Sophos Firewall Threat Feeds veilig instellen en beheren

Sophos Firewall Threat Feeds importeren automatisch bekende schadelijke IP-adressen, domeinen en URL’s als Indicators of Compromise (IoC’s). Voor een veilige uitrol wordt de feed eerst in de modus Monitor geobserveerd, worden treffers en neveneffecten gecontroleerd en wordt pas daarna overgeschakeld naar Block.

Dit artikel behandelt vooral Third-Party Threat Feeds, zoals de feeds van Cybora. De functie werd geïntroduceerd met Sophos Firewall v21.

Een Threat Feed instellen

Third-Party Threat Feeds vereisen de Xstream Protection Bundle, maar geen aanvullende Sophos Fusion-licentie (voorheen Sophos Central). De firewall moet de feed-URL via DNS en HTTPS kunnen bereiken.

1. Open System services > Log settings.
2. Activeer onder Active threat response ten minste één ondersteunde logbestemming. Local reporting slaat gebeurtenislogs lokaal op voor de Log Viewer; deze logs zijn geen rapporten op het apparaat zelf. Gebruik als alternatief Sophos Fusion (voorheen Sophos Central) of een syslogserver als logbestemming.
3. Activeer voor zichtbare treffers op inkomend DNAT- en WAF-verkeer ook Remote source match (inbound traffic). Deze optie is standaard uitgeschakeld.
4. Open Protect > Active threat response > Third-party threat feeds > Add.
5. Voer een unieke naam en beschrijving in, bijvoorbeeld:
   • Pilot: Name cybora-premium-ipv4-monitor, Description Cybora Premium IPv4 - Pilot
   • Voorbeeld van een productiefeed: Name cybora-premium-ipv4, Description Cybora Feed - Premium
6. Selecteer bij Indicator type IPv4 address, Domain of URL. Als een bron meerdere typen levert, wordt voor elk type een afzonderlijke feed aangemaakt.
7. Stel Action tijdens de introductie in op Monitor. Na een gecontroleerde observatieperiode kan dit naar Block worden gewijzigd.
8. Selecteer bij Position Top voor een pilotfeed, zodat een andere third-party feed de treffer niet verbergt. Bottom past bij een feed met een lagere prioriteit waarvan de overlap al bekend is.
9. Voer bij External URL het passende adres uit de Avanet-feedlijst of van uw eigen provider in. De URL moet het tekstbestand zonder opmaak rechtstreeks teruggeven. Als het endpoint in plaats daarvan bijvoorbeeld met HTTP 302 antwoordt, classificeert SFOS dit als een Connection error. Het bestand bevat één indicator per regel.
10. Selecteer onder Authorization No authentication, API key of Basic authentication volgens de instructies van de provider. Bij API key worden de door de provider opgegeven header- of parameternaam en de geheime waarde afzonderlijk ingevoerd; selecteer vervolgens Header of Query parameters als verzendlocatie. Als een provider bijvoorbeeld de header X-API-Key vereist, is dit de naam en niet de geheime sleutel. Voer bij Basic authentication de gebruikersnaam en het wachtwoord in. De API-keywaarde en het wachtwoord ondersteunen elk maximaal 64 tekens. Inloggegevens horen niet thuis in tickets of screenshots.
11. Activeer Validate server certificate. Bij een openbaar certificaat moet de uitgevende CA aanwezig zijn onder Certificates > Certificate authorities; bij een private CA wordt eerst het certificaat daarvan geïmporteerd.
12. Kies een Polling interval dat overeenkomt met het update-interval van de provider.
13. Voer Test connection uit en sla op met Save.

Controleer daarna Sync status, Last updated, het aantal Threat indicators en de beschikbare Storage quota. Success bevestigt een geslaagde verbinding of HTTP-GET-aanvraag, maar niet dat de lijst volledig is verwerkt of dat het verwachte verkeer daadwerkelijk wordt gedetecteerd of geblokkeerd. Inhoud en effect moeten afzonderlijk worden gevalideerd.

