Sophos Firewall User & Device Insights correct interpreteren

Control Center > User & device insights is een triageweergave, geen gezamenlijke alarmstatus. De tegels gebruiken verschillende bronnen en perioden. Een rood endpoint, hoge User Threat Quotient (UTQ), TLS-fout en veel sessies kunnen samenhangen, maar dat hoeft niet.

Veilige volgorde: noteer tegel en periode, open details, correleer gebruiker/IP/hostname en tijd met logs en de werkelijk gematchte regel, en wijzig pas daarna een policy of uitzondering. Bewaar vooraf screenshot of export, filters, fouttelling, doel, eigenaar en verwacht resultaat.

Wat elk signaal wel en niet bewijst

• Security Heartbeat toont de status die Sophos-endpoints melden. Het bewijst niet dat elke verbinding is geblokkeerd of dat een groen apparaat geheel dreigingsvrij is.
• Synchronized Application Control toont gemelde applicaties. Een vermelding bewijst detectie, niet policy-handhaving of kwaadaardige activiteit.
• Zero-day protection telt geanalyseerde bestanden en bevindingen. De telling bewijst niet dat iedere download zichtbaar of schadelijk was.
• UTQ prioriteert accounts op basis van zeven dagen browsegedrag. Het is een onderzoekssignaal, geen bewijs van schuld of compromittering.
• SSL/TLS connections beschrijft verbindingen en bepaalde decryptiefouten. Percentages bewijzen niet hoe één flow is beschermd.
• Firewall sessions toont actieve verbindingen en nabijheid van capaciteit. Een hoog aantal bewijst op zichzelf geen aanval of overbelasting.

Zoek altijd minstens twee overeenkomende bewijzen, zoals tegel plus detaillog of endpoint-event plus Firewall Rule ID. Gebruik voor actieve flows Live Connections en Connection List.

Security Heartbeat en applicaties controleren

De statussen zijn At risk (rood), actieve malware; Missing (rood), wel verkeer maar geen gezondheidsstatus; Warning (geel), inactieve malware of malware die is gevonden en opgeruimd; Connected (groen), geen malware gevonden en endpoint gezond.

De tegel telt alle statussen, maar details tonen alleen rode en gele endpoints met hostname, IP, gebruiker en tijd sinds de wijziging. Zijn alle apparaten groen, dan blijft de detailweergave leeg. Dat is geen gegevensfout en geen volledige inventaris.

In deze detailweergave van het endpoint kunt u filteren op gezondheidsstatus om bijvoorbeeld rode Missing-meldingen afzonderlijk van gele Warning-meldingen te onderzoeken.

Als een endpoint het netwerk verlaat terwijl Heartbeat Missing is, blijft die status in Control Center en rapporten staan. De status verandert pas wanneer het endpoint opnieuw verbinding maakt. Leg vóór het verwijderen van een bevestigde verouderde vermelding de endpointnaam, ouderdom van de status, laatst bekende gebruiker en tijd en de huidige weergave in Control Center en het rapport vast. Rond eerst de oorzaakanalyse af, open daarna de CLI en kies 4. Device Console. U kunt alle Missing-vermeldingen vanaf een opgegeven ouderdom van 1 tot 90 dagen of één exacte endpointnaam verwijderen:

system synchronized-security missing-endpoints delete days-missing 7
system synchronized-security missing-endpoints delete name endpoint1

7 en endpoint1 zijn voorbeelden; vervang ze door de goedgekeurde ouderdom of exacte naam. De leeftijdsopdracht raakt alle vermeldingen die dat aantal dagen of langer Missing zijn en kan meer apparaten dan bedoeld uit Control Center en rapporten verwijderen; de naamopdracht is smaller voor één bekend uitgefaseerd apparaat. Verwijderen herstelt het endpoint of Heartbeat niet en brengt verwijderde historie niet terug. Laad daarna Control Center en het betrokken rapport opnieuw, controleer dat alleen de bedoelde vermeldingen weg zijn en verifieer bij een apparaat dat nog in gebruik is de nieuwe verbinding en Heartbeat-status.

Controleer bij rood of geel eerst tijd en endpoint in Sophos Fusion (voorheen Sophos Central) en daarna of de gematchte firewallregel een Heartbeat-voorwaarde bevat. Alleen zichtbaarheid blokkeert niets. Sophos Firewall met Sophos Fusion verbinden behandelt vereisten en handhaving; Missing Heartbeat onderzoeken behandelt blijvende statussen.

Synchronized Application Control toont New, Categorized en totaal en opent Applications > Synchronized Application Control. Beoordeel een applicatie op apparaat, gebruiker en tijd, categoriseer haar en stuur haar pas daarna met een Application Filter. Directe databaseopschoning is geen triage; volg bij verzamel- of opslagproblemen de veilige procedure. Regeltoewijzing staat in Application Control.

