Sophos Firewall Web Exceptions veilig maken en testen

Een Web Exception is snel gemaakt, maar kan veel meer effect hebben dan verwacht. Afhankelijk van de selectie slaat Sophos Firewall niet alleen HTTPS-decryptie over, maar ook certificaatvalidatie, malware- en contentscanning, Zero-Day-analyse of volledige Web Policy-controles.

De veilige volgorde is daarom om eerst de getroffen flow en de controle die werkelijk stoort vast te stellen, daarna de match nauw te begrenzen en pas dan de kleinste benodigde uitzondering te activeren. Alleen een positieve test is niet genoeg. Een vergelijkbaar doel dat niet is uitgezonderd, moet in de negatieve test normaal gecontroleerd blijven worden.

Deze handleiding geldt voor SFOS 22.0. WebAdmin-labels blijven bewust in het Engels, zodat ze direct in de interface te vinden zijn.

Web Exception in zeven stappen

1. Getroffen client, doelhost, URL-pad, protocol en tijdstip documenteren.
2. Controleren of DPI Mode of Web Proxy Mode wordt gebruikt en welke firewallregel en Web Policy werkelijk van toepassing zijn.
3. Bepalen of alleen TLS-decryptie of een specifieke Web Protection-controle stoort.
4. Onder Web > Exceptions > Add an exception nauwe URL-, categorie-, bron- of doelcriteria definiëren.
5. Onder Skip the selected checks or actions alleen de kleinste benodigde optie selecteren.
6. De uitzondering activeren en dezelfde flow met een nieuw browser- of applicatieproces opnieuw testen.
7. Een negatieve test tegen een vergelijkbaar, niet uitgezonderd doel uitvoeren en match, effect, eigenaar en controledatum documenteren.

⚠️ HTTPS decryption is geen onschuldige compatibiliteitsoptie. Voor passend verkeer vallen ook afhankelijke controles weg en de firewall staat daarbij ongeldige servercertificaten toe. Malware and content scanning slaat automatisch ook de Zero-Day-analyse over. Een brede uitzondering mag daarom niet de eerste troubleshootingstap zijn.

Controleer productvereisten voordat een uitzondering wordt gekozen

Bij sommige beheerde producten zijn poort- en domeintoestemmingen een voorwaarde voor de betreffende functie. Bepaal daarom vóór de keuze voor een firewallregel, TLS Exclusion of Web Exception samen met de producteigenaar de functie, versie en werkelijke verbindingsroute. Leg vereiste bestemmingen, poorten, protocollen, richtingen en expliciet vereiste inspectie-uitzonderingen vast in het wijzigingsticket, in plaats van alle Sophos-producten onbeperkt toegang te geven.

• Wireless: De Wireless-preflight scheidt het beheernetwerk, DNS, de tijdservice en regionale bestemmingen van de latere wifi-configuratie.
• ZTNA: Bepaal eerst de lokale of cloudimplementatie in de ZTNA-gatewayhandleiding; hun verbindingsrichtingen en inspectievereisten zijn niet uitwisselbaar.
• Switchregistratie: Switch-onboarding behandelt DNS, registratiebestemmingen en controles van de proxy-/TLS-route.
• Endpoint, XDR en MDR: De netwerk- en proxyvereisten onderscheiden platforms, gelicentieerde functies en installatiespecifieke bestemmingen. Een lijst met toegestane domeinen is geen algemene no-decrypt-lijst.
• NDR en integratie-appliances: Applianceplanning behandelt uitgaande poort- en domeinvereisten; het operationele runbook helpt de werkelijk gehoste NDR- en Log Collector-functies afzonderlijk te controleren.

De interne handleiding is een startpunt; de producteigenaar bevestigt vóór de wijziging de gezaghebbende vereisten voor de specifieke implementatie. Netwerkbereikbaarheid en het overslaan van inspectie blijven afzonderlijke beslissingen. Ontbreekt een geverifieerde set vereisten of spreken bronnen elkaar tegen, verruim de uitzondering dan niet op goed geluk: bewaar het bewijs en stem af met de product- en firewalleigenaren. Daarna blijven de pilot, positieve en negatieve tests, review en rollback uit deze handleiding van toepassing.

Web Exception of TLS Exclusion kiezen

Beide hulpmiddelen kunnen voorkomen dat HTTPS-verkeer wordt ontsleuteld, maar ze lossen niet dezelfde taak op.

Een SSL/TLS inspection rule met Action: Don’t decrypt past wanneer in DPI Mode alleen de decryptie voor duidelijk benoemde doelen moet worden uitgezonderd. Een URL Group in de Local TLS exclusion list is daarvoor bijzonder efficiënt, omdat de firewall Server Name Indication, kortweg SNI, als tekst vergelijkt.

