Sophos Firewall Application Control instellen en testen

Application Control herkent applicatieverkeer dat niet alleen op basis van poorten zinvol te onderscheiden is. Zo kan een Sophos Firewall bijvoorbeeld tools voor bediening op afstand, tunnelingtoepassingen, streaming of cloudopslag gericht toestaan of blokkeren. Een treffer wordt via de bijbehorende firewallregel gelogd; een Application Filter heeft geen eigen actie Log.

De kernprocedure is kort: onder Applications > Application filter maakt u het filter, onder Rules and policies > Firewall rules wijst u het toe aan de regel die daadwerkelijk wordt geraakt en vervolgens controleert u Rule ID, toepassing en actie met een echte client. Alleen een opgeslagen Filter Policy verandert niets aan het verkeer.

Vereisten en doel bepalen

Application Control maakt deel uit van de Web Protection Subscription. U controleert de licentiestatus onder Administration > Licensing. Vóór de configuratie moeten bovendien de volgende zaken duidelijk zijn:

• de betreffende gebruiker of het betreffende netwerksegment en de bijbehorende IPv4-/IPv6-paden;
• de toepassing of groep die u eerst wilt observeren of blokkeren;
• de firewallregel die dit verkeer momenteel verwerkt;
• een testclient, een reproduceerbare testactie en het verwachte resultaat;
• het momenteel toegewezen Application Filter, de regelpositie en de bestaande NAT-toewijzing als uitgangssituatie voor het terugdraaien.

Onder Backup & firmware > Pattern updates controleert u de signatuurupdates. Deze worden standaard automatisch uitgevoerd; met Update pattern now worden zo nodig alle patroondefinities bijgewerkt, behalve de firmwarepatronen voor AP en RED. De statuswaarden Ready to install, Downloading, Success en Failed helpen bij het afbakenen van problemen. Applicatiesignaturen blijven ook zonder actieve IPS-licentie beschikbaar, terwijl voor IPS-signaturen een passende licentie en geactiveerde IPS nodig zijn.

Voor de testregel schakelt u Log firewall traffic in. De firewallregel stuurt de logging aan, niet het Application Filter. Als u alleen wilt observeren, gebruikt u daarom een filter dat verkeer toestaat en analyseert u het herkende verkeer voordat u afzonderlijke toepassingen op Deny zet.

Als prioritering of bandbreedtebeperking het eigenlijke doel is, vormt Application Traffic Shaping op Sophos Firewall configureren een aanvulling op het filter. Voor toepassingsgebaseerde SD-WAN-routes wordt daarentegen een Application Object gebruikt; de procedure staat in Een Sophos Firewall SD-WAN-route met gatewayfailover instellen.

Application Filter plannen en maken

Onder Applications > Application list ziet u of Sophos voor een toepassing een eigen signatuur heeft en aan welke categorie of welk risico deze momenteel is toegewezen. Bij Name in het filter zijn contains, is, is not en does not contain beschikbaar. Een treffer in de catalogus bewijst nog niet dat de toepassing in uw eigen netwerk wordt herkend; daarvoor voert u later de clienttest uit.

Een vaste selectie van afzonderlijke toepassingen is goed voorspelbaar. Criteria zoals Risk, Category of de alleen voor cloudtoepassingen beschikbare Classification blijven daarentegen dynamisch: nieuwe of opnieuw geclassificeerde signaturen kunnen in de toekomst eveneens overeenkomen. Voor zulke regels zijn een gedocumenteerde eigenaar en een controle na wijzigingen in patronen of classificaties nodig.

Het volledige pad voor een policy en de bijbehorende regel is:

Applications > Application filter > Add
Applications > Application filter > Edit policy > Add

1. Geef onder Add een unieke naam op, bijvoorbeeld Block_File_Transfer_Pilot.
2. Kies een template. Voor een gerichte blokkade is Allow All een begrijpelijk uitgangspunt; ga er niet van uit dat elke lege nieuwe policy automatisch zo werkt.
3. Sla de policy op, open deze opnieuw en maak met Add een filterregel.
4. Gebruik Select Individual Application of beperk met Select All de treffers op basis van Application, Category, Risk, Characteristics, Technology, Classification of Smart Filter.
5. Stel Action in op Allow of Deny.
6. Kies onder Schedule bijvoorbeeld All the time of wijs een passend tijdschema toe.
7. Sla eerst de filterregel en daarna de policy op.

SFOS levert onder meer de templates Allow All, Deny All, Block filter avoidance apps, Block generally unwanted apps, Block high risk (Risk Level 4 and 5) apps, Block peer to peer (P2P) networking apps en Block very high risk (Risk Level 5) apps. Een template is een uitgangspunt, geen kant-en-klare standaard. Vergelijk vooral regels op basis van Risk en Category vóór een brede toewijzing met de toepassingen die in uw eigen netwerk nodig zijn.

