Sophos Firewall Application Control instellen en testen

Application Control op Sophos Firewall herkent applicaties onafhankelijk van de pure poort. Hiermee kunnen bijvoorbeeld remote-control-tools, tunneling-applicaties, streaming, cloudopslag, messengers of risicovolle browseromzeilingen gericht worden toegestaan, geblokkeerd of gelogd.

Het praktische nut ontstaat echter pas wanneer Application Control actief is in de juiste firewallregel, de applicatie daadwerkelijk wordt herkend en logs worden geanalyseerd. Een opgeslagen Application Filter Policy blokkeert op zichzelf nog niets.

Kort antwoord

Application Control wordt in twee stappen gebruikt:

1. Onder Applications > Application filter een Application Filter Policy plannen of maken.
2. In de juiste firewallregel onder Other security features bij Identify and control applications (App control) selecteren.

Daarna moet met een echte testclient worden gecontroleerd of het verkeer via deze regel loopt en of de applicatie correct wordt herkend in de Log Viewer. Bij versleuteld verkeer kan TLS Inspection cruciaal zijn, omdat de firewall anders afhankelijk van de applicatie minder details ziet.

Wanneer Application Control zinvol is

Application Control is vooral nuttig wanneer poorten alleen niet voldoende zeggingskracht hebben. Veel applicaties gebruiken HTTPS, wisselende doelen of cloudinfrastructuur. Een pure poortregel ziet dan alleen 443, maar niet of daarachter een toegestane bedrijfsdienst, een remote-control-tool of een ongewenste cloudopslag zit.

Typische gebruikssituaties:

• TeamViewer, AnyDesk, Tor of proxy-tools blokkeren
• Streaming of sociale media in bepaalde netwerken beperken
• Cloudopslag controleren
• Messengers of spellen in gast- of schoolnetwerken beperken
• Applicatieherkenning voor rapportage en analyse activeren
• Traffic Shaping voor herkende applicaties voorbereiden

Als het niet gaat om herkenning of blokkering, maar om prioritering of bandbreedtebeperking, past daarnaast Application Traffic Shaping op Sophos Firewall configureren.

Vereisten

Voor de configuratie moeten deze punten worden gecontroleerd:

• passende licentie met Web Protection of Application Control
• betrokken firewallregel is bekend
• Log firewall traffic is voor de testregel actief
• gewenste applicatie of categorie is inhoudelijk duidelijk
• testclient en testdoel zijn gedefinieerd
• bij HTTPS-applicaties is duidelijk of TLS Inspection moet worden ingezet
• Application signatures en pattern-updates werken

De licentiestatus controleert men onder System > Administration > Licensing. In typische Sophos-firewallbundels met Web Protection is Application Control inbegrepen. De concrete licentielogica moet echter voor productieve invoering worden gecontroleerd, vooral bij verlopen abonnementen of testlicenties.

Application Filter plannen

Een goede Application Filter is niet zomaar een lange blokkeerlijst. Eerst moet duidelijk zijn wat bereikt moet worden.

• risicovolle remote-control-tools blokkeren: gerichte applicaties of categorie blokkeren
• gasten-WLAN beperken: ongewenste categorieën blokkeren, toegestane basisdiensten openlaten
• applicatie alleen loggen: eerst Allow met logging en rapporten gebruiken
• false positive vermijden: nauwere applicatiekeuze in plaats van brede categorie
• bedrijfskritische applicatie prioriteren: Application Control met Traffic Shaping combineren

Voor productieve netwerken is een observatiemodus vaak zinvol: eerst Application Control activeren, logs en rapporten controleren, daarna gericht blokkeren. Zo ziet men welke applicaties echt voorkomen en of een blokkering legitieme processen zou verstoren.

Bij brede criteria moet men ook aan later onderhoud denken. Nieuwe applicaties worden door updates van de Application-signaturedatabase automatisch meegenomen in Application Filter Policies en firewallregels. Als een regel bijvoorbeeld alle high-risk-applicaties blokkeert, kan een nieuwe high-risk-signature later zonder verdere handmatige policywijziging worden geblokkeerd. Dat is gewenst, maar moet bekend zijn in het change- en reviewproces.