Zero-day-tellers en UTQ interpreteren

De Zero-day-tegel vereist een actief Zero-Day Protection-abonnement. Onder Administration > Licensing moet de module Subscribed of Evaluating tonen; zonder abonnement kunt u via de link in Control Center een gratis evaluatie van 30 dagen starten.

Als Zero-Day Protection hiervoor is geconfigureerd, stuurt de firewall verdachte downloads naar de cloud voor analyse. Daar worden bestanden uitgevoerd om ransomware en andere geavanceerde bedreigingen te detecteren, in plaats van ze voor deze analyse op het lokale apparaat van de gebruiker uit te voeren. Als de functie is ingeschakeld, houdt de firewall downloads die aan de geconfigureerde criteria voldoen tegen totdat de analyse is voltooid. Dit verklaart de wachttijden bij de betreffende downloads, maar garandeert niet dat elk apparaat of elk bestand vrij is van bedreigingen.

De perioden verschillen: Recent betreft nieuwe malicious-, suspicious- of PUA-rapporten van zeven dagen; Incidents telt alle zulke bestanden en bewaart rapporten maximaal zes maanden, instelbaar onder Report settings > Data management; Scanned omvat al het gedetecteerde verkeer, ook schone bestanden, afhankelijk van databaseretentie.

De help voor SFOS 22 vermeldt uitdrukkelijk dat de Zero-day Protection-tellers niet kunnen worden gereset. In de beschikbare help voor SFOS 23 ontbreekt deze opmerking; dat bewijst niet dat resetten wordt ondersteund. Reset ‘Failed’ count geldt alleen voor de afzonderlijke SSL/TLS-foutteller, niet voor Zero-day Protection. Bewaar tellerstanden en logs voor het onderzoek: opnieuw starten, gegevens verwijderen, retentie wijzigen of een CLI-reset gebruiken zijn geen aanbevolen manieren om deze tellers te resetten, ook niet op SFOS 23.

Trek tellers niet van elkaar af. Open Zero-day protection > Downloads and attachments en correleer bestand, oordeel, gebruiker/IP, tijd en web- of mailpad. Ontbrekende detecties kunnen ook door licentie, policy, niet-ontsleuteld verkeer of retentie komen. Zie de Zero-day Protection-gids.

UTQ beoordeelt zeven dagen browsegedrag. Het meldt geen risicovolle gebruikers of het aantal gebruikers dat samen 80 procent van het netwerkrisico vormt. Controleer in Reports > Dashboards gebruikers, Threat Score, categorieën, doelen, tijden en identiteitskwaliteit. Gedeelde accounts, NAT of ontbrekende authenticatie vertekenen toeschrijving; een hoge score rechtvaardigt niet automatisch blokkeren.

SSL/TLS connections veilig analyseren

Details worden elke vijf minuten bijgewerkt. Ontbreken ze in Control Center en Log Viewer, controleer SSL/TLS inspection onder Rules and policies > SSL/TLS inspection rules en Enabled onder SSL/TLS inspection settings > Advanced settings > SSL/TLS engine.

Of traffic is het SSL/TLS-aandeel van al het verkeer; Decrypted het ontsleutelde aandeel van SSL/TLS-verbindingen; Failed het aantal mislukkingen. De teller Failed wordt om middernacht automatisch gereset en kan handmatig worden gereset via Reset ‘Failed’ count. Een handmatige reset is onomkeerbaar en herstelt de oude waarde niet. Noteer eerst waarde, tijd en test; herhaal daarna de flow, wacht één cyclus en bekijk logs. Reset verhelpt geen oorzaak.

De drill-down toont sessies van de laatste 24 uur en fouten van de laatste 7 dagen. Beide sluiten web-proxyverbindingen uit. Top websites en Top users of IP’s bakenen af; een foutaantal opent gefilterde logs met het doel in Server name. De lijst bevat alleen fouten die mogelijk met een SSL/TLS inspection rule oplosbaar zijn of op ontbrekend CA-/application trust wijzen, niet blokkades door Web Policy of andere Security Policies.

De foutgegevens worden elke vijf minuten bijgewerkt. Top websites toont per website het aantal fouten en getroffen gebruikers; Top users toont per gebruiker het aantal fouten. Via Fix errors opent u SSL/TLS errors in the past 7 days en kiest u de juiste weergave:

• Zoek in Top websites via de zoekbalk naar een website en selecteer deze. De details tonen de fouttypen en de getroffen gebruikers en IP-adressen.
• Zoek in Top users op gebruiker of IP-adres en selecteer de vermelding. Hier worden de fouttypen en getroffen websites weergegeven.
• Klik onder Errors op het bijbehorende aantal, ook bij een afzonderlijk fouttype of een getroffen peer. Dit opent een logpop-up die alleen de bijbehorende vermeldingen bevat; de website staat in Server name.