Tijdsafhankelijke regels vereisen een passend Schedule. In Tijdschema’s voor Sophos Firewall-regels en -policies instellen leest u hoe u dit maakt en controleert aan de hand van de firewalltijd en fallbackregels.

Voorbeeld: browsergebaseerde bestandsoverdrachten blokkeren

Het officiële voorbeeld laat andere toepassingen voor bestandsoverdracht ongemoeid en beperkt alleen browsergebaseerde overdrachten:

1. Maak de policy Block_File_Transfer_Pilot op basis van Allow All en open deze opnieuw.
2. Maak met Add > Select All een regel.
3. Kies Category: File Transfer, Characteristics: Transfer files en Technology: Browser Based.
4. Stel Action: Deny en Schedule: All the time in.
5. Sla de filterregel en de policy op.

Ook deze selectie kan legitieme upload-, samenwerkings- of back-upprocessen raken. De pilotclient moet daarom zowel een overdracht testen die moet worden geblokkeerd als een uitdrukkelijk toegestane bedrijfsdienst binnen hetzelfde toepassingsgebied.

Filter aan de juiste firewallregel toewijzen

Application Control wordt pas actief in een firewallregel. Voor een nieuwe regel is het huidige pad:

Rules and policies > Firewall rules
> IPv4 of IPv6
> Add firewall rule
> New firewall rule
> Other security features
> Identify and control applications (App control)

Open bij een bestaande regel rechtstreeks Other security features en selecteer daar het voorbereide Application Filter. Log firewall traffic blijft tijdens de pilot en acceptatietest actief.

De regel moet daadwerkelijk overeenkomen met Source Zone, Source Network, Destination Zone, Destination Network, Services en, indien van toepassing, Match known users van de testclient. Firewallregels worden van boven naar beneden beoordeeld; de eerste treffer beëindigt de zoekactie. Een algemenere regel erboven is daarom vaker de oorzaak dan het Application Filter zelf.

Bij een nieuwe internetregel moet ook het NAT-pad kloppen. Sophos-voorbeelden kunnen met Create linked NAT rule een MASQ-regel maken. Maak in een bestaande omgeving niet op goed geluk een tweede NAT-regel; controleer in plaats daarvan de SNAT-/MASQ-regel die al actief is en noteer de NAT Rule ID.

IPv4 en IPv6 hebben elk hun eigen regelpad. Als de client beide protocollen gebruikt, test u beide of beperkt u de pilot bewust tot één protocol. De basisprincipes van regels worden uitgelegd in Sophos Firewall-regels begrijpen en veilig configureren.

Werking aantonen met Live Connections en Log Viewer

Een betrouwbare test beantwoordt drie afzonderlijke vragen: welke regel verwerkt de flow, welke toepassing herkent SFOS en welke actie wordt uitgevoerd?

1. Noteer de testclient, het bron-IP, de gebruiker, het tijdstip en de bestemming.
2. Voer eventueel in de opties van de pilotregel Reset data transfer count uit, zodat nieuwe bytes gemakkelijker kunnen worden herkend.
3. Start de testactie en controleer de nog open verbinding onder Current activities > Live connections.
4. Vergelijk daar Application, Source IP, Username, Interfaces, bron-/doelpoorten, Firewall Rule ID en NAT Rule ID met het geplande pad.
5. Open rechtsboven in WebAdmin de Log viewer en filter op bron-IP, gebruiker, bestemming, Rule ID en toepassing.
6. Voer binnen hetzelfde toepassingsgebied een verwachte blokkade en een toegestane controleactie uit.

Een geweigerde treffer van een Application Filter verschijnt als Content Filtering > Application > Denied. Toegestaan en herkend verkeer staat in het firewalllogboek onder Firewall > Firewall Rule > Allowed. Documenteer voor de acceptatie ten minste Firewall Rule ID, Application Filter, toepassing, categorie, risico, actie, gebruiker, bron en bestemming.

Firewall-sessies verschijnen vaak pas bij het Connection Destroy event, wanneer SFOS de verbinding sluit. Een nog open browser- of streamingsessie kan daarom al zichtbaar zijn onder Live connections, terwijl de definitieve firewalllogvermelding nog ontbreekt. SSL/TLS-verbindingen worden na een voltooide handshake en bij het sluiten gelogd.

Onder Reports > Dashboards > Traffic dashboard > Allowed policies kunt u daarnaast de overgedragen gegevens van regels die verkeer toestaan controleren. Het rapport vervangt echter niet de concrete test van Rule ID en toepassing.