De juiste feed en actie kiezen

Ondersteunde indicatoren

Elke feedconfiguratie verwerkt precies één van deze indicatortypen:

• IPv4 address: scanners, botnets, gecompromitteerde systemen of C2-servers
• Domain: malware-, phishing- of command-and-controldomeinen
• URL: specifieke schadelijke paden of downloadlinks

De feed moet een tekstbestand zonder opmaak zijn met één indicator per regel. Als het bestand van de provider meerdere typen bevat, houdt SFOS alleen rekening met het geselecteerde Indicator type. Voor elk gewenst type is daarom een afzonderlijke configuratie nodig; een gemengd bestand hoeft niet alleen vanwege die combinatie te worden opgesplitst. IP-ranges, IPv6-adressen, netwerken, wildcarddomeinen en reguliere expressies worden in Third-Party Threat Feeds niet gebruikt als vervanging voor afzonderlijke ondersteunde IoC’s.

Een formaatvoorbeeld met uitsluitend IPv4-adressen ziet er zo uit:

192.0.2.10
198.51.100.20

Deze documentatieadressen tonen alleen het formaat, niet echte dreigingen of bereikbare testbestemmingen. Voor de gecontroleerde test verderop wordt in plaats daarvan het afzonderlijke IPv4-adres van de eigen testbestemming gebruikt, niet het bijbehorende netwerk met CIDR-suffix. Bij Cybora worden de aangeleverde feedbestanden rechtstreeks gebruikt.

SFOS stelt geen vast aantal IoC’s per Third-Party Feed in. De bruikbare omvang wordt beperkt door de modelafhankelijke Storage quota. Controleer na de import daarom samen de vrije quota, het aantal Threat indicators en het succesvol ophalen van de feed.

Een grote lijst is niet automatisch een goede lijst. Herkomst, actualiteit, update-interval, risico op false positives en treffers in de eigen omgeving zijn belangrijker dan het totale aantal vermeldingen. Een feed die blijvend geen nut oplevert, neemt alleen opslagruimte in. De integratie is niet beperkt tot een vaste keuzelijst van providers: elke Third-Party Feed kan worden geïntegreerd als deze aan de beschreven bestandsvereisten voldoet. Sophos noemt bijvoorbeeld GreyNoise Intelligence, CrowdSec en Q-Feeds als providers; deze vermelding vervangt noch de controle van het concrete endpoint, noch de eigen pilot in de modus Monitor.

Monitor vóór Block

Monitor registreert treffers, maar staat het verkeer toe. Zo wordt zichtbaar welke bronnen, bestemmingen en services geraakt zouden worden. Block registreert en verwerpt overeenkomend verkeer.

Voor een nieuwe feed is deze werkwijze geschikt:

1. Plaats de feed bovenaan de Third-Party-lijst.
2. Begin met Monitor.
3. Controleer treffers en mogelijke false positives gedurende een representatieve periode.
4. Documenteer de verantwoordelijke persoon en het uitzonderingsproces.
5. Schakel pas daarna over naar Block.

Een goed samengestelde IPv4-feed voor sterk blootgestelde services kan sneller in productie worden genomen dan een domein- of URL-feed. Deze laatste komen vaker overeen met gedeelde infrastructuur, CDN’s of omleidingen en moeten daarom bijzonder zorgvuldig worden gecontroleerd.

Noteer vóór de overstap naar Block de feednaam, het aantal IoC’s, de positie en de tot dan toe waargenomen treffers. Als de wijziging onverwachte verstoringen veroorzaakt, zet u Action voor dezelfde feed onmiddellijk terug op Monitor en test u het getroffen verkeer opnieuw. Een defecte of onbeheersbare feed kan tijdelijk worden uitgeschakeld. Een globale Threat Exclusion is geen gelijkwaardige rollback, omdat die ook MDR, NDR en Sophos X-Ops beïnvloedt.

Volgorde en namen

Active Threat Response verwerkt de modules in deze volgorde: MDR, NDR Essentials, Sophos X-Ops en daarna Third-Party Threat Feeds. Bij Log and drop stopt een treffer in een eerdere module de verdere controle. Bij Log only of Monitor registreert de firewall daarentegen afzonderlijke gebeurtenissen voor MDR, X-Ops en Third-Party Threat Feeds.

