Begrijp en configureer de Sophos Firewall-regels veilig

Een Sophos Firewall-regel bepaalt welk verkeer tussen zones, netwerken, gebruikers en diensten wordt toegestaan of geblokkeerd. Niet het inschakelen van zo veel mogelijk opties is doorslaggevend, maar passende matchcriteria, de juiste volgorde, adequate beveiligingsfuncties en een reproduceerbare test.

Het menupad is:

Rules and policies > Firewall rules > Add firewall rule > New firewall rule

Dit artikel licht het regelformulier van boven naar beneden toe en gebruikt steeds het voorbeeld LAN_to_WAN_Clients. Speciale onderwerpen zoals NAT, TLS Inspection of IPS worden toegelicht voor zover dat voor de firewallregel nodig is; de gedetailleerde instructies zijn direct op de relevante plaats gelinkt.

Vooraf plannen

De juiste functie bepalen

Normale firewallregels regelen doorgestuurd verkeer dat door de firewall stroomt. Andere taken worden op andere plaatsen geconfigureerd:

• Lokale firewallservices: WebAdmin, User Portal, VPN Portal, SSH, DNS en SNMP worden geregeld via Administration > Device access, Local Service ACL en de configuratie van de betreffende service. Daarvoor is Device Access en Local Service ACL bedoeld.
• Door het systeem gegenereerd verkeer: Verbindingen die de firewall zelf opzet, hebben geen normale firewallregel nodig. De serviceconfiguratie, routing, WAN Link Manager en eventueel SD-WAN voor System Traffic zijn bepalend.
• Adres- en poortvertaling: NAT vertaalt verkeer, maar staat het niet toe. De firewall- en NAT-regel moeten samen kloppen.
• Routing en retourpad: Een passende firewallregel bewijst nog niet dat routing, SD-WAN, VPN of het retourpad correct zijn.
• Weblogica: Webcategorieën, URL-groepen en acties staan in de Web Policy. De firewallregel koppelt deze policy.
• HTTPS-decryptie: Een SSL/TLS inspection rule ontsleutelt het verkeer. Scan HTTP and decrypted HTTPS scant alleen HTTPS dat al is ontsleuteld.
• Gebruikersidentiteit: AD SSO, STAS, Captive Portal, Entra ID SSO of RADIUS moet de gebruiker eerst betrouwbaar aan het verkeer koppelen. Apparaten zonder aanmelding kunnen bij een vast, eenduidig IP-adres als Clientless Users worden geconfigureerd; deze koppeling is geen authenticatie.

Beheertoegang door de firewall tot servers, switches of hypervisors hoort in normale firewallregels. Toegang tot de firewall zelf hoort daarentegen bij Device Access.

Volgorde, IPv4 en IPv6

Sophos Firewall controleert regels van boven naar beneden. Zodra alle matchcriteria van een regel overeenkomen, worden de volgende regels niet meer geëvalueerd. Een algemene regel LAN_to_WAN_Any boven LAN_to_WAN_Restricted maakt de specifieke regel daarom ineffectief.

Een regel kan onder andere matchen op Source zone, Source network, tijdschema, Destination zone, Destination network, Service, gebruiker en Exclusions. Alle geconfigureerde criteria moeten bij de verbinding passen.

Automatisch aangemaakte MTA-, IPsec- of Hotspot-regels kunnen bovenaan de lijst verschijnen. De Server Access Assistant maakt naast DNAT, reflexive SNAT en Loopback ook een firewallregel aan. Controleer de volgorde daarom opnieuw na wizards, migraties of VPN-wijzigingen. Bij een Sophos Firewall-hotspot maakt deze controle uitdrukkelijk deel uit van de installatieprocedure; de Server Access Assistant wordt toegelicht in de handleiding voor DNAT voor gepubliceerde servers.

⚠️ Voordat de Drop-regel met logging wordt aangemaakt: Ga er niet van uit dat deze de bestaande HTTP/HTTPS-blokkering behoudt: de documentatie over Drop, authenticatie, Web Exceptions en blokkeerpagina’s is tegenstrijdig. Voor elk webverkeer is vóór uitrol naar productie schriftelijke verduidelijking van Sophos voor de exacte SFOS-versie, build en verwerkingsroute of een uitdrukkelijk goedgekeurde, geïsoleerde verificatie nodig. Volg de richtlijnen voor verificatie, terugdraaien en escalatie onder Action en logging verderop.

Als SFOS geen passende regel vindt, geldt onderaan de impliciete Drop-all-regel met Firewall Rule ID #0. De regel toont geen Usage Count en maakt geen normale firewallverkeerslog aan. Om deze drops zichtbaar te maken in Log Viewer, Central Reporting of syslog, wordt onderaan de regelbasis een nauw afgebakende Drop-regel met ingeschakelde Log firewall traffic aangemaakt. Selecteer daarvoor de werkelijk benodigde Source zones en Destination zones afzonderlijk in plaats van zone Any; anders kan de regel ook intern verkeer naar lokale services registreren. De details staan in Gedropte pakketten op Sophos Firewall analyseren.