Bij Syslog of SIEM verschillen de veldnamen per uitvoerindeling. Het Central Reporting Format gebruikt onder meer fw_rule_id, app_filter_policy_id, app_name, app_category, app_risk, app_resolved_by, qualifier en status. In het Device Standard Format (Legacy) heten overeenkomstige velden bijvoorbeeld application_filter_policy, application_name, application_category, application_risk en appresolvedby. app_resolved_by respectievelijk appresolvedby maakt onder meer onderscheid tussen Signature, Proxy en Synchronized Application Control (EAC).

Technische gebeurtenissen van Application Filter en DPI komen terecht in ips.log; sig_upgrade.log en sigmigration.log helpen bij signatuurupdates. De toewijzing van logboeken wordt beschreven in Sophos Firewall-probleemoplossing: services en logboeken. Packet Capture kan IP-adressen, poorten, de interface en het pakketpad bevestigen, maar bewijst niet hoe een toepassing wordt geclassificeerd. De gecombineerde diagnoseprocedure staat in Een Sophos Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

HTTPS, QUIC en webuitzonderingen beoordelen

SFOS herkent veel op signaturen gebaseerde toepassingen ook zonder volledige ontsleuteling. URL-gebaseerde Micro Apps, zoals bestandsoverdrachten in Dropbox of Gmail, hebben bij versleuteld verkeer echter de ontsleutelde URL nodig. In het DPI-pad is daarvoor een passende regel onder Rules and policies > SSL/TLS inspection rules nodig. Scan HTTP and decrypted HTTPS activeert malwarescanning voor HTTPS dat al is ontsleuteld, maar schakelt de ontsleuteling zelf niet in.

In het webproxypad verzorgt Decrypt HTTPS during web proxy filtering de ontsleuteling. Een bestaande Web Policy bewijst noch dat HTTPS wordt ontsleuteld, noch dat dezelfde DPI-regel van toepassing is. De gecontroleerde uitrol wordt beschreven in Sophos Firewall TLS Inspection correct invoeren.

Block QUIC protocol verwerpt binnen het toepassingsgebied van de firewallregel uitgaande UDP-pakketten naar poort 80 en 443, zodat clients terugvallen op een controleerbaar TCP-pad. SFOS selecteert deze optie standaard zodra een Web Policy wordt gekozen of Scan HTTP and decrypted HTTPS wordt geactiveerd. QUIC kan niet door het webfilter worden gescand; dat betekent echter niet dat elke andere firewallcontrole wordt omzeild. QUIC en HTTP/3 correct blokkeren op Sophos Firewall beschrijft de positieve en negatieve test.

Controleer bij onverwachte herkenning ook Web > Exceptions. Een Web Exception kan Decryption, Malware-/Content-Scanning en Policy Checks overslaan en is, afhankelijk van de selectie, van toepassing op zowel het DPI- als het proxypad. Een brede uitzondering kan daardoor de verwachte toepassingscontext wegnemen.

Een firewalllog met Allowed bewijst bij webproxyverkeer niet automatisch dat gebruikerstoegang is toegestaan: de firewall kan de verbinding eerst aan de proxy doorgeven, waarna het Web Filter deze als Blocked logt. Lees in zulke gevallen het firewall- en weblogboek samen.

Cloudtoepassingen classificeren

Onder Applications > Cloud applications toont SFOS alleen toegestaan verkeer en alleen toepassingen waarvoor verkeer aanwezig is. U kunt de weergave filteren op datum, Classification, Category en overgedragen bytes; Expand opent de details. Een ontbrekende vermelding sluit een geblokkeerde poging dus niet uit.

Nieuwe cloudtoepassingen hebben aanvankelijk de Classification new. Na controle wijst u via Classify de waarde sanctioned, unsanctioned of tolerated toe. De nieuwe Classification geldt voor nieuw verkeer en staat op zichzelf niets toe of blokkeert niets. Alleen een Application Filter dat dit criterium gebruikt en aan een toepasselijke firewallregel is toegewezen, voert de gewenste actie uit.

Voor algemene gebruiks- en bytegegevens is firewalllogging vereist. Upload-/downloadtellers en details over bestandstypen vereisen HTTPS-Decryption; een Web Policy met een andere waarde dan None verbetert volgens Sophos bovendien de nauwkeurigheid en de mate van detail. Sommige toepassingen gebruiken eigen overdrachtsmechanismen, waardoor afzonderlijke detailvelden toch leeg kunnen blijven.

Via Traffic shaping kunt u een voorbereide bandbreedtepolicy toewijzen aan een herkende cloudtoepassing. Deze toewijzing vervangt het Application Filter of de firewallregel niet.