Rollout in fasen plannen

Application Control moet niet in één grote stap voor alle netwerken worden ingeschakeld. Beter is een kleine rollout met een duidelijke testgroep, zichtbare logging en een gedefinieerd besluit wanneer observatie een blokkering wordt.

Een praktische aanpak:

• Inventaris: ontdekken welke applicaties daadwerkelijk voorkomen. Application Filter met logging, nog zonder brede blokkering
• Pilot: geselecteerde gebruikers of een testnetwerk controleren. enkele risicovolle applicaties blokkeren, Rule ID en logs nauwgezet controleren
• Productie: bevestigde policy op doelnetwerk toepassen. Filter in productieve regel activeren, uitzonderingen documenteren
• Bedrijf: effect en neveneffecten bewaken. Rapporten, Log Viewer, Central Reporting of Syslog regelmatig controleren

Voor de productie moet duidelijk zijn welke applicaties toegestaan moeten blijven. Dit omvat vaak update-diensten, remote-support, samenwerkingstools, cloudopslag, telefonie of branchespecifieke applicaties. Als deze afhankelijkheden pas na de blokkering zichtbaar worden, lijkt Application Control snel een storende factor in plaats van een beschermingsfunctie.

Voor de acceptatie is een korte beslissingslijst de moeite waard: Welke applicatie wordt geblokkeerd, welke gebruikersgroep is getroffen, welke uitzondering is toegestaan, wie is de inhoudelijke eigenaar en wanneer wordt de policy opnieuw beoordeeld? Deze documentatie is belangrijker dan een perfecte eerste filter.

Application Filter, Application Object en Shaping onderscheiden

De begrippen liggen dicht bij elkaar, maar lossen verschillende taken op. Dit onderscheid bespaart veel foutzoeken:

• Application Filter: bepaalt welke applicaties worden toegestaan, geblokkeerd of gelogd. Typisch voor remote-control-tools, cloudopslag of een observatiemodus.
• Application Object: groepeert applicaties als object. Nuttig voor herbruikbare groepen wanneer dezelfde selectie meermaals nodig is.
• Application-based Traffic Shaping: prioriteert of beperkt herkende applicaties. Typisch voor Teams-prioritering, streamingbeperking of throttling van gast-Wi-Fi.
• Synchronized Application Control: vult applicatieherkenning aan met gegevens van Sophos Endpoint-systemen via Security Heartbeat. Dat helpt vooral bij programma’s die de firewall anders alleen generiek of helemaal niet herkent.

Voor een pure block- of allow-policy is de Application Filter de belangrijkste ingang. Application Objects en Traffic Shaping worden pas interessant wanneer de applicatieselectie hergebruikt moet worden of bandbreedte gericht gestuurd moet worden.

Synchronized Application Control is geen vervanging voor nette firewallregels. Het vereist Sophos Central, Security Heartbeat en passende Sophos Endpoint-dekking. Nieuw herkende applicaties verschijnen in eigen categorieën zoals SyncAppCtl discovered en moeten niet blind worden geblokkeerd. Eerst controleren, dan categoriseren, daarna opnemen in een Application Filter.

Herkende applicaties krijgen automatisch een statuslabel: New voor nog onbekende applicaties, Mapped voor applicaties die automatisch aan een categorie zijn toegewezen, en Customized voor handmatig aangepaste items. Sophos ondersteunt Synchronized Application Control voor maximaal 15.000 applicaties en bewaart per applicatie en endpoint alleen de laatste vijf voorvallen om opslagruimte te besparen. Deze grens is vooral relevant wanneer forensisch moet worden nagegaan hoe vaak een applicatie op een endpoint is voorgekomen.

Application Filter maken

Menupad:

Applications > Application filter

In oudere navigatieweergaven kan het pad verschijnen als Protect > Applications > Application filter.

