Sophos Firewall TLS-inspectie correct implementeren

Met TLS Inspection beëindigt Sophos Firewall de versleutelde verbinding van de client en brengt een tweede verbinding met de doelserver tot stand. Daartussen kan de firewall de onversleutelde inhoud inspecteren. De firewall ondertekent het servercertificaat dat aan de client wordt aangeboden opnieuw met zijn eigen CA (Certificate Authority). Als de client deze CA niet vertrouwt, wordt er een certificaatwaarschuwing weergegeven of wordt de verbinding verbroken.

Dit maakt het mogelijk om ontsleutelde inhoud te inspecteren, zoals malware- en inhoudsscans. Zonder ontsleuteling kunnen de beveiligingsfuncties, afhankelijk van de module, beperkt zijn tot informatie zoals het IP-adres, domein, SNI, certificaat of protocolmetagegevens. Dat rechtvaardigt geen brede initiële inzet: certificate pinning, privacy, applicatiecompatibiliteit en de extra belasting van de firewall moeten vóór de uitrol worden aangepakt.

De veilige korte versie is: bepaal of u het DPI- of Web Proxy-pad wilt gebruiken, distribueer de opnieuw ondertekenende CA naar een kleine groep, documenteer de huidige status, maak een ontsleutelingsregel met een beperkt bereik, voer één positieve en één negatieve test uit en breid pas daarna het bereik uit.

Beslissingen vóór de pilot

Licentie, CA en verantwoordelijkheid

SSL/TLS-inspectieregels en URL-groepen die daarin worden gebruikt, worden afgedwongen met de Base License. Web Protection is geen algemene vereiste voor TLS-inspectie. Dit is vereist wanneer webcategorieën worden gebruikt als regelcriteria of wanneer de overeenkomstige Web Protection-functies nodig zijn. Malware-, Zero-Day- en andere inspecties vereisen elk het betreffende abonnement. Welke Sophos Firewall-bundels zijn beschikbaar? en Inzicht in de basislicentie van Sophos Firewall leggen de verschillen uit.

Verduidelijk het volgende voordat u de eerste regel maakt:

• Documenteer de gebruikte SFOS-versie, de beschikbare licentie en het beoogde inspectiepad.
• Definieer een beheerde pilotgroep en een duidelijk tijdvenster. In het onderstaande voorbeeld wordt client 10.20.30.50 van testnetwerk 10.20.30.0/24 gebruikt; vervang deze waarden door uw eigen objecten.
• Goedkeuring verkrijgen van de verantwoordelijke privacy-stakeholders voor de reikwijdte, logging, retentie en gebruikersmelding.
• Maak een back-up van de exacte beginstatus van de firewallregel, TLS-regels, ontsleutelingsprofiel, CA en eventuele algemene instellingen.
• Leg de eigenaar, de afbreekcriteria, het uitzonderingsproces en het terugdraaipad vast.

De opnieuw ondertekenende CA moet zich in de truststore van de betrokken besturingssystemen of browsers bevinden. U kunt ook een ondergeschikte ondernemings-CA gebruiken. Hiervoor is geen publiek vertrouwde CA beschikbaar, omdat de firewall certificaten voor domeinen van derden opnieuw ondertekent. Bij een externe CA moeten zowel de root- als de ondergeschikte CA worden geïmporteerd; als de ondertekenende CA een EKU-sectie bevat, moet deze TLS Web Server Authentication toestaan. Installeer het Sophos Firewall CA-certificaat voor HTTPS-scannen beschrijft de distributie, terwijl Een ondergeschikte CA instellen voor Sophos Firewall TLS-inspectie de enterprise CA-methode omvat.

⚠️ Begin niet met alle gebruikers. Apparaten zonder beheerbare truststore, BYOD en applicaties die gebruik maken van certificate pinning moeten in eerste instantie in een aparte scope blijven. Een uitzondering herstelt de verbinding, maar sluit de inhoud uit van ontsleuteling.