URL Groups maken en veilig gebruiken toont hoe zo’n domeinlijst wordt gemaakt, in een Don't decrypt-regel wordt opgenomen en met een negatief doel wordt getest.

Een Web Exception past wanneer daarnaast of in plaats daarvan een Web Protection-controle gericht moet worden overgeslagen:

• HTTPS decryption
• HTTPS certificate validation
• Malware and content scanning
• Zero-day protection
• Policy checks

In DPI Mode geldt een Web Exception alleen als voor de flow minstens één Web Policy, Malware and content scanning of ATP actief is. In Web Proxy Mode hoort de Web Exception direct bij het proxygebaseerde Web Protection-pad.

De SSL/TLS exclusion list gebruikt domeinnamen in platte tekst en omvat hun subdomeinen, in plaats van reguliere expressies. SSL/TLS-uitzonderingen kunnen naast decryptie ook certificaat- en protocolvereisten overslaan. Ze zijn dus niet gelijk aan een Web Exception voor uitsluitend HTTPS certificate validation. Bevestigde domeinen kunnen via Control Center of Log Viewer aan de Local TLS exclusion list worden toegevoegd; als alternatief wordt de URL Group onder Web > URL groups of de SSL/TLS inspection rule bewerkt. Ook webcategorieën kunnen criteria van een SSL/TLS inspection rule zijn.

Ook het afgedekte verkeer verschilt: in DPI Mode gelden Web Exceptions voor SSL/TLS-verbindingen op elke poort; in Web Proxy Mode voor SSL/TLS op poort 443. SSL/TLS Exclusion Rules gelden alleen in DPI Mode, maar eveneens onafhankelijk van de poort. Naast URL Groups kunnen ze zones, netwerken, IP-adressen, services, gebruikers en groepen als criteria gebruiken. Web Exceptions bieden URL-patronen, Web categories en bron- en doel-IP-adressen of -bereiken.

Een actieve Web Exception kan de geselecteerde beschermingscontroles voor passende webflows overslaan; dat garandeert niet dat elke systeemblokkade kan worden opgeheven. De scope kan dus niet worden beperkt door een Web Policy-regel later in de volgorde te plaatsen. De criteria van de uitzondering zelf zijn doorslaggevend; controleer de volgorde van firewall-, Web- en SSL/TLS-regels wel afzonderlijk, omdat deze bepaalt welk beschermingspad de flow in eerste instantie verwerkt.

Gedocumenteerde grens en onopgeloste tegenspraak: Sophos beschrijft uitzonderingen in het algemeen als onafhankelijk van policies en regels. De categoriehandleiding voor SFOS 22.0 en 23.0 noemt highly objectionable criminal activity echter expliciet als altijd geblokkeerd: geen policy of uitzondering mag deze pagina’s toestaan, en domeinnamen worden bewust verborgen in logs en rapporten. Deze afwijkende uitspraken bewijzen geen werkende bypass. De veilige aanpak blijft om deze blokkade niet te omzeilen en de tegenspraak zo nodig met Sophos Support te verduidelijken. Gebruik voor tests uitsluitend onschadelijke, goedgekeurde bestemmingen, nooit verboden inhoud.

De geplande opbouw van DPI of Web Proxy, Decryption Rules en CA-distributie staat in TLS Inspection correct invoeren. De eigenlijke filterlogica wordt uitgelegd in Web Protection met Web Policies configureren.

Match nauw en traceerbaar plannen

Een uitzondering hoort niet te beginnen met een willekeurig vendordomein. Eerst wordt het concrete request in de browser, Log Viewer of applicatielogs vastgelegd. Daarna kan worden bepaald of hostname, pad, categorie, bron-IP of doel-IP het stabielste criterium is.

AND tussen typen, OR binnen een type

Sophos Firewall verbindt verschillende criteriatypen met AND. Als bijvoorbeeld URL-patronen en Source IP addresses zijn ingesteld, moeten beide typen overeenkomen.

Meerdere waarden binnen hetzelfde type worden met OR geëvalueerd. Twee URL-patronen betekenen dus dat een van beide voldoende kan zijn. Twee Source IP addresses betekenen dat een van beide bronnen voldoende kan zijn.

Deze logica is belangrijk bij troubleshooting. Een uitzondering kan er correct uitzien en toch niet gelden, omdat een extra criteriatype niet bij de werkelijke flow past.

Reguliere expressie veilig verankeren

Onder URL pattern matches zijn reguliere expressies toegestaan. Een los patroon zoals vendor.example is ongeschikt. Het kan de tekst ook op een onverwachte plaats in de URL vinden en onnodig veel requests uitzonderen.

