Sophos Firewall Spoof Protection en DoS Settings controleren

Spoof Protection en DoS Settings behoren tot de klassieke verhardingsfuncties van een Sophos Firewall. De functies verminderen eenvoudige, luidruchtige of duidelijk onjuiste pakketten voordat ze onnodige ruis worden in logs, regels of gepubliceerde services. Tegelijkertijd bieden deze instellingen geen magische bescherming tegen elke vorm van aanval.

Het artikel classificeert de functies als zorgvuldige basisverharding: begrijp eerst het netwerkontwerp en de retourpaden, activeer, test en controleer vervolgens de logbestanden. Het onderscheid is bijzonder belangrijk: deze functies vormen een aanvulling op het opschonen van firewallregels, IPS, Threat Feeds, WAF en loggen. Ze zijn geen vervanging voor deze bouwstenen.

Kort uitgelegd

Spoof Protection controleert of pakketten met een plausibel bronadres op de verwachte interface aankomen. Als er bijvoorbeeld een pakketje met een intern bronadres uit de richting van internet verschijnt, is dit bij de meeste ontwerpen verdacht. DoS Settings reageert daarentegen op bepaalde flooding- of verbindingsaanvalpatronen, bijvoorbeeld merkbare hoeveelheden SYN-, UDP- of ICMP-verkeer.

Het typische menupad, afhankelijk van de SFOS-versie, ligt in het bereik:

Intrusion prevention > DoS & spoof protection

Als de interface in een nieuwere versie iets anders is gelabeld, moet u zoeken naar DoS, spoofbescherming of inbraakpreventie. Belangrijk is niet het exacte klikpad, maar dat de functie bewust wordt gepland, getest en later gelogd.

Wat de functies doen

• Spoof Protection: Pakketten met ongeloofwaardig bron-IP weggooien, eenvoudige spoofing-pogingen verminderen, verkeerd gerouteerde pakketten zichtbaar maken. vervangt geen schone zone, interface en routeringsplanning.
• DoS Settings: eenvoudige overstromingspatronen beperken, luide aanvallen of verkeerde configuraties eerder merkbaar maken. vervangt de DDoS-bescherming van de provider niet, geen WAF en geen strak gedimensioneerd upstream-ontwerp.

In de praktijk zijn deze functies bijzonder interessant als basisverharding. Het voordeel is dat voor de hand liggende onzin wordt verminderd. Bij echte volumetrische DDoS-aanvallen is de internetverbinding vaak al vol voordat de firewall zinvol kan reageren. Dan heb je bescherming nodig van de provider, upstream scrubbing of een andere architectuur.

Beschermingstypen niet door elkaar halen

In hetzelfde scherm staan verschillende mechanismen die in de praktijk elk een andere vraag beantwoorden.

• Enable spoof prevention: activeert Spoof Prevention voor geselecteerde zones. Verkeerd begrepen zones of retourpaden kunnen legitiem verkeer raken.
• Trusted MAC en IP-MAC-paren: bekende MAC-adressen of IP-MAC-combinaties worden als vertrouwd behandeld. Bij mobiele apparaten, DHCP-wijzigingen of virtualisatie kan dit extra beheer vereisen.
• DoS settings: stellen drempelwaarden en flags in voor SYN-, UDP-, TCP- of ICMP/ICMPv6-flooding. Te strenge waarden verstoren legitieme belastingpieken, scans, monitoring of VoIP.
• DoS bypass rule: sluit bepaald verkeer uit van de DoS Settings in WebAdmin. Brede uitzonderingen verzwakken deze bescherming; voorafgaande CLI-policies worden daardoor niet automatisch omzeild.

Dit onderscheid is belangrijk, omdat een fout na activering niet automatisch een probleem met een firewallregel is. Soms is de DoS-drempel te agressief, soms klopt een IP-MAC-binding niet meer en soms wijst Spoof Protection op een echt routing- of VLAN-probleem.

Als Spoof Protection zinvol is, past

Spoof Protection bijzonder goed bij duidelijk gesegmenteerde netwerken waarin bronnetwerken, interfaces en routes duidelijk gepland zijn. Hoe duidelijker de netwerkstructuur, hoe gemakkelijker het is om te beoordelen of een bronadres op een interface plausibel is.