Houd DPI en Web Proxy gescheiden

SFOS gebruikt standaard de DPI engine. Op dit pad verwerkt de firewall eerst de firewallregel en vervolgens de SSL/TLS-inspectieregels. De inspectieregel staat zelf geen verkeer toe: zelfs Services: Any betekent alleen dat TLS-verkeer dat al is toegestaan ​​door de firewallregel op elke TCP-poort in aanmerking komt voor deze inspectieregel.

Voor het DPI-pad opent u Rules and policies > Firewall rules, bewerkt u de relevante LAN-naar-WAN-regel en controleert u onder Security features > Web filtering:

1. Laat Use web proxy instead of DPI engine uitgeschakeld.
2. Selecteer alleen een webbeleid als de geplande bescherming dit vereist; het is geen voorwaarde voor de ontsleutelingsregel.
3. Scan HTTP and decrypted HTTPS maakt scannen op malware mogelijk voor HTTP en HTTPS die al zijn ontsleuteld. De optie schakelt zelf geen HTTPS-ontsleuteling in.

In Web Proxy Mode handelt de proxy de HTTPS-ontsleuteling af. Decrypt HTTPS during web proxy filtering is de relevante instelling op het proxypad. DPI-regels onder Rules and policies > SSL/TLS inspection rules zijn niet van toepassing op verbindingen die zijn ontsleuteld door de Web Proxy. Met de transparante proxy passeren de poorten 80 en 443 de proxy, terwijl SSL/TLS op andere poorten nog steeds kan worden afgehandeld via het DPI-pad; met de expliciete proxy voert de webproxy ontsleuteling uit.

De CA’s zijn ook gescheiden: DPI gebruikt de CA uit de SSL/TLS-instellingen of het geselecteerde ontsleutelingsprofiel. De webproxy gebruikt de CA van Web > General settings. Wanneer u van modus verandert, controleer dan niet alleen de regels, maar ook de daadwerkelijk gepresenteerde CA. Kies de DPI-engine of webproxy correct legt de verschillen gedetailleerder uit.

Dit uitgaande inspectiepad is niet bedoeld voor webservers die op internet zijn gepubliceerd. Web Server Protection / WAF of een reverse proxy is daar meestal de meest geschikte architectuur. SSL/TLS-inspectieregels zijn van toepassing op uitgaand verkeer, dus alleen interne zones kunnen worden geselecteerd als Source zones. Ze detecteren TLS op elke TCP-poort, maar worden niet afgedwongen via UDP.

Neem QUIC op in het inspectiepad

QUIC, of ​​HTTP/3, maakt gebruik van UDP. Block QUIC protocol in een firewallregel verwerpt uitgaande UDP-pakketten naar de poorten 80 en 443 binnen het bereik van die regel, waardoor clients gedwongen worden terug te vallen op een inspecteerbaar TCP-pad. SFOS selecteert deze optie standaard zodra een webbeleid in de regel is geselecteerd of Scan HTTP and decrypted HTTPS is ingeschakeld. Dit geldt per regel, niet globaal, dus controleer de firewallregel die daadwerkelijk overeenkomt.

Dit webfilter kan QUIC niet scannen. Dat betekent niet dat elke andere firewallcontrole wordt omzeild, maar het verwachte TCP TLS- en webfilterpad is niet van toepassing. Quic en HTTP/3 correct blokkeren op Sophos Firewall toont de regeltest; Een Sophos Firewall Web Protection Policy maken heeft betrekking op de Web Policy.

Selecteer de reikwijdte op basis van doel en risico

Het gebruikelijke startpunt is beheerd gebruikersverkeer van LAN naar WAN. Een afzonderlijk draadloos bedrijfsnetwerk kan volgen als Wi-Fi > WAN. Voor toegang op afstand is VPN > WAN alleen relevant wanneer het internetverkeer van gebruikers daadwerkelijk de firewall via een volledige tunnel passeert. Neem alleen interne verbindingen op van LAN naar een DMZ wanneer inhoudsinspectie daar een duidelijk voordeel heeft en beide partijen vertrouwen hebben in de opnieuw ondertekenende CA.

