Sophos Firewall IPS instellen en veilig testen

Intrusion Prevention System (IPS) controleert verkeer op bekende aanvalspatronen, exploits en opvallende protocolkenmerken. IPS beschermt het verkeer pas echt wanneer het globaal actief is en aan de firewallregel die het verkeer verwerkt een passende IPS Policy is toegewezen.

De strengste policy moet niet zonder onderscheid op elke regel worden toegepast. Een policy die bij het datapad past, een pilot en duidelijke logs voorkomen onnodige uitval zonder de bescherming lichtvaardig te beperken.

IPS activeren en aan een firewallregel toewijzen

Vereisten

Vóór de configuratie moet aan deze voorwaarden zijn voldaan:

• actieve Network Protection subscription of triallicentie
• beschikbare IPS-signatures en werkende pattern updates
• bekende firewallregel die het te controleren verkeer daadwerkelijk verwerkt
• geactiveerde regellogging en een proces voor false positives

IPS Protection is standaard uitgeschakeld. Op een online firewall worden IPS-signatures alleen bijgewerkt als de licentie geldig en IPS ingeschakeld is. Gelicentieerde Air Gap-firewalls zijn de gedocumenteerde uitzondering: zij kunnen via het daarvoor bestemde updateproces ook bij uitgeschakeld IPS signatures ontvangen. De details staan in Air Gap-licenties en pattern updates.

Wanneer Network Protection verloopt, kan de IPS-schakelaar nog steeds actief lijken terwijl de firewall geen IPS-bescherming meer afdwingt. Als IPS handmatig wordt uitgeschakeld, worden online signatures niet meer bijgewerkt en kunnen policies en eigen signatures niet meer worden geconfigureerd. Na 30 dagen verwijdert de firewall de IPS-signatures en -regels.

Na afloop van een triallicentie schakelt IPS automatisch uit. Tijdens de volgende 30 dagen dwingt het geen bescherming af, downloadt het geen signatures en staat het geen policyconfiguratie toe; daarna worden signatures en regels verwijderd. Wie de configuratie wil behouden, moet deze vooraf exporteren of een backup maken.

IPS globaal activeren

1. Open Protect > Intrusion prevention > IPS policies. Afhankelijk van de weergave is het verkorte pad Intrusion prevention > IPS policies.
2. Schakel IPS Protection in.
3. Controleer de licentiestatus en pattern updates.
4. Wacht tot de signatures beschikbaar zijn.
5. Controleer de bestaande standaardpolicies.
6. Gebruik zo nodig Add om een passende standaardpolicy te klonen.

Controleer na de activering niet alleen de schakelaar. Een actuele patternversie en een eerste event in het log laten veel beter zien of de hele beschermingsketen werkelijk werkt.

Het in- of uitschakelen van Firewall Acceleration of PKI Acceleration herstart IPS of de DPI Engine. Zulke wijzigingen horen thuis in een onderhoudsvenster en niet midden in een foutanalyse.

IPS in de firewallregel activeren

1. Open Rules and policies > Firewall rules.
2. Bewerk de regel die het verkeer daadwerkelijk verwerkt.
3. Activeer onder Other security features de optie Detect and prevent exploits (IPS).
4. Selecteer een IPS Policy die bij het verkeer past.
5. Activeer regellogging, sla op en test met echt verkeer.

Alleen de globale activering is niet voldoende. Als het verkeer eerst overeenkomt met een andere regel zonder IPS Policy, biedt een latere regel geen bescherming. In dat geval helpt Sophos Firewall-regel wordt niet toegepast: oorzaken controleren.

Voor gepubliceerde servers moeten DNAT, een strikt begrensde firewallregel, IPS Policy, logging en patch management op elkaar zijn afgestemd. Ook bij interne segmenten moet worden gecontroleerd of het verkeer werkelijk door de firewall en de verwachte regel loopt.