Nuttige toepassingen:

• Internet WAN waarop geen interne RFC1918-bronnen mogen verschijnen.
• DMZ of serverzones met duidelijke bron- en bestemmingsnetwerken.
• Client-, gast- of IoT-zones waarin geen externe interne netwerken als bron mogen verschijnen.
• Locaties waar routing, VLANs en zones duidelijk gedocumenteerd zijn.
• Omgevingen waarin pakketdroppingen later traceerbaar moeten zijn met Packet Capture en logboeken.

Het wordt moeilijker met asymmetrische routing, complexe transitnetwerken, tijdelijke migratiepaden, onjuist gedocumenteerde VLANs of meerdere firewalls in hetzelfde datapad. Een legitieme datastroom kan op spoofing lijken, ook al is het routeringsontwerp of het retourpad feitelijk onrein.

Controleer vóór activering

Spoof Protection en DoS Settings mogen niet blindelings worden geactiveerd in een productieomgeving. Het moet vooraf duidelijk zijn om welke netwerken en diensten het gaat.

Belangrijke controlepunten:

1. Documentzones, interfaces, VLANs, bruggen en LAGs.
2. Controleer statische routes, SD-WAN routes, VPN-routes en asymmetrische paden.
3. Identificeer gepubliceerde services via DNAT of WAF.
4. Let op kritische services zoals VoIP, monitoring, back-up, scans, VPN en siteverbindingen.
5. Registratie en centrale evaluatie voorbereiden als gebeurtenissen later traceerbaar moeten zijn.
6. Onderhoudsvenster of pilotgebied instellen voor eerste activering.

Als normale firewallregels moeilijk te begrijpen zijn, moeten de regel- en routeringsstatus eerst worden opgeschoond. Voor individuele testverbindingen is Test firewallregel met Log Viewer, Policy Test en Packet Capture een beter begin.

Spoof Protection voorzichtig activeren

Een stapsgewijze aanpak is zinvol voor Spoof Protection. U moet eerst de duidelijkste gebieden beveiligen, en niet onmiddellijk elke speciale zone.

Praktisch proces:

1. Sla de huidige configuratie op of documenteer in ieder geval de betreffende instellingen.
2. Begin met een duidelijke zone of interface, bijvoorbeeld WAN of een netjes gescheiden klantenzone.
3. Activering opslaan.
4. Voer geplande testverbindingen uit: internettoegang, VPN, gepubliceerde services, centrale servers, monitoring.
5. Controleer Log Viewer en Packet Capture op onverwachte dalingen.
6. Ga niet meteen om met opvallende legitieme drops met brede uitzonderingen, maar controleer eerst de routing, het bron-IP en de interface.

Een veelgemaakte fout is om Spoof Protection te behandelen als een pure beveiligingshaak. In werkelijkheid test de functie een aanname over het netwerkontwerp. Als deze veronderstelling niet juist is, hoeft Spoof Protection niet noodzakelijkerwijs verkeerd te zijn. Vaak wordt een interface, een route, een VLAN of een retourroute niet gebouwd zoals verwacht.

IP, MAC en IP-MAC-paren goed begrijpen

Sophos onderscheidt meerdere controlevormen. IP spoofing verwerpt verkeer wanneer het bron-IP niet past bij de routingtable of bij een direct verbonden subnet. MAC filter werkt met vertrouwde MAC-adressen; daarvoor moet minimaal één Trusted MAC Address zijn onderhouden. De MAC filter wordt niet toegepast op DHCP-pakketten. IP-MAC pair filter controleert of de binnenkomende combinatie van IP-adres en MAC-adres overeenkomt met een bekend paar.

Dat is nuttig in statische, duidelijk gecontroleerde netwerken, maar kan in dynamische omgevingen snel onderhoudswerk opleveren. DHCP, Wi-Fi roaming, virtuele machines, hypervisors, clusters, NAC, dockingstations of apparaatwissels kunnen legitieme MAC/IP-wijzigingen veroorzaken. Voor zulke netwerken is het beter eerst te observeren en alleen te binden waar de operationele werkelijkheid stabiel genoeg is.

Hoe men de lokale neighbortabel controleert en bewust een statische koppeling tussen IP, MAC en interface maakt, staat in De ARP- en NDP-neighbor-cache controleren.

De verwachting moet helder zijn: een ingeschakelde IP-MAC pair filter zonder onderhouden Trusted MAC- of IP-MAC-vermeldingen beschermt niet automatisch. Als er geen passende vermeldingen bestaan, wordt verkeer niet geblokkeerd maar toegestaan. De bescherming ontstaat pas door onderhouden en geteste bindings.

