Data Anonymization op Sophos Firewall configureren

Data anonymization versleutelt identificerende gegevens in logs en rapporten van Sophos Firewall. Dit betreft met name gebruikersnamen, IP-adressen, MAC-adressen en e-mailadressen. Een geautoriseerde beheerder kan deze gegevens voor een legitieme analyse opnieuw zichtbaar maken.

De veilige procedure is kort:

1. Doel, betrokken uitvoer en goedkeuringsproces documenteren.
2. Twee persoonlijke beheerdersaccounts als authorizers voorbereiden.
3. De functie onder System services > Data anonymization activeren en beide authorizers selecteren.
4. Met een gecontroleerde testgebeurtenis controleren of Log viewer en zoeken blijven werken.
5. De identiteit doelgericht met een authorizer zichtbaar maken en een negatieve test voor onbevoegde toegang uitvoeren.
6. Uitzonderingen alleen voor gerechtvaardigde afzonderlijke gevallen toevoegen.
7. CSV-exports en daadwerkelijk gegenereerde PDF-rapporten afzonderlijk controleren.

⚠️ Data Anonymization verwijdert geen gegevens en biedt geen garantie voor elk extern gegevenspad. Remote Syslog, Sophos Fusion (voorheen Sophos Central), CTR, bestanden in Advanced Shell en back-ups worden afzonderlijk gecontroleerd. Een export wordt pas gedeeld nadat het concrete bestand op gevoelige identiteiten is gecontroleerd.

Wat Data Anonymization beschermt

Sophos beschrijft de functie als versleuteling van identiteiten in logs en rapporten. Expliciet worden genoemd:

• gebruikersnamen;
• IP-adressen;
• MAC-adressen;
• e-mailadressen.

Dit vermindert onnodige blootstelling tijdens dagelijkse analyse en rapportage. Een NOC kan bijvoorbeeld een probleem onderzoeken op basis van tijd, regel en actie zonder direct elke gebruikers- of clientidentiteit te zien. Voor een legitiem beveiligings- of privacyonderzoek blijft gecontroleerde openbaarmaking mogelijk.

De functie vervangt echter geen toegangsrechten, bewaarbeleid of beveiligde overdracht. Een geanonimiseerd rapport kan nog steeds firewallnamen, URL’s, regelnamen, tijdstempels en beveiligingsgebeurtenissen bevatten. Ook deze informatie kan vertrouwelijk zijn.

Wat niet algemeen wordt aangenomen

De actuele Sophos-help bevestigt de werking voor logs en rapporten en de mogelijkheid om gegevens in Log viewer zichtbaar te maken. Niet elk mogelijk uitvoerpad wordt echter even gedetailleerd beschreven. De on-box-instelling wordt daarom niet automatisch toegepast op de volgende gegevenspaden:

• Remote Syslog of SIEM;
• Sophos Central Firewall Reporting;
• Consolidated Troubleshooting Reports en afzonderlijke supportlogs;
• bestanden onder /log in Advanced Shell;
• back-ups en configuratie-exports;
• reeds verzonden e-mails of opgeslagen PDF- en CSV-bestanden.

Voor Remote Syslog blijft het eigen beveiligings- en acceptatieproces uit Sophos Firewall Syslog veilig naar een SIEM sturen gelden. Centrale rapporten worden afzonderlijk gecontroleerd zoals beschreven in Sophos Central Firewall Reporting.

Authorizers voorbereiden en de goedkeuringsgrens bepalen

Bij het activeren worden één of meer beheerders als Authorizer geselecteerd. Deze toewijzing staat de-anonimisering toe; in Log viewer moet een authorizer authenticatiegegevens invoeren. Sophos adviseert minimaal twee authorizers. Als de aangemelde beheerder zelf als authorizer is geregistreerd, vereist Sophos goedkeuring van minimaal één andere authorizer.