Binnen Third-Party Threat Feeds beoordeelt de firewall de lijsten voor Block en Monitor afzonderlijk in de weergegeven volgorde. De eerste treffer per lijst wordt geregistreerd en op basis van de eerste treffer in de Block-lijst wordt geblokkeerd. Productiefeeds, pilotfeeds en tijdelijke incidentlijsten moeten daarom duidelijk worden benoemd en gerangschikt:

• cybora-premium-ipv4-block
• cybora-standard-domain-monitor
• incident-2026-06-c2-ipv4

Een goede naam vermeldt de provider of het doel, het indicatortype en de actie. Dit bespaart tijd bij loganalyse en reviews.

Threat Feed-modules onderscheiden

Onder Active threat response staan meerdere functies met verschillende taken en licenties:

• Sophos X-Ops Threat Feeds: indicatoren van Sophos; vereisen Network Protection en voor de handhaving daarnaast Web Protection. Beide zijn opgenomen in de Standard- of Xstream-bundel of kunnen afzonderlijk worden gelicentieerd.
• MDR Threat Feeds: IoC’s van Sophos MDR; vereisen de Xstream Protection Bundle en MDR Essentials of MDR Complete in Sophos Fusion. De eigen handleiding beschrijft de Sophos Fusion-koppeling, lokale actie, Audit ID, Task Queue en incidentcontrole.
• Third-Party Threat Feeds: externe IPv4-, domein- of URL-lijsten; vereisen de Xstream Protection Bundle.
• NDR Essentials: analyseert verkeer met machine learning. Het overzicht van modulelicenties noemt de Xstream Appliance Bundle, terwijl de configuratiehandleiding de Xstream Protection Bundle noemt. Raadpleeg vóór aankoop of uitrol de concrete vergelijking van licenties en bronnen voor NDR Essentials en laat het gebruiksrecht voor de eigen firewall bindend bevestigen.
• NDR Active Threat Intelligence: registreert door Sophos samengestelde NDR-patronen, vereist de Xstream Protection Bundle en moet per firewallregel via Scan with NDR Active threat intelligence worden geactiveerd. XGS 87/87w en 88/88w worden niet ondersteund.

Voor Synchronized Security en de aanvullende endpointcontext in Active Threat Response-logs is ook een Intercept X-licentie in Sophos Fusion nodig. Deze licentie is geen vereiste voor de Threat Feed zelf, maar voor de verrijking van de gebeurtenis met host-, gebruikers- en procesgegevens.

Synchronized Security is optioneel voor het matchen van Threat Feeds. Als een door Sophos beheerd endpoint na contact met een kwaadaardige server een rode Security Heartbeat verstuurt, kan een correct geconfigureerde Heartbeat-regel het verkeer blokkeren; Lateral Movement Protection kan het gecompromitteerde endpoint bovendien van het interne netwerk isoleren. Deze endpointreactie vult de feed en de bijbehorende logs aan, maar vervangt noch de feedconfiguratie noch de firewallregel.

Voor NDR is er de afzonderlijke handleiding Sophos Firewall NDR en Active Threat Response beheren.

De invloed op het verkeer begrijpen

IPv4-, domein- en URL-verkeer

Voor doorgestuurd IPv4-verkeer is een firewallregel nodig die het betreffende verkeer verwerkt. Systeemgericht verkeer naar services onder Administration > Device access, zoals WebAdmin, VPN Portal en VPN, wordt afzonderlijk vergeleken met bron-IP-indicatoren en loopt niet door een transit-firewallregel.

DNS-verzoeken die de firewall zelf als DNS-server beantwoordt, worden door de DNS-module met domein-IoC’s vergeleken. Als clients een andere DNS-server gebruiken, moet IPS het DNS-verkeer kunnen zien. Een domeinfeed alleen bewijst daarom nog niet dat het daadwerkelijke resolverpad wordt geïnspecteerd.

Voor doorgestuurd verkeer vereisen domein- en URL-feeds bovendien Application Classification of een IPS-policy in de firewallregel. Application Classification is standaard ingeschakeld, maar moet in het betreffende regelpad toch worden gecontroleerd.

