Sophos Firewall TLS-inspectie correct implementeren

Een groot deel van het huidige webverkeer is versleuteld. Zonder TLS-inspectie ziet de firewall vaak alleen het doel-IP, SNI, certificaatinformatie en metadata, maar niet de eigenlijke inhoud van de verbinding.

Dit is een beveiligingsprobleem: veel beschermingsfuncties kunnen de versleutelde payload niet of slechts beperkt controleren. Malware-scanning, webbescherming, zero-day-analyse, content-scanning en delen van applicatie- of dreigingsdetectie worden pas echt effectief wanneer de firewall het TLS-verkeer kan ontsleutelen, controleren en vervolgens weer versleutelen. Ook IPS en NDR profiteren van meer zichtbaarheid in platte tekst. Zonder ontsleuteling blijven veel signalen beperkt tot metadata, certificaten, IP’s, domeinen of protocolinformatie.

TLS-inspectie is echter geen functie die je onvoorbereid voor alle gebruikers moet activeren. Het kan applicaties verstoren, privacykwesties raken en de firewall zwaarder belasten. Daarom moet TLS-inspectie gepland, stapsgewijs en met een duidelijke uitzonderingsstrategie worden geïmplementeerd.

Oriëntatie

Begin met de vraag welke beveiligings- of configuratiemethode bij de situatie past. Zo voorkom je te brede regels en dubbel troubleshootingwerk.

Licentie en vereisten

Voor TLS-inspectie en de zinvolle evaluatie van het ontsleutelde verkeer zijn de juiste beschermingslicenties nodig.

Belangrijk zijn vooral:

• Web Protection: Bevat webbeveiliging, webcontrole, applicatiecontrole en webmalwarebescherming.
• Network Protection: Bevat onder andere IPS, Security Heartbeat en andere netwerkbeschermingsfuncties.
• Zero-Day Protection: Wordt belangrijk wanneer bestanden of downloads aanvullend via machine learning of sandbox moeten worden geanalyseerd.

Web Protection is opgenomen in het licentiepakket Standard Protection. Xstream Protection en Epic Protection bevatten ook Web Protection en andere beschermingsmodules. Voor de indeling van de pakketten zie Welke Sophos Firewall Bundles zijn er?; voor basislicentie, ondersteuningsstatus en abonnementen zie Sophos Firewall Base License begrijpen.

Belangrijk bij de planning: SSL/TLS Inspection Rules en URL groups kunnen ook met een Base License relevant zijn. Web categories kunnen wel worden geconfigureerd, maar zonder Web Protection worden ze niet als webcategoriecriterium afgedwongen. Wie categories, Web Policies, malware scanning of Zero-Day-functies serieus wil gebruiken, heeft daarom de passende beschermingslicentie nodig en moet dat niet pas tijdens de pilot ontdekken.

Voor de uitrol moet je controleren:

• De huidige Sophos Firewall-firmware is geïnstalleerd.
• Web Protection is gelicentieerd.
• CA-certificaat van de firewall is op de clients verspreid.
• Testgroep of testnetwerk is gedefinieerd.
• Rollback is gedocumenteerd.
• Uitzonderingsproces is duidelijk.
• Logging is geactiveerd.

Als het CA-certificaat nog niet is verspreid, helpt het artikel Sophos Firewall CA-certificaat voor HTTPS-scanning installeren.

⚠️ TLS-inspectie kan applicaties verstoren die Certificate Pinning gebruiken of eigen certificaatcontroles uitvoeren. De uitrol moet altijd beginnen met een testgroep en niet direct met alle gebruikers.

De re-signing CA moet door de endpoints worden vertrouwd. In de praktijk betekent dit: het certificaat distribueren naar de trust store van besturingssysteem of browser, of een onderliggende enterprise CA gebruiken. Een publiek vertrouwde CA kan hiervoor niet zomaar worden gebruikt, omdat de firewall tijdens decryptie nieuwe servercertificaten voor externe domains ondertekent.

DPI of Web Proxy?

De Sophos Firewall kan HTTPS-decryptie in twee modi uitvoeren:

• DPI Mode: De firewallregel gebruikt de DPI-engine. SSL/TLS-inspectieregels onder Rules and policies > SSL/TLS inspection rules bepalen wat wordt ontsleuteld.
• Web Proxy Mode: De firewallregel gebruikt de Web Proxy. HTTPS-decryptie wordt dan via de webproxy-instellingen en webbeleid geregeld.