Hieruit volgt een belangrijke grens: technisch afgedwongen vierogencontrole bij elke openbaarmaking is hiermee niet aangetoond. De SFOS 22.0-help bevestigt in Log viewer alleen autorisatie en nieuwe authenticatie. Als het eigen beleid voor elke analyse twee personen vereist, moet dat organisatorische proces ook worden afgedwongen en los van de productauthenticatie worden gevalideerd.

Voor de activering worden daarom twee persoonlijke accounts voorbereid, bijvoorbeeld:

• privacy.authorizer1
• privacy.authorizer2

Deze namen zijn voorbeelden en worden vervangen door twee beheerdersaccounts die duidelijk aan personen zijn toegewezen. Een gedeeld teamaccount is ongeschikt, omdat openbaarmaking, goedkeuring en latere controle dan niet meer aan een persoon kunnen worden toegeschreven. Beheerders en Device Access-profielen veilig configureren beschrijft hoe persoonlijke accounts en beperkte profielen worden ingesteld.

Authorizer is geen afzonderlijk Device Access-profiel. Profielen bieden rolgebaseerde toegang tot WebAdmin en API met None, Read-only of Read-write; een lokale gebruiker wordt onder Authentication > Users aangemaakt met type Administrator en een profiel. Sophos noemt geen minimaal profiel voor Data Anonymization. Controleer daarom vóór de wijziging of beide bedoelde accounts de vereiste pagina en Log viewer werkelijk kunnen bereiken, zonder een niet-gedocumenteerd profiel toe te schrijven.

Daarnaast worden vooraf de volgende punten vastgelegd:

• de support-, beveiligings- of privacygevallen waarin openbaarmaking is toegestaan;
• wie de analyse aanvraagt en goedkeurt;
• hoe ticket, doel, periode en betrokken identiteiten worden gedocumenteerd;
• wanneer een uitzondering verloopt en opnieuw wordt beoordeeld;
• welke lokale herstelbeheerder beschikbaar blijft als een authorizer niet werkt.

De activering wordt gestopt als slechts één werkend beheerdersaccount beschikbaar is of de normale WebAdmin-aanmelding van de tweede bedoelde authorizer niet met succes is getest. De authorizerfunctie kan pas na de toewijzing worden getest.

Data Anonymization activeren

1. Met een persoonlijk beheerdersaccount aanmelden bij WebAdmin.
2. System services > Data anonymization openen.
3. Enable data anonymization selecteren.
4. Minimaal de twee voorbereide authorizers selecteren.
5. Apply selecteren.
6. Als de aangemelde beheerder als authorizer is geselecteerd, goedkeuring van minimaal één andere authorizer verkrijgen wanneer de interface daarom vraagt.
7. De pagina opnieuw laden en controleren of de geactiveerde instelling nog wordt weergegeven.

De wijziging wordt niet gecombineerd met aanpassingen aan beheerdersprofielen, MFA of logbestemmingen. Eén afzonderlijke wijziging is eenvoudiger te controleren en terug te draaien.

Een gecontroleerde testgebeurtenis genereren

Voor de acceptatietest wordt een bekende pilotclient gebruikt, bijvoorbeeld 10.20.30.25, samen met een duidelijk toegewezen testgebruiker zoals privacy.test. Het privé-IP-adres is een voorbeeld. Het wordt vervangen door een echte pilotclient uit het beheer- of testnetwerk, zodat de gegenereerde gebeurtenis eenduidig herkenbaar is in de lokale Log viewer.

Voor de test worden tijd, Source, Destination, service en verwachte Firewall Rule ID gedocumenteerd. De pilotclient maakt vervolgens een korte toegestane verbinding via een regel waarin Log firewall traffic is geactiveerd. Zo kan een werkende anonimisering worden onderscheiden van een ontbrekende bijpassende gebeurtenis.

Als de gebeurtenis volledig ontbreekt, wordt eerst het normale loggingpad gecontroleerd. Sophos Firewall-services en logbestanden correct toewijzen helpt hierbij. Data Anonymization herstelt geen uitgeschakelde rule logging of vastgelopen Log viewer.