De optie Restrict unknown IP on trusted MAC is bijzonder streng: pakketten van een Trusted MAC zonder passende IP-binding kunnen worden verworpen wanneer het IP vanuit het perspectief van de firewall onbekend is. Dat is een beveiligingswinst in gecontroleerde netwerken, maar een valkuil bij DHCP, migraties en tijdelijke IP-wijzigingen.

DoS Settings abonnement

DoS Settings moet bij de omgeving passen. Het heeft zelden zin om zonder controle waarden uit een ander voorbeeld over te nemen. Een site met een paar gebruikers, VoIP en een kleine WAN gedraagt ​​zich anders dan een datacenter, een schoolnetwerk of een site met regelmatige scans en monitoring.

Beantwoord deze vragen voordat u zich aanpast:

• Welke openbare diensten zijn zichtbaar?
• Zijn er legitieme belastingpieken, scans, monitoring of gezondheidscontroles?
• Worden VoIP, VPN, WAF, DNAT of grote bestandsoverdrachten gebruikt?
• Welke evenementen mogen alleen worden geregistreerd en welke moeten echt worden geblokkeerd?
• Wie controleert de logs na activatie?

DoS Settings kan eenvoudige overstromingspatronen helpen beperken. Te strenge drempels kunnen echter ook van invloed zijn op legitiem verkeer. Er moet bijzondere aandacht worden besteed aan VoIP, monitoringsystemen, back-uptaken, kwetsbaarheidsscans en intensief gebruikte gepubliceerde services.

In het scherm gaat het niet alleen om klassieke floods. Er zijn ook flags zoals Dropped source routed packets, Disable ICMP/ICMPv6 redirect packet en ARP hardening. Deze opties zijn nuttige basishardening, omdat ze manipulatie van routing- of ARP-gedrag kunnen verminderen. Test ze na activering wel, vooral in netwerken met downstream routers, oudere segmenten of ongebruikelijke Layer 2-ontwerpen.

Bij de drempelwaarden in WebAdmin zijn twee begrippen belangrijk:

• Packet rate: aantal pakketten dat een host per minuut mag verzenden of ontvangen voordat verkeer wordt verworpen.
• Burst rate: aantal pakketten dat aanvankelijk wordt toegelaten zonder de Packet Rate te controleren. Daarna kunnen incidentele korte pieken boven de Packet Rate worden getolereerd, maar geen frequente of aanhoudende overschrijdingen.

De Apply flag bepaalt of de geconfigureerde limiet daadwerkelijk op het betreffende protocol wordt toegepast. Te hoge waarden doen weinig. Te lage waarden blokkeren legitieme pieken. Stem de waarden daarom af op eigen verkeer, gepubliceerde services en bekende onderhoudsvensters.

CLI-regels met system dos-config

Via de Device Console kunnen eigen DoS-policies en bijbehorende regels worden aangemaakt. Dit is onder andere nodig voor IP Flood, omdat dit type niet in WebAdmin kan worden geconfigureerd. De eenheden verschillen: WebAdmin gebruikt pakketten per minuut, terwijl system dos-config pakketten per seconde (pps) gebruikt.

Kies na de SSH-aanmelding in het hoofdmenu 4. Device Console. Voer de opdrachten in bij de prompt console>, niet in de Advanced Shell.

Eerst wordt de policy met aanvalstype, drempelwaarde en telmethode aangemaakt. Daarna bepaalt de regel voor welk verkeer deze geldt. Dit door Sophos gedocumenteerde voorbeeld beperkt SYN-verkeer van het voorbeeldadres 198.51.100.50 tot 1000 pps per Source:

system dos-config add dos-policy policy-name TestSYN SYN-Flood 1000 pps per-src
system dos-config add dos-rule rule-name TestRuleSYN srcip 198.51.100.50 dos-policy TestSYN

1000 pps is een syntaxvoorbeeld en geen aanbeveling voor een productienetwerk. Voor een eigen regel moeten ten minste de volgende onderdelen bewust worden aangepast:

• SYN-Flood: als alternatief UDP-Flood, ICMP-Flood of het alleen hier beschikbare IP-Flood
• per-src: drempelwaarde per Source; als alternatief per-dst per Destination of global voor al het overeenkomende verkeer
• de werkelijk vereiste voorwaarden voor Source, Destination, Zone, Interface en protocol
• de drempelwaarde op basis van een gemeten baseline en de capaciteit van de beschermde service