De passende IPS Policy kiezen

De policy wordt afgestemd op bron, doel en toepassing:

• Clients naar internet: gebruik een client- of LAN-to-WAN-policy en stem deze af op Web Protection, Application Control en eventueel TLS Inspection. Browsers, updateservices en bedrijfsapplicaties horen in de pilot; voor verdachte downloads vult Zero-Day Protection de signaturecontrole aan.
• Internet naar een server via DNAT: stem een server- of webserverpolicy nauwkeurig af op het doelsysteem en de gepubliceerde poorten. De bescherming geldt voor de werkelijk aangeboden diensten, niet zonder onderscheid voor elke servertechnologie. Een server via DNAT publiceren legt NAT en de regelcontext uit; bekende kwaadaardige IP-adressen, domeinen en URL’s kunnen aanvullend met Threat Feeds worden geblokkeerd.
• Site-to-Site- of Remote Access-VPN: kies de policy op basis van bron- en doelsystemen. Test productieapplicaties, MTU/MSS, latency en throughput over de werkelijke VPN-verbinding.
• VoIP: test SIP/RTP met een specifieke policy en rollbackplan. Een agressieve client- of serverpolicy kan de signalering of mediastroom verstoren.
• Management-, backup- en infrastructuurnetwerken: bescherm deze restrictief zonder noodzakelijke verbindingen voor beheer, monitoring of backups te onderbreken. Strakke regels zijn hier meestal waardevoller dan een bijzonder brede selectie signatures.

Ook op segmentgrenzen, zoals client naar server of VPN naar server, bemoeilijkt IPS laterale beweging na een compromittering. Het vormt echter alleen een aanvulling op goede firewallregels. De afzonderlijke instellingen voor Spoof Protection en DoS behandelen eenvoudige spoofing- en floodingpatronen.

Een eigen policy uit een sjabloon maken

Met Add kan een standaardpolicy worden gekloond en vervolgens gericht worden aangepast. Dit is overzichtelijker dan een vrije verzameling signatures en behoudt een zinvolle basisbescherming. De naam moet het doel en datapad herkenbaar maken, bijvoorbeeld IPS-Pilot-LAN of IPS-DNAT-Webserver.

De policyregels worden van boven naar beneden geëvalueerd. Een brede regel voor alle serversignatures kan daardoor een lager geplaatste uitzondering voor één SID afdekken. Specifieke aanpassingen horen boven de algemene regels; daarna moet een passend event in het log bevestigen dat de verwachte actie wordt toegepast.

Signatures filteren en beoordelen

Signatures kunnen worden gefilterd op Category, Severity, Platform en Target. Eigen IPS-signatures zijn eveneens mogelijk, maar mogen alleen worden gebruikt voor een duidelijk beschreven detectiescenario en moeten later opnieuw worden beoordeeld. Voor logs, tickets en uitzonderingen zijn deze gegevens essentieel:

• SID: unieke signature-ID
• Category: technisch gebied, bijvoorbeeld DNS, browser of malware
• Severity: ernst
• Platform: getroffen platform, bijvoorbeeld Windows of Linux
• Target: client- of serversignature
• Recommended action: door Sophos aanbevolen actie

Sophos koppelt Critical aan CVSS 9 tot 10, Major aan 7 tot onder 9, Moderate aan 4 tot onder 7 en Minor aan 1 tot onder 4 of aan parent-signatures. Warning markeert opvallend verkeer als waarschuwing. Severity alleen is echter niet doorslaggevend: een Major-signature op een blootgestelde server moet anders worden beoordeeld dan een Warning-event in een testnetwerk. Doelsysteem, bereikbaarheid, patchniveau en daadwerkelijk toegepaste actie horen altijd bij de beoordeling.