Voor het gereserveerde voorbeelddomein updates.vendor.example kan een bewust verankerd hostpatroon er zo uitzien:

^([A-Za-z0-9.-]*\.)?updates\.vendor\.example/

De waarde is alleen een voorbeeld. vendor.example is een gereserveerd documentatiedomein en wordt vervangen door de echte doelhost die in het log of request is bevestigd. Het optionele voorvoegsel staat subdomeinen toe. Als precies één host moet worden uitgezonderd, wordt geen onnodige subdomein-wildcard gebruikt.

Niet-ASCII-tekens worden in het patroon als Punycode opgegeven. Na elke regexwijziging horen een verwachte match en minstens één bewust vergelijkbare non-match bij de test.

Punten, hostgrens en ongewenste matches in het pad controleren

In een regex staat een punt zonder escape voor een willekeurig teken. De punten van een vaste hostnaam worden daarom als \. geschreven. De ^ verankert de match aan het begin; de afsluitende / begrenst de host tegenover namen die vergelijkbaar beginnen, zoals updates.vendor.example.attacker.example. Sophos Firewall accepteert / en \/. Voor precies één host is het nauwere patroon:

^updates\.vendor\.example/

De voorbeelden gebruiken de host-/URL-weergave waarop deze Sophos-patronen worden toegepast, zonder voorafgaand https://. Een testtool moet dezelfde weergave gebruiken. Voeg bij andere poorten of een andere weergave niet op goed geluk .* toe, maar stel de werkelijk geëvalueerde waarde en het beschermingspad vast. De HTTPS-grens in het volgende gedeelte blijft gelden.

Voor het exacte hostpatroon gelden de volgende verwachtingen. Bij het bestaande patroon met optionele subdomeinen is ook cdn.updates.vendor.example/file een gewenste match; de overige negatieve gevallen blijven non-matches.

Juist de laatste twee gevallen zijn belangrijk: de vergelijking kan de volledige URL omvatten, inclusief pad en query. Een niet-verankerde domeintekst kan daardoor op een andere host de uitzondering activeren. De test controleert alleen de matching; of beschermingscontroles werkelijk wegvallen, wordt later met een nieuw request en logs gecontroleerd.

Lange non-matches lokaal testen

Veel niet-verankerde patronen kunnen extra zoekwerk veroorzaken, vooral wanneer HTTPS-decryptie de volledige URL-tekst beschikbaar maakt. Daaruit volgt niet voor elk patroon een algemeen aantal stappen of een altijd constante, lineaire of exponentiële looptijd. Verankering vervangt ook geen controle van complexe kwantoren. Gebruik voor hostnamen geen algemene .*-wildcard.

Een test met 1000 tekens vult de korte gevallen aan. Op een lokale beheercomputer met Python 3 maakt dit voorbeeld een volledig fictieve URL-tekst met een lang pad en het doeldomein pas in de query. Het test beide hier getoonde patronen zonder een firewall te benaderen:

import re
from time import perf_counter

prefix = "other.example/"
suffix = "?next=updates.vendor.example/file"
value = prefix + "a" * (1000 - len(prefix) - len(suffix)) + suffix
assert len(value) == 1000
patterns = [
    r"^updates\.vendor\.example/",
    r"^([A-Za-z0-9.-]*\.)?updates\.vendor\.example/",
]
for pattern in patterns:
    regex = re.compile(pattern)
    start = perf_counter()
    for _ in range(100):
        assert regex.search(value) is None
    print(pattern, "Nicht-Treffer, Sekunden:", perf_counter() - start)

Er worden twee non-matches verwacht. Andere synthetische gevallen moeten lange, bijna passende hostnamen en lange paden afdekken; vergelijk de patronen vóór en na de wijziging met dezelfde invoer. Gebruik bij verdachte complexe patronen een lokale tool met tijdslimiet en breek een vastgelopen test af. Python-tijden en stappentellers van andere regex-engines zijn geen SFOS-metingen of prestatiebeloften. Kopieer geen productie-URL’s, tokens, gebruikersnamen of klantgegevens naar externe regexwebsites; fictieve gegevens volstaan voor deze tests.

Hostname en URL-pad onderscheiden

Uitzonderingen voor HTTPS decryption en HTTPS certificate validation kunnen de hostname al vanuit de TLS-context beoordelen. Een patroon dat alleen op een URL-pad is gericht, werkt voor HTTPS daarentegen pas wanneer de verbinding al wordt ontsleuteld. Bij onversleuteld HTTP is het URL-pad zonder TLS-decryptie zichtbaar.