IPv4- en IPv6-regels worden afzonderlijk beheerd. Een werkende IPv4-regel beschermt dezelfde dienst niet automatisch via IPv6. In dual-stackomgevingen moeten beide regelsets bewust worden gepland en getest.

De regelbasis duidelijk scheiden

Voor het aanmaken moeten Source, Destination, Services, Owner en testcase vaststaan. Verschillende risico’s horen niet in één verzamelregel:

• Clientinternet: Clientnetwerken naar de WAN-zone, met een passende Web Policy, Application Control, IPS en logging.
• Serverinternet: Alleen benodigde update-, back-up- of clouddoelen; meestal zonder gebruikerscontext.
• Gastwifi: Guest-zone naar internet, zonder interne doelen en indien nodig met een bandbreedtelimiet.
• Management: Gedefinieerde beheernetwerken naar servers en infrastructuur, gescheiden van normaal clientverkeer.
• Remote Access VPN: VPN-zone naar de werkelijk benodigde interne doelen en Services.
• Site-to-Site: Lokale en externe netwerken met passende routing, NAT en retourpad.
• Gepubliceerde systemen: WAN naar DMZ of serverzone met een beperkte Source, DNAT of WAF, IPS, logging en actuele patches.
• Tijdelijke toegang: Eigen regel met ticket, Owner, vervaldatum en geplande verwijdering.

Voor de netwerkstructuur helpt Sophos Firewall-zones en -interfaces configureren.

⚠️ Any kan helpen bij een korte test, maar is zelden een goede eindconfiguratie. Beperk de regel daarna tot de werkelijk benodigde bronnen, doelen en Services of verwijder de regel weer.

Praktijkvoorbeeld LAN_to_WAN_Clients

In het voorbeeld mogen clients uit een gedefinieerd LAN verbinding maken met internet. Servers, gasten, VoIP en management krijgen eigen regels.

• Rule name: LAN_to_WAN_Clients
• Description: Internettoegang voor clientnetwerk. Webfilter, App Control en IPS actief. Owner IT, review 2026-12-01.
• Rule position: Bottom, daarna onder specifieke blokkeer- en uitzonderingsregels plaatsen
• Rule group: Internet Access
• Action: Accept
• Log firewall traffic: ingeschakeld
• Source zones: LAN
• Source networks and devices: net_LAN_Clients
• During scheduled time: All the time
• Destination zones: WAN
• Destination networks: Any
• Services: HTTP, HTTPS en alleen de basisservices die daadwerkelijk rechtstreeks extern worden gebruikt
• Web policy: Default Workplace Policy
• Block QUIC protocol: ingeschakeld
• IPS: passende clientpolicy
• App control: passende client-Application Policy
• Shape traffic: alleen bij een concreet bandbreedtedoel
• DSCP marking: alleen als downstreamapparaten de markering verwerken

DNS en NTP horen alleen in deze LAN-to-WAN-regel als clients rechtstreeks externe resolvers of tijdservers benaderen. Als ze de firewall als DNS- of tijdservice gebruiken, is dit lokaal verkeer.

Voor de acceptatietest zijn een gedefinieerde client, een concreet doel, de verwachte Firewall Rule ID, de verwachte NAT Rule ID en een controle in de Log Viewer nodig. Zo wordt niet alleen gecontroleerd of de toepassing werkt, maar ook of de bedoelde regels het verkeer verwerken.

Firewallregel configureren

Kopgedeelte

Rule status, Rule name en Description

Rule status is standaard actief bij een nieuwe regel. Voorbereide regels kunnen tot het onderhoudsvenster uitgeschakeld blijven. Permanent uitgeschakelde test- of migratieregels moeten regelmatig worden gecontroleerd.

De naam moet Source, Destination en doel herkenbaar maken, bijvoorbeeld:

• LAN_to_WAN_Clients
• Guest_to_WAN_WebOnly
• Server_to_WAN_Updates
• VoIP_to_WAN_SIP_RTP
• WAN_to_DMZ_HTTPS_Webserver

De Description documenteert doel, Owner, ticket, beperkingen en eventueel de vervaldatum. Rule1, Allow of Internet helpt later tijdens het beheer nauwelijks. De afzonderlijke werkwijze staat in Sophos Firewall-regels zinvol documenteren.

Rule position en Rule group

Bij het aanmaken biedt Rule position in SFOS 22 de opties Top en Bottom. Daarna kan de regel in de regeltabel worden verplaatst of met Move To gericht worden gepositioneerd. Kies Top alleen als een specifieke regel bewust vóór bestaande regels moet worden toegepast.