Technische compatibiliteit en toestemming om te ontsleutelen zijn afzonderlijke beslissingen. Portalen voor het bankwezen, de gezondheidszorg en de overheid, wachtwoordbeheerders, identiteitsproviders, updates van besturingssystemen en leveranciers, en spraak-, video- en samenwerkingsdiensten vereisen een functionele en privacybeoordeling voordat ze worden opgenomen. Pinning of een mislukte pilot rechtvaardigen geen algemene uitzondering voor een hele categorie: identificeer eerst de bron, het domein en de applicatie die daadwerkelijk nodig zijn.

Configureer een complete pilot

Voor een pilot die direct getest kan worden, gebruiken we deze voorbeeldwaarden:

• Pilot-client: 10.20.30.50 van het gedocumenteerde testnetwerk 10.20.30.0/24
• Firewallregel: LAN to WAN - TLS pilot
• SSL/TLS-inspectieregel: TLS decrypt pilot client
• Bronzone: LAN, Bestemmingszone: WAN
• Bestemmingsnetwerken en -services: Any
• Actie: Decrypt
• Ontsleutelingsprofiel: in eerste instantie Block insecure SSL of een daarvan afgeleid pilotprofiel
• Logging: Log connections ingeschakeld voor de pilot

10.20.30.0/24, de host-IP en objectnamen zijn voorbeelden. De productiebron moet smal genoeg zijn om één client ondubbelzinnig te kunnen identificeren. Any voor Destination en Service maakt het gemakkelijker om TLS buiten TCP 443 te observeren tijdens de pilot; het breidt niet uit wat de voorgaande firewallregel toestaat. Als inspectie alleen is toegestaan ​​voor een specifieke bestemmingsgroep, voeg dan een URL-groep of een ander geschikt bestemmingscriterium toe.

Een decryptieprofiel kiezen

Onder Profiles > Decryption profiles zijn drie niet-bewerkbare standaardprofielen beschikbaar:

• Maximum compatibility maximaliseert de compatibiliteit en beperkt de ciphers niet.
• Block insecure SSL blokkeert zwakke ciphers en staat verkeer toe dat niet kan worden ontsleuteld.
• Strict compliance hanteert strenge eisen, waaronder eisen op basis van PCI DSS.

Maximum compatibility kan helpen een problematische client tijdelijk te isoleren, maar de soepele controles maken het ongeschikt als productieacceptatiecriterium. Voor de pilot is Block insecure SSL of een bewust afgeleid profiel het transparantere uitgangspunt. Tolereer oude TLS-versies of RSA-sleutels van minder dan 2048 bits alleen voor een benoemde oudere server en in een beperkte regel.

Een aangepast profiel kan de algemene SSL/TLS-instellingen overschrijven. De opnieuw ondertekenende CA-opties zijn Use CAs defined in SSL/TLS settings, Re-sign RSA with en Re-sign EC with. Voor verkeer dat niet kan worden ontsleuteld, zijn de opties Use SSL/TLS settings default, Allow without decryption, Drop en Reject. De globale standaardreferentie is niet van toepassing op Unrecognized cipher suites; deze casus dient expliciet in het profiel te worden beoordeeld. Afhankelijk van de instelling gebruiken certificaatfouten, minimale RSA-grootte, TLS-versies en geblokkeerde ciphers Drop, Reject of Reject and notify als hun Block action.

Inspectie maakt een zelfondertekend servercertificaat of een certificaat met een onvolledige keten niet betrouwbaar. In plaats van het haastig uit te sluiten, controleert u eerst de hostnaam, het originele certificaat en de volledige keten.

Met TLS 1.3 gedragen certificaatfouten, de minimale RSA-grootte, een globale downgrade en Reject and notify zich alleen zoals gedocumenteerd met Action: Decrypt. Bij Don’t decrypt of Deny wordt in plaats daarvan Reject gebruikt voor deze profielverwerking. Een wereldwijde downgrade naar TLS 1.2 brengt een beveiligingsrisico met zich mee en is geen algemene compatibiliteitsoplossing.