IPS-acties begrijpen

Een policyregel kan de door Sophos aanbevolen actie overschrijven:

• Recommended: zinvol uitgangspunt voor productieregels; de Sophos-aanbeveling voor de betreffende signature wordt toegepast
• Allow packet: event loggen maar het pakket toestaan; geschikt voor een pilot, maar voorkomt de gedetecteerde aanval niet
• Drop packet: alleen het betreffende pakket verwijderen; de applicatie kan blijven werken of fouten geven
• Drop session: de volledige sessie na een event beëindigen; een zwaardere ingreep bij een bevestigd aanvalsrisico
• Reset: de TCP-sessie actief resetten; gebruiker of applicatie ziet een harde onderbreking
• Disable: signature uitschakelen; de bescherming voor precies deze detectie vervalt
• Bypass session: de rest van de sessie niet meer controleren; verkeer kan daardoor naar FastPath of Offload gaan en verder aan inspectie ontsnappen dan bedoeld

Pakketacties gelden per pakket. Sessieacties controleren tot de eerste hit en werken daarna op de volledige verbinding. Afwijkingen van Recommended vereisen daarom een notitie met signature, policy, firewallregel, reden, owner en reviewdatum.

PQC-patterns vanaf SFOS 22.0 MR2

SFOS 22.0 MR2 herkent zuivere en hybride ML-KEM-onderhandelingen, waaronder ML-KEM-512, -768, -1024 en X25519 met ML-KEM-768. De nieuwe PQC-patterns staan standaard op Disabled, omdat PQC niet automatisch verdacht is. Wie ze wil analyseren, kan het beste eerst een eigen pilotpolicy met Allow packet en logging testen en pas na de evaluatie Drop session of Reset gebruiken. Meer uitleg staat in Sophos Firewall v22 MR2: PQC-controle.

Gecontroleerd uitrollen en testen

1. Pilotregel kiezen: begin met een bekend clienttestnetwerk of één DNAT-regel. Het verwachte verkeer en de verantwoordelijke persoon moeten vóór de test duidelijk zijn.
2. Werkelijke applicaties testen: controleer login, bestandsoverdracht, updates, API’s en langlopende sessies. Een korte ping bewijst niet dat een applicatie met IPS stabiel blijft werken.
3. Events analyseren: controleer in Log viewer bron, doel, dienst, firewallregel, signature, SID, Severity, actie en tijdstip. De onderstaande tools leveren de technische context.
4. Stapsgewijs uitbreiden: voeg pas na stabiele tests meer regels toe. VoIP, ERP, industriële protocollen, VPN en oudere applicaties hebben een testvenster en rollbackplan nodig.

Voor de analyse helpen Services en logs, het gezamenlijke gebruik van Log Viewer en Packet Capture en de analyse van gedropte pakketten.

De tools beantwoorden verschillende vragen:

• ips.log: diepere informatie over beslissingen van IPS, DPI en Application Control
• Packet Capture: pakketstroom, richting, Firewall Rule ID, NAT ID en IPS Policy ID
• Regeltest: welke firewallregel het verkeer daadwerkelijk verwerkt
• Syslog of Central Reporting: langere bewaartermijn en correlatie

Wanneer meerdere beschermingsmodules actief zijn, moeten de tijdstippen in firewall-, IPS-, Web-, Application Control- en SSL/TLS Inspection-logs worden vergeleken. Een firewallregel kan verkeer toestaan dat vervolgens door een module verderop in de keten wordt geblokkeerd.

Prestaties vergelijken

IPS gebruikt afhankelijk van model, verkeer, signatures, TLS Inspection, Application Control, VPN en pakketgrootte verschillende hoeveelheden resources. Daarom moeten vóór en na de activering onder vergelijkbare belasting de volgende waarden worden gemeten:

• CPU- en geheugenbelasting
• throughput op de betreffende interfaces
• latency en retransmits van kritieke applicaties
• IPS/DPI- en Syslog-volume
• meldingen van gebruikers en applicaties

IPS kort uitschakelen bewijst nog niet wat de oorzaak is. Reproduceerbare vergelijkingen vereisen correct geïnterpreteerde firewallprestatiegegevens en een gecontroleerde iPerf-test.