Zo kunt u onderscheiden of een bestemming veel gebruikers treft of dat de fouten bij één client optreden. Controleer de oorzaak aan de hand van de logs en voer de benodigde beleidswijzigingen door onder Rules and policies > SSL/TLS inspection rules, niet uitsluitend op basis van de ranglijst.

Onder Fix errors verbergt Hide website, gebruiker of IP zonder decryptie te wijzigen; Show hidden en Unhide herstellen dit. Leg het filter vast, zodat een verborgen vermelding niet wordt aangezien voor een opgelost probleem.

Exclude from decryption is een beveiligingswijziging. Add domain of Add subdomain voegt het doel toe aan Local TLS exclusion list, te bewerken onder Web > URL groups. Registreer eerst exacte FQDN, clients, Error ID, eigenaar, einddatum en positieve/negatieve tests. Kies de smallere subdomain als slechts één host faalt. Controleer daarna werking, dat deze flow niet wordt ontsleuteld en dat andere domeinen de TLS-regel blijven volgen. Zie gefaseerde TLS Inspection.

Controleer de uitsluitingslijsten ook onder Rules and policies > SSL/TLS inspection rules. Uitgesloten websites verdwijnen pas uit de foutentabel nadat het venster van zeven dagen is verstreken; eerdere fouten blijven aanvankelijk zichtbaar. Noch het latere verdwijnen, noch Hide bewijst dat een certificaat- of vertrouwensprobleem is opgelost. Een uitzondering omzeilt de ontsleuteling voor het bijbehorende bereik en moet daarom blijvend worden gecontroleerd.

Verwijder bij rollback alleen de exact toegevoegde vermelding nadat eigenaarschap en huidig gebruik zijn bevestigd. Herhaal de test en let op nieuwe trust-/TLS-fouten. Verwijder nooit een gedeelde of bestaande uitzondering als veronderstelde rollback.

Firewallsessies en decryptiecapaciteit

De grafiek biedt Live, 24h, 48h, Week, Month en Year. Live ververst elke 30 seconden, overige perioden elke vijf minuten. Categorieën: Other traffic, Undecrypted SSL/TLS en Decrypted SSL/TLS.

De categorieën betekenen:

• Other traffic: onversleuteld verkeer.
• Undecrypted SSL/TLS: SSL/TLS-verbindingen die in de geselecteerde periode niet zijn ontsleuteld. Controleer voor de interpretatie de uitsluitingslijsten en Decryption Profiles onder Rules and policies > SSL/TLS inspection rules; deze categorie alleen bewijst niet dat er een fout is.
• Decrypted SSL/TLS: aantal verbindingen dat in de geselecteerde periode is ontsleuteld.

Beweeg de muisaanwijzer over de grafiek om concrete verkeerswaarden te bekijken. Dit geldt ook voor de sessiegrafiek over 24 uur in de TLS-detailweergave, die elke vijf minuten wordt bijgewerkt en dezelfde verkeerscategorieën toont.

Decryption peak staat voor het hoogste aantal gelijktijdig ontsleutelde verbindingen in de voor de grafiek geselecteerde periode, niet voor een historisch maximum zonder tijdsbeperking. De lijn verschijnt alleen wanneer verkeer dit niveau nadert of overschrijdt. Decryption limit is de modelcapaciteit en verschijnt eveneens alleen bij benadering. Het ontbreken van een lijn betekent niet dat de capaciteit onbeperkt is. Een korte piek bewijst geen overbelasting: vergelijk perioden en herhaling met latency, resources, drops en gebruikersfouten.

Wijzigingen valideren en terugdraaien

1. Bewaar basiswaarde, periode, filters, gebruiker/IP/hostname, Error ID en Rule ID.
2. Test één hypothese met de kleinst mogelijke wijziging.
3. Herhaal dezelfde positieve test; voer voor een uitzondering ook een negatieve test buiten de scope uit.
4. Houd rekening met het update-interval en vergelijk detaillogs, niet alleen percentages.
5. Draai zonder verbetering terug en controleer bron, periode, web proxy, authenticatie en regelmatch opnieuw.

Hide/Unhide is volledig omkeerbaar. Draai een nieuwe TLS-uitzondering terug door precies die vermelding te verwijderen als niemand anders haar gebruikt. Een handmatig geresette Failed-telling kan niet worden hersteld; alleen de vooraf vastgelegde waarde bewaart de historie.