Sophos Firewall Malware-Scanning configureren en testen

Malware-Scanning van Sophos Firewall controleert bestanden in webverkeer met de geïntegreerde antivirus-engines. Alleen Web Filtering of een Web Policy activeren is daarvoor niet voldoende: de passende firewallregel moet Scan HTTP and decrypted HTTPS gebruiken en versleuteld verkeer moet worden ontsleuteld om de inhoud te kunnen controleren.

Dit artikel richt zich op downloads via HTTP en HTTPS. Voor categorieën, URL Groups en gebruikersregels is Web Protection met Web Policies bedoeld. Onbekende bestanden kunnen aanvullend worden geanalyseerd door Zero-Day Protection; e-mailverkeer wordt afzonderlijk beschermd met Mail Protection.

Reikwijdte, voorwaarden en licenties verduidelijken

Klassieke Malware-Scanning is aan protocollen en regels gekoppeld. Webdownloads vereisen Web Protection; de Base License bevat geen Web Malware Protection. Zero-Day Protection is een aparte subscription die de antivirusscan aanvult, niet vervangt. SMTP, POP3 en IMAP vereisen Email Protection. Controleer status en vervaldatum onder Administration > Licensing; de module moet Subscribed of Evaluating tonen. Een firewall met internetverbinding synchroniseert licenties automatisch elke 24 uur. Als de status verouderd lijkt, forceert Administration > Licensing > Synchronize een vernieuwing.

Leg vooraf firewallregel, Rule ID, positie en huidige scanopties vast. Bepaal voor HTTPS of DPI Engine of Web Proxy decryptie uitvoert en controleer het vertrouwen in de Signing CA. Inventariseer Web Exceptions en SSL/TLS Exclusion Rules, bereid een geïsoleerde testclient, pilotvenster en Log Viewer voor, en maak onder Backup and firmware > Backup and restore een actuele backup. Noteer daarnaast de afzonderlijke waarden, zodat een rollback niet onnodig de hele configuratie herstelt.

FTP en e-mail gebruiken aparte opties. Activeer Scan FTP for malware in de passende regel; de globale limiet is Web > General settings > Maximum file scan size for FTP. Selecteer voor e-mail onderaan de regel de werkelijk gebruikte protocollen (IMAP, IMAPS, POP3, POP3S, SMTP en/of SMTPS); Add ports voegt ontbrekende standaardpoorten toe. MTA-/Legacy-policies, quarantaine en attachmentacties staan onder Email; de primaire scanner onder Email > General settings > Malware protection. De volledige inrichting staat in het gekoppelde Mail Protection-artikel.

Bestandstypecontrole bewijst geen virusdetectie. Een Web Policy kan downloads per type sturen en een mailpolicy kan attachments behandelen. Alleen een gecorreleerde Malware-logvermelding bewijst antivirusdetectie.

Wat nodig is voor een effectieve scan

Het resultaat ontstaat uit meerdere lagen:

• De juiste firewallregel moet daadwerkelijk van toepassing zijn op het clientverkeer.
• Scan HTTP and decrypted HTTPS activeert Malware-Scanning voor dit regelpad.
• Web > General settings bepaalt de engine, het scangedrag, groottelimieten en de behandeling van inhoud die niet kan worden gescand.
• HTTPS-inhoud wordt alleen gecontroleerd als DPI of Web Proxy de verbinding ontsleutelt.
• Web Exceptions mogen Malware-Scanning niet onbedoeld overslaan.
• QUIC moet worden gecontroleerd, omdat QUIC-verkeer niet zoals klassiek HTTP- en HTTPS-verkeer kan worden gescand.

Een Web Policy en Malware-Scanning hebben verschillende taken. De Web Policy beslist bijvoorbeeld over categorieën of bestandstypen. De antivirusscan onderzoekt de bestandsinhoud op bekende malware en PUAs. Malware-Scanning kan daarom in een firewallregel ook actief zijn met Web policy: None. Omgekeerd betekent een geselecteerde Web Policy niet automatisch dat downloads op malware worden gecontroleerd.