Bij volledige HTTPS-URL’s moet de firewall ook het pad kunnen zien. Voor het Web Proxy-pad worden in de firewallregel onder Web filtering de opties Use web proxy instead of DPI engine en Decrypt HTTPS during web proxy filtering geselecteerd. Voor het DPI-pad blijft Use web proxy instead of DPI engine uitgeschakeld en wordt een geschikte SSL/TLS-inspectieregel met Action: Decrypt toegevoegd. Zonder decryptie ziet de firewall via SNI alleen het domein en niet het volledige URL-pad.

De verantwoordelijke inspectiecomponent is daarbij de webmodule voor de Web Proxy, of IPS voor de DPI Engine met SSL/TLS-inspectieregels. Dit geldt voor versleuteld en ontsleuteld HTTPS; welke IoC’s kunnen worden herkend, blijft afhangen van de vraag of alleen het domein of ook het URL-pad zichtbaar is.

DNAT en WAF vanaf SFOS 22

Sinds SFOS 22 kan de firewall het bron-IP-adres van inkomend, doorgestuurd verkeer voor DNAT en WAF vergelijken met MDR-, NDR- en Third-Party Threat Feeds. Zo kunnen bekende scanners en botnets worden herkend voordat ze gepubliceerde services bereiken.

Om deze treffers in het Active Threat Response-log weer te geven, moet onder System services > Log settings > Active threat response de optie Remote source match (inbound traffic) zijn geactiveerd. Deze is standaard uitgeschakeld. Zonder deze instelling kan de blokkering werken terwijl de verwachte DNAT- of WAF-gebeurtenissen ontbreken in de Log Viewer.

Typische toepassingen

Threat Feeds helpen niet alleen bij uitgaand clientverkeer. Vooral publiek bereikbare diensten worden vaak binnen korte tijd automatisch gescand.

• DNAT naar interne servers: een IPv4-feed kan bekende schadelijke bronnen blokkeren voordat ze de gepubliceerde server bereiken.
• WAF-publicaties: reputatiegegevens vullen WAF-regels aan tegen botverkeer, CVE-scans, CMS-probes en credential stuffing.
• VPN Portal, User Portal en WebAdmin: deze diensten worden eerst beveiligd met MFA, bronnetwerken en Device Access en Local Service ACL. Threat Feeds verminderen daarnaast bekende aanvalsbronnen.
• Uitgaand clientverkeer: domein- en URL-feeds kunnen bekende malware-, phishing- en C2-doelen blokkeren.
• Intensief gescande WAN-adressen: een goede IPv4-feed vermindert geautomatiseerde ruis en ontlast de firewall en logs.

Threat Feeds vormen een aanvulling op basishardening, maar vervangen deze niet. Gepubliceerde diensten vereisen nog steeds restrictieve DNAT- of WAF-regels, alleen noodzakelijke poorten, passende bron- of landbeperkingen, IPS of WAF en ingeschakelde logging. Een feed is geen vrijbrief voor brede Any-regels. De overkoepelende aanpak staat in de Sophos Firewall Hardening Hub.

Synchronisatie en werking controleren

Het ophalen van de feed en het verkeerseffect afzonderlijk testen

Sync status: Success bevestigt een geslaagde verbinding of HTTP-GET-aanvraag naar de External URL, niet de volledigheid of geslaagde verwerking van alle verwachte indicatoren. Test connection is eveneens alleen een verbindingscontrole. Een volledige controle omvat drie niveaus:

1. Ophalen: Test connection, Sync status, Last updated en Storage quota zijn aannemelijk.
2. Inhoud: onder Threat indicators staat een verwachte IoC.
3. Effect: gecontroleerd testverkeer veroorzaakt een treffer in Log viewer > Active threat response of op de geconfigureerde Sophos Fusion- of syslogbestemming. Afhankelijk van de match zijn de feednaam, Log/Drop, de matchrichting, bron en bestemming of URL, protocol en poorten te volgen.

Voor een reproduceerbare test kan een korte eigen pilotfeed op een beheerde HTTPS-server worden gebruikt. Deze bevat het IPv4-adres van een eveneens beheerde testbestemming. De feed blijft op Monitor, een labclient maakt verbinding met de testbestemming en de beheerder controleert de logvermelding. Gebruik geen actieve malwarebestemmingen of systemen van derden voor tests.