Voor moderne setups wordt vaak DPI Mode gebruikt. Sophos Firewall evalueert eerst de firewallregel en daarna de SSL/TLS Inspection Rules. Als een firewallregel Web Proxy afdwingt, grijpen DPI-gebaseerde SSL/TLS Inspection Rules niet zoals men bij een Direct Mode-regel zou verwachten.

1. Open Rules and policies > Firewall rules.
2. Bewerk de betreffende LAN-to-WAN-regel.
3. Open Security features > Web filtering.
4. Activeer het juiste webbeleid.
5. Activeer Scan HTTP and decrypted HTTPS.
6. Laat Use web proxy instead of DPI engine uitgeschakeld als SSL/TLS Inspection Rules moeten gelden.

Scan HTTP and decrypted HTTPS is belangrijk, maar schakelt HTTPS-decryptie niet alleen in. In DPI Mode zijn daarnaast passende SSL/TLS Inspection Rules nodig. In Web Proxy Mode moet HTTPS-decryptie via de proxyopties worden geactiveerd. Als Use web proxy instead of DPI engine actief is, filtert de proxy klassiek webverkeer op poort 80 en 443, terwijl DPI engine HTTP- en SSL/TLS-verkeer op andere poorten verder kan behandelen. Vóór de rollout moet dus duidelijk zijn of de omgeving Web Proxy of DPI gebruikt, anders zoekt men uitzonderingen later op de verkeerde plaats.

Welke verkeer moet je ontsleutelen?

Je moet niet blind alles ontsleutelen. Goede TLS-inspectie begint met duidelijke doelen.

Zinvolle eerste doelen:

• LAN > WAN: klassiek gebruikers-webverkeer naar het internet.
• Wi-Fi > WAN: beheerde clients in het bedrijfs-WLAN.
• VPN > WAN: Remote-access-gebruikers, wanneer hun internetverkeer via de firewall loopt.
• LAN > DMZ: interne toegang tot eigen servers, wanneer daar beveiligingscontrole gewenst is en certificaten correct zijn verspreid.

Met voorzichtigheid behandelen:

• Banken, gezondheidszorg, overheden en zeer gevoelige portalen.
• Wachtwoordmanagers en identity-providers.
• Besturingssysteem- en fabrikant-update-diensten.
• Mobiele apps en Android-apparaten.
• Applicaties met Certificate Pinning.
• Voice-, video- en samenwerkingsdiensten, als ze door decryptie instabiel worden.

Voor serverpublicaties vanuit het internet naar de DMZ is TLS-inspectie niet automatisch de beste oplossing. Bij webservers is vaak Web Server Protection / WAF of een reverse proxy zinvoller.

QUIC en Web Policy overwegen

Als webverkeer ondanks TLS-inspectie niet zoals verwacht wordt gecontroleerd, moet je ook QUIC of HTTP/3 controleren. Veel browsers kunnen HTTPS-verbindingen via UDP 443 opzetten. Afhankelijk van het regel- en webbeleidontwerp loopt het verkeer dan niet via het verwachte klassieke HTTPS-pad over TCP 443.

In client-internetregels moet daarom bewust worden gecontroleerd:

• Is het juiste webbeleid actief?
• Is Block QUIC protocol in de daadwerkelijk matchende firewallregel actief?
• Is Scan HTTP and decrypted HTTPS passend bij de decryptiestrategie ingesteld?
• Gebruikt de regel DPI of Web Proxy?
• Zie je in de Log Viewer UDP 443, TCP 443, webbeleid-events en SSL/TLS-inspectie-events consistent?

De procedure voor het blokkeren van QUIC staat in Sophos Firewall QUIC en HTTP/3 correct blokkeren. Voor het webbeleid zelf zie Sophos Firewall Web Protection Policy maken.

QUIC is extra verraderlijk omdat Block QUIC protocol in sommige web filtering-scenario’s automatisch wordt gezet, maar in gegroeide regelsets niet per se actief is op de regel die werkelijk matcht. Voor een pilot moet men daarom niet alleen de doelregel bekijken, maar de echte hit in Log Viewer controleren.

Rollout plannen

TLS Inspection moet gefaseerd worden ingevoerd zodat uitzonderingen, clientcertificaten en supportcases beheersbaar blijven.

