Data Anonymization op Sophos Firewall configureren

Data anonymization versleutelt identificerende gegevens in logs en rapporten van Sophos Firewall. Dit betreft met name gebruikersnamen, IP-adressen, MAC-adressen en e-mailadressen. Een geautoriseerde beheerder kan deze gegevens voor een legitieme analyse opnieuw zichtbaar maken.

De veilige procedure is kort:

1. Doel, betrokken uitvoer en goedkeuringsproces documenteren.
2. Twee persoonlijke beheerdersaccounts als authorizers voorbereiden.
3. De functie onder System services > Data anonymization activeren en beide authorizers selecteren.
4. Met een gecontroleerde testgebeurtenis controleren of Log viewer en zoeken blijven werken.
5. De identiteit doelgericht met een authorizer zichtbaar maken en een negatieve test voor onbevoegde toegang uitvoeren.
6. Uitzonderingen alleen voor gerechtvaardigde afzonderlijke gevallen toevoegen.
7. CSV-exports en daadwerkelijk gegenereerde PDF-rapporten afzonderlijk controleren.

⚠️ Data Anonymization verwijdert geen gegevens en biedt geen garantie voor elk extern gegevenspad. Remote Syslog, Sophos Central, CTR, bestanden in Advanced Shell en back-ups worden afzonderlijk gecontroleerd. Een export wordt pas gedeeld nadat het concrete bestand op gevoelige identiteiten is gecontroleerd.

Wat Data Anonymization beschermt

Sophos beschrijft de functie als versleuteling van identiteiten in logs en rapporten. Expliciet worden genoemd:

• gebruikersnamen;
• IP-adressen;
• MAC-adressen;
• e-mailadressen.

Dit vermindert onnodige blootstelling tijdens dagelijkse analyse en rapportage. Een NOC kan bijvoorbeeld een probleem onderzoeken op basis van tijd, regel en actie zonder direct elke gebruikers- of clientidentiteit te zien. Voor een legitiem beveiligings- of privacyonderzoek blijft gecontroleerde openbaarmaking mogelijk.

De functie vervangt echter geen toegangsrechten, bewaarbeleid of beveiligde overdracht. Een geanonimiseerd rapport kan nog steeds firewallnamen, URL’s, regelnamen, tijdstempels en beveiligingsgebeurtenissen bevatten. Ook deze informatie kan vertrouwelijk zijn.

Wat niet algemeen wordt aangenomen

De actuele Sophos-help bevestigt de werking voor logs en rapporten en de mogelijkheid om gegevens in Log viewer zichtbaar te maken. Niet elk mogelijk uitvoerpad wordt echter even gedetailleerd beschreven. De on-box-instelling wordt daarom niet automatisch toegepast op de volgende gegevenspaden:

• Remote Syslog of SIEM;
• Sophos Central Firewall Reporting;
• Consolidated Troubleshooting Reports en afzonderlijke supportlogs;
• bestanden onder /log in Advanced Shell;
• back-ups en configuratie-exports;
• reeds verzonden e-mails of opgeslagen PDF- en CSV-bestanden.

Voor Remote Syslog blijft het eigen beveiligings- en acceptatieproces uit Sophos Firewall Syslog veilig naar een SIEM sturen gelden. Centrale rapporten worden afzonderlijk gecontroleerd zoals beschreven in Sophos Central Firewall Reporting.

Authorizers en het vierogenprincipe voorbereiden

Bij het activeren worden beheerders als Authorizer geselecteerd. Deze rol kan geanonimiseerde identiteiten na een nieuwe authenticatie zichtbaar maken. Sophos adviseert minimaal twee authorizers. Als de momenteel aangemelde beheerder zelf als authorizer is geregistreerd, is goedkeuring van minimaal één andere authorizer vereist.

Voor de activering worden daarom twee persoonlijke accounts voorbereid, bijvoorbeeld:

• privacy.authorizer1
• privacy.authorizer2

Deze namen zijn voorbeelden en worden vervangen door twee beheerdersaccounts die duidelijk aan personen zijn toegewezen. Een gedeeld teamaccount is ongeschikt, omdat openbaarmaking, goedkeuring en latere controle dan niet meer aan een persoon kunnen worden toegeschreven. Beheerders en Device Access-profielen veilig configureren beschrijft hoe persoonlijke accounts en beperkte profielen worden ingesteld.