Synchronisatie en Storage Quota

Deze waarden in het feedoverzicht zijn belangrijk voor dagelijks beheer:

• Success, Fetching of Disabled onder Sync status
• de verwachte tijdstempel onder Last updated
• een aannemelijk aantal Threat indicators
• voldoende beschikbare Storage quota
• een geslaagde handmatige update via Synchronize now

De Summary toont Active feeds als het aantal actieve en het totale aantal geconfigureerde feeds, Total threat indicators als het aantal IPv4-, domein- en URL-indicatoren en Storage quota als de gebruikte opslagruimte binnen het modelafhankelijke quotum. Grotere appliances hebben meer ruimte dan desktopmodellen. Refresh werkt alleen deze weergegeven tellers bij. Synchronize now onder Manage haalt daarentegen de geselecteerde feed direct op. Afzonderlijke IoC’s kunnen via Threat indicators of via het aantal onder Total indicators van de betreffende feed worden geopend en doorzocht. Fetching betekent dat de download bezig is; Disabled betekent dat de feed is uitgeschakeld.

Controleer bij Authentication error eerst de API-keynaam, de geheime waarde en de verzendlocatie, of de gebruikersnaam en het wachtwoord. Als deze gegevens kloppen, onderzoek dan ook of de TLS-handshake is mislukt: controleer het certificaat en de vertrouwensketen van de feedserver en bespreek dit zo nodig met de provider. Niet elke authenticatiefout is een TLS-fout. Validate server certificate blijft ingeschakeld; ontbrekend CA-vertrouwen wordt verholpen met het juiste CA-certificaat, niet door de controle uit te schakelen.

Controleer bij Connection error DNS, internettoegang, de feedserver en de HTTP-status; ook 404, 500 en 302 zijn mogelijke oorzaken. SSL/TLS error is een afzonderlijke status voor certificaatproblemen. Controleer bij Failed of het daadwerkelijk geleverde bestand tekst zonder opmaak bevat, met één indicator per regel en passende ondersteunde typen; ook andere fouten zijn mogelijk. Voer na de correctie Test connection en Synchronize now opnieuw uit, controleer de tijdstempel en de verwachte IoC en herhaal pas daarna de gecontroleerde verkeerstest. Als de fout blijft bestaan, leg dan de status, het tijdstip en opgeschoonde feedgegevens zonder geheimen vast voor de provider of support.

Storage full betekent dat er onvoldoende ruimte is voor de volledige lijst. De firewall blijft de feed volgens het geconfigureerde polling-interval ophalen, maar werkt de opgeslagen IoC-lijst pas weer bij zodra er ruimte beschikbaar is. Beoordeel daarom omvang, kwaliteit en prioriteit van de feeds in plaats van meer lijsten toe te voegen. Op XGS 87/87w, 88/88w en 107/107w zijn voor Third-Party Threat Feeds alleen de polling-intervallen 24h, 7d en 30d beschikbaar. Een providerfeed die vaker wordt bijgewerkt, heft deze appliancebeperking niet op.

Als er geen treffers verschijnen

Gebruik deze controlevolgorde:

1. Feed actief, Sync status: Success en verwachte IoC onder Threat indicators
2. een MDR-, NDR- of X-Ops-detectie met hogere prioriteit voor dezelfde IoC
3. Active Threat Response-logging en bij DNAT/WAF Remote source match
4. de passende firewallregel en de logging daarvan
5. bij domeinen en URL’s Application Classification of een IPS-policy
6. bij URL’s Web Proxy of DPI en SSL/TLS Inspection
7. Threat Exclusions, Web Exclusions en SSL/TLS Exclusion Lists

Om een toegestane domein- of URL-IoC tot de verantwoordelijke regel te herleiden, Log viewer > Web filter openen, in Category naar de IoC of direct naar het domein zoeken en de detailweergave openen. Daar staan de Firewall Rule ID en de in die regel geselecteerde Web policy. Als de overeenkomende beleidsactie Allow is, de volgorde van regels en beleid controleren. Een bewuste blokkering gebruikt een nauw begrensde URL Group in een blokkerende Web Policy die aan een LAN-to-WAN-regel met hogere prioriteit is toegewezen. Daarna dezelfde verkeerstest herhalen.