Dit leidt tot een belangrijke grens: een uitzondering kan niet tegelijk decryptie uitschakelen en daarna een onderdeel dat alleen in het versleutelde HTTP-pad zichtbaar is betrouwbaar als selectiecriterium gebruiken. Hiervoor is een hostgebaseerde scope of een ander ontwerp nodig.

Web Exception maken

Het voorbeeld zondert één pilotclient voor een bevestigde vendorhost uit van HTTPS-decryptie. Het is geen universele uitzonderingsregel.

1. Web > Exceptions openen.
2. Add an exception selecteren.
3. Een duidelijke naam instellen, bijvoorbeeld Vendor API no decrypt.
4. URL pattern matches activeren.
5. Het geteste en verankerde patroon onder Search/Add invoeren en met Add overnemen.
6. Voor de pilot ook Source IP addresses activeren, het concrete client-IP invoeren en met Add bevestigen.
7. Onder Skip the selected checks or actions uitsluitend HTTPS decryption selecteren.
8. Save selecteren.
9. In de lijst de schakelaar van de nieuwe uitzondering activeren.
10. Naam, Matching URLs, bronnen en overgeslagen controle opnieuw controleren.

Het bron-IP is in het voorbeeld bewust ingesteld. Zonder deze beperking zou de uitzondering direct gelden voor elke client waarvan het request bij het URL-patroon past. Na een geslaagde pilot kan de scope gecontroleerd worden uitgebreid naar de bronnen die deze uitzondering werkelijk nodig hebben.

Voor een zuivere TLS Exclusion over veel doelen is een URL Group in een Don't decrypt-regel meestal beter onderhoudbaar en efficiënter. Veel FQDN Host Objects in de bron of bestemming van een SSL/TLS inspection rule zijn ongunstig, omdat ze voor nieuwe TLS-verbindingen veel DNS-lookups kunnen veroorzaken.

Een nieuwe hostuitzondering voorbereiden in Config Studio

Config Studio kan een nieuwe Web Exception maken op basis van een domeinnaam, zonder eerst een bestaande uitzondering te importeren. Dit is een afzonderlijke werkwijze; Bad regex en Apply Fix dienen juist voor het herstel van bestaande vermeldingen, zoals verderop beschreven. De nieuwe uitzondering wordt eerst alleen lokaal voorbereid en pas via de TAR-import op de firewall toegepast.

Sla vooraf een volledige firewallback-up en een ongewijzigde selectieve export van WebFilterException van dezelfde firewall op een beschermde locatie op. WebFilterException exporteren en met Config Studio controleren beschrijft de export van Entities.xml, de omgang met bestanden en de latere download. Leg in het wijzigingsticket een nog niet gebruikte naam, de bevestigde doelhost, de benodigde skipoptie en de beoogde clientomvang vast. Een bestaande naam is geen veilige manier om een extra vermelding toe te voegen: de import werkt overeenkomende bestaande uitzonderingen bij. Een gewijzigde naam maakt daarentegen een nieuwe vermelding en verwijdert de oude niet.

1. Open Config Studio via de toegangslink verderop, kies Configuration editor en ga naar Rules > Web exceptions.
2. Kies Add en voer de nieuwe, unieke naam in, bijvoorbeeld Vendor API exact host no decrypt.
3. Schakel onder Skip these checks alleen de inhoudelijk noodzakelijke optie in. Voor het decryptionvoorbeeld is dit Skip HTTPS decryption. De andere opties heten Skip policy check, Skip cert validation, Skip malware scan en Skip zero-day protection. De hierboven beschreven gevolgen voor de bescherming gelden ook bij het maken van een vermelding in de editor; selecteer niet uit voorzorg meerdere opties.
4. Kies onder Match by URL/Domain het bereik: Exact host only voor uitsluitend de bevestigde host, of Domain + all subdomains als alle subdomeinen uitdrukkelijk nodig en goedgekeurd zijn. Voor updates.vendor.example blijft in het voorbeeld Exact host only geselecteerd; cdn.updates.vendor.example mag niet worden meegenomen.
5. Voer de bevestigde domeinnaam zonder URL-pad in het tekstveld in, bijvoorbeeld updates.vendor.example. Vervang deze documentatiewaarde door de echte doelhost. De gegenereerde regex en de preview verschijnen automatisch; controleer beide aan de hand van het geplande bereik en de hierboven beschreven positieve en negatieve gevallen.
6. Kies Add to URL Regex list. Het patroon moet daarna onder URL Regex Patterns staan. Een zichtbare previewwaarde is op zichzelf nog geen toegevoegde lijstvermelding.
7. Optioneel kan onder URL Regex Patterns via + Add URL regex rechtstreeks een eigen, al getest patroon worden toegevoegd. Dit is niet nodig voor het maken vanuit een domeinnaam; extra patronen verruimen door OR de mogelijke match.
8. Kies tot slot Add onderaan het zijformulier. Pas daarmee wordt de nieuwe uitzondering in de editor aangemaakt.