Daarnaast worden vooraf de volgende punten vastgelegd:

• de support-, beveiligings- of privacygevallen waarin openbaarmaking is toegestaan;
• wie de analyse aanvraagt en goedkeurt;
• hoe ticket, doel, periode en betrokken identiteiten worden gedocumenteerd;
• wanneer een uitzondering verloopt en opnieuw wordt beoordeeld;
• welke lokale herstelbeheerder beschikbaar blijft als een authorizer niet werkt.

De activering wordt gestopt als slechts één werkende beheerder beschikbaar is of de tweede authorizer nog geen positieve test heeft doorstaan.

Data Anonymization activeren

1. Met een persoonlijk beheerdersaccount aanmelden bij WebAdmin.
2. System services > Data anonymization openen.
3. Enable data anonymization selecteren.
4. Minimaal de twee voorbereide authorizers selecteren.
5. Apply selecteren.
6. Als de aangemelde beheerder als authorizer is geselecteerd, met de tweede authorizer de door Sophos vereiste goedkeuring geven.
7. De pagina opnieuw laden en controleren of de geactiveerde instelling nog wordt weergegeven.

De wijziging wordt niet gecombineerd met aanpassingen aan beheerdersprofielen, MFA of logbestemmingen. Eén afzonderlijke wijziging is eenvoudiger te controleren en terug te draaien.

Een gecontroleerde testgebeurtenis genereren

Voor de acceptatietest wordt een bekende pilotclient gebruikt, bijvoorbeeld 10.20.30.25, samen met een duidelijk toegewezen testgebruiker zoals privacy.test. Het privé-IP-adres is een voorbeeld. Het wordt vervangen door een echte pilotclient uit het beheer- of testnetwerk, zodat de gegenereerde gebeurtenis eenduidig herkenbaar is in de lokale Log viewer.

Voor de test worden tijd, Source, Destination, service en verwachte Firewall Rule ID gedocumenteerd. De pilotclient maakt vervolgens een korte toegestane verbinding via een regel waarin Log firewall traffic is geactiveerd. Zo kan een werkende anonimisering worden onderscheiden van een ontbrekende bijpassende gebeurtenis.

Als de gebeurtenis volledig ontbreekt, wordt eerst het normale loggingpad gecontroleerd. Sophos Firewall-services en logbestanden correct toewijzen helpt hierbij. Data Anonymization herstelt geen uitgeschakelde rule logging of vastgelopen Log viewer.

Positieve en negatieve tests in Log viewer uitvoeren

1. Log viewer openen en de relevante module selecteren.
2. Periode en filters beperken tot de gedocumenteerde testgebeurtenis.
3. Controleren of gebruikers- en adresvelden geanonimiseerd worden weergegeven.
4. Een vrije-tekstzoekopdracht uitvoeren met de zichtbare geanonimiseerde informatie. Sophos bevestigt dat zoeken ook met geanonimiseerde informatie werkt.
5. Als geregistreerde authorizer de knop Data anonymization gebruiken en de eigen actuele authenticatiegegevens van het account invoeren.
6. Controleren of de verwachte identiteit voor de analyse zichtbaar wordt.
7. De geautoriseerde weergave sluiten en met een testbeheerder die niet als authorizer is geregistreerd controleren dat de informatie niet zichtbaar kan worden gemaakt.

Een geslaagde authorizertest bewijst alleen dit specifieke WebAdmin-pad. Daarmee is nog niet aangetoond dat PDF, CSV, Central, Syslog of supportarchieven dezelfde weergave gebruiken.

Uitzonderingen alleen met motivering toevoegen

Een uitzondering voorkomt dat de geselecteerde identiteit in logs en rapporten wordt versleuteld. Ze kan worden gedefinieerd voor gebruikers, IP-adressen, MAC-adressen of e-mailadressen. Dit is geen gemakkelijkere zoekfunctie, maar een bewuste openbaarmaking.

Een verdedigbaar geval kan een technische service-identiteit zijn die door een geautomatiseerd bedrijfsproces in leesbare vorm moet kunnen worden onderscheiden. Ook dan vereist de uitzondering:

• een gedocumenteerd doel;
• de kleinst mogelijke identiteitsomvang;
• een owner;
• een verval- of beoordelingsdatum;
• een positieve test van de uitzondering en een negatieve test van een identiteit die geanonimiseerd blijft.