Rule group verbetert het overzicht, maar verandert de matchlogica niet. None is de standaard. Bij Automatic wijst SFOS de regel aan een bestaande groep toe op basis van het eerste passende regeltype en de Source-/Destination-zones. De firewall blijft de afzonderlijke regels van boven naar beneden evalueren. Een groep kan niet leeg blijven. De SFOS 22-help beschrijft eerst loskoppelen met Detach om een regel buiten de groep te verplaatsen; als alternatief verplaatst u de hele groep. Verwijderen van de laatste regel verwijdert ook de groep.

De SFOS 23-help beschrijft een andere werkwijze: klik voor een gefilterde zoekopdracht in het zoekveld, selecteer een voorgesteld criterium en voltooi de zoekopdracht met de aanvullende suggesties. Druk op Enter om de regeltabel te filteren. Voer voor het zoeken op regelnaam de naam rechtstreeks in het zoekveld in en druk op Enter; verwijder afzonderlijke filters met x. Via Show/Hide columns selecteert u de zichtbare kolommen, wijzigt u hun volgorde door te klikken en te slepen en zet u maximaal drie kolommen vast, zodat deze altijd als eerste worden weergegeven. Schakel regels in of uit via Status of gezamenlijk met Turn on / Turn off; een gemengde selectie van ingeschakelde en uitgeschakelde regels verhindert die groepsactie. Uitgeschakelde regels zijn vervaagd en hebben een doorgestreepte naam. Een regel minstens één positie buiten de groep slepen verwijdert het lidmaatschap; tussen twee regels van een andere groep slepen voegt de regel daaraan toe. View menu biedt Clone rule above/below, Add rule above/below, Move To en Edit group. Bekijk details door over Features te bewegen: onderscheid User/Network-type en regelactie van policyacties en Heartbeat-drempels. In de SFOS 23-tabel betekent User dat Match known users is geselecteerd en Network dat dit niet zo is; policyiconen onderscheiden None, Accept, Drop en Reject, Heartbeat-iconen Green, Yellow en No restriction. Deze weergave bewijst geen wijziging van de verkeersengine.

Voor nieuwe installaties noemen de SFOS 22/23-helpteksten een LAN-to-WAN-regel en de MTA-regel met Linked NAT die automatisch wordt gemaakt wanneer MTA wordt ingeschakeld; MTA is daar standaard actief. Controleer altijd de eigen installatie. De impliciete regel #0 kan niet worden bewerkt, verwijderd of verplaatst en blijft buiten filters. Sophos Firewall resetten beschrijft de afwijkende toestand na een factory reset voor SFOS 22.

Action en logging

Action bepaalt hoe overeenkomend verkeer wordt behandeld:

• Accept: staat de verbinding toe.
• Drop: is gedocumenteerd als verwerpen zonder melding voor niet-webverkeer. Het gedrag voor HTTP/HTTPS is niet algemeen gegarandeerd vanwege het hieronder beschreven documentatieconflict.
• Reject: verwerpt de verbinding en stuurt bij TCP een reset of bij UDP en ICMP een passend ICMP-antwoord.
• Protect with web server protection: maakt een WAF-regel. Deze optie is alleen beschikbaar voor IPv4 en vereist Webserver Protection. De configuratie hoort inhoudelijk bij Sophos Firewall WAF.

⚠️ Onopgelost documentatieconflict voor webverkeer: De SFOS 22/23-help voor het regelformulier beschrijft bij Drop het accepteren en onderzoeken van HTTP/HTTPS, authenticatie van onbekende gebruikers wanneer Use web authentication for unknown users is ingeschakeld, het toestaan van verzoeken via een passende Web Exception en een HTML-blokkeerpagina voor andere verzoeken. De handleiding voor logging van verworpen verkeer beschrijft daarentegen stil verwerpen in het algemeen en koppelt de webblokkeerpagina aan die authenticatieoptie. Deze tegenstrijdige beschrijvingen zijn hier niet opgelost als geverifieerd gedrag van een specifieke SFOS-build. Ze bewijzen niet dat alle webverbindingen stil worden verworpen, dat een blokkeerpagina uitsluitend van de authenticatieoptie afhangt of dat alle services algemeen worden geblokkeerd.