Bijzondere gevallen: onlineopslag en Facebook-video’s

Het officiële Google Drive-voorbeeld combineert het Application Filter Block_GoogleDrive met de Web Policy BlockPersonalStorage. Het filter wordt gemaakt op basis van Allow All, zoekt met Smart Filter naar google drive en zet de geselecteerde toepassingen op Deny en All the time. Schakel in Web > Policies voor de specifieke opslagregel All web traffic uit, zoek via Add new item > Web category naar personal en zet de passende categorieën op Block HTTP en Block HTTPS. Beide policies moeten zijn toegewezen aan dezelfde firewallregel die daadwerkelijk wordt geraakt. Web Protection op Sophos Firewall instellen legt de werking van policies uit.

In het Facebook-video-voorbeeld selecteert u in het Application Filter via Select Individual Application de treffers voor Facebook videos. Daarnaast noemt Sophos momenteel voor een aangepaste categorie facebook.com/watch, facebook.com/reel, gateway.facebook.com, facebook.com/ajax en facebook.com/stories, plus de trefwoorden watch, reel, gateway, ajax en videos. Deze waarden zijn een versiegebonden uitgangspunt en moeten vóór gebruik worden gecontroleerd, omdat brede trefwoorden ook andere paden kunnen raken. De categorie moet in een Web Policy-regel met een blokkeeractie staan; in de huidige Facebook-procedure wordt deze actie minder uitdrukkelijk benoemd dan in het opslagvoorbeeld.

Het Sophos-voorbeeld gebruikt de Web Proxy, ontsleutelt HTTPS en blokkeert QUIC. Daarvoor moeten de clients de Sophos Firewall CA vertrouwen. Een bestaande DPI-omgeving wordt niet alleen voor dit bijzondere geval omgezet. De proxyprocedure bewijst geen gelijkwaardige blokkering van Facebook-video’s via DPI; valideer een afzonderlijk DPI-ontwerp met Sophos Support en clienttests voordat u daarop vertrouwt. Het maken van eigen categorieën wordt uitgelegd in Webcategorieën op Sophos Firewall maken, de CA-distributie in Het Sophos Firewall CA-certificaat voor HTTPS-scanning distribueren.

Synchronized Application Control gericht gebruiken

Synchronized Application Control vult netwerkdetectie aan met gegevens van beheerde Sophos Endpoints. Naast de Web Protection Subscription zijn daarvoor Security Heartbeat, een Network Protection Subscription, een Sophos Fusion-account (voorheen Sophos Central) en een beheerd Endpoint met een proef- of volledige licentie nodig.

De registratie vindt plaats onder:

System > Sophos Central > Sophos Central registration > Register

Na een geslaagde registratie activeert SFOS Security Heartbeat en Synchronized Application Control automatisch. Als Security Heartbeat wordt uitgeschakeld, wordt ook Synchronized Application Control uitgeschakeld; dat is daarom geen gerichte rollback voor één toepassing.

Controleer bij het eerste gebruik na de registratie in Sophos Fusion (voorheen Sophos Central) of Synchronized Application Control is ingeschakeld en schakel het indien nodig in. Het domein dat op de firewall is aangemaakt, moet overeenkomen met het domein dat op de Endpoint is geselecteerd.

Onder Applications > Synchronized Application Control zoekt u op naam, pad, categorie of Endpoint en vouwt u de vermelding uit om de voorkomens te bekijken. Sophos ondersteunt maximaal 15'000 toepassingen. Sinds SFOS 20.0 MR1 slaat SFOS per Endpoint alleen de vijf nieuwste voorkomens van elke toepassing op.

Bij een migratie naar SFOS 21.0 of nieuwer activeert SFOS de automatische opschoning alleen als Synchronized Application Control (SAC) is ingeschakeld. De standaardbewaartermijn is twaalf maanden. Als eerder een eigen periode was geconfigureerd, blijft die behouden. Als SAC is uitgeschakeld, blijven zowel SAC als de automatische opschoning uitgeschakeld. De opschoning verwijdert individueel toegevoegde toepassingen ook uit Application Filters. Bij een migratie naar SFOS 20.0 MR1 of nieuwer verwijdert SFOS oudere voorkomens; als de automatische opschoning door onvoldoende opslagruimte mislukt, verwijst Sophos naar Support.

New markeert nieuwe vermeldingen, Mapped automatisch toegewezen toepassingen en Customized handmatig aangepaste vermeldingen. Onder Manage > More options zijn de volgende acties beschikbaar:

• Customize: geef een begrijpelijke naam en passende categorie op en klik daarna op Apply;
• Acknowledge: wijzig het label van New in Customized zonder de naam of categorie aan te passen;
• Hide en Show: verberg een vermelding of maak deze weer zichtbaar;
• Delete: verwijder een toepassing en verwijder deze tegelijkertijd uit de Application Filters waarin deze wordt gebruikt.

Na Customize of Acknowledge wordt de gecontroleerde applicatie toegevoegd aan een nieuw of bestaand Application Filter. Dit filter wordt vervolgens toegewezen aan de firewallregel die daadwerkelijk is toegepast. Daarna wordt een reproduceerbare testflow gestart en worden in de Log Viewer de verwachte Rule ID, de applicatienaam en de actie gecontroleerd. Pas na deze pilot wordt de detectie omgezet in een Allow- of Deny-regel voor productie.