Aanpak:

1. Add openen.
2. Een duidelijke naam geven, bijvoorbeeld Block_Remote_Control_Tools.
3. Een bestaande policy als template kiezen, bijvoorbeeld een Allow-All-policy als uitgangspunt voor gerichte blokkeerregels.
4. Policy opslaan.
5. Policy opnieuw openen en een regel binnen de filter toevoegen.
6. Applicatie, categorie, risico, Characteristics, Technology, Classification of Smart Filter selecteren.
7. Actie instellen, bijvoorbeeld Deny of Allow.
8. Schedule instellen als de regel alleen tijdelijk moet gelden.
9. Regel opslaan en daarna de policy opslaan.

Bij categorieën moet men voorzichtig zijn. Een brede categorie kan meer applicaties treffen dan verwacht. Voor eerste tests zijn individuele applicaties of duidelijk afgebakende groepen vaak beter dan een groot verzamelblok.

Bij het toevoegen van een regel zijn er twee typische werkwijzen. Select All met filters is passend wanneer een hele groep bedoeld is, bijvoorbeeld categorie File Transfer, Characteristics Transfer files en Technology Browser Based. Select Individual Application is beter wanneer alleen afzonderlijke applicaties zoals AnyDesk, TeamViewer of een specifieke clouddienst betroffen zijn. De Smart Filter zoekt op naam en beschrijving van een applicatie; hij vervangt geen inhoudelijke controle van de trefferlijst.

De filter Classification geldt alleen voor cloudapplicaties. Als een cloudapp later opnieuw wordt geclassificeerd, werkt Sophos Firewall ook regels bij die op deze Classification gebaseerd zijn. Zulke regels zijn praktisch, maar dynamischer dan een vaste lijst met afzonderlijke applicaties.

Voorbeeld: browsergebaseerde filetransfers blokkeren

Een goed eerste voorbeeld is het blokkeren van browsergebaseerde bestandsoverdrachten in een gast- of clientnetwerk. Daarbij wordt niet algemeen de hele categorie File Transfer geblokkeerd, maar wordt de selectie beperkt tot browsergebaseerde bestandsoverdrachten.

Configuratie in de Application Filter:

1. Applications > Application filter openen.
2. Policy maken, bijvoorbeeld Block_File_Transfer.
3. Een passende Allow-policy als template kiezen.
4. Policy opslaan en opnieuw openen.
5. Add voor een nieuwe filterregel openen.
6. Select All gebruiken en de selectie beperken met Category: File Transfer, Characteristics: Transfer files en Technology: Browser Based.
7. Action op Deny zetten.
8. Schedule op All the time zetten, tenzij tijdsturing gewenst is.
9. Filterregel opslaan en daarna de policy opslaan.

Dit voorbeeld is bewust smaller dan een algemene blokkering van alle filetransferapplicaties. In veel bedrijven zouden anders legitieme cloud-, update-, back-up- of collaborationdiensten worden geraakt. Voor productief gebruik moet de filter in de Log Viewer met echte clients worden getest.

In Firewall-regel activeren

Application Control werkt pas wanneer de filter in een firewallregel is geselecteerd.

Menupad:

Protect > Rules and policies > Firewall rules

Aanpak:

1. De firewallregel openen, waarover het betrokken verkeer daadwerkelijk loopt.
2. Het gedeelte Other security features openen.
3. Bij Identify and control applications (App control) de Application Filter selecteren.
4. Log firewall traffic activeren, ten minste voor test en acceptatie.
5. Regel opslaan.
6. Met een gedefinieerde client testen.

De regelvolgorde is cruciaal. Als het verkeer al door een algemenere regel hogerop wordt verwerkt, bereikt het de regel met Application Control niet. Dan lijkt de configuratie in WebAdmin correct, maar heeft geen effect.