False positives en uitzonderingen behandelen

Als legitiem verkeer wordt geblokkeerd, mag IPS niet uit reflex globaal worden uitgeschakeld. Een event kan een false positive, een onverwachte applicatie of een echte exploitpoging zijn. Verzamel eerst:

• signature-ID en signaturenaam
• bron, doel, dienst en getroffen firewallregel
• tijdstip, frequentie en getroffen applicatie
• patchniveau van het doelsysteem
• relevant logfragment of Packet Capture

Concrete vragen helpen bij de analyse: treedt de fout alleen op bij één host of poort? Is deze reproduceerbaar? Verdwijnt de fout na een patch? Heeft dezelfde SID herhaaldelijk betrekking op hetzelfde doel? Alleen deze feiten rechtvaardigen een wijziging van de policy.

Beperk de wijziging daarna zo veel mogelijk:

• pas één signature aan in plaats van een volledige categorie
• gebruik een eigen IPS Policy uitsluitend bij de betreffende firewallregel
• controleer de volgorde van de policyregels
• begrens bron, doel en dienst in de firewallregel strakker
• documenteer reden, owner en reviewdatum
• controleer na de wijziging of alleen het verwachte verkeer is beïnvloed

Een tijdelijke uitzondering is meestal beter dan permanente uitschakeling. Controleer deze opnieuw na een update van de applicatie, firmware of het systeem. Als veel signatures dezelfde applicatie verstoren, is een eigen policy of betere segmentering beter dan een grote globale uitzondering.

Troubleshooting en beheer

IPS werkt niet

Controleer in deze volgorde:

1. Is Network Protection of de triallicentie geldig?
2. Is IPS Protection globaal ingeschakeld?
3. Zijn de IPS-patterns actueel? In een HA-cluster worden deze op de Primary bijgewerkt en automatisch met de Auxiliary gesynchroniseerd.
4. Komt het verkeer overeen met de verwachte firewallregel met IPS Policy en logging?
5. Dekt een brede policyregel een specifieke regel af?
6. Bevat de policy ongegronde acties zoals Allow packet, Disable of Bypass session?
7. Past de policy bij client-, server-, VPN- of VoIP-verkeer?
8. Is met echt verkeer gecontroleerd of Log Viewer en ips.log passende events tonen?

Uitzonderingen zonder owner of reviewdatum gelden als open en horen thuis in de volgende operationele controle.

IPS-service staat op DEAD

Onder SFOS 22.0 GA en nieuwer kunnen in zeldzame gevallen benodigde Web Policy-configuratiegegevens ontbreken. De Web Policy-service start dan niet, IPS kan de policy niet initialiseren en blijft op DEAD; ook pattern updates mislukken. In een HA-cluster kan elke node afzonderlijk getroffen zijn.

In de CLI leidt 5 Device Management > 3 Advanced Shell naar de benodigde shell. Daar toont deze read-only opdracht alle serviceregels met ips in de naam:

service -S | grep -i ips

Alleen de regel waarvan de eerste servicenaam exact ips is, is relevant; ipsec-monitor wordt niet bedoeld. In een HA-cluster moet elke getroffen node afzonderlijk worden gecontroleerd.

Als de service op DEAD staat, moeten SFOS-versie, tijdstip, node, volledige statusuitvoer, ips.log en sig_upgrade.log worden vastgelegd. Neem daarna onder verwijzing naar NC-181971 contact op met Sophos Support. De opdracht alleen bewijst dit probleem niet. Sophos publiceert nog steeds geen gecorrigeerde versie en biedt de workaround uitsluitend via Support. Herhaalde herstartpogingen of niet-gedocumenteerde herstelopdrachten zijn geen correcte oplossing.

FAQ