Rollout-strategie

Een stapsgewijze aanpak heeft zich bewezen:

1. CA-certificaat verspreiden.
2. Webbeleid en firewallregel voorbereiden.
3. Decryptieprofiel selecteren.
4. Kleine testgroep definiëren.
5. SSL/TLS-inspectieregel alleen voor deze groep activeren.
6. Control Center en Log Viewer observeren.
7. Fouten analyseren en uitzonderingen goed documenteren.
8. Geleidelijk uitbreiden naar andere gebruikersgroepen.

Zo herken je vroeg welke applicaties problemen veroorzaken, zonder de gehele operatie te beïnvloeden.

Rollout-fasen plannen

Een TLS-inspectie-uitrol moet in fasen worden gepland. Hierdoor blijft het beheersbaar en kun je technische fouten van acceptatie- of applicatieproblemen scheiden.

• Voorbereiding: CA, webbeleid, firewallregel en testgroep zijn klaar. CA-verspreiding, licentie, logging, rollback
• Pilot: enkele beheerde clients testen de productieve dagelijkse gang van zaken. Log Viewer, Dashboard Widget, gebruikersfeedback
• Uitbreiding: meer gebruikersgroepen of netwerken betrekken. Uitzonderingen documenteren, prestaties observeren
• Bedrijf: TLS-inspectie wordt regelmatig gecontroleerd. Review van uitzonderingen, rapporten, fouten en nieuwe applicaties

Belangrijk is dat elke fase een duidelijk afbreekpunt heeft. Als een bedrijfskritische applicatie in de pilot faalt, moet niet meteen een brede wereldwijde uitzondering worden ingesteld. Beter is een grondige analyse: welke domein, welke client, welke regel, welk decryptieprofiel en welke fout in de Log Viewer zijn betrokken?

Pilot, eigenaar en uitzonderingsproces vaststellen

Voor de eerste productieve uitrol moet duidelijk zijn wie de testgroep beheert, wie uitzonderingen goedkeurt en hoe fouten worden gerapporteerd. TLS-inspectie genereert anders snel ongeordende uitzonderingen: individuele domeinen worden haastig op Don't decrypt gezet, zonder dat later nog duidelijk is waarom de uitzondering bestaat.

Voor de operatie moeten deze punten gedocumenteerd zijn:

• Pilotgroep, betrokken netwerken en periode.
• Eigenaar voor webbeleid, decryptieprofiel en SSL/TLS-inspectieregels.
• Proces voor nieuwe uitzonderingen met reden, ticket en reviewdatum.
• Criteria, wanneer een applicatie wordt uitgesloten en wanneer eerst de oorzaak wordt onderzocht.
• Plaats waar Log Viewer, Dashboard Widget en gebruikersfeedback worden verzameld.
• Rollback, als bedrijfskritische applicaties worden verstoord.

Bijzonder belangrijk is de scheiding tussen technische uitzondering en permanente veiligheidsbeslissing. Een tijdelijke uitzondering kan zinvol zijn, zodat een dienst weer functioneert. Deze uitzondering moet echter later opnieuw worden beoordeeld zodra oorzaak, risico en alternatief duidelijk zijn.

Rollback vóór de rollout testen

Een rollback mag niet pas tijdens een storing worden bedacht. Vóór de pilot moet duidelijk zijn hoe TLS Inspection voor de testgroep wordt teruggenomen zonder andere regels, Web Policies of uitzonderingen door elkaar te halen.

Praktische rollback-controle:

• Testgroep verwijderen: controleren of de SSL/TLS Inspection Rule daarna niet meer matcht voor de pilotclient.
• Rule deactiveren: controleren of het verkeer weer via het verwachte pad zonder decryption loopt.
• Uitzondering testen: een gerichte Don't decrypt-regel moet boven de algemene Decrypt-regel staan en zichtbaar in de Log Viewer matchen.
• Web Policy behouden: rollback van de ontsleuteling mag niet per ongeluk webfiltering, malware scanning of logging verwijderen.
• Bewijs documenteren: testclient, doeldomein, regelnaam, logevent en tijdstip vastleggen.

Deze test is vooral belangrijk wanneer meerdere admins aan Web Policies, firewallregels en SSL/TLS Inspection Rules werken. Een schone rollback neemt alleen de betrokken scope terug en maakt niet de hele Web Protection-keten blind.

Configuratie

De configuratie moet gericht, testbaar en later eenvoudig te controleren zijn.

Decryptieprofielen begrijpen

Een Decryptieprofiel bepaalt hoe streng de firewall met TLS-verbindingen omgaat. De profielen zijn te vinden onder Profiles > Decryption profiles.