Als een nieuwe LAN-WAN-regel wordt gemaakt, moet NAT apart worden bekeken. Sophos-voorbeelden gebruiken vaak Create linked NAT rule met MASQ voor eenvoudige internettoegang. Bij bestaande productieve regels moet men echter niet achteloos nieuwe NAT-regels maken, maar controleren welke SNAT/MASQ-regel al voor dit verkeer geldt.

Voor gebruikers- of groepsgebaseerde Application-Control-policies moet de firewallregel de gebruikerscontext echt matchen. Match known users en werkende authenticatie zijn dan net zo belangrijk als de Application Filter zelf. Zonder gebruikerscontext geldt de policy alleen op netwerk-, zone- en servicecriteria.

Bij nieuwe regels moet men bovendien bewust kiezen tussen IPv4 en IPv6. Application Control wordt in de betreffende firewallregel geactiveerd. Als een client via IPv6 een andere route neemt dan via IPv4, lijkt de test anders netjes, terwijl een deel van het verkeer langs de verwachte regel loopt.

De basisprincipes van Source, Destination, Services, Security Features en regelvolgorde staan in Sophos Firewall-regels begrijpen en veilig configureren.

Regelmatch bewust controleren

Voor het opslaan moet de regel als een testcase worden gelezen:

• Source zone en Source network: De testclient moet echt via deze zone en dit netwerk komen
• Destination zone en Destination network: Brede doelen kunnen werken, maar zijn moeilijker te herleiden
• Services: Bij webverkeer zijn vaak TCP 80/443 relevant; QUIC loopt via UDP 443
• Web policy, IPS en TLS Inspection: Meerdere Security Features kunnen dezelfde flow beïnvloeden
• Log firewall traffic: Zonder logging is de werking in Log Viewer moeilijk aantoonbaar

Wanneer Application Control nieuw wordt ingevoerd, moet de eerste regel liever wat smaller en goed meetbaar zijn. Een enorme LAN-naar-WAN-regel met veel uitzonderingen is voor acceptatie duidelijk omslachtiger.

TLS Inspection en herkenning

Application Control kan ook zonder volledige TLS Inspection bepaalde applicaties herkennen. Bij veel moderne HTTPS- en clouddiensten ziet de firewall zonder ontsleuteling echter alleen beperkte informatie zoals IP-adres, SNI, certificaatgegevens, hostnaam of verbindingsmetadata.

Dit is niet altijd voldoende voor betrouwbare herkenning. Als een applicatie via HTTPS niet zoals verwacht wordt herkend, moet men controleren:

• loopt het verkeer via de juiste firewallregel?
• is Application Control in deze regel actief?
• wordt de applicatie in principe door Sophos herkend?
• is TLS Inspection voor dit verkeer nodig en verantwoord?
• is er QUIC of HTTP/3, dat de controle bemoeilijkt?
• grijpen Web Policy, IPS of DNS Protection aanvullend in?

TLS Inspection moet stapsgewijs en met uitzonderingen worden ingevoerd. De passende aanpak staat in Sophos Firewall TLS Inspection correct invoeren. Voor QUIC en HTTP/3 past Sophos Firewall QUIC en HTTP/3 correct blokkeren.

Bij cloudapplicaties is het verschil bijzonder zichtbaar: basisgegevens over bytes en gebruik vereisen vooral geactiveerde firewalllogging. Nauwkeurigere upload-/download- en bestandstype-informatie ziet men echter alleen betrouwbaar wanneer HTTPS wordt ontsleuteld. Sommige applicaties dragen bestanden via eigen mechanismen over; dan kunnen detailvelden leeg blijven of onvolledig lijken, ook al is er verkeer aanwezig.

Voor cloud-app-reporting verdient daarom een drieslag aanbeveling: Log firewall traffic activeren, HTTPS ontsleutelen waar dit organisatorisch en technisch verantwoord is, en een Web Policy gebruiken die niet simpelweg None is. Dat maakt Application-Control-gegevens in bedrijf duidelijk bruikbaarder.

Effect testen

Na het activeren moet men niet alleen op gebruikersfeedback wachten. Een grondige test bespaart veel tijd.