Single of Dual Engine kiezen

Onder System services > Malware protection wordt de primaire antivirus-engine ingesteld. Sophos Firewall gebruikt Sophos en Avira; de gekozen Primary Engine scant bij Single engine alleen en bij Dual engine als eerste. Sophos is standaard de Primary Engine.

De algemene keuze voor webverkeer staat onder:

Web > General settings > Malware and content scanning

• Single engine: gebruikt alleen de Primary Engine. Dit vraagt minder resources en biedt de beste prestaties. Voor Zero-Day Protection moet Sophos de Primary Engine zijn.
• Dual engine: laat eerst de Primary en daarna de tweede engine scannen. Dit vergroot de detectiedekking, maar vraagt meer tijd en resources.

Kies voor Zero-Day Protection Single engine met Sophos als Primary Engine of Dual engine.

Voor normale clientnetwerken is Single engine met Sophos als Primary Engine een begrijpelijk uitgangspunt wanneer throughput en latency belangrijk zijn. Dual engine past wanneer maximale detectiedekking zwaarder weegt en de appliance de extra belasting onder werkelijke omstandigheden aankan. De beslissing mag niet uitsluitend op datasheetwaarden worden gebaseerd: een pilot met typische downloads, videovergaderingen en softwaredistributie laat de werkelijke gevolgen beter zien.

⚠️ Een wijziging van de Primary Engine of van Single naar Dual werkt globaal door op passende scanpaden. Vóór een wijziging moeten bestaande web-, FTP- en mailpolicies en Zero-Day Protection worden meegenomen en moet een terugweg worden gedocumenteerd. Een wijziging van de globale primaire antivirus-engine kan ook een lokaal ingestelde antivirus-engine wijzigen. Controleer na de wijziging de lokale enginekeuzes.

Machine-learningdetectie van de scanengine beheren

SFOS 22 kan machine learning, kortweg ML, globaal inschakelen voor de Sophos-scanengine en vervolgens afzonderlijk voor functiegroepen. ML zoekt naar verdachte patronen die mogelijk nog niet in de handtekeningendatabase staan. Daarmee wordt de detectie van nieuwe of snel verspreidende bedreigingen uitgebreid, maar neemt ook het risico op fout-positieven toe.

De opdrachten in dit onderdeel worden uitgevoerd in de Device Console (optie 4 in het CLI-hoofdmenu), niet in de Advanced Shell of de terminal van de testclient. Leg eerst de huidige toestand vast met de alleen-lezen opdracht:

show scanengine

De gedocumenteerde standaardwaarden zijn globaal ml_scan on, ml_web_detection off voor Web Proxy en DPI Engine, ml_email_detection on voor Email en ml_legacy_detection off voor WAF en FTP Proxy. Als de globale instelling ml_scan op off staat, kan ML niet effectief worden ingeschakeld voor de afzonderlijke functiegroepen. De functieschakelaars bepalen of een ML-detectie daar een blokkeeractie kan activeren.

De volgende regels tonen de syntaxis van opdrachten die instellingen wijzigen, geen lijst om letterlijk uit te voeren. Leg vóór een wijziging de vorige waarden en de betrokken functiegroepen vast. Vervang <on|off> door precies on of off, en <1-128|default> door een toegestaan getal of default. Voer de plaatsaanduidingen niet letterlijk in:

set scanengine ml_scan <on|off>
set scanengine ml_web_detection <on|off>
set scanengine ml_email_detection <on|off>
set scanengine ml_legacy_detection <on|off>
set scanengine thread_count <1-128|default>

thread_count geldt per scanengine. Het bereik loopt van 1 tot 128; default berekent het aantal dynamisch op basis van de beschikbare CPU’s. Een vast aantal threads is geen algemene performance-optimalisatie. Daarvoor zijn een reproduceerbare scannerbelasting, CPU- en geheugenmetingen, een doorvoertest en doorgaans een concrete aanwijzing van support nodig. De oudere optie max_buffer_size is verouderd en wordt niet meer gewijzigd.

⚠️ ML kan legitieme bestanden of verkeer ten onrechte blokkeren en ML-detecties genereren telemetrie voor Sophos Labs. Vóór de uitrol moeten daarom activering, privacy, betrokken datapaden en het proces voor fout-positieven worden vastgelegd. ML globaal uitschakelen op basis van een vermoeden is evenmin een nette oplossing als een niet-gecontroleerde uitzondering.