Als gegarandeerd blokkeren of een specifieke reactie nodig is, vraag dan schriftelijke verduidelijking van Sophos voor de exacte SFOS-versie, build en verwerkingsroute, of verifieer dit in een uitdrukkelijk goedgekeurde, geïsoleerde testomgeving. Test niet-webverkeer, HTTP en HTTPS afzonderlijk; test voor webverkeer ook bekende/onbekende gebruikers, authenticatie aan/uit en een passende Web Exception aanwezig/afwezig. Gebruik alleen gedefinieerde testclients, doelen en services, schakel Log firewall traffic in en genereer nieuwe verbindingen. Leg build, regelpositie, Firewall Rule ID, gebruiker, Action, web-/TLS-instellingen en resultaten van logs, Packet Capture en browser vast. Een time-out, blokkeerpagina of Policy Tester alleen bewijst de bedoelde blokkering niet. Bij onverwachte toegang of een onduidelijk resultaat: niet uitrollen naar productie, testwijzigingen terugdraaien en het bewijsmateriaal aan Sophos Support voorleggen. Reject biedt de hierboven beschreven protocolreactie; het wordt hier niet aanbevolen als ongeverifieerde vervanging van webcontrole.

Log firewall traffic moet bij belangrijke regels zijn ingeschakeld. Logs worden standaard lokaal op de firewall opgeslagen; controleer lokale loginstellingen en Syslog-doelen onder System services > Log settings. Verzending naar de clouddienst vereist daarnaast inschakelen van Sophos Central services op de pagina Sophos Central. De SFOS 22-help noemt het doel Sophos Fusion (voorheen Sophos Central), de SFOS 23-help Sophos Central; de naam vervangt deze afzonderlijke voorwaarde niet. Zonder Destroy-event kan een sessie zonder afsluitend sessielog blijven, bijvoorbeeld bij een abrupte uitval van de verbinding.

Voor langere bewaring zijn Central Firewall Reporting of een Syslog-/SIEM-server geschikt. Logging dient niet alleen voor troubleshooting, maar ook voor de review: welke bronnen raken de regel, welke doelen worden gebruikt en is de toegang nog passend?

Hetzelfde selectievakje is de gegevensbron voor NetFlow v5 op Sophos Firewall: zonder Log firewall traffic exporteert NetFlow de verbindingen van deze regel niet.

Source, Destination en Services

In het gedeelte Source wordt bepaald waar het verkeer vandaan komt:

• Source zones: bijvoorbeeld LAN, VPN, DMZ, Guest of WAN.
• Source networks and devices: afzonderlijke hosts, netwerken, IP-ranges, groepen, FQDN Hosts of landobjecten.
• During scheduled time: All the time, werktijden of een onderhoudsvenster.

De zone alleen is meestal te breed. Voor het clientvoorbeeld wordt LAN daarom gecombineerd met net_LAN_Clients. Bij tijdgestuurde regels moeten de tijd van de firewall, de tijdzone en Schedule op elkaar aansluiten.

Tijdschema’s voor regels en policies instellen op Sophos Firewall laat zien hoe terugkerende en eenmalige tijdvensters worden gemaakt, toegewezen en bij hun omschakelgrenzen getest.

Onder Destination and services staan:

• Destination zones: bijvoorbeeld WAN, DMZ, LAN of VPN.
• Destination networks: Any, een host, netwerk, groep, landobject of FQDN Host.
• Services: protocol- en poortdefinities zoals HTTP, HTTPS, DNS, NTP of een eigen Service.

In Sophos Firewall-hosts en -services correct gebruiken staat hoe IP-hosts, netwerken, ranges, lijsten, Services en groepen worden aangemaakt en vóór wijzigingen worden gecontroleerd.

Any kan aanvaardbaar zijn voor een algemene clientinternetregel. Server-, management- en VPN-regels moeten veel beperktere doelen en Services gebruiken. Voor dynamische clouddoelen kunnen FQDN Hosts en Wildcard FQDNs helpen.

Gebruikers, Exclusions en Linked NAT

Match known users

Met Match known users worden gebruikers of groepen matchcriteria. Afhankelijk van de configuratie zijn daarna meer velden beschikbaar:

• Use web authentication for unknown users: leidt onbekende webgebruikers om naar AD SSO of Captive Portal. De authenticatie en toegang vanuit de betreffende zone moeten vooraf zijn geconfigureerd. Sophos Firewall Captive Portal instellen en testen laat zien hoe authenticatie, Device Access, de DNS-vereiste en de gebruikersregel samenwerken.
• Users or groups: beperkt de regel tot geselecteerde identiteiten.
• Exclude this user activity from data accounting: sluit het verkeer van deze gebruikers uit van de individuele registratie van dataverbruik.

Een gebruikersregel werkt alleen met een betrouwbare gebruikerstoewijzing. Een brede fallbackregel eronder mag hetzelfde verkeer niet zonder gebruikerscontext toestaan. Bij de acceptatietest moeten gebruiker, groep en Rule ID in de Log Viewer overeenkomen.

Add exclusion

Add exclusion sluit verkeer uit van deze regel. SFOS slaat de regel alleen over als alle geconfigureerde Exclusion-criteria tegelijk overeenkomen en controleert daarna de volgende regel.