Praktische aanpak:

1. Testclient en bron-IP vastleggen.
2. Applicatie bewust starten of doel oproepen.
3. In de Log viewer op bron-IP, bestemming, service en applicatie filteren.
4. Controleren welke Firewall Rule ID werd geraakt.
5. Controleren of Application Control de applicatie herkent.
6. Application ID, categorie, actie en Application Filter noteren.
7. Bij blokkering controleren of de blokkering inhoudelijk gewenst is.
8. Bij onduidelijke herkenning Packet Capture, Service-logs en bij centrale logging de Syslog-velden aanvullen.

Application-Control-events verschijnen in de Log Viewer als Application- of Content-Filtering-events. Voor acceptatie zijn vooral Firewall Rule ID, gebruiker, applicatie, categorie, risico, actie, bron en doel relevant. Bij Syslog- of SIEM-evaluatie moeten daarnaast velden zoals fw_rule_id, application_name, application_filter_policy, application_category, application_risk, status en appresolvedby worden gecontroleerd. Dat laatste helpt om te beoordelen of de applicatie bijvoorbeeld via signature, proxylogica of Synchronized Application Control werd herkend.

Application Control gebruikt in het technische pad vaak ips.log. De logtoewijzing staat in Sophos Firewall Troubleshooting: Services en Logs. Voor de afbakening met Log Viewer en Packet Capture helpt Sophos Firewall Regel testen met Log Viewer, Policy Test en Packet Capture.

Van observeren naar blokkeren gaan

De stap van alleen detecteren naar blokkeren moet bewust gebeuren. In veel omgevingen is het beter om Application Control eerst als observatie- en reportingtool te gebruiken. Daarna blokkeert men alleen applicaties waarvan risico, gebruikersgroep en zakelijke afhankelijkheid duidelijk zijn.

Voor een blokkering moet men controleren:

• Welke gebruikers, netwerken of apparaten gebruiken de applicatie echt?
• Welke firewallregel en Rule ID ziet men in Log Viewer?
• Wordt de applicatie betrouwbaar herkend of alleen als generieke categorie?
• Is er legitiem zakelijk gebruik, supportgebruik of tooling van de leverancier?
• Moet de applicatie overal worden geblokkeerd of alleen in gast-, school-, client- of servernetwerken?
• Wie keurt een uitzondering goed en wanneer wordt die opnieuw beoordeeld?

Een praktisch nette aanpak is: eerst logdata verzamelen, daarna een afzonderlijke applicatie of kleine groep blokkeren en vervolgens valideren met een testclient en Log Viewer. Als een blokkering te breed werkt, moet men niet de hele Application Filter uitschakelen, maar de betreffende applicatie, categorie of regelpositie gericht aanpassen.

Als Application Control niet werkt

Bij problemen moet niet meteen de hele filter worden gedeactiveerd. Controleer eerst waar het proces breekt.

• Geen logvermelding voor de testverbinding: Logging ontbreekt of verkeer bereikt de firewallregel niet. Rule ID, bronzone en Packet Capture controleren
• Log Viewer toont andere Rule ID: algemenere regel staat hoger. regelvolgorde en matchcriteria corrigeren
• Applicatie blijft unknown of generiek: herkenning volstaat niet zonder meer context. TLS Inspection, QUIC en applicatiesignatures controleren
• Blokkering raakt te veel diensten: categorie of Smart Filter is te breed. afzonderlijke applicaties of kleinere groepen gebruiken
• Na pattern-update wordt plots meer geblokkeerd: een brede regel op Risk, Category of Classification raakt nieuwe signatures. Regelcriteria en changeproces controleren
• Cloud-appdetails ontbreken: zonder HTTPS-decryption of zonder Web Policy zijn upload-, download- en bestandstypedetails beperkt. Cloud App Reporting en TLS-status controleren
• Blokkering werkt alleen bij sommige clients: andere regel, zone, gebruikersgroep of browserpad. testclient, gebruiker en netwerkpad vergelijken
• IPv6 gedraagt zich anders dan IPv4: aparte IPv6-regel, ander DNS-pad of ander browserpad mogelijk. Beide protocollen bewust testen of IPv6 netjes in de regelset opnemen.