De pilot begint met precies één functiegroep en een gecontroleerde client- of mailstroom. Vergelijk voor en na de wijziging show scanengine, policy, blokkeeractie, Log Viewer, applicatieresultaat, CPU en scantijd. EICAR bevestigt de normale malwarescan, maar bewijst geen ML-detectie van een nieuw patroon. De rollback herstelt de waarden die met show scanengine zijn vastgelegd en neemt niet blind de productstandaarden over.

Scangedrag bepalen

Onder Web > General settings worden naast de engine verdere beveiligingskeuzes gemaakt.

Inhoud die niet kan worden gescand

Action on malware scan failure bepaalt wat er gebeurt met inhoud die niet volledig kan worden gecontroleerd. Dit kan voorkomen bij versleutelde of beschadigde archieven en bij te diep geneste bestanden. Sophos Firewall scant archieven tot 16 compressieniveaus.

Block biedt de sterkste bescherming, maar kan legitieme bestanden met wachtwoordbeveiliging of beschadigde bestanden tegenhouden. Allow houdt het bedrijfsproces in stand, maar laat daarvoor ongecontroleerde inhoud door. In normale clientnetwerken is Block het veiligere uitgangspunt. Als een bedrijfsapplicatie daardoor uitvalt, moet eerst het concrete bestandspad worden onderzocht voordat de algemene instelling wordt versoepeld.

Bestandsgroottes en streaming

Do not scan files larger than stelt de maximale scangrootte voor HTTP en HTTPS in MB in. Grotere bestanden worden niet gescand. Bij gecomprimeerde bestanden telt de grootte van het archief, niet de mogelijke grootte na het uitpakken. Voor FTP bestaat met Maximum file scan size for FTP een afzonderlijke limiet in MB. FTP-bestanden boven die limiet worden eveneens niet gescand.

Een lage limiet verbetert de beveiliging niet automatisch, maar kan grote installers of archieven ongecontroleerd doorlaten. Een zeer hoge waarde kan daarentegen de downloadtijd en het resourcegebruik verhogen. De waarde moet daarom passen bij softwaredistributie, updatepakketten en de prestaties van de appliance.

Open onder Web > General settings de Advanced settings om Scan audio and video files te vinden. Scan audio and video files breidt de scan uit naar media-inhoud, maar kan streaming beïnvloeden. De optie mag alleen worden geactiveerd als de beveiligingsbehoefte opweegt tegen de extra belasting en mogelijke onderbrekingen. Klik na het kiezen van de gewenste webscaninstellingen op Apply om de wijzigingen op te slaan.

PUAs behandelen

Block potentially unwanted applications voorkomt het downloaden van potentieel ongewenste toepassingen (PUAs). Deze programma’s zijn niet noodzakelijk malware, maar kunnen bijvoorbeeld adware, ongewenste afstandsbediening of riskante systeemwijzigingen bevatten. PUAs onder Authorized PUAs zijn uitgezonderd van deze PUA-blokkering. Een vermelding onder Authorized PUAs mag alleen worden toegevoegd na controle van bestand, bron, gebruiksdoel en Owner. Een algemene vrijgave verzwakt de bescherming voor alle passende scanpaden.

XML-API: scanwaarden veilig toewijzen

Voor automatisering moet onderscheid worden gemaakt tussen de globale engineselectie, webbeveiligingswaarden en proxywerking. De volgende toewijzingen beschrijven de XML-structuur in de SFOS-22/23-API-documentatie, geen geteste requests. Ze vervangen noch de firewallregel, noch de HTTPS-ontsleuteling. Vóór implementatie worden de API-help van de gebruikte firmware en de momenteel opgeslagen waarden gecontroleerd; gedocumenteerde standaardwaarden zijn geen aanbeveling voor uitrol en geen doelwaarden voor rollback.