Als criteria zijn Source zones, Source networks and devices, Destination zones, Destination networks en Services beschikbaar.

Een zinvolle uitzondering is bijvoorbeeld een updateserver die van een algemene clientregel wordt uitgesloten en erboven een eigen regel met andere beveiligingsfuncties krijgt. Als Exclusions talrijk of moeilijk te begrijpen worden, is een afzonderlijke specifieke regel meestal beter.

Create linked NAT rule

Een Linked NAT Rule loskoppelen in de NAT-tabel maakt deze bewerkbaar en laat deze volgens eigen criteria onafhankelijk van de oorspronkelijke firewallregel evalueren. Documenteer vooraf de scope en NAT-volgorde en controleer daarna een nieuwe testflow; dit is niet alleen een naamswijziging.

Een Linked NAT Rule is een Source NAT-regel die alleen geldt voor het verkeer van de gekoppelde firewallregel. In de NAT-regel kunnen hoofdzakelijk de vertaalde Source en de interfacespecifieke Source Translation worden ingesteld.

In veel installaties is al een Default SNAT-regel met MASQ aanwezig. Dit hangt echter af van de configuratie- en migratiestatus en moet in de concrete NAT-regeltabel worden gecontroleerd. Controleer vóór een extra Linked NAT Rule of een bestaande regel het verkeer al correct afhandelt. Als een hoger geplaatste onafhankelijke NAT-regel matcht, heeft die voorrang op de Linked NAT Rule.

Bij DNAT bepaalt SFOS eerst het vertaalde doel en gebruikt vervolgens de zone daarvan voor de matching van de firewallregel. Een portforward naar een server in de DMZ vereist in de firewallregel daarom doorgaans Destination zone DMZ, ook al benadert de client het openbare WAN-adres.

Bij een onverwachte NAT Rule ID moet daarom ook de volgorde onder Rules and policies > NAT rules worden gecontroleerd. Na NAT-wijzigingen moet een nieuwe verbinding worden opgezet, omdat bestaande sessies niet opnieuw worden geëvalueerd. NAT staat zelf geen verkeer toe: de firewallregel bepaalt Allow of Drop, NAT vertaalt adressen of poorten. De details staan in NAT op Sophos Firewall begrijpen.

Beveiligingsfuncties selecteren

Niet elke optie is beschikbaar met de Base License. Controleer vóór de uitrol onder Administration > Licensing:

• Normale firewallregels: Base License
• IPS en Security Heartbeat: Network Protection
• Web Security, Application Control en bescherming tegen webmalware: Web Protection
• Sandboxing en bestandsanalyse: Zero-Day Protection
• E-mailbeveiliging: Email Protection
• WAF: Webserver Protection
• NDR Active threat intelligence: Xstream Protection Bundle

Standard Protection en Xstream Protection bevatten Web Protection. De Avanet-bundel Epic Protection bevat eveneens Web Protection. De volledige indeling staat in Sophos Firewall-licentiebundels vergelijken.

Web Filtering

Web policy koppelt een Web Policy met categorieën, URL-groepen, gebruikers en acties. Zonder Web Policy biedt dit veld geen webcontrole op basis van categorieën. De policy zelf wordt onder Web Protection aangemaakt en getest.

Apply web category-based traffic shaping gebruikt de bandbreedte-instellingen van de webcategorieën. De optie is alleen zinvol als daar werkelijk limieten of garanties zijn geconfigureerd.

Block QUIC protocol blokkeert voor de regel uitgaand UDP op poort 80 en 443. QUIC kan niet zoals normaal HTTP-/HTTPS-verkeer worden gescand en omzeilt Web Filtering. SFOS schakelt de optie standaard in als een Web Policy of de malwarescan wordt geselecteerd. Details staan in QUIC en HTTP/3 blokkeren.

Scan HTTP and decrypted HTTPS controleert HTTP en al ontsleuteld HTTPS op malware. De optie activeert geen decryptie. Daarvoor is onder Rules and policies > SSL/TLS inspection rules een passende SSL/TLS inspection rule nodig.

Use Zero-day protection stuurt verdachte downloads na de malwarescan door voor aanvullende analyse. De functie vereist Zero-Day Protection en kan afhankelijk van het bestandstype en de policy vertraging veroorzaken.

Scan FTP for malware is alleen nodig als de regel FTP toestaat. Bij legacysystemen moet de scan afzonderlijk worden getest.

Use web proxy instead of DPI engine beperkt proxyfiltering tot de gebruikelijke poorten 80 en 443. De Web Proxy is onder andere nodig voor SafeSearch, YouTube Restrictions, Google Workspace Domain Restrictions, Pharming Protection, Web Cache of Parent Proxy. In de DPI-modus gelden SSL/TLS inspection rules voor HTTP en TLS op alle poorten.