Voor het DPI-pad ook Log viewer > SSL/TLS inspection openen, in Server name naar de URL zoeken en Action en SSL/TLS rule controleren. Een URL-IoC vereist Decrypt. Als de treffer Don't decrypt toont, identificeert de Rule ID de uitzondering of regel die decryptie omzeilt. Pas na deze toewijzing een nauw begrensde URL Group aan een Decrypt-regel met hogere prioriteit toevoegen. TLS Inspection stapsgewijs uitrollen beschrijft de gecontroleerde aanpak.

Als een feed gedurende een representatieve observatieperiode geen relevante treffers oplevert, moet het nut ervan opnieuw worden beoordeeld. Bevestig eerst dat het ophalen en de inspectie correct werken en controleer of MDR, NDR of X-Ops dezelfde IoC’s al detecteren. Een korte test zonder treffers is geen reden om de feed te verwijderen. Als de feed daarna daadwerkelijk redundant blijkt, documenteer dan vóór verwijdering de naam, URL, het indicatortype, de actie, positie, het polling-interval en de veilige opslaglocatie van de inloggegevens. Verwijder de gecontroleerde feed onder Protect > Active threat response > Third-party threat feeds om opslagruimte vrij te maken. Controleer vervolgens Refresh, Storage quota en Active feeds en haal een feed die eerder op Storage full vastliep opnieuw op met Synchronize now. Om de verwijdering terug te draaien, wordt de verwijderde feed opnieuw aangemaakt met de gedocumenteerde waarden, eerst in de modus Monitor. Tijdelijk uitschakelen voor een rollback staat hier los van; dit wordt niet beschouwd als bewijs dat opslagruimte is vrijgemaakt.

False positives afhandelen

Open bij een onjuiste blokkering eerst de logvermelding en documenteer feednaam, Log/Drop, matchrichting, bron en bestemming of URL, protocol en poorten. Controleer vervolgens of het verkeer legitiem is, meld de betreffende indicator bij de feedprovider en maak alleen een zo beperkt mogelijke uitzondering met reden, verantwoordelijke en controledatum.

Een brede uitzondering voor volledige netwerken is geen goede oplossing. Bij domein- of URL-treffers kunnen ook TLS Inspection, een Web Policy, DNS Protection of een andere beveiligingsfunctie betrokken zijn.

Maak een gecontroleerde uitzondering onder Protect > Active threat response > Add threat exclusions. Selecteer onder Host and network exclusions > Add new item bestaande host- of netwerkobjecten. Voer onder Threat exclusions één IP-adres, domein of URL in; een invoer mag maximaal 128 tekens bevatten. Herhaal na Add en Apply dezelfde verkeerstest en bevestig in de Log Viewer dat alleen de verwachte detectie uitblijft.

⚠️ Een Threat Exclusion geldt voor alle Active Threat Response-modules, niet alleen voor de feed die de false positive veroorzaakte. Beoordeel vóór Apply het effect op MDR, NDR, Sophos X-Ops en Third-Party Threat Feeds. Documenteer de invoer, reden, eigenaar en controledatum en verwijder de uitzondering zodra deze niet meer nodig is.

Backup en restore

Een firewallbackup bevat de configuratie van Third-Party Threat Feeds, maar niet de gedownloade lijsten. Na een restore haalt de firewall de bronnen onmiddellijk opnieuw op en past de geconfigureerde actie toe. DNS, internettoegang, certificaatvalidatie en inloggegevens moeten daarom direct na het herstel werken.

Threat Feed-configuraties kunnen niet afzonderlijk worden geïmporteerd of geëxporteerd; Threat Exclusions wel. Na een restore moeten het ophalen van de feed, het aantal IoC’s en het verkeerseffect opnieuw worden gecontroleerd.

ThirdPartyFeed via XML automatiseren

Voor de automatisering van dezelfde feedconfiguratie gebruikt de XML-interface het object ThirdPartyFeed. Dit configureert het ophalen en de actie, niet de afzonderlijke gedownloade IoC’s. Toegang, de expliciete schrijfbewerking, de versieafhankelijke opbouw van requests en de veilige beoordeling van antwoorden worden toegelicht onder XML-API-toegang beveiligen. De volgende veldnamen en limieten gelden voor SFOS 22 en 23; zij vormen geen volledig schrijfrequest. Bevestig vóór gebruik de concrete Add-/Edit-bewerking en de bijbehorende payload in API help van de geïnstalleerde build. Voer bij onduidelijke syntaxis of een conflict tussen bronnen geen schrijfbewerking uit, maar stem dit af met Support.