Engine, webbeveiliging en protocollimieten

• Globale engine: MalwareProtection bevat PrimaryAntiVirusEngine. De documentatie noemt Sophos als standaardwaarde en toont Sophos/Avira als keuzemogelijkheid in het voorbeeld, niet als een letterlijk te verzenden combinatiewaarde. Dit is de globale Primary-selectie, niet de Single-/Dual-schakelaar van de globale webscaninstelling. Zoals hierboven beschreven, kan de wijziging ook lokale engineselecties beïnvloeden; web-, FTP- en mailpolicies worden daarna gecontroleerd.
• HTTP/HTTPS-configuratie: AntiVirusHTTPsConfiguration bevat rechtstreeks ScanMode, FileSizeThreshold, AudioVideoFileScanning en PUADetection. Het geneste bovenliggende element HTTPSConfigurations bevat daarentegen HTTPSScanningCA, DenyUnknownProtocol, AllowInvalidCertificate en NoHttpsNotification. Deze onderliggende elementen horen niet rechtstreeks onder AntiVirusHTTPsConfiguration. De parametertabel markeert ScanMode, FileSizeThreshold, AudioVideoFileScanning en HTTPSScanningCA als verplichte velden. Voor ScanMode worden RealTime en BatchMode genoemd; de toewijzing geldt voor de proxyscanmodus die in het HTTPS-gedeelte wordt uitgelegd, niet als mogelijkheid om DPI naar Batch om te schakelen.
• Bredere webbeveiligingsconfiguratie: WebFilterProtectionSettings toont de HTTPS-velden rechtstreeks onder dit bovenliggende element, zonder HTTPSConfigurations. Daarnaast bevat het voorbeeld FTPFileSizeThreshold, PharmingProtection, Scanning, BlockUnscannableContent en PUAWhitelist met herhaalbare PUA-vermeldingen. Scanning selecteert Single of Dual, niet de Primary Engine; de gedocumenteerde waarden zijn Single Anti-Virus (Maximum Performance) en Dual Anti-Virus (Maximum Security). BlockUnscannableContent komt overeen met de afhandeling van niet-scanbare inhoud; de tabel noemt Allow en Block (Best Protection). De PUA-lijst bevat toegestane PUA’s wanneer PUA-detectie actief is. De twee bovenliggende webelementen zijn daarom geen onderling uitwisselbare omhulsels voor hetzelfde request.
• Groottelimieten: FileSizeThreshold geldt voor HTTP/HTTPS, FTPFileSizeThreshold afzonderlijk voor FTP. De API documenteert beide in KB, niet in de MB van de hierboven beschreven UI. Voor beide noemt de API gehele getallen van 1 tot 1572864 en de gedocumenteerde standaardwaarde 1024. De eigen doelwaarde wordt met de juiste eenheid overgenomen, niet zonder controle uit de UI gekopieerd. De afzonderlijke FTP-operatie gebruikt AntiVirusFTP met het verplichte veld FileSize, eveneens in KB en met hetzelfde gedocumenteerde bereik en dezelfde standaardwaarde. Boven de betreffende protocollimiet worden bestanden niet gescand; geen van deze groottewaarden activeert Scan FTP for malware in een regel.

⚠️ De voorbeelden zijn geen kant-en-klare payloads: voor AudioVideoFileScanning tonen beide webvoorbeelden Enable/Disable, terwijl de parametertabellen on/off noemen. Ook voor andere schakelaars komen de voorbeelden en tabellen niet overal overeen; zo toont BlockUnscannableContent in het voorbeeld Enable/Disable, maar in de tabel de hierboven genoemde actiewaarden. Bij PUADetection staan niet-opgeloste symbolen $ANTIVIRUS{PUA_DETECTION_ENABLE} en $ANTIVIRUS{PUA_DETECTION_DISABLE}. Daaruit worden geen aliassen of ontbrekende Disable-waarden afgeleid. Vóór een schrijfbewerking in een productieomgeving moet de geldige schrijfwijze voor de specifieke firmware duidelijk zijn. Ongeldige certificaten globaal toestaan is geen oplossing voor een probleem met CA-vertrouwen.