Een decryptieprofiel beantwoordt onder andere deze vragen:

• Wat gebeurt er bij ongeldige of niet-vertrouwde certificaten?
• Worden oude TLS-versies geblokkeerd?
• Worden onveilige cipher suites geblokkeerd?
• Wat gebeurt er bij SSL-compressie?
• Wat gebeurt er bij niet-herkende cipher suites?
• Wat gebeurt er als de firewall een verbinding niet kan ontsleutelen?
• Welke CA wordt gebruikt voor de hernieuwde ondertekening?

Voor een eerste uitrol is een compatibeler profiel zinvol, bijvoorbeeld Maximum compatibility of een eigen conservatief profiel. Voor productieve veiligheidsregels kan later een strenger profiel zoals Block insecure SSL worden gebruikt.

Belangrijk: Het decryptieprofiel wordt direct in de SSL/TLS-inspectieregel geselecteerd. Het profiel kan de globale SSL/TLS-inspectie-instellingen voor deze regel overschrijven. Daarom moet je bij het oplossen van problemen altijd de specifieke regel en niet alleen de globale instellingen controleren.

Bij TLS 1.3 is de actie van de SSL/TLS Inspection Rule bijzonder belangrijk. Bepaalde controles zoals TLS downgrade-detectie, blokkeren van certificaatfouten of minimale eisen aan RSA-sleutels werken alleen zinvol wanneer de regel echt met Action > Decrypt werkt. Een Don't decrypt-uitzondering is dus geen mildere vorm van inspectie, maar haalt het verkeer bewust uit decryptie.

SSL/TLS-inspectieregel maken

Het menupad is Rules and policies > SSL/TLS inspection rules.

SSL/TLS Inspection Rules zijn bij nieuwe installaties normaal actief, maar kunnen handmatig worden uitgeschakeld. Als ze uit staan, verschijnen geen SSL/TLS inspection-details in Control Center of Log Viewer. Dat is belangrijk bij troubleshooting: een lege Log Viewer kan ook betekenen dat de engine of regelverwerking helemaal niet actief is.

Een eerste regel moet zo gericht mogelijk zijn:

• Actie: Decrypt
• Decryptieprofiel: conservatief testprofiel
• Bronzones: LAN of testnetwerk
• Bronnetwerken en apparaten: testgroep of testsubnet
• Bestemmingszones: meestal WAN
• Bestemmingsnetwerken: aanvankelijk Any
• Services: voor de start vaak Any, omdat SSL/TLS ook op andere TCP-poorten kan worden herkend
• Websites / Categorieën: optioneel beperken
• Log connections: activeren zodat pilot en foutanalyse traceerbaar blijven

De regel geldt alleen wanneer alle ingestelde criteria overeenkomen. Source, destination, users or groups, service en websites of categories vormen dus geen losse OF-constructie. Hoe meer criteria men instelt, hoe preciezer de scope wordt, maar hoe makkelijker een pilot schijnbaar “niet werkt” omdat één criterium niet bij het echte verkeer past.

SSL/TLS Inspection Rules kunnen TLS-verbindingen buiten de klassieke HTTPS-poort herkennen, maar niet via UDP afdwingen. De regels worden van boven naar beneden verwerkt. Specifieke uitzonderingen en pilotregels horen daarom boven algemene Decrypt-regels te staan, anders wordt later moeilijk verklaarbaar waarom een verbinding werd gedecrypt of uitgezonderd.

Voor nieuwe regels is de basislogica:

1. Rules and policies > SSL/TLS inspection rules openen.
2. Add kiezen.
3. Rule name duidelijk zetten, bijvoorbeeld TLS decrypt pilot clients.
4. Rule position zo kiezen dat uitzonderingen boven algemene Decrypt-regels staan.
5. Action kiezen: Decrypt, Don’t decrypt of Deny.
6. Log connections activeren.
7. Source, Destination, Services en Websites of Categories passend bij de pilot definiëren.
8. Decryption Profile selecteren.
9. Opslaan en direct met een testclient controleren.

Uitsluitingslijsten

Niet al het TLS-verkeer moet worden ontsleuteld. Sophos werkt hiervoor met uitsluitingsregels en TLS-uitsluitingslijsten.

Lokale TLS-uitsluitingslijst

De Local TLS exclusion list is de lokale uitsluitingslijst van de firewall. Deze lijst is standaard leeg en kan worden gevuld door troubleshooting in het Control Center of Log Viewer.