Een verwijderde vermelding verschijnt opnieuw als een Endpoint deze opnieuw meldt. Controleer daarom vóór Delete de gebruikte filters; voer daarna een nieuwe testflow uit en controleer de verwachte Rule ID. Voor generatieve AI biedt Generatieve AI met Sophos Firewall herkennen en beheren een afzonderlijke pilotprocedure.

Selectie en voorbeeldconfiguratie volledig controleren

Catalogus, templates en gerichte blokkades

Open in de catalogus Filter naast het betreffende veld; behalve bij Name kiest u een waarde uit de lijst. Smart Filter doorzoekt namen en beschrijvingen. Elke bestaande Application Filter Policy, ook een aangepaste, kan als template dienen. Controleer de regels en tijdschema’s voordat u deze kopieert.

Categorieën beschrijven verschillende doelen, niet automatisch een veiligheidsbeoordeling:

• File transfer: overdrachten en uploads; Download applications: downloads, bestandsdeling, opslag en accelerators; Storage and backup: bestandsopslag, samenwerking en wachtwoordopslag.
• Gaming: spellen en wedstrijden; Streaming media: audio, video en live-uitzendingen; Social networking: sociale netwerken; E-commerce: handelsapplicaties.
• Instant messenger: chat; VoIP: IP-telefonie; Conferencing: virtuele vergaderingen; Web mail: e-mail in de browser; Desktop mail: e-mailclients.
• General internet: onder meer nieuws, zoeken, browsers, winkelen en werkruimten; General business: hosting, samenwerking, boekhouding en back-up; Mobile applications: apps voor mobiele besturingssystemen; Software update: systeem- en applicatie-updates.
• Infrastructure: bijvoorbeeld DNS, DHCP, SMTP, MySQL, QUIC en TLS op andere poorten; Network services: routing, opstarten, QoS en FTPS; P2P: peer-to-peerbestandsdeling; Proxy and tunnel: proxy’s en VPN’s; Remote access: toegang en desktops op afstand; Industrial control system: communicatie voor gebouwen, telebesturing en processen.
• SyncAppCtl discovered: onbekende applicaties ontdekt via SAC; Sophos applications: Sophos-applicaties toegewezen door SAC; System applications: systeemdiensten toegewezen door SAC, zoals Windows- of Linux-diensten; Generative AI: AI-applicaties en -diensten.

Allow All staat alle applicaties toe en Deny All verwerpt ze allemaal. Block filter avoidance apps blokkeert tunnels, proxy’s en applicaties die policies omzeilen; Block generally unwanted apps omvat onder meer bestandsverkeer, proxy/tunnel, risicovolle en P2P-applicaties. P2P kan malware verspreiden; blokkeren is zinvol tenzij er een goedgekeurde zakelijke behoefte bestaat. De hoogrisicotemplates betreffen risiconiveaus 4/5 of alleen 5.

Filter voor een afzonderlijke blokkade Facebook Games onder Select Individual Application > Name, selecteer het en sla op met Action: Deny, Schedule: All the time. Dezelfde procedure is geschikt voor WhatsApp, Skype, LinkedIn of Internet Download Manager. Gebruik voor groepen Category: Generative AI of Category: P2P. Het UltraVPN-voorbeeld gebruikt Category: Proxy and Tunnel en PPTP Protocol; dit garandeert niet dat elke VPN-tunnel wordt herkend.

Kies voor Block_High_Risk_Apps, na opslaan en opnieuw openen, Add > Select All > Risk, selecteer High en Very High, bevestig met OK en stel Deny en All the time in. Sla regel en policy op en wijs de policy toe aan firewallregel Block_High_Risk_Apps_Rule. Nieuwe passende signaturen vallen na patroonupdates eveneens onder de selectie. Oudere voorbeelden beschrijven een lege, toestaan­de policy en de sectie Advanced; gebruik voor SFOS 22/23 expliciet Allow All en controleer de toewijzing onder Other security features, in plaats van die oude details ongecontroleerd over te nemen.

Gemeenschappelijke firewall- en webinstellingen

De voorbeelden voor bestandsoverdracht en opslag gebruiken een Accept-firewallregel van LAN naar WAN, Log firewall traffic, Rule group: None, During scheduled time: All the time en Rule position: Top. Bronnetwerken, doelnetwerken en services staan op Any; het hoogrisicovoorbeeld gebruikt zelfs Any voor beide zones. Deze brede waarden zijn geen pilotadvies: beperk de bron tot de testclient, pas zones en services aan het werkelijke pad aan en kies bewust een positie boven de regel die anders zou matchen. Zonder Match known users geldt de regel voor passend netwerkverkeer ongeacht de gebruiker; met deze optie kiest u bijvoorbeeld Marketing voor opslag of Open Group voor bestandsoverdracht onder User or groups > Add new item. Vervang deze groepsnamen door uw goedgekeurde groep; de gebruikerskoppeling moet in het testlog kloppen.