DenyUnknownProtocol is volgens de bronbeschrijving bedoeld om ongeldig verkeer via de HTTPS-poort te blokkeren. Bij AntiVirusHTTPsConfiguration staat het veld onder HTTPSConfigurations: het voorbeeld toont Enable/Disable en de tabel noemt Disable als standaardwaarde, maar vermeldt alleen on als toegestane waarde; een schrijfwijze voor uitschakelen ontbreekt. Bij WebFilterProtectionSettings staat het veld rechtstreeks onder het bovenliggende element: ook hier toont het voorbeeld Enable/Disable en noemt de tabel Disable als standaardwaarde, maar zijn de toegestane waarden on en het niet-opgeloste symbool $ANTIVIRUS{DENY_PROTOCOL_DISABLE}. Voor geen van beide operaties is daarmee een bruikbare schrijfwijze voor uitschakelen vastgesteld. Noch off, noch Disable, noch andere aliassen worden hieruit afgeleid als geldige waarden voor een schrijfbewerking; dit zijn geen geteste payloads.

AllowInvalidCertificate heeft volgens de bronbeschrijving betrekking op het toestaan van toegang tot websites met een ongeldig SSL-certificaat. Zowel bij AntiVirusHTTPsConfiguration onder HTTPSConfigurations als rechtstreeks onder WebFilterProtectionSettings toont het voorbeeld Enable/Disable, terwijl de tabel on/off als toegestane waarden en Enable als gedocumenteerde standaardwaarde noemt. De tegenstrijdige weergaven blijven onopgelost: hieruit wordt noch een bevestigde gelijkwaardigheid of geldige schrijfwijze voor de firmware afgeleid, noch een aanbeveling om ongeldige certificaten toe te staan. De gedocumenteerde standaardwaarde zegt niets over de huidige toestand van het apparaat.

Proxywerking alleen wijzigen wanneer nodig

WebFilterAdvancedSettings is een afzonderlijk bovenliggend element voor waarden die de proxywerking regelen, geen extra schakelaar voor malwarescanning:

• WebCaching regelt de webinhoudcache met de gedocumenteerde waarden Enable en Disable. Caching wordt alleen beoordeeld voor het daadwerkelijk gebruikte proxypad, niet als algemene optimalisatie van DPI of de scanner.
• WebProxyPort is de listenerpoort wanneer de firewall als Web Proxy Server fungeert. De API noemt 1 tot 65535 en de gedocumenteerde standaardwaarde 3128. Een wijziging kan bestaande client- of PAC-configuraties verstoren; het is geen algemene tip om de doorvoersnelheid te verhogen. De omschakeling van clients en de terugkeer naar de vorige toestand worden gepland aan de hand van Direct Web Proxy.
• WebProxyMinimumTLSVersion stelt de minimumversie voor Web Proxy en Captive Portal in, niet voor alle DPI-verbindingen. De API-tabel noemt TLS 1.0, TLS 1.1, TLS 1.2 en de gedocumenteerde standaardwaarde TLS 1.1; deze opsomming is geen aanbeveling om oude TLS-versies toe te staan. Vóór een wijziging worden firmwareondersteuning, beveiligingseisen en betrokken clients gecontroleerd.
• TrustedPorts bevat herhaalbare Port-vermeldingen voor toegang tot websites op niet-standaardpoorten. Het gaat niet om extra listeners of een algemene vrijgave van firewallservices. Alleen daadwerkelijk benodigde doelpoorten worden met onderbouwing opgenomen.

Voor een wijziging wordt precies één waardengebied gekozen en vooraf veiliggesteld. Na het opslaan worden de opgeslagen waarden opnieuw uitgelezen en met de doelwaarden vergeleken; een geslaagd API-antwoord alleen bewijst niet dat scanning effectief werkt of dat clients verbinding kunnen maken. Daarna volgen een normale download, de hieronder beschreven geïsoleerde EICAR-test en bij proxywijzigingen bovendien een client-/PAC-controle en een Captive Portal-controle. Bij fouten wordt eerst de daadwerkelijke opgeslagen toestand gecontroleerd; er wordt niet blind opnieuw geschreven en evenmin worden engine, listener en beveiligingspolicy tegelijk gewijzigd. Bij het terugdraaien worden alleen de veiliggestelde betrokken waarden hersteld.