Na het aanmaken moet eerst worden gecontroleerd of namen, type, drempelwaarde en regelvoorwaarde kloppen:

system dos-config show dos-policies policy-name TestSYN
system dos-config show dos-rules rule-name TestRuleSYN

Voor het terugdraaien eerst de regel en daarna de niet meer gebruikte policy verwijderen:

system dos-config delete dos-rule rule-name TestRuleSYN
system dos-config delete dos-policy policy-name TestSYN

De CLI-syntax is gedocumenteerd in de Sophos Firewall Command Line Help. Ze moet desondanks eerst met een gecontroleerde teststroom worden toegepast. CLI-DoS-regels ondersteunen alleen IPv4. Bij een actieve IP-Flood-policy blijft de kolom Applied onder Intrusion prevention > DoS attacks No tonen; Sophos beschrijft dit als verwacht gedrag.

CLI-regels en -policies worden vóór de DoS- en spoof-instellingen van WebAdmin geëvalueerd. Binnen de WebAdmin-instellingen controleert de firewall eerst de DoS bypass rules en daarna de overige DoS Settings. Een bypassregel in WebAdmin heft een overeenkomende CLI-policy daarom niet automatisch op.

DoS bypass rules alleen nauwkeurig gebruiken

DoS bypass rules zijn nuttig wanneer een bekende datastroom anders steeds ten onrechte door de DoS Settings van WebAdmin wordt geblokkeerd. Typische voorbeelden zijn monitoring, Health Checks of een nauwkeurig afgebakende service tussen bekende IP-adressen. De uitzondering moet dan zo precies mogelijk zijn: specifieke bron, specifieke bestemming, passend protocol en smal poortbereik.

Brede bypassregels met grote netwerken, any-logica of algemene poortbereiken zijn gevaarlijk. Zulke uitzonderingen maken de DoS-controle blind precies waar die later nodig is. Als een brede uitzondering nodig lijkt, moet eerst worden gecontroleerd of de drempelwaarden, de architectuur of de testcase verkeerd zijn beoordeeld.

Voor de WebAdmin-instellingen is de volgorde belangrijk: Sophos Firewall controleert eerst of een DoS bypass rule matcht en past de DoS Settings daar pas op het resterende verkeer toe. Een te brede bypassregel kan deze bescherming daardoor ineffectief maken. Stel voor bypassregels Source, Destination, protocol, Source Port en Destination Port bewust in en gebruik niet uit gemak *.

Wat deze instellingen niet oplossen

Spoof Protection en DoS Settings zijn belangrijke bouwstenen, maar ze lossen niet elk beveiligingsprobleem op.

• Server wordt aangevallen via toegestane HTTP verzoeken: Controleer WAF regel en webserverbeveiliging.
• Bekende kwaadaardige bron IP-aanvallen: Threat Feeds of Controleer land/IP-blokkering.
• Exploitpoging tegen een dienst: Activeer IPS-Policy volgens de regel.
• Internetlijn is vol vanwege DDoS: Inclusief provider, scrubbing of upstream DDoS-bescherming.
• Firewallregel staat te veel toe: Opruimregels, NAT en objectmodel.
• Drops zijn onbegrijpelijk: Verbeter logging, Packet Capture, syslog of centrale rapportage.

Het artikel Publiceer server met DNAT op Sophos Firewall is ook relevant voor publiek toegankelijke servers. Het gaat over NAT, firewallregels en typische publicatiefouten.

Logboeken en vervolgcontrole

Na activatie moet u niet alleen controleren of de normale internettoegang nog werkt. Belangrijk is of de firewall verwachte en onverwachte gebeurtenissen duidelijk weergeeft.

Controleer:

1. Log Viewer filter voor firewall en relevante beveiligingsgebeurtenissen.
2. Trigger testverkeer met duidelijk bron-IP, bestemmings-IP en service.
3. Gebruik Packet Capture voor onduidelijke druppels.
4. Voor langere opslag kunt u syslog naar SIEM of logserver plannen.
5. Controleer bij het uitvoeren van Sophos Central of Central Firewall Reporting de gewenste gebeurtenissen zichtbaar maakt.

Als een pakket wordt verwijderd maar de reden niet duidelijk is, kan de systematische uitvalanalyse in Sophos Firewall pakketten laten vallen: controleer de oorzaken helpen. Het beschrijft ook waarom Log Viewer en Packet Capture verschillende vragen beantwoorden.