Een upstream proxy op Sophos Firewall configureren beschrijft de extra regel- en NAT-keten voor een parent proxy. Een proxy in WAN heeft een ander pad nodig dan een proxy in LAN of DMZ.

Een expliciet geconfigureerde Direct Web Proxy-client gebruikt de listener daarentegen ook zonder deze optie. Direct Web Proxy met een PAC-bestand instellen legt de volledige configuratie met poort, Device Access, PAC-bestand, regel en tests uit.

Decrypt HTTPS during web proxy filtering hoort bij de Web Proxy-modus. In de DPI-modus wordt decryptie geregeld via SSL/TLS inspection rules. Web Exceptions kunnen Decryption, Malware Scan, Zero-Day Protection en Policy Checks overslaan en moeten daarom strikt worden beperkt en regelmatig worden gecontroleerd.

Synchronized Security Heartbeat

Heartbeat-regels vereisen:

• een firewall die in hetzelfde Sophos Fusion-account is geregistreerd en waarop Security Heartbeat is ingeschakeld;
• een beheerd Sophos Endpoint met een trial- of volledige licentie;
• Network Protection op de firewall.

Om ontbrekende heartbeats te herkennen, moeten de betreffende zones worden geselecteerd onder System > Sophos Fusion > Optional configurations > Missing heartbeat zones.

Met Minimum source HB permitted en Minimum destination HB permitted wordt een minimale gezondheidsstatus vereist. Destination Heartbeat is alleen geschikt voor interne doelen, niet voor de WAN-zone.

Voor beide drempels geldt: Green laat alleen Green toe; Yellow laat Green of Yellow toe; No restriction laat ook Red en apparaten zonder Heartbeat toe. Controleer daarnaast de afzonderlijke blokkeeropties voor ontbrekende Heartbeats. De missing-heartbeat-handleiding onderscheidt verloren van nooit verzonden Heartbeats; Synchronized User ID behandelt afmelden na verlies of slaapstand/ontwaken en controle van een nieuwe aanmelding.

De opties Block clients with no heartbeat en Block request to destination with no heartbeat behandelen apparaten zonder heartbeat. Een apparaat dat nog nooit een heartbeat heeft verstuurd, blijft standaard toegestaan en wordt pas geblokkeerd als beide opties actief zijn. Dit moet bewust worden getest met apparaten zonder Sophos Endpoint.

Een Web Exception die Policy checks overslaat, kan webrequests ondanks Block clients with no heartbeat toestaan. De praktische controleprocedure staat in Waarschuwingen over ontbrekende Security Heartbeat analyseren.

Application Control, IPS en Traffic Shaping

Identify and control applications (App control) koppelt een Application Filter Policy. Application Control vereist Web Protection. Voor URL-gebaseerde Micro Apps in versleuteld verkeer, zoals bestandsuploads en -downloads binnen Dropbox of Gmail, is een passende ontsleutelende SSL/TLS inspection rule vereist. Filters, logs en False Positives worden toegelicht in Application Control configureren.

Malware- en contentscanning gebruikt Web > General settings. Webproxyfiltering selecteren vereist eerst een Web Policy of Scan HTTP and decrypted HTTPS. Een Application Filter Policy voor URL-gebaseerde Micro Apps blijft gelden in het ontsleutelende DPI-pad met Web policy None, malwarescanning uit en ATP uit. Dit heft de eigen activeringsvoorwaarden van Web Exceptions in DPI niet op. De detailhandleidingen behandelen proxy op een bridge zonder IP en HTTPS-ontsleuteling met Direct Web Proxy.

Apply application-based traffic shaping policy gebruikt de bandbreedtepolicy die onder Applications > Traffic shaping default aan een toepassing of categorie is toegewezen. Application Objects zijn daarentegen bedoeld voor SD-WAN-routes. Een via Shape traffic geselecteerde Rules Policy vormt het volledige verkeer van de firewallregel. De huidige helptekst bij het regelformulier beschrijft de prioriteit tussen een Application Policy en een Rules Policy niet. Gebruik voor een reproduceerbaar ontwerp per gebruiksscenario slechts één variant en test een noodzakelijke combinatie op de gebruikte SFOS-build. Als Match known users is ingeschakeld, geldt daarentegen de Traffic Shaping Policy van de gebruiker; zonder gebruikerspolicy wordt de policy van de groep toegepast.

Detect and prevent exploits (IPS) koppelt een IPS Policy. IPS vereist Network Protection of een geldige triallicentie en moet onder Intrusion prevention > IPS policies globaal zijn ingeschakeld. Client-, server-, webserver- en VoIP-verkeer vereisen verschillende, geteste policies. De veilige uitrol staat in IPS configureren en testen.