Malware-Scanning in de firewallregel activeren

De regel staat onder:

Rules and policies > Firewall rules

Voor een typische internetregel voor clients wordt onder Web filtering het volgende gecontroleerd:

1. Source zone en Source networks komen overeen met het clientnetwerk.
2. Destination zone is WAN en de Services omvatten het geplande webverkeer.
3. Log firewall traffic is geactiveerd.
4. Scan HTTP and decrypted HTTPS is geactiveerd.
5. Block QUIC protocol is geactiveerd als het webverkeer via het gecontroleerde TCP-pad moet lopen.
6. DPI of Web Proxy is bewust gekozen.
7. Use Zero-day protection is alleen aanvullend geactiveerd als onbekende bestanden moeten worden geanalyseerd.

Een compact regelvoorbeeld:

Rule name: LAN_USERS_WEB
Source zones: LAN
Source networks and devices: LAN_CLIENTS
Destination zones: WAN
Destination networks: Any
Services: HTTP, HTTPS
Web policy: LAN_STANDARD_WEB
Scan HTTP and decrypted HTTPS: On
Block QUIC protocol: On
Use web proxy instead of DPI engine: Off
Log firewall traffic: On

Het voorbeeld gebruikt DPI Engine. LAN_USERS_WEB, LAN_CLIENTS en LAN_STANDARD_WEB zijn te vervangen voorbeeldnamen. Voor alleen Malware-Scanning mag Web policy None zijn. Beperk Services tot benodigde protocollen; Any is hier te breed. Een hogere regel kan eerder matchen, dus Rule ID en volgorde horen bij de acceptatietest. Zie ook Firewallregels begrijpen en zorgvuldig opbouwen.

HTTPS: DPI of Web Proxy correct aanvullen

Scan HTTP and decrypted HTTPS ontsleutelt HTTPS niet zelf. De optie scant alleen onversleuteld HTTP en HTTPS-inhoud die al door een ander deel van de configuratie is ontsleuteld.

DPI Engine

Bij de DPI Engine vindt de decryptie plaats via:

Rules and policies > SSL/TLS inspection rules

Een passende SSL/TLS inspection rule moet van toepassing zijn op de testclient en het doel en Action: Decrypt gebruiken. De clients moeten de gebruikte Signing CA vertrouwen. Planning, pilot en uitzonderingen worden beschreven in TLS Inspection stapsgewijs invoeren; de certificaatdistributie staat onder CA-certificaat voor HTTPS Scanning installeren.

Web Proxy

Op het proxypad worden in de firewallregel Use web proxy instead of DPI engine en voor HTTPS aanvullend Decrypt HTTPS during web proxy filtering geactiveerd. Onder Web > General settings kan de proxy daarna in twee modi scannen:

• Batch: downloadt het bestand eerst volledig naar de firewall en geeft het pas na de scan door. Dit biedt een strengere controle, maar kan downloads merkbaar vertragen.
• Real-time: geeft delen van de download door, maar voltooit de overdracht pas als de inhoud als schoon is beoordeeld.

Bij Batch kan de voorafgaande download naar de firewall de volledige bandbreedte gebruiken en andere webverzoeken beïnvloeden. In het algemene proxyscanpad wordt Traffic Shaping bij zowel Batch als Real-time toegepast wanneer de inhoud aan de browser wordt doorgegeven; dit is geen garantie dat die voorafgaande Batch-download wordt begrensd. Voor Direct Web Proxy geldt een uitdrukkelijke uitzondering: een Traffic Shaping Policy werkt niet op dat pad. Documenteer vóór een scanmoduswijziging de vorige waarde; vergelijk WAN-belasting, downloadtijd op de client, scanresultaat en Rule ID met dezelfde representatieve downloads. Herstel bij een regressie de vorige scanmodus in plaats van tegelijk de engine of policy te wijzigen.

De DPI Engine werkt altijd in Real-time mode. Proxy en DPI mogen niet alleen vanwege één fout worden omgeschakeld, omdat functionaliteit, poorten, logs en gebruikersgedrag verschillen.