Koppel vóór een wijziging de bestaande feed via zijn Name aan de juiste configuratie in WebAdmin en leg de naam, het indicatortype, de URL, de actie, de activeringsstatus, de positie en het pollinginterval vast. De naam duidt de feedconfiguratie aan, niet de aanbieder of een afzonderlijke IoC. Dezelfde aanbieder kan meerdere afzonderlijk benoemde configuraties voor IPv4, domeinen en URL’s hebben. Leid uit de objectnaam geen ongeverifieerde semantiek voor Rename, Upsert of overschrijven af.

• Identiteit en bron: Name is verplicht, staat maximaal 63 tekens toe en alleen letters, cijfers, underscores en koppeltekens. Description is optioneel en beperkt tot 255 tekens. ExternalURL is verplicht en beperkt tot 1024 tekens; blijf een rechtstreeks bereikbare HTTPS-feed in platte tekst met één indicator per regel gebruiken.
• Actie en volgorde: Action vereist exact block of monitor, overeenkomstig Block respectievelijk Monitor in de UI. monitor logt treffers zonder blokkering door de feed; block logt en blokkeert. De labels Log only en Log and drop van andere modules zijn geen vervangende waarden voor dit veld. Position staat top of bottom toe, overeenkomstig Top of Bottom. Hiermee wordt de positie binnen de Third-Party Feeds gekozen, niet hun voorrang ten opzichte van MDR, NDR Essentials of Sophos X-Ops. Block- en Monitor-lijsten blijven gescheiden; de eerste treffer per lijst is bepalend.
• Indicatortype: IndicatorType vereist ip, domain of url, overeenkomstig IPv4 address, Domain of URL. ip is hier geen IPv6-, netwerk- of bereiktype. Maak voor elk gewenst indicatortype een eigen configuratie aan.
• Authenticatie: Authorization vereist noAuthentication, basicAuthentication of apiKey. Alleen bij Basic Authentication horen Username en Password erbij, elk met maximaal 64 tekens. Alleen bij API-key-authenticatie horen Key, Value en AddTo erbij: de sleutelnaam en de geheime waarde zijn gescheiden en elk beperkt tot 64 tekens; de plaats van overdracht is exact header of queryParam, overeenkomstig Header of Query parameters. De eis van de aanbieder is bepalend, niet een veronderstelde standaardwaarde. Gebruik alleen de velden die bij de methode horen; haal secrets uit een beveiligde secret store en houd ze buiten XML-bestanden in de repository, URL’s in tickets, shellgeschiedenis, screenshots en logs. Let bij queryparameters extra op het maskeren van gelogde feed-URL’s.
• Certificaatvalidatie: ValidateServerCertificate is verplicht; het objectvoorbeeld toont true en false. Schakel de validatie voor veilig gebruik expliciet in en zorg vooraf dat de juiste CA wordt vertrouwd. Een TLS- of authenticatiefout rechtvaardigt niet dat de validatie wordt uitgeschakeld.
• Ophaalinterval: PollingInterval is verplicht en staat uitsluitend 5m, 15m, 30m, 1h, 6h, 24h, 7d of 30d toe. Dit zijn vaste tokens, geen vrij te kiezen aantal minuten. Op XGS 87/87w, 88/88w en 107/107w blijft de keuze beperkt tot 24h, 7d en 30d. Zo past 1h bij een update die de aanbieder elk uur uitvoert, maar alleen op een model dat dit interval ondersteunt.
• Activering en standaardwaarden: Voor Enabled vermeldt de parametertabel 1 en 0, maar het objectvoorbeeld true en false. Dit is een onopgelost verschil in weergave, geen bewijs dat de schrijfwijzen onderling uitwisselbaar zijn. Bepaal vóór een schrijfpoging welke vorm geldig is in de geïnstalleerde build. De tabel noemt monitor, top, ip en noAuthentication als standaardwaarden; vergelijk die met de daadwerkelijk opgeslagen configuratie. Stel actie, positie, type en authenticatie bewust in, in plaats van te vertrouwen op weggelaten waarden.

