Voor productiegebruik is Log and drop het doel. De functie is standaard uitgeschakeld en blokkeert na activering alleen wanneer deze actie is geselecteerd.

X-Ops Threat Feeds instellen

Voor activering moeten Network Protection en Web Protection zijn gelicentieerd. Beide functies zijn opgenomen in de Standard- en Xstream Protection-bundels; voor X-Ops is geen aanvullende Sophos Central-licentie nodig.

  1. Open System services > Log settings.
  2. Activeer in de rij Active threat response ten minste Local reporting. Selecteer afhankelijk van het beheer daarnaast de gewenste syslogbestemming en Central reporting.
  3. Open Protect > Active threat response > Sophos X-Ops threat feeds.
  4. Schakel Sophos X-Ops threat feeds in.
  5. Selecteer bij Action Log only voor een korte, gecontroleerde pilot of Log and drop voor productiebeveiliging.
  6. Kies onder Advanced security settings tussen Inspect untrusted content en Inspect all content.
  7. Sla op met Apply.
  8. Controleer daarna de instelling, logbestemmingen en bestaande uitzonderingen.

XGS 87/87w en 107/107w ondersteunen geen lokale reporting. Gebruik op deze modellen in plaats daarvan Central Reporting of een syslogserver. De kolom Central reporting verschijnt pas nadat onder Sophos Central de optie Send reports and logs to Sophos Central is geactiveerd.

Sophos adviseert om bekende IoC’s te blokkeren en niet alleen te loggen. Voor een nieuwe of nog niet bewaakte omgeving kan Log only toch zinvol zijn voor een korte, duidelijk afgebakende observatiefase. Deze fase heeft een verantwoordelijke en een omschakeldatum nodig; anders blijft de functie al snel permanent actief zonder blokkering.

Wat X-Ops beschermt – en wat niet

X-Ops controleert bekende schadelijke doelen in uitgaand doorgestuurd verkeer. Een typische treffer ontstaat wanneer een client of server een bekende malware-, phishing- of C2-IP, -domein of -URL probeert te bereiken. Afhankelijk van de actie wordt de poging alleen gelogd of direct verworpen.

X-Ops ondersteunt geen lokale of externe source matches. Bekende IP-adressen van aanvallers die als bron toegang zoeken tot een DNAT- of WAF-publicatie, WebAdmin of een VPN Portal worden daardoor niet automatisch geblokkeerd. Voor deze toepassingen zijn MDR, NDR, Third-Party Threat Feeds en beperkende firewall-, WAF- en Device Access-regels geschikter.

Ook IPS, Malware Scanning en Zero-Day Protection voeren andere taken uit. X-Ops werkt op basis van indicatoren: een doel moet al als schadelijke IoC bekend zijn. IPS detecteert daarentegen bekende aanvalspatronen in het verkeer. Beide functies vullen elkaar aan, maar vervangen elkaar niet.

Vereisten voor een treffer

Alleen activering garandeert nog niet dat de firewall elke IP-, domein- of URL-indicator kan zien. Bepalend is welke informatie in het betreffende netwerkpad zichtbaar is.

IP-adressen

Voor een treffer op een doel-IP moet het uitgaande verkeer door een passende firewallregel lopen. De firewall kan het doeladres direct vergelijken met de X-Ops-feed; TLS-decryptie is daarvoor niet nodig.

Domeinen

Voor domeindetectie moet in de betreffende firewallregel Application Classification actief zijn of een IPS-policy zijn geselecteerd. Als beide ontbreken, kan de noodzakelijke classificatie in dit verkeerspad achterwege blijven.

Volledige URL’s via HTTPS

Een URL bevat naast het domein ook een pad, bijvoorbeeld https://example.invalid/download/payload.exe. Bij versleuteld HTTPS-verkeer ziet de firewall zonder decryptie via SNI normaal gesproken alleen het domein en niet het pad /download/payload.exe.

Voor controle van de volledige URL-indicator is Web Proxy met ingeschakelde HTTPS-decryptie of een passende SSL/TLS Inspection-regel met Decrypt nodig. TLS Inspection mag niet alleen voor X-Ops ongecontroleerd wereldwijd worden geactiveerd: certificaatdistributie, privacy, uitzonderingen, applicatiecompatibiliteit en prestaties horen in een afzonderlijke uitrol.

Inspectiebereik bewust kiezen

Onder Advanced security settings wordt bepaald hoe breed X-Ops het verkeer inspecteert:

  • Inspect untrusted content beperkt de inspectie tot verkeer met niet-vertrouwde bronnen of doelen. Deze instelling vergt minder resources en is een zinvol startpunt wanneer belasting en neveneffecten nog niet bekend zijn.
  • Inspect all content inspecteert vertrouwd en niet-vertrouwd verkeer. Dit biedt meer dekking, maar kan vooral in zwaarbelaste omgevingen de prestaties beïnvloeden.

Voor bijzonder gevoelige client-, server- of beheernetwerken kan Inspect all content zinvol zijn als de appliance voldoende capaciteit over heeft. De wijziging moet tijdens een onderhoudsvenster plaatsvinden. Daarna worden CPU-belasting, latency, doorvoer en helpdeskfeedback met de eerdere toestand vergeleken.

Actie en inspectiebereik moeten bij een introductie bij voorkeur niet meerdere keren tegelijk worden gewijzigd. Door eerst de zichtbaarheid en daarna de blokkeeractie te wijzigen, is bij een probleem beter te achterhalen welke instelling de oorzaak was.