Maak de regel en controleer de volgorde ervan

Stel onder Rules and policies > SSL/TLS inspection rules > Add de velden als volgt in:

1. Rule name: TLS decrypt pilot client
2. Rule position: Top, zodat de pilotregel voorafgaat aan algemene aangepaste ontsleutelingsregels
3. Action: Decrypt
4. Log connections: ingeschakeld voor pilotbewaking
5. Decryption profile: het geselecteerde pilotprofiel
6. Source zones: LAN
7. Source networks and devices: hostobject voor 10.20.30.50
8. Destination zones: WAN
9. Destination networks: Any
10. Services: Any
11. Categories and websites: leeg of beperkt tot het goedgekeurde bestemmingsbereik

Log connections is optioneel en is niet vereist om de regel te laten werken. Toch is het voor een pilot met beperkte tijd nuttig omdat de handshake en het verbreken van de verbinding kunnen worden getraceerd. De bewaring moet voldoen aan het overeengekomen privacy- en operationeel beleid.

De tabel wordt van boven naar beneden geëvalueerd en de verwerking stopt bij de eerste match. Alle geconfigureerde criteria moeten tegelijkertijd overeenkomen. De vaste standaardregel Exclusions by website or category blijft bovenaan staan ​​en kan niet worden voorafgegaan door Rule position: Top te selecteren. Plaats aangepaste Don't decrypt-uitzonderingen er direct onder, gevolgd door specifieke pilotregels en, ten slotte, bredere ontsleutelingsregels.

Gebruikers- en groepscriteria zijn alleen betrouwbaar als SFOS de gebruikerscontext voor de verbinding kent. Als dit niet gegarandeerd is, begin dan met een eenduidig ​​host- of netwerkobject en voeg pas na een aparte matchtest identiteitscriteria toe.

Houd uitzonderingen beperkt

De standaardregel Exclusions by website or category gebruikt Don’t decrypt met Maximum compatibility en blijft op de eerste positie staan. De Local TLS exclusion list is standaard leeg; de Managed TLS exclusion list bevat bekende incompatibele sites en wordt onderhouden via firmware-updates.

Bewerk de lokale lijst op:

Web > URL groups > Local TLS exclusion list

URL-groepen of SNI-overeenkomsten zijn efficiënter voor domeinuitzonderingen dan veel FQDN-hosts. Volgens Sophos veroorzaken 200 FQDN Hosts bijvoorbeeld 200 lookups voor elke nieuwe SSL/TLS-verbinding. Bron- en doeluitzonderingen kunnen ook niet worden gecombineerd. URL-groepen maken en veilig gebruiken legt domeinbereik, jokertekens en negatieve tests uit.

Een aangepaste SSL/TLS-inspectieregel met Action: Don’t decrypt moet het domein, de getroffen bron, de reden, het ticket, de eigenaar en de beoordelingsdatum registreren. Don’t decrypt is geen onvoorwaardelijke omzeiling: de beperkingen van het geselecteerde ontsleutelingsprofiel zijn nog steeds van toepassing. Om SSL 2/3, compressie of onbekende ciphers toe te staan ​​voor een expliciet goedgekeurde oudere situatie, gebruikt u een profiel met Allow without decryption samen met Action: Don’t decrypt. Deze combinatie hoort niet thuis in een brede internetregel.

SSL/TLS-uitsluitingen en webuitzonderingen lossen verschillende problemen op. Een TLS-uitzondering regelt de ontsleuteling op elke TCP-poort in de DPI-modus. Een webuitzondering wijzigt geselecteerde controles op het webbeleid; in de proxymodus heeft dit invloed op het relevante proxypad. Voordat u een wijziging aanbrengt, moet u bepalen of ontsleuteling of alleen een webcontrole moet worden uitgesloten. Webuitzonderingen veilig maken en testen toont de selectie- en regex-workflow.