De gedocumenteerde procedure is:

1. De specifieke uitzondering onder System services > Data anonymization toevoegen.
2. Apply selecteren.
3. Gebruikersnaam en wachtwoord van een authorizer invoeren.
4. Save selecteren.
5. Een nieuwe testgebeurtenis genereren en de daadwerkelijke weergave controleren.

Na een geslaagde authenticatie worden de geselecteerde identiteiten niet versleuteld. Een breed netwerkbereik, een volledige gebruikersgroep zonder individuele motivering of een permanent open uitzondering wordt niet als standaard gebruikt.

PDF- en CSV-bestanden daadwerkelijk controleren

De WebAdmin-weergave is slechts één onderdeel van de acceptatietest. Uitvoer kan later buiten de firewall worden opgeslagen, per e-mail worden verzonden of naar een ticketsysteem worden gekopieerd.

Een gepland PDF-rapport controleren

Voor lokale e-mailrapporten wordt na activering niet tot de volgende reguliere uitvoering gewacht. De planning wordt met Generate now uitgevoerd en het daadwerkelijk ontvangen PDF-bestand wordt gecontroleerd. Sophos Firewall-rapporten plannen en per e-mail verzenden beschrijft het volledige leverings- en validatieproces.

Minimaal worden de volgende punten gecontroleerd:

• gebruikers-, IP-, MAC- en e-mailvelden;
• beoogde uitzonderingen;
• URL’s, regelnamen en andere gevoelige inhoud;
• ontvangers, mailtransport en bewaartermijn in de mailbox.

Een eerder gegenereerd PDF-bestand wordt na een latere wijziging van de instelling geen nieuw acceptatiebewijs. Voor de test wordt een nieuw bestand gegenereerd.

Een CSV-export uit Log viewer controleren

Log viewer kan de huidige weergave als CSV exporteren. De actuele Sophos-help bevestigt de export, maar beschrijft de anonimiseringsomvang van het bestand niet afzonderlijk. Daarom wordt een kleine export van de gecontroleerde testgebeurtenis geopend en veld voor veld gecontroleerd.

Dit exportpad wordt pas in productie gebruikt nadat zowel de geanonimiseerde identiteiten als de beoogde uitzonderingen correct worden weergegeven. Het bestand wordt daarna veilig opgeslagen of verwijderd. Een bestandsnaam zonder identiteit verhindert niet dat de inhoud gevoelige gegevens bevat.

HA en externe gegevenspaden valideren

In een HA-cluster wordt Data Anonymization na een gecontroleerde failover opnieuw gecontroleerd. Op de nu actieve node wordt een nieuwe testsessie gegenereerd en het Log viewer-proces herhaald. Een bestaande WebAdmin-sessie of een test die alleen op de voormalige Primary is uitgevoerd, is onvoldoende bewijs.

Remote Syslog, Central Reporting, CTR en Advanced Shell-logs worden als afzonderlijke gegevenspaden behandeld:

1. Bestemming en verantwoordelijkheid vastleggen.
2. Een gecontroleerde testgebeurtenis genereren.
3. De daadwerkelijk ontvangen of gedownloade uitvoer controleren.
4. Toegang, bewaring en veilige verwijdering documenteren.

Als een extern gegevenspad nog leesbare gegevens bevat, wordt dit niet verborgen met een brede uitzondering of door lokale logging uit te schakelen. In plaats daarvan worden toegang en transport van het betrokken systeem beter beveiligd, of wordt de export gestopt totdat de privacyvereiste is opgehelderd.

Fouten systematisch afbakenen

Identiteiten worden nog steeds leesbaar weergegeven

Eerst wordt gecontroleerd of Enable data anonymization nog actief is en of de zichtbare gebeurtenis na de laatste wijziging is gegenereerd. Daarna worden uitzonderingen voor gebruikers, IP-adressen, MAC-adressen en e-mailadressen gecontroleerd. Een gebeurtenis kan meerdere identiteiten bevatten; een uitzondering voor het Source IP verklaart niet automatisch een zichtbare gebruikersnaam.