Shape traffic wijst aan de volledige regel een Traffic Shaping Policy toe, bijvoorbeeld voor VoIP, meetings, back-ups of gasten. Garanties en limieten moeten bij de beschikbare WAN-bandbreedte passen. Meer informatie: Application Traffic Shaping configureren.

DSCP marking markeert alleen uitgaande IPv4- en IPv6-pakketten die met deze regel overeenkomen. Een DSCP-markering die al op binnenkomend verkeer staat, wordt daarbij overschreven. Antwoordpakketten en door het systeem gegenereerd verkeer worden niet door de firewallregel gemarkeerd. Alleen de markering geeft geen prioriteit of classificatie; alle betrokken switches, routers en WAN-apparaten moeten de gekozen DSCP-waarden consistent verwerken.

Een afgebakende QoS-test gebruikt een gedefinieerde client, een goedgekeurd testdoel en ICMP met AF31 = 26. Bevestig de regelmatch en controleer de markering met Packet Capture bij WAN-egress en het antwoord afzonderlijk. CS0 = 0 is het antwoord in het gedocumenteerde voorbeeld, geen garantie voor willekeurige markeringen van de tegenpartij. Maak geen brede Any-toestemming; verwijder de testregel daarna. Een Sophos Firewall-regel testen legt de capture uit.

NDR Active threat intelligence

Scan with NDR Active threat intelligence controleert het verkeer met zorgvuldig geselecteerde NDR-signatures. De actie staat vast op Log threats: de functie detecteert en registreert gebeurtenissen, maar blokkeert het verkeer niet.

Vereisten zijn:

• Xstream Protection Bundle;
• globale activering van NDR Active threat intelligence;
• ingeschakelde IPS-logging;
• selectie van de optie in elke relevante firewallregel.

XGS Appliances, virtuele, software- en gangbare cloudimplementaties worden ondersteund, maar XGS 87, 87w, 88 en 88w niet. XDR of MDR en de overdracht naar Sophos Fusion zijn optioneel voor verdere analyse.

Scan email content

Onder Scan email content kunnen IMAP, IMAPS, POP3, POP3S, SMTP en SMTPS worden geselecteerd. De beveiliging vereist Email Protection. Als de standaardpoorten ontbreken onder Services, kunnen ze via Add ports worden toegevoegd.

E-mailverkeer hoort niet verborgen te zijn in een algemene clientinternetregel. Een aparte e-mailregel maakt Source, Destination, protocollen, logging en beveiligingsfuncties duidelijker.

Voor een bestaande SMTP-server die via DNAT is gepubliceerd, verbindt Mail Protection in Legacy mode configureren de inkomende en uitgaande regels met NAT, scanbeleid, TLS en de Legacy-proxylogs.

Voor het ophalen van e-mail is alleen het selectievakje niet genoeg: CA-vertrouwen, globale scanlimieten, een optionele POP-IMAP-policy en de werkelijke regelmatch moeten samen passen. POP3 en IMAP scannen en testen op Sophos Firewall bevat de volledige pilot- en validatieprocedure.

De regel testen en beheren

Acceptatietest na het opslaan

Na de configuratie wordt de regel met Save opgeslagen. De regel is pas klaar wanneer de gedefinieerde testcase de verwachte resultaten oplevert:

Voer per test maar één wijziging uit, zodat oorzaak en gevolg aan elkaar kunnen worden gekoppeld.

1. Regelpositie en Rule group controleren.
2. Log firewall traffic en de doelen onder System services > Log settings controleren.
3. Met één gedefinieerde client, doel en Service precies één testverbinding opzetten.
4. Firewall Rule ID, Rule name, gebruiker en Action in de Log Viewer controleren.
5. NAT Rule ID en vertaalde adressen controleren.
6. DNS en routing afzonderlijk verifiëren.
7. Web Policy, Application Control, IPS en TLS Inspection aan de hand van de verwachte Action controleren.
8. Letten op onverwachte Drops, SSL/TLS-fouten of prestatieproblemen.
9. De testregel verwijderen of beperken tot de productieobjecten.

Policy Tester simuleert de regelselectie, maar genereert geen echte pakketstroom en bevestigt noch de routing noch het retourpad. Daarom is er voor Policy Test, Log Viewer en Packet Capture de volledige procedure Sophos Firewall-regel testen.

Nieuwe regel, bestaande regel of uitschakelen

Een bestaande regel kan worden uitgebreid als Source, Destination, doel, Owner en beveiligingsbehoefte gelijk blijven. Een eigen regel is beter als logging, vervaldatum, Security Features, verantwoordelijken of reviewcyclus afwijken.