Positieve en negatieve tests in Log viewer uitvoeren

1. Log viewer openen en de relevante module selecteren.
2. Periode en filters beperken tot de gedocumenteerde testgebeurtenis.
3. Controleren of gebruikers- en adresvelden geanonimiseerd worden weergegeven.
4. Een vrije-tekstzoekopdracht uitvoeren met de zichtbare geanonimiseerde informatie. Sophos bevestigt dat zoeken ook met geanonimiseerde informatie werkt.
5. Als geregistreerde authorizer de knop Data anonymization gebruiken en de eigen actuele authenticatiegegevens van het account invoeren.
6. Controleren of de verwachte identiteit voor de analyse zichtbaar wordt.
7. De geautoriseerde weergave sluiten en met een testbeheerder die niet als authorizer is geregistreerd controleren dat identiteiten niet worden vrijgegeven. De exacte fout kan per bevoegdheid verschillen; de test slaagt alleen als de testbeheerder geen identiteit in leesbare vorm krijgt.

Een geslaagde authorizertest bewijst alleen dit specifieke WebAdmin-pad. Daarmee is nog niet aangetoond dat PDF, CSV, Sophos Fusion, Syslog of supportarchieven dezelfde weergave gebruiken.

Uitzonderingen alleen met motivering toevoegen

Een uitzondering voorkomt dat de geselecteerde identiteit in logs en rapporten wordt versleuteld. Ze kan worden gedefinieerd voor gebruikers, IP-adressen, MAC-adressen of e-mailadressen. Dit is geen gemakkelijkere zoekfunctie, maar een bewuste openbaarmaking.

Een verdedigbaar geval kan een technische service-identiteit zijn die door een geautomatiseerd bedrijfsproces in leesbare vorm moet kunnen worden onderscheiden. Ook dan vereist de uitzondering:

• een gedocumenteerd doel;
• de kleinst mogelijke identiteitsomvang;
• een owner;
• een verval- of beoordelingsdatum;
• een positieve test van de uitzondering en een negatieve test van een identiteit die geanonimiseerd blijft.

De gedocumenteerde procedure is:

1. De specifieke uitzondering onder System services > Data anonymization toevoegen.
2. Apply selecteren.
3. Gebruikersnaam en wachtwoord van een authorizer invoeren.
4. Save selecteren.
5. Een nieuwe testgebeurtenis genereren en de daadwerkelijke weergave controleren.

Na een geslaagde authenticatie worden de geselecteerde identiteiten niet versleuteld. Een breed netwerkbereik, een volledige gebruikersgroep zonder individuele motivering of een permanent open uitzondering wordt niet als standaard gebruikt.

PDF- en CSV-bestanden daadwerkelijk controleren

De WebAdmin-weergave is slechts één onderdeel van de acceptatietest. Uitvoer kan later buiten de firewall worden opgeslagen, per e-mail worden verzonden of naar een ticketsysteem worden gekopieerd.

Een gepland PDF-rapport controleren

Voor lokale e-mailrapporten wordt na activering niet tot de volgende reguliere uitvoering gewacht. De planning wordt met Generate now uitgevoerd en het daadwerkelijk ontvangen PDF-bestand wordt gecontroleerd. Sophos Firewall-rapporten plannen en per e-mail verzenden beschrijft het volledige leverings- en validatieproces.

Minimaal worden de volgende punten gecontroleerd:

• gebruikers-, IP-, MAC- en e-mailvelden;
• beoogde uitzonderingen;
• URL’s, regelnamen en andere gevoelige inhoud;
• ontvangers, mailtransport en bewaartermijn in de mailbox.

Een eerder gegenereerd PDF-bestand wordt na een latere wijziging van de instelling geen nieuw acceptatiebewijs. Voor de test wordt een nieuw bestand gegenereerd.

Een CSV-export uit Log viewer controleren

Log viewer kan de huidige weergave als CSV exporteren. De actuele Sophos-help bevestigt de export, maar beschrijft de anonimiseringsomvang van het bestand niet afzonderlijk. Daarom wordt een kleine export van de gecontroleerde testgebeurtenis geopend en veld voor veld gecontroleerd.