Vergelijk vóór het downloaden onder Preview de import-XML met de opgeslagen beginsituatie en het wijzigingsticket. Alleen de goedgekeurde nieuwe uitzondering mag worden toegevoegd; bestaande namen, criteria, activeringsstatussen en skipopties mogen niet onbedoeld veranderen. Ook de clientomvang moet kloppen: Exact host only beperkt het doel, niet de bronnen. Als een vereiste pilotbron niet aantoonbaar in de gegenereerde configuratie is opgenomen, importeer dan niet; gebruik in plaats daarvan de hierboven beschreven WebAdmin-werkwijze met Source IP addresses. Voeg geen ongeverifieerde extra velden aan de XML toe.

Kies daarna Download > Download TAR en sla het archief op een beschermde locatie op. Importeren, effect controleren en terugdraaien beschrijft importmeldingen, de vergelijking vóór/na onder Web > Exceptions, de activeringscontrole en nieuwe verbindingen met positieve en negatieve tests. De XML-preview of een geslaagde import vervangt deze test van de beschermingswerking niet. Schakel bij een onverwacht resultaat de nieuwe vermelding gecontroleerd uit en controleer het normale beschermingspad opnieuw. Het opnieuw importeren van de oorspronkelijke selectieve export verwijdert de nieuw aangemaakte uitzondering niet automatisch; verwijder deze pas gericht nadat de afhankelijkheden zijn opgehelderd. Laat bestaande uitzonderingen daarbij ongemoeid.

Een categorie uitzonderen in plaats van één domein

Als vertrouwelijke financiële gegevens niet mogen worden ontsleuteld, kan de categorie Financial services het juiste criterium zijn. Een categorie-uitzondering omvat echter meer bestemmingen dan één host; de classificatie moet bij de beoogde scope passen.

1. Onder Web > Exceptions > Add an exception een naam zoals Financial services no decrypt invoeren.
2. Web site categories activeren, Add new item kiezen en Financial services selecteren.
3. Met Apply selected items bevestigen. Voor de pilot ook Source IP addresses instellen met het client-IP en Add.
4. Alleen HTTPS decryption selecteren, Save kiezen en de schakelaar in de lijst activeren.
5. Een goedgekeurde financiële dienst en een onschadelijke bestemming buiten de categorie met nieuwe verbindingen testen. Door AND moeten zowel de pilotbron als de categorie matchen.

Voor passende HTTPS-verbindingen vervallen decryptie en de daarvan afhankelijke inhoudscontroles; ook het hierboven beschreven gevolg voor certificaten geldt. Dit is geen algemene toestemming voor de categorie en betekent niet dat elke andere beschermingsfunctie wordt uitgeschakeld.

Malware-uitzondering voor een bevestigde downloadhost

Een als laag risico beoordeelde leverancier is op zichzelf geen reden om scanning uit te schakelen. Als een onderbouwde uitzondering nodig is, volg dan de bovenstaande procedure met een eigen naam zoals Vendor download scan exception, het bevestigde hostpatroon en de pilotbron. Selecteer Malware and content scanning in plaats van HTTPS decryption. Zero-day protection wordt automatisch geselecteerd; ook oudere uitzonderingen die malwarescanning overslaan, slaan Zero-Day-analyse over. Kies daarna Save en activeer de schakelaar. Passende downloads krijgen geen malware- en contentscanning of Zero-Day-analyse, inclusief de bijbehorende analyserapporten. Schakel niet ook de andere controles uit. Controleer het beoogde beschermingspad met een onschadelijke, gecontroleerde download van de goedgekeurde host en een niet-uitgezonderde vergelijkingsbestemming; een geslaagde download alleen is onvoldoende.

Andere criteria invoeren en bestaande uitzonderingen beheren

Vul Destination IP addresses met het bevestigde IP-adres van de website en kies Add, niet met het IP-adres van de client. Bij toegestane combinaties van het doelcriterium met URL of categorie moeten alle geselecteerde typen matchen. URL-patronen gebruiken ASCII-tekens; internationale domeinnamen worden als Punycode ingevoerd. Matching URLs in de standaarduitzondering Apple Update kan als syntaxisvoorbeeld dienen, niet als ongecontroleerd toestemmingssjabloon.