Het belangrijkste controlepunt is de Rule ID. Als de verwachte regel niet wordt geraakt, is de Application Control-policy bijna nooit de eigenlijke oorzaak.

False Positives correct behandelen

Als Application Control legitiem verkeer blokkeert, moet men niet meteen de hele filter deactiveren.

Zinvolle volgorde:

1. Betrokken applicatie en logvermelding documenteren.
2. Controleren welke firewallregel en welke Application Filter betrokken zijn.
3. Applicatie, categorie en actie in de filter controleren.
4. Controleren of de applicatie door TLS Inspection anders wordt herkend.
5. Uitzondering zo nauw mogelijk instellen: applicatie, bronnetwerk, gebruikersgroep of doel.
6. Eigenaar en herzieningsdatum voor de uitzondering documenteren.

Een uitzondering voor Any of een brede categorie lost het huidige geval vaak snel op, maar verzwakt de controle blijvend. Beter is een kleine, begrijpelijke uitzondering met duidelijke reden.

Typische fouten

• Application Filter gemaakt, maar niet in regel geselecteerd: geen effect op verkeer. Filter in de echte firewallregel activeren
• Verkeer loopt via andere regel: Filter wordt nooit bereikt. Rule ID in Log Viewer controleren
• te brede categorie geblokkeerd: legitieme cloud- of bedrijfsdiensten getroffen. individuele applicaties of nauwere groepen gebruiken
• Dynamische filters niet begrepen: Risk, Category of Classification kunnen door signature- en cloud-appupdates nieuwe treffers krijgen. Regelmatig controleren.
• HTTPS-herkenning overschat: Applicatie wordt niet betrouwbaar herkend. TLS Inspection en QUIC-gedrag controleren
• Logging ontbreekt: Effect blijft onzichtbaar. Regel-logging voor test en bedrijf activeren
• Uitzondering te breed: Beschermingsfunctie wordt praktisch uitgehold. Uitzondering nauw en met herzieningsdatum instellen

Bedrijfscontrole

Application Control moet regelmatig worden gecontroleerd. Applicaties veranderen, clouddiensten gebruiken nieuwe eindpunten, gebruikers gebruiken nieuwe tools en handtekeningen worden bijgewerkt.

Men moet documenteren:

• Doel van de Application Filter
• betrokken firewallregels
• geblokkeerde of toegestane applicaties
• bekende uitzonderingen
• inhoudelijke eigenaar
• herzieningsdatum
• laatste relevante wijziging

Als Application Control wordt gebruikt voor kritische bedrijfsapplicaties, schoolnetwerken of nalevingsvereisten, moet daarnaast Central Reporting, Syslog of SIEM worden gecontroleerd. Voor centrale evaluatie past Central Firewall Reporting activeren of Sophos Firewall Syslog en SIEM instellen.

Checklist

• Licentiestatus gecontroleerd.
• Betrokken firewallregel duidelijk geïdentificeerd.
• Application Filter met duidelijk doel gemaakt.
• Template, dynamische filters en regelcriteria gedocumenteerd.
• Filter in de juiste firewallregel geselecteerd.
• Regel-logging actief.
• Testclient en testapplicatie gedefinieerd.
• Log Viewer op Rule ID en Application Control gecontroleerd.
• Daadwerkelijk gebruik, owner en uitzonderingsregel vóór blokkering afgestemd.
• IPv4- en IPv6-pad gecontroleerd, als beide in het netwerk actief zijn.
• TLS Inspection en QUIC beoordeeld, als HTTPS-herkenning onduidelijk is.
• Cloud App Reporting indien nodig met HTTPS-decryption en Web Policy gecontroleerd.
• Uitzonderingen nauw gedocumenteerd.
• Reviewdatum vastgelegd.

Veelgestelde vragen