Foutanalyse na activering

Na een wijziging mogen symptomen niet te snel als aanval worden geïnterpreteerd. De snelste analyse is meestal een vergelijking van verwachting, observatie en volgende test.

• Een enkel netwerk verliest toegang: het bronnetwerk komt mogelijk op een andere interface binnen dan verwacht. Route, VLAN, SD-WAN Route en Packet Capture vergelijken.
• Veel clients achter upstream NAT vallen op: als vóór de Sophos Firewall al NAT op het verkeer is toegepast, ziet de firewall meerdere clients als één gedeelde Source. Drempelwaarde, NAT-pad en legitieme piekbelasting controleren.
• VoIP, monitoring of scanner veroorzaakt drops: regelmatige pakketsnelheden kunnen op flooding lijken. Korte testperiode, Log Viewer en indien nodig een precieze bypass-regel controleren.
• Apparaten werken niet meer na DHCP-wijziging: IP-MAC-binding of Trusted MAC-logica past mogelijk niet meer. Lease, MAC-adres en binding controleren.
• Alleen retourverkeer ontbreekt: een asymmetrisch pad of verkeerde gateway is waarschijnlijk. Heen- en terugweg afzonderlijk met Packet Capture controleren.
• ARP- of ICMP-wijziging veroorzaakt neveneffecten: ARP hardening, source-routed packets of ICMP redirect kunnen ongebruikelijke netwerkontwerpen raken. Downstream routers, Layer 2-segmenten en routingpad controleren.

Typische fouten

• Spoof Protection activeren zonder routering te begrijpen: legitiem verkeer kan worden geblokkeerd. Controleer zones, interfaces, routes en retourpaden vooraf.
• Pas DoS-drempels toe zonder te controleren: VoIP, monitoring, scans of gepubliceerde services kunnen worden verstoord. Plan baseline en testfase.
• Packet Rate en Burst Rate verwarren: aanhoudende pakketsnelheid en korte piek zijn verschillende knoppen. Beide moeten bij de service passen.
• Oplossen elke anomalie met een brede uitzondering: Hardening wordt ineffectief en verwarrend. Beperk de oorzaak en documenteer uitzonderingen nauwkeurig.
• DoS bypass rule te breed instellen: in WebAdmin wordt de bypass vóór de DoS Settings daar gecontroleerd en kan deze controle volledig worden omzeild. Houd Source, Destination, protocol en poorten smal en controleer daarnaast afzonderlijke CLI-policies.
• IP-MAC pair filter leeg laten: zonder onderhouden vermeldingen ontstaat geen effectieve binding. Test na activering altijd met een bekende client.
• Verkoop DoS Settings als DDoS-bescherming: valse verwachtingen voor bandbreedte-aanvallen. Plan provider en upstream-bescherming afzonderlijk.
• Controleer logs niet: Onjuiste blokken of aanvallen blijven onzichtbaar. Definieer Log Viewer, centrale rapportage of syslog als werkpunt.
• Interpreteer spoofing drops als een pure aanval: Routing- of VLAN-fouten worden over het hoofd gezien. Vergelijk bron-IP, interface, route en Packet Capture.

Operationele checklist

Vóór activering:

• zones, interfaces en routing begrepen.
• Kritieke services en testgevallen gedefinieerd.
• Packet Rate, Burst Rate en geactiveerde flags technisch beoordeeld.
• Back-up- of wijzigingsdocumentatie beschikbaar.
• Logging en evaluatie voorbereid.
• Proefgebied of onderhoudsvenster ingesteld.

Na activering:

• Internet, VPN, WAF, DNAT, VoIP en monitoring getest.
• Log Viewer gecontroleerd op onverwachte dalingen.
• Packet Capture gebruikt voor ten minste één duidelijke testcase wanneer er druppels optreden.
• Uitzonderingen worden slechts beperkt en gemotiveerd gemaakt.
• DoS bypass rules op source, destination, protocol en poorten gecontroleerd.
• Resultaat vastgelegd in de bedrijfsdocumentatie.

Regelmatig:

• Controleer DoS en spoof-gebeurtenissen.
• Controleer uitzonderingen op noodzaak.
• Test opnieuw na netwerkwijzigingen, VPN-wijzigingen of nieuwe VLANs. Correleer
• -logboeken met IPS, bedreigingsfeed, WAF en firewallregelgebeurtenissen.

FAQ