Dit exportpad wordt pas in productie gebruikt nadat zowel de geanonimiseerde identiteiten als de beoogde uitzonderingen correct worden weergegeven. Het bestand wordt daarna veilig opgeslagen of verwijderd. Een bestandsnaam zonder identiteit verhindert niet dat de inhoud gevoelige gegevens bevat.

Grenzen voor HA, back-ups en externe gegevenspaden bepalen

De SFOS 22.0-pagina over Data Anonymization doet geen functiespecifieke uitspraak over HA-synchronisatie of de inhoud van back-ups. Geen van beide wordt daarom als gegarandeerd voorgesteld. In een bestaand HA-cluster is een nieuwe testgebeurtenis na een geplande failover een nuttige operationele acceptatietest, maar Sophos documenteert dit niet als voorwaarde voor deze functie.

Sophos bevestigt algemeen dat een back-up de volledige firewallconfiguratie bevat en versleuteld is. Herstel vervangt de huidige configuratie, verwijdert de op de firewall opgeslagen back-up en herstart de firewall; bij herstel van een oudere toestand gaan latere wijzigingen verloren. Zonder verder bewijs zegt dit niet hoe historische geanonimiseerde identiteiten worden behandeld. Controleer na herstel daarom opnieuw de instelling, authorizers, uitzonderingen en een nieuwe loggebeurtenis.

Bij HA-herstel wordt de back-up op de huidige Primary hersteld en daarna naar de Auxiliary gesynchroniseerd; de herstart vindt zonder failover plaats en veroorzaakt downtime. Een back-up zonder HA-configuratie schakelt HA uit. Back-upherstel is daarom geen lichte rollback voor alleen Data Anonymization.

Remote Syslog, Sophos Central Firewall Reporting, CTR en Advanced Shell-logs worden als afzonderlijke gegevenspaden behandeld:

1. Bestemming en verantwoordelijkheid vastleggen.
2. Een gecontroleerde testgebeurtenis genereren.
3. De daadwerkelijk ontvangen of gedownloade uitvoer controleren.
4. Toegang, bewaring en veilige verwijdering documenteren.

Als een extern gegevenspad nog leesbare gegevens bevat, wordt dit niet verborgen met een brede uitzondering of door lokale logging uit te schakelen. In plaats daarvan worden toegang en transport van het betrokken systeem beter beveiligd, of wordt de export gestopt totdat de privacyvereiste is opgehelderd.

Problemen systematisch oplossen

Identiteiten worden nog steeds leesbaar weergegeven

Eerst wordt gecontroleerd of Enable data anonymization nog actief is en of de zichtbare gebeurtenis na de laatste wijziging is gegenereerd. Daarna worden uitzonderingen voor gebruikers, IP-adressen, MAC-adressen en e-mailadressen gecontroleerd. Een gebeurtenis kan meerdere identiteiten bevatten; een uitzondering voor het Source IP verklaart niet automatisch een zichtbare gebruikersnaam.

Vervolgens wordt Log viewer gereset, een nieuwe testgebeurtenis gegenereerd en de weergave opnieuw gecontroleerd. Oude PDF’s, browserdownloads of screenshots zijn geen betrouwbaar bewijs van de huidige instelling.

Een authorizer kan een identiteit niet zichtbaar maken

Controleer of het persoonlijke account daadwerkelijk als authorizer is geselecteerd, het Device Access-profiel de vereiste toegang toestaat en de eigen actuele authenticatiegegevens worden gebruikt. Als de aangemelde beheerder zelf authorizer is, houd rekening met de door Sophos beschreven goedkeuring van een andere authorizer; ga niet uit van een tweede goedkeuring voor elke Log viewer-actie als de interface er niet om vraagt.

Beheerdersprofielen, MFA en aanmeldbron worden niet tegelijkertijd gewijzigd. Als het zichtbaar maken ondanks de juiste selectie en een geslaagde normale aanmelding blijft mislukken, worden tijd, browser, account en zichtbare melding gedocumenteerd. Authorizers worden niet verwijderd voordat een tweede geteste toegang en een herstelpad beschikbaar zijn.