Ondersteuning van Android met een beperkte reikwijdte

Sommige Android-verbindingen maken gebruik van certificate pinning. Connectiviteitscontrole, Play Store of updates kunnen dan mislukken onder Ontsleuteling. De door Sophos gedocumenteerde workflow maakt gebruik van een geïsoleerd VLAN- of draadloos netwerk en een FQDN-hostgroep met daarin:

• *.play.googlezip.net
• *.gvt1.com
• *.app-measurement.com
• het lokale Google-domein, bijvoorbeeld *.google.ch in Zwitserland

Voeg boven de algemene ontsleutelingsregel een SSL/TLS-inspectieregel toe met Action: Don’t decrypt, Decryption profile: Maximum compatibility, Source zone: Wi-Fi, het mobiele apparaatnetwerk als Source networks and devices, WAN als Destination zone en de Google-groep als Destination networks. Het bevindt zich onder de vaste standaarduitsluiting maar boven de algemene ontsleutelingsregel. Houd het mobiele netwerk geïsoleerd van gevoelige interne bronnen.

Accepteer de wijziging met één Android-pilotapparaat: test Connectivity Check en de browser en voer een Play Store-download en een update uit. In de Log viewer mogen alleen de verwachte Google-bestemmingen met de uitzondering overeenkomen; een andere HTTPS-bestemming van hetzelfde VLAN moet nog steeds de beoogde ontsleutelingsregel gebruiken. Deze negatieve test verhindert acceptatie van een uitzondering die werkt, maar te breed is. Veilig webuitzonderingen en TLS-uitsluitingen maken behandelt verdere methoden en SNI-beperkingen.

De werking aantonen

Een beleidssimulatie, een echte client en de logs beantwoorden verschillende vragen. Combineer ze voor een betrouwbare acceptatietest.

Onder Diagnostics > Tools > Pop-out tools > Policy tester selecteert u Firewall, SSL/TLS, and web en stelt u het bron-IP-adres, de bestemming of URL, het protocol en, indien nodig, de poort in. Zonder protocol test de tool HTTP met behulp van de protocolspecifieke standaardpoort. Beleidstester simuleert transparant webverkeer; het modelleert geen SD-WAN-routes, en regels met MAC-adressen onder Source networks and devices komen daar niet overeen. Web policy only test alleen het webbeleid. Het resultaat is daarom een ​​voorspelling en geen bewijs van het daadwerkelijke datapad.

Voer vier gerichte tests uit op de client:

1. Leg vóór de wijziging het doeldomein, de certificaatuitgever, de responstijd vast en of de bedrijfsapplicatie werkt.
2. Open een goedgekeurde positieve bestemming. De browser moet de herondertekenende CA weergeven die is geselecteerd voor DPI als uitgever, en de Log viewer moet een match met de verwachte ontsleutelingsregel en het ontsleutelingsprofiel tonen.
3. Open een opzettelijk uitgesloten bestemming. Het moet overeenkomen met de verwachte Don't decrypt-regel; de browser mag daar geen certificaat tonen dat opnieuw is ondertekend door de firewall.
4. Een tweede, niet-uitgesloten bestemming uit dezelfde clientscope moet nog steeds worden ontsleuteld. Dit is de negatieve test van de uitzondering.

Als een webbeleid deel uitmaakt van het ontwerp, blokkeer dan ook een testcategorie of test-URL die specifiek voor dit doel is goedgekeurd. Voer een malwaretest alleen uit met een gedocumenteerd, onschadelijk testobject van de leverancier en een vooraf gedefinieerd verwacht resultaat; dit artikel maakt geen aanspraak op een laboratoriumtest. Vergelijk voor en na de pilot CPU- en geheugenbelasting, responstijd en gebruikersfouten over hetzelfde tijdvenster.

Control Center en Log viewer correct interpreteren

De Controlecentrum-widget heet SSL/TLS connections. De details worden elke vijf minuten bijgewerkt. Sessies bestrijken de afgelopen 24 uur en fouten de afgelopen 7 dagen; Failed wordt om middernacht gereset. De gedetailleerde gegevens omvatten geen Web Proxy-verbindingen. Decryption peak verschijnt alleen nabij of boven de piek, en Decryption limit alleen nabij de apparaatspecifieke limiet. Er bestaat dus geen universele drempel voor alle apparaten.