TLS-uitsluiting: tegenstrijdige informatie over de reikwijdte. De pagina’s Add an exception voor SFOS 22.0 en 23.0 beschrijven de algemene AND-logica tussen criteriatypen, maar Exclude a website from TLS inspection zegt expliciet dat bron- en doeluitzonderingen niet gecombineerd kunnen worden. De precieze reikwijdte van die beperking is onduidelijk; de algemene matchlogica bewijst niet dat de combinatie is toegestaan. Source IP addresses combineren met Destination IP addresses is daarom geen aantoonbaar toegestane werkwijze. Bevestig vóór activering van een TLS-uitsluiting de werkelijke SFOS-build, het DPI-/proxypad, de noodzakelijke controle-uitsluiting en de beperkte host-/categoriescope. Behoud de bovenstaande aanpak met de pilotbron en bevestigde hostnaam of categorie, zonder een doel-IP-criterium toe te voegen. Doel plus bevestigde hostnaam/categorie is alleen een afzonderlijke optie als de clientscope onafhankelijk begrensd en goedgekeurd is. Vervang de beoogde begrenzing niet door een uitzondering op alleen de bron en verwijder niet zomaar een criterium om een match te krijgen: daarmee wordt de uitsluiting van beveiligingscontroles verruimd. Als zowel bron- als doel-IP-beperkingen nodig zijn, stop dan zonder de uitsluiting te activeren of te verruimen en vraag samen met de firewallbeheerder Sophos Support om uitleg voor de specifieke build.

Standaarduitzonderingen ondersteunen software-updates en andere belangrijke websitefuncties. Onder Web > Exceptions opent Edit een bestaande uitzondering en maakt Clone een kopie. Controleer alle overgenomen criteria en skipopties voordat die wordt geactiveerd. Web > General settings regelt de algemene validatie van HTTPS-certificaten; een individuele certificaatuitzondering vervangt die basisinstelling niet.

Effect van de skipopties begrijpen

Voor het opslaan moet duidelijk zijn welke bescherming verloren gaat.

HTTPS decryption

De firewall ontsleutelt passend HTTPS-verkeer niet. Daardoor kan hij ook controles die ontsleutelde inhoud nodig hebben niet uitvoeren. Sophos documenteert bovendien dat verkeer met een ongeldig servercertificaat voor deze match wordt toegestaan.

Als alleen een certificaatprobleem stoort, is deze optie vaak te breed. Eerst wordt gecontroleerd of HTTPS certificate validation de preciezere uitzondering is.

HTTPS certificate validation

De firewall slaat de geldigheidscontrole van het servercertificaat over. Geconfigureerde decryptie kan doorgaan. Deze uitzondering past alleen voor een bekend doel met een bewust geaccepteerd certificaatprobleem en vereist een korte controledatum.

Een verlopen, verkeerd benoemd of niet-vertrouwd certificaat moet waar mogelijk op het doelsysteem worden hersteld. De distributie van de juiste Inspection CA lost een ander probleem op en staat in CA-certificaat voor TLS Inspection distribueren.

Malware and content scanning

De firewall slaat malware- en contentscanning voor de match over. Daarbij wordt automatisch ook Zero-day protection overgeslagen. Eén selectie haalt dus twee beschermingslagen uit het datapad.

Voor deze uitzondering worden bestandstype, scanlimiet, versleuteling, foutactie en de download die werkelijk matcht gecontroleerd. Het volledige testproces staat in Malwarescanning configureren en testen.

Zero-day protection

De Zero-Day-analyse wordt overgeslagen. Voor passende bestanden worden geen analyserapporten gemaakt, ook niet wanneer de klassieke malwarescan een detectie meldt. Deze optie is nauwer dan Malware and content scanning volledig overslaan.

Policy checks

Web Policy-controles worden voor het passende request overgeslagen. Een dergelijke uitzondering kan categorieën, gebruikers- of groepslogica en andere policybeslissingen buiten werking stellen. Ze hoort alleen bij een duidelijk aangetoond policyprobleem en niet als algemene oplossing voor een geblokkeerde website.

Dit geeft geen toestemming om met Policy checks de hierboven beschreven absolute blokkade voor highly objectionable criminal activity op te heffen.

Effect met positieve en negatieve tests controleren

Een succesvol geladen pagina bewijst alleen dat er iets is veranderd. Daarmee is nog niet bewezen dat de uitzondering precies genoeg is.

1. Tijdstip, pilotclient, doelhost en verwacht effect vastleggen.
2. Bestaande browser- of applicatiesessie sluiten en een nieuwe verbinding maken.
3. Het getroffen request opnieuw uitvoeren.
4. In Log Viewer bron-IP, doelhost, Web Policy, Firewall Rule ID en Action vergelijken.
5. Bij een decryptie-uitzondering het voor de client zichtbare servercertificaat vergelijken met de toestand voor de wijziging.
6. Een vergelijkbaar maar niet uitgezonderd doel openen.
7. Controleren dat dit doel nog steeds door de normale Web Policy, Decryption Rule en scanketen wordt behandeld.
8. De uitzondering kort uitschakelen en de oorspronkelijke fout reproduceren als dit binnen het onderhoudsvenster veilig kan.
9. De uitzondering opnieuw activeren en het resultaat nogmaals bevestigen.