Een PDF- of CSV-bestand wijkt af van Log viewer

De paden worden afzonderlijk beoordeeld. Voor PDF worden rapporttype, generatietijd en Generate now gedocumenteerd. Voor CSV worden module, filters en exporttijd vastgelegd. Voor Sophos Fusion, Syslog of supportarchieven wordt geen lokale anonimisering beloofd; het daadwerkelijke doelbestand of platform wordt gecontroleerd.

Reporting- of loggingservices worden niet opnieuw gestart en rapportgegevens worden niet verwijderd alleen omdat uitvoer anders wordt weergegeven. Eerst wordt een reproduceerbare test met een nieuw bestand uitgevoerd.

Veilig terugdraaien

Leg vóór de pilot drie toestanden vast onder System services > Data anonymization: Enable data anonymization, de lijst met authorizers en elke uitzondering. Als de wijziging niet aan de eisen voldoet, zet u precies deze waarden via een geautoriseerde wijziging terug naar de vastgelegde toestand en selecteert u Apply. Back-upherstel is hiervoor buiten proportie, omdat het de configuratie vervangt, de firewall herstart en HA kan onderbreken.

Sophos documenteert geen afzonderlijke Reset-functie en zegt niet of uitschakelen de weergave van reeds opgeslagen identiteiten met terugwerkende kracht verandert. Valideer de terugweg daarom met een nieuwe loggebeurtenis, de authorizerweergave, een CSV-export en zo nodig een nieuw gegenereerde PDF; doe zonder inspectie geen uitspraak over historische items.

Zet uitzonderingen terug naar hun eerdere omvang. Reeds geëxporteerde bestanden blijven afzonderlijk bestaan en moeten volgens het toepasselijke beleid worden behandeld. Het terugdraaien van de instelling verwijdert geen kopieën uit mailboxen, SIEM, tickets of supportcases.

Checklist voor gebruik

• doel, owner en goedkeuringsproces gedocumenteerd
• twee persoonlijke authorizers hebben een positieve test doorstaan
• lokale herstelbeheerder beschikbaar
• Enable data anonymization actief en na opnieuw laden bevestigd
• gecontroleerde loggebeurtenis geanonimiseerd zichtbaar
• authorizerweergave geslaagd en onbevoegde toegang mislukt
• uitzonderingen beperkt, gemotiveerd en voorzien van een beoordelingsdatum
• nieuw PDF-bestand en CSV uit Log viewer gecontroleerd
• Syslog, Sophos Fusion, CTR en shell-logs afzonderlijk beoordeeld
• HA-gedrag met een nieuwe gebeurtenis gecontroleerd wanneer een cluster bestaat
• authorizers en uitzonderingen vóór herstel vastgelegd; herstel niet als standaardrollback gebruikt
• reeds geëxporteerde bestanden beschermd en volgens retentie behandeld

Veelgestelde vragen

Verwijdert Data Anonymization persoonsgegevens?

Nee. Sophos beschrijft de functie als versleuteling van identiteiten in logs en rapporten. Een geautoriseerde beheerder kan de informatie na authenticatie opnieuw zichtbaar maken. Dit is niet hetzelfde als verwijderen of onomkeerbaar anonimiseren.

Worden Remote Syslog en Sophos Fusion automatisch geanonimiseerd?

De huidige functiebeschrijving bevestigt dit niet uitdrukkelijk voor deze gegevenspaden. Daarom wordt met een gecontroleerde gebeurtenis nagegaan wat op de daadwerkelijke Syslog-bestemming, in Sophos Fusion, in de CTR of in een gedownload bestand zichtbaar is.

Is één authorizer voldoende?

De interface staat één of meer authorizers toe, maar Sophos adviseert er minimaal twee. Als de aangemelde beheerder ook authorizer is, is goedkeuring van minimaal één andere authorizer vereist. De help bewijst echter geen verplichte tweede goedkeuring voor elke openbaarmaking in Log viewer. Voor een robuuste werking worden toch twee persoonlijke, geteste accounts gebruikt.