Open rechtsboven de Log viewer en selecteer de module SSL/TLS inspection. Er wordt een TLS-verbinding vastgelegd nadat de handshake is voltooid en wanneer deze wordt gesloten. Actie, regel, ontsleutelingsprofiel, bron, bestemming, domein en de reden van de fout zijn van belang; kleuren alleen zijn geen betrouwbaar acceptatiecriterium. Onder Manage > Exclude kunt u domeinen of subdomeinen toevoegen aan de lokale TLS-uitsluitingslijst en categorieën aan de standaarduitsluiting. Exclude is niet beschikbaar voor fout-ID’s 19004 en 19005.

Een Don't decrypt-gebeurtenis bewijst alleen dat de verbinding niet is ontsleuteld. Alleen de regel, vergelijking met de uitsluitingslijsten en negatieve test laten zien of de uitzondering gerechtvaardigd en voldoende beperkt is.

Problemen oplossen en veilig terugrollen

Wanneer zich een incident voordoet, moet u de zaak in eerste instantie beperken tot één client, één domein, één tijdstip, één firewallregel en één SSL/TLS-inspectieregel.

• Als de browser een certificaatwaarschuwing weergeeft, vergelijk dan de zichtbare uitgever met de CA die wordt gebruikt door het daadwerkelijke DPI- of proxypad. Controleer vervolgens de client trust store, root/ondergeschikte keten en hostnaam.
• Als SSL/TLS-gebeurtenissen ontbreken, controleer dan eerst of de firewallregel matcht en welke modus actief is. Bevestig vervolgens dat Rules and policies > SSL/TLS inspection rules en Advanced settings > SSL/TLS engine > Enabled actief zijn.
• Als verkeer is toegestaan ​​maar niet wordt ontsleuteld, zoek dan van boven naar beneden naar de vaste standaarduitsluiting, de beheerde/lokale lijst of een aangepaste Don't decrypt-regel. Herhaal vervolgens de negatieve test.
• Als het webfilter niet van toepassing is, controleer dan de daadwerkelijke firewallregel voor zijn webbeleid, Scan HTTP and decrypted HTTPS, Block QUIC protocol en DPI/proxy-modus. De aanwezigheid van een webbeleid bewijst geen ontsleuteling.
• Als slechts één applicatie faalt, gebruikt u de reden van de fout, de TLS-versie, de cipher, de certificaatketen en certificate pinning als leidraad voor de volgende beslissing. Houd eventuele tijdelijke uitzonderingen beperkt en geef deze een beoordelingsdatum.
• Als de belasting toeneemt, verklein dan de pilotomvang en vergelijk hetzelfde tijdvenster voor en na de wijziging. Beoordeel piek- of limietmeldingen voor het specifieke apparaat.

Schakel de SSL/TLS engine slechts kort uit om problemen op te lossen. Indien uitgeschakeld, zijn er geen SSL/TLS-inspectieregels van toepassing en past de DPI-engine het firewall-webbeleid niet toe op HTTPS; Web Proxy HTTPS-ontsleuteling blijft onaangetast. Het uitschakelen ervan is daarom geen gelijkwaardige vervanging met een laag risico voor het specifiek uitschakelen van de pilotregel.

Test poort-agnostische IPS alleen met een bekende beginstatus

Standaard controleert SFOS ontsleuteld verkeer aan de hand van IPS-handtekeningen op elke TCP-poort. Bij een reproduceerbaar vals positief resultaat documenteert u de handtekening-ID, bron, bestemming, TCP-poort, firewallregel, inspectieregel en SFOS-build. Geef de voorkeur aan een smalle handtekeninguitzondering met Action: Allow packet in het IPS-beleid dat daadwerkelijk in gebruik is; Configureer en test Sophos Firewall IPS beschrijft deze methode.

Een mogelijk symptoom van een probleem met poort-agnostische inspectie is het herhaaldelijk matchen van dezelfde IPS-handtekening op dezelfde website. De herhaling alleen bewijst geen vals positief resultaat. Controleer de exacte overeenkomst van de Signature ID en de bestemming in de logs, controleer de getroffen legitieme workflow en beoordeel het risico voordat een nauw afgebakende, omkeerbare handtekeninguitzondering wordt goedgekeurd.