Zo nodig maakt Create linked NAT rule een regel met Translated source (SNAT): MASQ; ook deze staat in het voorbeeld op Top. Sla eerst de NAT-regel en dan de firewallregel op. In bestaande netwerken blijft de eerder gecontroleerde NAT-toewijzing bepalend.

Activeer voor opslag de webregel onder Status na het instellen van Block HTTP/Block HTTPS en sla op. Blokkeer in het proxypad ook QUIC, activeer Scan HTTP and decrypted HTTPS en Decrypt HTTPS during web proxy filtering en distribueer de CA vóór de test.

Sla voor Facebook de aangepaste categorie onder Web > Categories > Add op met Classification: Unproductive en de hierboven genoemde Domain- en Keyword-waarden. Verwijder onder Web > Policies > Add policy > Add rule All web traffic uit Activities, selecteer de categorie via Add new item > Web category, kies Apply selected items, controleer de blokkeeracties voor HTTP/HTTPS en de actieve status, daarna Save en zo nodig Skip this step. Sla alle treffers voor Facebook videos in het Application Filter op met Deny en All the time. Het volledige proxyvoorbeeld activeert ook Use web proxy instead of DPI engine, Scan HTTP and decrypted HTTPS, Scan FTP for malware, Decrypt HTTPS during web proxy filtering en Block QUIC protocol. FTP-scanning is extra bescherming, geen bewijs van de videoblokkade. Alleen een vergelijkbare optienaam bewijst niet dat het DPI-pad als gelijkwaardig is getest; gebruik bij een mislukte blokkade het hierboven beschreven diagnose- en supportpad.

Cloud- en SAC-handelingen afronden

Bevestig na Classify met Apply; selecteer na Traffic shaping een bestaande policy en Save. Controleer bijvoorbeeld unsanctioned-socialenetwerkapplicaties over een bepaalde periode of beperk videostreaming.

Onbekende SAC-applicaties komen eerst in SyncAppCtl discovered; bekende worden automatisch gecategoriseerd. Beperk het zoekbereik bijvoorbeeld tot System applications. Na Hide zijn vermeldingen alleen te vinden onder Hidden applications; herstel ze met Show. Customize blijft ook later beschikbaar en zet het label op Customized.

Clean up application database vereist registratie bij Sophos Fusion/Sophos Central. Na een dagelijkse controle verwijdert SFOS oude applicaties in batches van 100 per vijf minuten, inclusief individueel aan policies toegevoegde vermeldingen. Controleer het gebruik voordat u de periode wijzigt; verkorten is geen risicoloze opslagoplossing. Zonder geldige Web Protection Subscription kan SAC worden geconfigureerd, maar niet gebruikt.

Application Control via de XML API automatiseren

De XML-referenties voor SFOS 22/23 beschrijven verschillende objecten met vergelijkbaar klinkende namen. Een cloudclassificatie is noch een filterregel, noch de globale Device-Console-schakelaar. Vóór een schrijvende aanroep worden de bestaande toestand en de policies die deze gebruiken veiliggesteld. Toegang, antwoordverwerking en veilige herhalingen worden uitgelegd in Toegang tot de Sophos Firewall XML API beveiligen. De volgende structuren verduidelijken het gedocumenteerde contract, niet een op een firewall geteste request.

Afzonderlijke en meerdere cloudclassificaties

ApplicationClassificationAssignment werkt precies één toewijzing bij: de twee verplichte velden Application en Classification zijn strings. Het referentievoorbeeld noemt Facebook Website en New. Dit is geen volledige catalogus van toegestane classificaties; UI-waarden en hoofdlettergebruik worden niet automatisch als API-enumwaarden aangemerkt.

ApplicationClassificationBatchAssignment gebruikt daarentegen ClassAssignmentList met herhaalde ClassAssignment-objecten. In elk object staan de velden in kleine letters app en class, niet Application en Classification. De gedocumenteerde structuur ziet er bijvoorbeeld als volgt uit:

<ApplicationClassificationBatchAssignment>
  <ClassAssignmentList>
    <ClassAssignment>
      <app>iCloud</app>
      <class>New</class>
    </ClassAssignment>
    <ClassAssignment>
      <app>iPlay Website</app>
      <class>New</class>
    </ClassAssignment>
  </ClassAssignmentList>
</ApplicationClassificationBatchAssignment>

De namen zijn referentievoorbeelden en worden vervangen door daadwerkelijk aanwezige toepassingen. De parametertabel beschrijft ClassAssignmentList als een optionele array van objecten met meerdere waarden. Daaruit volgt noch een zinvolle lege batchoperatie, noch een garantie voor atomaire verwerking, rollback of een status per item. Lees na een wijziging elke aangevraagde toewijzing afzonderlijk terug en controleer de werking van een Classification-filter pas met nieuw verkeer. Voor de batch noemt de referentie 200 met Operation Successful. en 500 met Operation Fail.; voor de afzonderlijke operatie staan 200 en 500 met de niet-uitgewerkte symbolen Message.AppClassificationUpdateSuccess respectievelijk Message.AppClassificationUpdateFail.