Als QUIC of HTTP/3 het verwachte TCP-TLS-pad omzeilt, kan de test misleidend zijn. De afbakening staat in QUIC en HTTP/3 correct blokkeren. Log Viewer, Policy Tester en Packet Capture tonen welke regel en policy werkelijk matchen.

Open de Policy tester onder Diagnostics > Tools, in het gedeelte Pop-out tools. Met de testmethode Firewall, SSL/TLS, and web kunnen de verwachte firewallregel, SSL/TLS inspection rule en Web Policy worden bepaald. De tester controleert webverkeer echter alleen in Transparent Mode en beeldt daarom geen expliciete direct web proxy-flow af. Bevestig altijd met een nieuw request en echte logs dat de Web Exception werkelijk geldt.

Voor logbewijs moet Log firewall traffic in de firewallregel actief zijn; activeer ook Log connections in de SSL/TLS inspection rule. Onder System services > Log settings moeten de relevante logtypen voor Local reporting actief zijn. Beperk Log Viewer vervolgens tot het testtijdstip en bron-IP en vergelijk de modules Web filter en SSL/TLS inspection met Firewall Rule ID, policy en Action. Sophos Firewall Log Viewer correct gebruiken legt de bediening uit. Blijft de hele weergave leeg, volg dan Log Viewer wordt niet bijgewerkt in plaats van de uitzondering op basis van een vermoeden te verruimen.

Fouten systematisch afbakenen

Uitzondering geldt niet

• De gedocumenteerde absolute categorieblokkade is geen matchfout. Een bewust verborgen domeinnaam is hier geen loggingdefect. Webcategorieën en Web Policies leggen de grens uit; probeer geen ruimere uitzondering of tests met deze inhoud.
• De schakelaar onder Web > Exceptions is niet actief.
• Een extra criteriatype past door de AND-logica niet.
• De regex is niet aan het begin verankerd of beeldt de echte hostname niet af.
• Bij een HTTPS-paduitzondering wordt het verkeer niet ontsleuteld, waardoor het pad niet zichtbaar is.
• In DPI Mode is voor de flow geen Web Policy, Malware and content scanning of ATP actief.
• Er geldt een andere firewallregel, Web Policy of bedrijfsmodus dan verwacht.
• Een bestaande browser- of applicatiesessie is niet opnieuw opgebouwd.

Uitzondering geldt te breed

• Het patroon bevat een ongecontroleerde wildcard of alleen een losse root-domaintekst.
• Source IP addresses of een andere pilotscope ontbreken.
• Meerdere URL-patronen binnen hetzelfde type werken door OR breder dan verwacht.
• Een hele Web category is uitgezonderd in plaats van de concrete host.
• Meerdere skipopties zijn geactiveerd hoewel maar één controle stoort.

Website werkt, maar de beschermingsimpact is onduidelijk

De uitzondering wordt dan niet verder uitgebreid. Eerst worden browsercertificaat, Web- en SSL/TLS Inspection-logs, Firewall Rule ID, Web Policy en een gecontroleerde download samen gecontroleerd. Zonder dit bewijs is de uitzondering alleen een functionele workaround en nog geen geaccepteerde beveiligingsbeslissing.

Als de WebAdmin-tools de oorzaak niet afbakenen, koppelt Sophos Firewall-servicelogs correct toewijzen DPI-, proxy-, malware- en Zero-Day-logs aan het getroffen beschermingspad. Debug wordt niet als eerste stap geactiveerd.

Hoog CPU-gebruik en trage webtoegang na regexwijzigingen

Vergelijk onder Diagnostics > System graphs eerst tijdstippen en het belastingsverloop met trage requests en de laatste wijzigingen aan uitzonderingen. Controleer in Web > Exceptions de Selection criteria of Matching URLs van alle actieve uitzonderingen: ontbreken ^, hostpunten met escape of een duidelijke hostgrens? Zijn er brede wildcards of veel niet-verankerde domeinteksten?