Werking en logging controleren

Na het opslaan moet niet alleen worden gecontroleerd of de schakelaar actief is. Een betrouwbare bedrijfscontrole omvat drie niveaus:

  1. Configuratie: X-Ops is ingeschakeld en de gewenste actie en het inspectiebereik zijn opgeslagen.
  2. Zichtbaarheid: firewallregel, Application Classification of IPS en bij volledige HTTPS-URL’s de TLS-decryptie passen bij het indicatortype.
  3. Bewijs: onder Log viewer > Active threat response of in de geconfigureerde Central- of syslogbestemming zijn treffers te vinden.

Open voor een lokaal overzicht Reports > Network & threats > Active threat response. De gelijknamige widget in het Control Center toont de status en het aantal geblokkeerde threats; controleer de concrete actie en verbindingsdetails in het rapport of de Log Viewer.

Het technische syslog-logtype heet nog steeds ATP, hoewel de interface tegenwoordig X-Ops en Active Threat Response gebruikt. Afhankelijk van het verwerkingspad kan log_component Firewall, DNS, IPS of Web tonen. Voor onderzoek zijn tijdstempel, actie, bron, bestemming, poorten, domein of URL, threatnaam, feednaam en Event ID bijzonder nuttig.

In de Advanced Shell is ips.log het belangrijkste engine-log voor Active Threat Response. garner.log helpt bij de verwerking en doorsturing van events, vooral wanneer Central Reporting onvolledig lijkt. De uitleg van deze bestanden en veilige SSH-toegang staat in het overzicht van Sophos Firewall-services en logbestanden.

Er bestaat geen algemeen gedocumenteerde onschadelijke X-Ops-testindicator. Daarom mag niet bewust een echt malwaredomein of bekend schadelijk IP-adres worden geopend. Als een reproduceerbare functietest nodig is, is een eigen Third-Party-pilotfeed met een gecontroleerd testdoel de veiligere methode. Voor X-Ops zelf worden configuratie en zichtbaarheid gecontroleerd; de volgende echte, zorgvuldig onderzochte treffer bevestigt de daadwerkelijke blokkering.

Een X-Ops-alarm onderzoeken

Een geblokkeerde IoC is een sterk signaal, maar nog geen volledige incidentanalyse. Het doeladres kan bijvoorbeeld door malware, een phishinglink, een gecompromitteerde browserextensie of een legitieme maar verkeerd geclassificeerde service zijn benaderd.

Een zinvolle procedure is:

  1. Tijdstempel, firewall of HA-node, actie en volledige logdetails opslaan.
  2. Bron-IP, doel-IP, domein of URL, poorten, protocol, threatnaam en feednaam vastleggen.
  3. Firewall-, DNS-, IPS- en web-logs binnen hetzelfde tijdvenster correleren.
  4. De interne client via DHCP-lease, gebruikerstoewijzing of endpointgegevens identificeren.
  5. Op het betrokken systeem zoeken naar het bijbehorende proces, de browsergeschiedenis, de download en verdere security-events.
  6. Bij bevestigde compromittering het systeem isoleren en volgens het interne Incident Response-runbook behandelen.
  7. Pas na de analyse bepalen of herstel, een extra blokkering of een strikt beperkte uitzondering nodig is.

Met Synchronized Security kunnen bij ondersteunde Windows-endpoints ook de procesgebruiker, Endpoint ID en het uitvoeringspad verschijnen. Op macOS zijn deze procesdetails niet beschikbaar; daar blijft het bron-IP bijzonder belangrijk voor de toewijzing.

Bekende HA-false-positive NC-170292

Op een HA-systeem met SFOS 21.5.1 MR1 Build 261 kan NC-170292 in Sophos Central een onjuist Advanced threat detected-alarm met Raw Logs veroorzaken. Tegelijk kan een e-mail van de firewall zonder bruikbare details binnenkomen.

Deze beperking geldt niet algemeen voor andere builds of standalone firewalls. Een alarm wordt daarom eerst zoals hierboven beschreven opgeslagen en onderzocht. Als het systeem exact overeenkomt met de betrokken build en betrouwbare trefferdetails ontbreken, noemt Sophos het opnieuw starten van de Garner-service als tijdelijke workaround. Omdat de Known Issues-lijst voor dit probleem geen specifiek CLI-commando noemt, mag de service alleen via een goedgekeurde support- of onderhoudsprocedure opnieuw worden gestart. Bij terugkerende meldingen horen de HA-status, firmwarebuild, tijdstempel en garner.log in het Sophos Support-ticket.

Uitzonderingen alleen na bevestigde analyse

Onder Protect > Active threat response > Add threat exclusions kunnen Host and network exclusions en Threat exclusions voor IP-adressen, domeinen of URL’s worden aangemaakt. Zo’n uitzondering geldt niet alleen voor X-Ops, maar voor alle Active Threat Response-modules. Een snelle uitzondering kan daarom tegelijk de bescherming door MDR, NDR of Third-Party Threat Feeds verzwakken.

Als een false positive is bevestigd, mag alleen de kleinst mogelijke indicator worden uitgezonderd. Bij de uitzondering horen reden, ticket, verantwoordelijke en reviewdatum. Als voorzorg hele clientnetwerken of brede domeinbereiken uitsluiten verwijdert weliswaar het zichtbare alarm, maar ook een groot deel van de bescherming.

Na de wijziging wordt hetzelfde bedrijfsproces opnieuw getest en wordt in de Log Viewer gecontroleerd of alleen de bedoelde treffer uitblijft. Andere X-Ops-events moeten nog steeds worden gelogd of geblokkeerd.