Tijdelijke supporttoegang, servers, gasten, VoIP, IoT en management mogen niet verdwijnen in een algemene clientregel. Bij onduidelijke oude regels is gecontroleerd uitschakelen meestal veiliger dan onmiddellijk verwijderen:

1. Doel, Owner en afhankelijkheden bepalen.
2. Logging en testvenster vastleggen.
3. Betrokken teams informeren.
4. Regel uitschakelen en gedefinieerde tests uitvoeren.
5. Pas na een traceerbare observatie verwijderen.

Een zelden gebruikte noodregel kan belangrijk zijn. Omgekeerd is een vaak gebruikte brede regel niet automatisch veilig.

Een regelwijziging terugdraaien

Noteer vóór een wijziging de huidige positie en alle betrokken velden of exporteer een reproduceerbare configuratiestatus. Een bestaande regel mag niet voor een ander doel worden omgebouwd: een nieuwe, aanvankelijk uitgeschakelde regel biedt een duidelijker terugvalpad en laat de bestaande toegang ongewijzigd.

Als de acceptatietest mislukt, schakelt u de nieuwe regel uit of herstelt u bij een bewerkte regel de vorige waarden en de eerdere positie. Genereer daarna zowel de toegestane als een bewust niet-toegestane testflow opnieuw en controleer de verwachte Firewall Rule ID in Log Viewer. Bij een wijziging aan het managementpad moet tijdens het volledige proces een onafhankelijke beheerstoegang behouden blijven.

Datateller, review en wijzigingsregistratie

Reset data transfer count reset de hoeveelheid overgedragen data van een regel. Dit is geen sessie- of hitcounter. In de SFOS 22-help documenteert Sophos Unused op twee plaatsen verschillend: de helptekst bij de regeltabel noemt 24 uur zonder passend verkeer, terwijl de Control Center-widget Active firewall rules 12 uur en een dagelijkse controle vermeldt. De status is daarom geen betrouwbaar criterium om een regel te verwijderen. New en Changed blijven elk 24 uur vanaf het aanmaken of wijzigen staan, en een regel kan meerdere statussen tegelijk hebben. In de SFOS 23-help noemen regeltabel en widget beide 12 uur voor Unused. Dit is een documentatievergelijking, geen tijdmeting die op een appliance-build is getest.

Active firewall rules toont het aantal actieve regels en het passende verkeer in bytes over de afgelopen 24 uur. De widget onderscheidt WAF (Webserver Protection), User (met gebruikers of groepen) en Network (zonder die criteria). Scanned betekent het totale aantal regels in het diagram, niet het aantal regels met malwarescanning. Disabled betekent geconfigureerd maar uitgeschakeld; zo’n regel kan ook Changed zijn. Hover toont het volume; een klik op aantal of status opent de bijbehorend gefilterde regeltabel.

De Control Center-widget is voor alle beheerders zichtbaar, ongeacht hun rechten. De zichtbaarheid ervan bewijst daarom geen schrijfrecht op de eigenlijke regelpagina. Deze aanwijzingen moeten samen met logs, regelbeschrijving en usecase worden beoordeeld. Voor de evaluatie van de overgedragen data kan ook Reports > Dashboards > Traffic dashboard > Allowed policies worden gebruikt. Als een verwachte regel in de tabel ontbreekt, moet eerst het actieve filter worden gereset; de SFOS 22-help beperkt bovendien groepsacties in een gefilterde weergave.

Regelmatige reviews controleren ten minste:

• Source, Destination en Services;
• resterende Any-objecten;
• Owner, ticket en vervaldatum;
• logging en daadwerkelijk gebruik;
• NAT, Web Policy, IPS, TLS Inspection en andere beveiligingsfuncties;
• uitgeschakelde, tijdelijke en automatisch aangemaakte regels.

Vóór grote wijzigingen moet een back-up beschikbaar zijn. Audit Trail Logs en Config Studio tonen configuratiewijzigingen; bij door Sophos Fusion beheerde groepen bevestigt de Firewall Management Task Queue of de wijziging op de juiste appliance is aangekomen. De Firewall Health Check vult de regelmatige beveiligingsreview aan.

Typische fouten

• De verwachte regel wordt niet toegepast of Rule ID #0 verschijnt: Controleer de volgorde, IPv4/IPv6 en alle criteria voor Source, Destination, Service, gebruikers en Exclusions.
• De Firewall Rule ID klopt, maar de NAT Rule ID of het pakketpad niet: Controleer de NAT-volgorde, routing, SD-WAN en het retourpad.
• De regel wordt toegepast, maar de beveiliging werkt niet of de toepassing loopt vast: Controleer afzonderlijk licentie, globale activering, logging, Web Policy, QUIC, TLS Inspection, IPS en Traffic Shaping Policy.

Als Rule ID, NAT ID of het pakketpad onverwacht zijn, helpt Sophos Firewall-regel wordt niet toegepast bij een gestructureerde oorzaakanalyse.