Filter-policy: Template of eigen regels

Bij ApplicationFilterPolicy heeft Template voorrang: als het wordt meegegeven, negeert het gedocumenteerde contract DefaultAction en RuleList. Een request met Template en een eigen Deny-regel is daarom geen betrouwbare combinatie van beide varianten. Zonder Template beschrijft de referentie DefaultAction met Allow of Deny en RuleList/Rule voor eigen regels. De daarbij genoemde maximale lengte van één teken is in tegenspraak met deze woorden; daaruit wordt geen verkorte waarde van één teken afgeleid. Het XML-voorbeeld schrijft AllowAll, terwijl de UI Allow All weergeeft. Neem de UI-tekst niet zonder controle over als API-token.

Binnen Rule bevinden zich SelectAllRule, selectiecontainers, evenals Action en Schedule. De containers zijn CategoryList/Category, RiskList/Risk, CharacteristicsList/Characteristics, TechnologyList/Technology, ClassificationList/Classification en ApplicationList/Application. SelectAllRule gebruikt in het voorbeeld Enable/Disable; dit is een schakelaar en niet de lijstwaarde voor een categorie. De eerste vijf lijsten tonen SelectALL, de toepassingslijst daarentegen SelectAll. De opmerkingen in het voorbeeld geven aan dat een selectie van alles verdere items in dezelfde lijst negeert. Normaliseer de schrijfwijzen niet en leid daaruit geen ongedocumenteerde voorrang tussen verschillende criteria af. De parametertabel vermeldt daarnaast Search als zoekstring; verwar deze niet met de SmartFilter van een Application Object.

De policy-naam is verplicht, staat UTF-8 toe, maar geen komma’s, en mag maximaal 60 tekens bevatten; Description staat maximaal 1000 tekens toe. MicroAppSupport noemt True en False, maar bewijst niet dat HTTPS-ontsleuteling is ingeschakeld. De tabel vermeldt Action en Schedule als arrays waarvan duplicaten niet worden genegeerd, terwijl het XML-voorbeeld ze per regel toont. Dedupliceer of herschik de lijsten daarom niet op eigen initiatief. Lees na het opslaan de standaardactie, volgorde, selectie en Schedule terug; pas de toewijzing aan de juiste firewallregel en de clienttest bevestigen de gewenste blokkering.

Categorie-QoS en SD-WAN-objecten onderscheiden

ApplicationFilterCategory identificeert de bestaande categorie via het verplichte Name; deze categorienaam kan niet worden gewijzigd. Het verplichte QoSPolicy op categorieniveau moet worden onderscheiden van ApplicationSettings/Application/QoSPolicy: dit laatste hoort bij de toepassing waarvan de Name in het betreffende subobject staat. Het voorbeeld toont daarnaast BandwidthUsageType met Individual/Shared. Daarmee is de context van het delen van bandbreedte zichtbaar, maar is geen volledige voorrangsregel tussen categorie- en toepassingstoewijzing aangetoond. Controleer vóór de wijziging de bestaande QoS-toewijzingen en het gewenste gedeelde of individuele gebruik; de werkwijze wordt uitgelegd in Application Traffic Shaping.

ApplicationObject biedt een toepassingsselectie voor toepassingsgebaseerde SD-WAN-routes, geen ApplicationFilterPolicy met Allow-/Deny-regels. De verplichte velden zijn Name en SelectAllRule (Enable of Disable); de naam staat UTF-8 toe, geen komma’s en maximaal 80 tekens. Het XML-voorbeeld gebruikt dezelfde zes selectiecontainers als hierboven en daarnaast SmartFilter als zoekstring. Ook hier toont het SelectALL voor criteria en SelectAll voor toepassingen. De zichtbare toepassingsselectie is niet de identiteit van het benoemde object: lees bij een Update het bedoelde object terug; voor Delete vormt deze Add-/Edit-pagina geen bewijs van het identiteitscontract.