Add-/Edit-antwoorden veilig interpreteren

Voor Add Third-party threat feed en Edit Third-party threat feed zijn de volgende koppelingen gedocumenteerd. De Message.*-waarden zijn onopgeloste berichtsymbolen, geen letterlijke foutteksten en geen op zichzelf staande instructie voor te nemen maatregelen:

In het bijzonder horen 409 / Message.CPResourceConflict bij Add en 404 / Message.CPRecordNotFound bij Edit. Stel deze objectspecifieke koppelingen niet gelijk aan algemene XML-codes of een HTTP-transportstatus; het daadwerkelijke antwoord en Status Message Information in de build zijn bepalend. Vergelijk na elke wijziging de opgeslagen feed in WebAdmin met de beoogde waarden en controleer de Audit Trail. Controleer bij een fout, time-out of onduidelijk antwoord eerst de daadwerkelijk opgeslagen toestand voordat een Add of Edit opnieuw wordt verzonden. Leid uit een symbool geen automatische herhaling, hernoeming of vermeende foutoplossing af.

Een passend configuratieantwoord bewijst niet dat de feed is opgehaald, welke IoC-inhoud deze bevat of welk effect deze op het verkeer heeft. Controleer daarna nog steeds Test connection, Synchronize now, Last updated, Storage quota, een verwachte IoC en een gecontroleerde verkeerstest met Monitor. Schakel pas na deze controle over op Block; herstel bij onverwachte uitval de eerder vastgelegde actie of deactiveer de feed gecontroleerd zoals hierboven beschreven, en stel niet als vervanging een globale Threat Exclusion in.

Cybora Threat Feeds voor Sophos Firewall

Cybora levert zijn IPv4-, domein- en URL-feeds als tekstbestanden via HTTPS, met één indicator per regel. Volgens de openbare productbeschrijving combineert Cybora OSINT- en communitybronnen, commerciële Threat Intelligence, honeypots, sensoren en firewallsignalen. Het formaat past daardoor rechtstreeks op de third-party interface van SFOS, maar een pilot in de modus Monitor moet de waarde in het eigen netwerk nog steeds aantonen.

Cybora dient hier als concreet voorbeeld van een provider. Voor iedere andere provider gelden dezelfde technische selectiecriteria: passende indicatortypen, een rechtstreeks opvraagbaar bestand, actuele gegevens, aanvaardbare false positives, traceerbare treffers en een bereikbaar correctieproces.

Abonnementen vergelijken

Free (Basic) bevat alleen IPv4-indicatoren en wordt elke 24 uur bijgewerkt; daarmee kunnen levering en SFOS-compatibiliteit vóór aankoop worden gevalideerd. Standard levert om de zes uur IPv4 en een kleinere domeinset. Premium levert elk uur IPv4, domeinen en URL’s, terwijl Ultimate dezelfde indicatortypen elke 15 minuten levert. Op XGS 87/87w, 88/88w en 107/107w blijft het kortste selecteerbare SFOS-pollinginterval echter 24h, ongeacht het providerabonnement.

Naast aantal en prijs zijn ook actualiteit, ondersteunde indicatortypen, bronkwaliteit, update-interval, risico op false positives en traceerbaarheid in de Log Viewer belangrijk. De juiste feed is de feed die in de eigen omgeving relevante treffers met aanvaardbare neveneffecten oplevert.

Avanet Firewall Network

Een deel van de Premium-feed is afkomstig van een gedistribueerd firewallnetwerk. Dit perspectief helpt bij aanvalspatronen die op één firewall nauwelijks zichtbaar zijn.

Bij gedistribueerde brute-forceaanvallen voert elke bot slechts enkele mislukte aanmeldpogingen uit en blijft daardoor vaak onder een lokale drempelwaarde. Door geanonimiseerde signalen te combineren, worden IP-adressen zichtbaar die doelgericht infrastructuur op meerdere systemen aanvallen. Zo ontstaat een voortdurend bijgewerkte Threat Intelligence Feed voor automatische verdediging.