De uitgebreidere inspectie op mogelijke bedreigingen kan de belasting verhogen en de doorvoer van ontsleuteld HTTPS-verkeer enigszins verminderen ten opzichte van oudere Sophos Firewall-versies. Dit is een mogelijk versiegerelateerd effect, geen gegarandeerde daling en geen bewijs van een regressie in de momenteel gebruikte build. Om de resultaten in context te plaatsen, vergelijkt u de doorvoer, CPU- en geheugenbelasting en responstijd bij een vergelijkbare verkeersbelasting binnen hetzelfde tijdvenster; één enkele vergelijking vervangt geen oorzaakanalyse.

Een globale vergelijking in de Device Console is alleen toegestaan ​​als de exacte huidige waarde, on of off, al bekend is uit het wijzigingsrecord of uit een betrouwbaar geback-upte configuratie. De officiële SFOS 22-documentatie geeft geen alleen-lezen pre-check voor deze schakelaar. Als de begintoestand onbekend is, voer de test dan niet uit.

Alleen met een gedocumenteerde beginstatus van on mag u het volgende instellen voor één voorbereide vergelijking:

set ips scan_decrypted_port_agnostic off
set ips scan_decrypted_port_agnostic on

Het tweede commando hier herstelt alleen de bekende beginstatus van on. Als de initiële status off was, schakel deze dan niet blindelings in; behoud dan off of herstel die status exact na een geautoriseerde wijziging. Deze algemene instelling is van invloed op de gehele firewall en kan de doorvoer enigszins verminderen of, met off, het inspectiebereik beperken. Documenteer het resultaat en het tijdvenster zonder dit alleen als bewijs van een algemene oorzaak te beschouwen.

Terugdraaien in een vaste volgorde

Een rollback herstelt de gedocumenteerde oorspronkelijke staat in plaats van een nieuwe architectuur te introduceren:

1. Schakel de pilotregel TLS decrypt pilot client uit. Wijzig het profiel, het webbeleid en de uitzonderingen niet tegelijkertijd.
2. Bevestig met behulp van de pilot-client dat deze regel niet langer overeenkomt en dat het eerder gedocumenteerde pad opnieuw wordt gebruikt. Ga er niet vanuit dat bestaande sessies onmiddellijk opnieuw worden geëvalueerd; breng een nieuwe verbinding tot stand voor de test.
3. Als slechts één bestemming wordt beïnvloed en de werkzaamheden dit vereisen, maakt u een in de tijd beperkte uitzondering Don't decrypt en voert u de negatieve test uit.
4. Verwijder na goedkeuring tijdelijke uitzonderingen, testobjecten en CA-instellingen die alleen voor de pilot zijn gedistribueerd op een gecontroleerde manier. Verwijder gedeelde CA’s niet zonder te controleren.
5. Leg de regel-ID, client, bestemming, zichtbare CA, loggebeurtenis, tijd en herstelde instellingen vast in het wijzigingsrecord.

Het webbeleid kan geconfigureerd blijven, maar zonder ontsleuteling kan het de gecodeerde HTTPS-payload niet scannen. Keer alleen terug naar Web Proxy als dat de geverifieerde beginstatus was. Schakel niet de gehele SSL/TLS-engine uit als standaard rollback, omdat hierdoor alle DPI TLS-regels en de toepassing van het DPI-webbeleid op HTTPS worden gestopt.

Stop de uitrol zodra een bedrijfskritische applicatie faalt, certificaatwaarschuwingen buiten de pilotgroep verschijnen, de scope onverwacht breed matcht, of de belasting en fouten de vooraf gedefinieerde limieten overschrijden. Breid de Brongroep pas geleidelijk uit nadat de positieve test, negatieve test van de uitzondering, bedrijfsapplicaties, logs, gebruikersfeedback en belastingbeeld gedurende de afgesproken periode allemaal aan de afgesproken criteria voldoen.

Bekijk tijdens de werking uitsluitingen, TLS-fouten, nieuwe applicaties, belasting en gebruikersfeedback volgens een gedefinieerd schema. Alleen tijdelijke uitzonderingen behouden zolang de eigenaar, reden en beoordelingsdatum geldig blijven; verwijder ze anders na een nieuwe positieve en negatieve test.

Veelgestelde vragen