De keuze tussen Real-time DPI, Batch- of Real-time-proxyscanning en de veilige pilotwijziging staat in DPI Engine of Web Proxy correct kiezen.

Uitzonderingen en QUIC controleren

Een Web Exception kan Malware and content scanning overslaan. In dat geval wordt voor het passende verkeer automatisch ook de Zero-Day-analyse overgeslagen. Uitzonderingen moeten daarom een nauwe host- of URL-afbakening, een duidelijke Owner en een controledatum hebben.

QUIC of HTTP/3 gebruikt meestal UDP 443. Sophos Firewall kan dit verkeer niet zoals klassiek webverkeer scannen. Block QUIC protocol blokkeert in de betreffende firewallregel uitgaand UDP op poort 80 en 443, zodat compatibele clients terugvallen op TCP en HTTPS. Achtergronden en tests staan onder QUIC en HTTP/3 correct blokkeren.

De werking controleren met een veilige test

Een groene Policy Test of een geactiveerd selectievakje bewijst nog niet dat de inhoud wordt gecontroleerd. De test moet worden uitgevoerd vanaf een client achter de betreffende firewallregel; een download rechtstreeks vanaf de firewall controleert een ander verkeerstraject.

Gebruik voor het controleren van het Sophos Firewall-webpad specifiek de actie Anti-virus EICAR test op de SophosTest-pagina voor Web Security. Gebruik in plaats daarvan één variant van het EICAR Anti-Malware-testbestand om het transport van het gestandaardiseerde testbestand onafhankelijk van die testsite te controleren. EICAR is geen echte malware, maar antivirusproducten herkennen het opzettelijk als malware. Gebruik nooit echte malware in een productienetwerk en open of voer het testbestand niet uit.

Praktische procedure:

1. Een geïsoleerde testclient en de verwachte Firewall Rule ID vastleggen. Een tijdelijke Allow-uitzondering is niet nodig. Als Endpoint-beveiliging eerst reageert, schakel die dan niet uit maar beschouw het resultaat als niet doorslaggevend voor de firewall.
2. Tijdstip, client-IP, gekozen test-URL en verwacht scanpad noteren.
3. In Log Viewer de modules Firewall, SSL/TLS inspection, Web filter en Malware openen.
4. Bij HTTPS controleren of de verbinding daadwerkelijk met Decrypt wordt verwerkt.
5. Op SophosTest Anti-virus EICAR test uitvoeren of precies één EICAR-variant downloaden. De firewall hoort de overdracht te onderbreken voordat de download is voltooid.
6. Controleren of het Malware-log een antivirusdetectie toont voor dezelfde client, dezelfde Rule ID, dezelfde URL en hetzelfde tijdstip.
7. De testpagina sluiten en eventuele gedeeltelijke of testbestanden en browsercache-artefacten volgens de Endpoint-procedure verwijderen; een object in quarantaine niet herstellen of uitvoeren. Tijdelijke testinstellingen terugdraaien en met een normale download bevestigen dat webtoegang nog werkt.

Een block page alleen is niet voldoende. De Web Policy, een bestandstyperegel, een Endpoint-product of zelfs de categorie van de testpagina kan de toegang blokkeren. Doorslaggevend is de gecorreleerde Malware-vermelding van de firewall. In Syslog verschijnt een webmalwaredetectie met log_type="Anti-Virus"; de componenten zijn afhankelijk van het protocol HTTP of HTTPS, en bij een detectie is het Subtype Virus.

Als Log Viewer niet duidelijk maakt of de lokale antivirusdienst werkt, kan tijdens een gecontroleerde test in de Advanced Shell aanvullend het servicelog worden gevolgd:

tail -f /log/avd.log

Met Ctrl+C wordt de weergave beëindigd. avd.log helpt bij service- en enginefouten, maar vervangt de policy- en verbindingsgegevens in Log Viewer niet. Een stil bestand bewijst evenmin dat de scan inactief is. De logtoewijzing wordt uitgelegd in Sophos Firewall Services en Logs.