Je kunt deze ook handmatig bewerken:

Web > URL groups > Local TLS exclusion list

Deze lijst is nuttig voor domeinen die in de eigen omgeving problemen veroorzaken, bijvoorbeeld vanwege Certificate Pinning of speciale clientapplicaties.

Beheerde TLS-uitsluitingslijst

De Managed TLS exclusion list bevat door Sophos beheerde uitzonderingen voor bekende problematische diensten. Deze lijst wordt bijgewerkt via firmware-updates.

Typische voorbeelden zijn diensten waarbij TLS-inspectie volgens ervaring problemen veroorzaakt of technisch niet zinvol is.

Eigen uitsluitingsregels

Daarnaast kun je eigen SSL/TLS-inspectieregels maken met Action > Don’t decrypt. Deze moeten direct onder de standaarduitsluitingsregel staan en alleen verkeer bevatten dat echt niet moet worden ontsleuteld.

Mogelijke criteria:

• Webcategorieën
• URL-groepen
• Gebruikers en groepen
• Bron- en bestemmingsnetwerken
• IP-adressen
• Services

Uitzonderingen moeten worden gedocumenteerd: domein, reden, betrokken gebruikers, datum en reviewdatum.

SSL/TLS Exclusions en Web Exceptions zijn niet hetzelfde hulpmiddel. Een SSL/TLS Exclusion bepaalt of een TLS-verbinding wordt ontsleuteld en kan in DPI Mode gelden voor SSL/TLS-verbindingen op elke TCP-poort. Een Web Exception hoort sterker bij de Web Policy-context, bijvoorbeeld HTTPS decryption, certificate validation, malware of content scanning, Zero-Day Protection of Web Policy checks. In de praktijk moet men dus eerst bepalen of echt de ontsleuteling moet worden uitgezonderd of dat alleen een Web Policy-uitzondering nodig is.

Voor niet-decrypteerbare maar vertrouwde legacy-verbindingen kan een eigen Decryption Profile zinvol zijn dat bepaalde gevallen zoals oude SSL-versies, SSL compression of unrecognized cipher suites als Allow without decryption behandelt. Dit is geen algemene best practice voor normaal webgebruik, maar een gerichte compatibiliteitskeuze voor duidelijk benoemde doelen. Voor productieve internetregels moeten zulke uitzonderingen smal begrensd en regelmatig gecontroleerd worden.

Controle en analyse

Na activering laten dashboard en Log Viewer zien of verkeer daadwerkelijk wordt ontsleuteld of uitgesloten.

Dashboard Widget observeren

In het Control Center is er een widget voor SSL/TLS-inspectie. Deze widget is zeer nuttig om de uitrol en fouten te monitoren.

Het toont onder andere:

• Aandeel ontsleutelde SSL/TLS-sessies.
• Aandeel niet-ontsleutelde SSL/TLS-sessies.
• Overig verkeer.
• Fouten van de laatste dagen.
• Top-websites of top-gebruikers met problemen.
• Decryptie piek en decryptie limiet.

Als er veel fouten in de widget verschijnen, moet je niet meteen de gehele TLS-inspectie uitschakelen. Beter is het om via Fix errors gericht de getroffen doelen te controleren en indien nodig schone uitzonderingen te maken.

Log Viewer evalueren

In de Log Viewer kun je het filter SSL/TLS inspection selecteren. Daar zie je wat er met individuele verbindingen is gebeurd.

De kleuren helpen bij de eerste beoordeling:

• Rood: Fout. De verbinding kon niet correct worden ontsleuteld of verwerkt. Hier moet je certificaatfouten, cipher suites, TLS-versies of incompatibele applicaties controleren.
• Groen: Niet ontsleutelen. De verbinding werd bewust niet ontsleuteld, bijvoorbeeld vanwege een uitsluitingsregel of een TLS-uitsluitingslijst.
• Blauw: Ontsleutelen. De verbinding werd ontsleuteld en vervolgens weer versleuteld doorgestuurd.

In de log zie je bovendien decryptieprofiel, bron-IP, doel-IP, gebruiker, categorie en doeldomein. Hiermee kun je controleren of de juiste regel matched en of een uitzondering echt van toepassing is.

Bij Don't decrypt moet altijd worden gecontroleerd waarom niet werd gedecrypt: standard exclusion, Managed TLS exclusion list, Local TLS exclusion list, eigen uitzondering of verkeerde regelvolgorde. Een groene verbinding betekent alleen dat ze niet werd gedecrypt; het bewijst nog niet dat de uitzondering inhoudelijk juist is.