Voor Application object add en Application object edit kent de referentie telkens dezelfde codes toe:

Deze symbolen zijn geen volledig uitgeschreven foutmeldingen en de codes zijn niet automatisch gelijk te stellen aan HTTP-statuscodes. Leg de operatie, code en het daadwerkelijke antwoord samen vast. Lees vóór een Retry de daadwerkelijk opgeslagen objectnaam en de selectie terug; een onduidelijke fout mag niet leiden tot een tweede of ruimer object. Voor Policy-Edit noemt de referentie bovendien 502 met Message.AFPRecordExists naast 200/Message.AFPUpdateSuccess en 500/Message.AFPUpdateFail. Ook hier blijft de betekenis van de niet-uitgewerkte meldingstekst onduidelijk; een succescode vervangt noch de toestandscontrole, noch de verkeerstest.

Problemen per symptoom afbakenen

• De verwachte Rule ID ontbreekt: controleer de regelvolgorde, Source/Destination, Service, gebruikersmatch en het IPv4-/IPv6-pad. Zolang de flow een andere regel raakt, is het Application Filter nog niet de oorzaak.
• Er is geen definitieve firewalllogvermelding: zoek de open sessie eerst onder Current activities > Live connections en beëindig deze gecontroleerd. Controleer de logging en de filterperiode in Log Viewer.
• De toepassing blijft unknown of algemeen: controleer de patroonstatus, Application list, HTTPS-Decryption, QUIC en Web Exceptions. Packet Capture dient alleen om het netwerkpad te bevestigen.
• De blokkade raakt te veel diensten: beperk de regel op basis van Risk, Category, Classification of Smart Filter tot afzonderlijke toepassingen of een kleinere groep. Herhaal daarna de blokkeer- en controleactie.
• Na een patroonupdate wordt meer geblokkeerd: controleer welke nieuwe signatuur aan een dynamisch criterium voldoet. Maak een specifieke uitzondering voor een benodigde toepassing in plaats van het hele filter uit te schakelen.
• Log Viewer toont voor de firewall Allowed, maar de browser toont een blokkeerpagina: lees bij proxyverwerking ook het weblogboek.
• Details van cloudtoepassingen ontbreken: controleer firewalllogging, HTTPS-Decryption en Web Policy afzonderlijk. Niet elke overdrachtsmethode levert alle detailvelden.
• Facebook-video’s blijven ondanks het volledige pad bereikbaar: controleer Rule ID, Application Filter, Web Policy, actuele categorievermeldingen, QUIC, Decryption, client-CA en Web Exceptions. Als de test reproduceerbaar blijft, noemt Sophos Support als volgende escalatiepunt.

Rollback en beheer

Leg vóór de pilot het Application Filter, de Web Policy, de regelstatus, de regelpositie, de NAT-toewijzing, het TLS-pad en de uitzonderingen vast. Draai de configuratie in deze volgorde terug:

1. Schakel een afzonderlijke pilotregel uit of selecteer in de bestaande regel opnieuw het vorige Application Filter respectievelijk None.
2. Herstel de gedocumenteerde regelpositie en alleen de NAT-toewijzing die aantoonbaar bij de pilotconfiguratie hoort.
3. Controleer nieuwe verbindingen met de controleclient aan de hand van de eerdere Rule ID en het verwachte gedrag.
4. Verwijder pas daarna pilotfilters of objecten die niet meer nodig zijn. Verwijder gedeelde filters, NAT-regels en vermeldingen van Synchronized Application Control niet zonder controle.

Documenteer tijdens het beheer het doel, de toegewezen firewallregels, dynamische criteria, toegestane uitzonderingen, de eigenaar, de laatste wijziging en de controledatum. Voor centrale analyse zijn Central Firewall Reporting activeren en Sophos Firewall Syslog en SIEM instellen geschikt.

Globale classificatie alleen met Sophos Support wijzigen

Het Application Filter van een firewallregel is niet hetzelfde als de globale Application Classification van de Device Console. Sophos waarschuwt ervoor deze schakelaars zonder instructie van Support te wijzigen. Lees eerst alleen de status uit:

system application_classification show
system application_classification microapp-discovery show

De globale classificatie staat standaard op on en microapp-discovery standaard op off. Als Sophos Support een wijziging voorschrijft, legt u de oorspronkelijke status en het ticket vast. De gedocumenteerde schakelaars zijn:

system application_classification on
system application_classification off
system application_classification microapp-discovery on
system application_classification microapp-discovery off

Het inschakelen van microapp-discovery start services opnieuw en onderbreekt het verkeer. Controleer na een geautoriseerde wijziging beide show-uitvoerresultaten, een echte applicatieflow en de logboeken. Bij een rollback herstelt u exact de oorspronkelijke status: een eerdere waarde on stelt u in met on, een eerdere waarde off met off; daarna controleert u deze opnieuw met show. Bij domein-IoC’s beïnvloedt de globale classificatie ook de context van Third-Party Threat Feeds.

Veelgestelde vragen