Vervolgens wordt Log viewer gereset, een nieuwe testgebeurtenis gegenereerd en de weergave opnieuw gecontroleerd. Oude PDF’s, browserdownloads of screenshots zijn geen betrouwbaar bewijs van de huidige instelling.

Een authorizer kan een identiteit niet zichtbaar maken

Controleer of het persoonlijke account daadwerkelijk als authorizer is geselecteerd en of de eigen actuele authenticatiegegevens worden gebruikt. Als de aangemelde beheerder zelf authorizer is, wordt de vereiste goedkeuring door een andere authorizer ingepland.

Beheerdersprofielen, MFA en aanmeldbron worden niet tegelijkertijd gewijzigd. Als het zichtbaar maken ondanks de juiste selectie en een geslaagde normale aanmelding blijft mislukken, worden tijd, browser, account en zichtbare melding gedocumenteerd. Authorizers worden niet verwijderd voordat een tweede geteste toegang en een herstelpad beschikbaar zijn.

Een PDF- of CSV-bestand wijkt af van Log viewer

De paden worden afzonderlijk beoordeeld. Voor PDF worden rapporttype, generatietijd en Generate now gedocumenteerd. Voor CSV worden module, filters en exporttijd vastgelegd. Voor Central, Syslog of supportarchieven wordt geen lokale anonimisering beloofd; het daadwerkelijke doelbestand of platform wordt gecontroleerd.

Reporting- of loggingservices worden niet opnieuw gestart en rapportgegevens worden niet verwijderd alleen omdat uitvoer anders wordt weergegeven. Eerst wordt een reproduceerbare test met een nieuw bestand uitgevoerd.

Veilig terugdraaien

De eerdere instellingen worden voor de pilot gedocumenteerd. Als de nieuwe configuratie niet aan de afgesproken operationele eisen voldoet, wordt onder System services > Data anonymization de eerdere toestand via een geautoriseerde wijziging hersteld. Daarna worden een nieuwe loggebeurtenis, de authorizerweergave, een CSV-export en indien nodig een PDF opnieuw gecontroleerd.

Uitzonderingen worden eerst verwijderd of naar hun eerdere omvang teruggezet. Reeds geëxporteerde bestanden blijven afzonderlijk bestaan en moeten volgens het toepasselijke bewaar- en verwijderbeleid worden behandeld. Het terugdraaien van de firewallinstelling verwijdert geen kopieën uit mailboxen, SIEM, tickets of supportcases.

Checklist voor gebruik

• doel, owner en goedkeuringsproces gedocumenteerd
• twee persoonlijke authorizers hebben een positieve test doorstaan
• lokale herstelbeheerder beschikbaar
• Enable data anonymization actief en na opnieuw laden bevestigd
• gecontroleerde loggebeurtenis geanonimiseerd zichtbaar
• authorizerweergave geslaagd en onbevoegde toegang mislukt
• uitzonderingen beperkt, gemotiveerd en voorzien van een beoordelingsdatum
• nieuw PDF-bestand en CSV uit Log viewer gecontroleerd
• Syslog, Central, CTR en shell-logs afzonderlijk beoordeeld
• HA-failover met een nieuwe gebeurtenis gevalideerd
• reeds geëxporteerde bestanden beschermd en volgens retentie behandeld

Veelgestelde vragen

Verwijdert Data Anonymization persoonsgegevens?

Nee. Sophos beschrijft de functie als versleuteling van identiteiten in logs en rapporten. Een geautoriseerde beheerder kan de informatie na authenticatie opnieuw zichtbaar maken. Dit is niet hetzelfde als verwijderen of onomkeerbaar anonimiseren.

Worden Remote Syslog en Sophos Central automatisch geanonimiseerd?

De huidige functiebeschrijving bevestigt dit niet uitdrukkelijk voor deze gegevenspaden. Daarom wordt met een gecontroleerde gebeurtenis nagegaan wat op de daadwerkelijke Syslog-bestemming, in Central, in de CTR of in een gedownload bestand zichtbaar is.

Is één authorizer voldoende?

De interface staat één of meer authorizers toe, maar Sophos adviseert er minimaal twee. Als de aangemelde beheerder ook authorizer is, is minimaal één andere authorizer nodig voor goedkeuring. Voor een lockoutveilige werking worden daarom twee persoonlijke, geteste accounts gebruikt.