Typische fouten gericht onderzoeken

• Web Policy actief, maar geen malwarecontrole: Scan HTTP and decrypted HTTPS ontbreekt in de firewallregel die werkelijk van toepassing is.
• HTTP-test werkt, HTTPS-test niet: De SSL/TLS inspection rule is niet van toepassing, gebruikt geen Decrypt, of de Web Proxy ontsleutelt HTTPS niet.
• Browser gebruikt een ander pad: QUIC is toegestaan of een andere firewallregel wordt eerder toegepast.
• Bestand wordt ondanks de juiste regel niet gecontroleerd: Een Web Exception slaat Malware and content scanning over of het bestand is groter dan de ingestelde groottelimiet.
• EICAR wordt geblokkeerd, maar niet door de firewall: Endpoint-beveiliging, een bestandstyperegel of een webcategorie heeft eerder gereageerd. Rule ID en Malware-log van de firewall controleren.
• Legitieme archieven worden geblokkeerd: Action on malware scan failure, encryptie, beschadiging en nestingsdiepte controleren. Niet direct globaal naar Allow overschakelen.
• Dual Engine vertraagt downloads: Appliancebelasting, bestandsgroottes, parallelliteit en Proxy-/DPI-mode in een gecontroleerde pilot vergelijken met Single Engine.
• Zero-Day Protection toont niets: Klassieke malwarescan, HTTPS-decryptie, bestandstype, uitzonderingen en Use Zero-day protection afzonderlijk controleren.
• Scanoptie ontbreekt of wordt niet opgeslagen: controleer licentiestatus en vervaldatum onder Administration > Licensing en synchroniseer; omzeil dit niet met een bredere Allow-regel.
• FTP-bestand wordt niet gescand: controleer Rule ID, Scan FTP for malware, Service en Maximum file scan size for FTP. De HTTP/HTTPS-optie activeert FTP niet.
• E-mailattachment wordt niet herkend: bepaal MTA, Legacy SMTP of POP/IMAP en correleer protocollen, poorten, mailpolicy, Single/Dual Antivirus, uitzonderingen en Mail- of Malware-logs.

Welke firewallregel en policy daadwerkelijk van toepassing zijn, kan worden nagegaan met Log Viewer, Policy Tester en Packet Capture.

Wijzigingen met behoud van toestand terugdraaien

Een rollback herstelt alleen gewijzigde pilotwaarden, in omgekeerde volgorde: SSL/TLS inspection rule en positie, firewallregel met Rule ID en positie, Proxy/DPI-keuze, scan- en QUIC-opties, globale Single/Dual Engine en show scanengine-waarden. Verwijder geen regel en schakel scanning niet globaal uit wegens één mislukte download.

Sla op en herhaal twee controles: een representatieve normale download moet werken en de geïsoleerde EICAR-test moet exact het eerdere gedrag tonen. Wijkt Rule ID, decryptiestatus of logactie af van de baseline, dan is de rollback niet voltooid. De volledige backup is alleen de noodroute voor een bredere fout.

Speciaal geval bij de upgrade naar SFOS 22.0 GA

Onder NC-177529 is een nauw afgebakende upgradefout voor SFOS 22.0 GA Respin Build 411 gedocumenteerd. Tijdens deze upgrade kunnen tijdelijk meldingen zoals Malware Unscannable verschijnen, vaak voor www.msftconnecttest.com. Op dat moment is de nieuwe Sophos-scanengine nog niet beschikbaar als alleen deze als Single Engine is ingesteld. In de Legacy Web Proxy verschijnen dan block pages; bij de DPI Engine kunnen pagina-aanroepen worden afgebroken. De onderbreking kan ongeveer één minuut langer duren. Controleer voor elke upgrade ook de huidige onderhoudsrelease en ondersteunde upgradepaden; de hieronder gelinkte upgradecheck omvat deze versieafhankelijke controle.

Bij een gerichte update naar deze GA-versie moet vóór de upgrade onder Web > General settings van Single engine naar Dual engine worden overgeschakeld en na de voltooide upgrade weer naar de eerder gebruikte Single engine. Deze tijdelijke maatregel is geen algemene aanbeveling voor MR1, MR2 of latere releases. Het volledige upgradepad en andere blockers worden beschreven in de SFOS 22 Upgrade Check.

FAQ