Tests

Na activering van de TLS-inspectie moet je controleren:

• Wordt het Sophos CA-certificaat in de browser gebruikt?
• Werken belangrijke zakelijke applicaties?
• Zijn er TLS-fouten in de Log Viewer?
• Worden malware- of webbeleid-events correct herkend?
• Wordt het verkeer in het Control Center-widget als ontsleuteld weergegeven?
• Blijft de firewall-prestatie binnen het verwachte bereik?
• Zijn er klachten van testgebruikers?

Voor het oplossen van problemen zijn vooral Log Viewer, Policy Test, browser-certificaatweergave, Packet Capture en het SSL/TLS-inspectiewidget nuttig.

Troubleshooting en beheer

TLS Inspection-problemen worden meestal opgelost met duidelijke uitzonderingen, gecontroleerde rollback en regelmatige review.

Typische fouten

• Browser toont certificaatwaarschuwing: CA ontbreekt in de Trust Store of verkeerde CA wordt gebruikt. CA-verspreiding, certificaatketen in de browser, client-herstart
• Log Viewer toont geen SSL/TLS-inspectie-events: verkeerde modus, geen passende regel of SSL/TLS-engine niet actief. Firewall-regel, DPI/Web Proxy, SSL/TLS-inspectieregel
• Verkeer wordt toegestaan, maar niet ontsleuteld: Don't decrypt regel, beheerde uitsluiting of verkeerde regelvolgorde. SSL/TLS-inspectieregels van boven naar beneden controleren
• Webfilter werkt niet zoals verwacht: Webbeleid ontbreekt, QUIC actief of Scan HTTP and decrypted HTTPS verkeerd begrepen. matchende firewallregel, QUIC, webbeleid-log
• Android-clients verliezen internet of Play Store-toegang: vaak speelt Certificate Pinning mee. Controleer mobiel-device-netwerk, Google-doelen en gerichte Don't decrypt-regel.
• Individuele applicaties vallen uit: Certificate Pinning, oude TLS-versie, incompatibele cipher suite of eigen certificaatcontrole. Log Viewer, decryptieprofiel, gerichte uitzondering
• Veel fouten in Dashboard Widget: te brede uitrol of ongeschikt decryptieprofiel. Pilotgroep verkleinen, fouten sorteren op domein en categorie
• Prestaties dalen na activering: te brede scope, grote downloads of te veel gelijktijdige sessies. Decryptiescope, firewallbelasting en topgebruikers controleren
• Uitzondering werkt niet: Uitzondering staat onder een algemenere decryptieregel. Regelvolgorde en matchende criteria controleren

Bij onduidelijke gevallen moet je niet meerdere dingen tegelijk veranderen. Beter is een nauwe testcase: een client, een doeldomein, een firewallregel, een decryptieprofiel en een duidelijk tijdstip in de Log Viewer.

Rollback

Als er verstoringen optreden, moet een duidelijke rollback mogelijk zijn:

• SSL/TLS-inspectieregel deactiveren.
• Testgroep uit de regel verwijderen.
• Decryptieprofiel versoepelen.
• Uitzondering voor getroffen domein of applicatie toevoegen.
• Firewallregel weer op Web Proxy instellen, als dat bewust gewenst is.

SSL/TLS-inspectieregels en de SSL/TLS-engine moeten zichtbaar actief zijn, zodat Control Center en Log Viewer de details weergeven. Als je SSL/TLS-inspectie voor troubleshooting-doeleinden deactiveert, moet je deze daarna weer activeren en de toestand kort documenteren.

Bedrijfsaanbeveling

TLS-inspectie is geen een-klik-project. Correct geïmplementeerd levert het echter aanzienlijk meer zichtbaarheid en verbetert het de effectiviteit van Web Protection, Malware Scanning, IPS, NDR en Zero-Day-functies.

Voor productieve omgevingen raden we aan:

• Eerst LAN-to-WAN voor een kleine testgroep.

• CA-certificaat correct verspreiden.

• DPI/Web Proxy-modus bewust kiezen.

• Decryptieprofiel niet te agressief starten.

• Log Viewer en Dashboard dagelijks observeren.

• Uitzonderingen documenteren en regelmatig controleren.

• Pas na succesvolle tests verder uitrollen.

• Rollback voor pilotgroep en uitzonderingen getest houden.

FAQ