Voer met geautoriseerde consoletoegang onder Device Management > Advanced Shell het volgende alleen-lezencommando uit. Het toont de huidige procesbelasting, maar wijzigt geen configuratie; sluit de weergave met q.

top

Als awarrenhttp of snort bovenaan staan bij CPU-gebruik, kunnen Web Exception-regexen aan de belasting bijdragen. Dat is een aanwijzing, geen bewijs dat ze de enige oorzaak zijn: beide processen voeren andere controles uit. Onderzoek belasting, requests en patronen daarom samen, voer slechts een beperkte wijziging uit en meet daarna opnieuw onder vergelijkbare verkeersbelasting. Blijft het CPU-gebruik hoog, onderzoek dan de overige oorzaken in het getroffen beschermingspad verder; schakel niet zonder onderscheid inspectie of alle uitzonderingen uit als vergelijkingstest.

Bestaande regexen selectief herstellen

Voor enkele uitzonderingen is Web > Exceptions > Edit de duidelijkste route. Bewaar eerst namen, activeringsstatus, criteria en skipopties; corrigeer daarna alleen het geteste URL-patroon. Voor veel items kan in plaats daarvan de module WebFilterException worden geëxporteerd. Deze export omvat de geselecteerde Web Exception-configuraties, niet automatisch alleen de foutieve uitzondering. Ook ongewijzigde items moeten in de vergelijking vóór en na behouden blijven.

Bewaar vóór beide importvarianten een actuele firewallbackup en een ongewijzigde selectieve export op een veilige plaats. Leg rollback, onderhoudsvenster en beheerderstoegang vast vóór de import. Een selectieve export vervangt geen volledige backup. Bewaar het oorspronkelijke bestand, de werkkopie en het goedgekeurde resultaat afzonderlijk; configuraties en gegenereerde rapporten bevatten interne details en horen alleen op een goedgekeurde beheercomputer met beveiligde toegang.

WebFilterException exporteren en met Config Studio controleren

1. Open op dezelfde firewall Backup & firmware > Import export en kies Export selective configuration.
2. Zoek via Add new item naar WebFilterException en bevestig met Apply selected items. Selecteer Include dependent entity niet: andere configuratieonderdelen mogen niet tegelijk worden bewerkt.
3. Sla met Export of Download het archief API-[timestamp].tar op. Pak een werkkopie uit; daarin staat Entities.xml.
4. Sophos Firewall Config Studio openen. Kies Configuration editor en Rules > Web exceptions en laad via Import de selectieve Entities.xml.
5. Let in Config Analysis op Bad regex. Open het betreffende item met Edit, beoordeel het voorstel via Apply Fix en bevestig met Update. Wijzig geen namen; met een gewijzigde naam maakt de firewallimport een nieuwe uitzondering in plaats van de bestaande bij te werken.
6. Controleer het voorstel met positieve en negatieve gevallen en lange non-matches. Bij nieuwe hostpatronen onderscheiden Exact host only en Domain + all subdomains de gewenste scope; het herstel mag niet terloops subdomeinen toestaan. Een automatische correctie vervangt noch deze keuze, noch de test van de beschermingsimpact.
7. Controleer onder Preview de importconfiguratie en vergelijk die met het origineel: alleen goedgekeurde regexen mogen wijzigen, niet namen, bronnen, doelcriteria, activering of skipopties. Sla het goedgekeurde archief op via Download > Download TAR.

Config Studio verwerkt configuratiegegevens in de browser op het eindapparaat; parsing, analyse en rapportgeneratie uploaden deze gegevens niet naar buiten. Lokale bestanden, downloads en HTML-rapporten blijven desondanks vertrouwelijk. Zet geen configuraties over naar andere online analysetools. Bewerken of downloaden in Config Studio wijzigt nog niets op de firewall.

Alternatief: Entities.xml gecontroleerd bewerken

Zonder Config Studio wordt dezelfde selectief geëxporteerde werkkopie in een teksteditor bewerkt. Wijzig alleen de betreffende URL-patronen; vervang niet algemeen alle punten in het XML-bestand. XML-structuur, objectnamen en overige velden blijven ongewijzigd. Controleer vóór het inpakken of de XML welgevormd is en bekijk de volledige diff. Importeer niet bij onduidelijke syntaxis of onverwachte extra bestanden.

Houd de bestandsnaam exact Entities.xml en pak de bestanden in een nieuw TAR-archief met dezelfde structuur als het origineel, niet in ZIP en niet onder een extra map. Bevat het origineel andere bestanden, gooi die dan niet stilzwijgend weg. Deze eenvoudige Web Exception-procedure mag niet worden toegepast op andere modules of gevoelige, onderling afhankelijke objecten.

Importeren, effect controleren en terugdraaien

De import overschrijft passende bestaande instellingen. Een succesvol geüpload archief bewijst geen nauwe match of ongewijzigde bescherming. Keur eerst de diff goed en importeer daarna binnen het afgesproken onderhoudsvenster.

Kies onder Backup & firmware > Import export > Import met Browse het gecontroleerde .tar en voer Import uit. Controleer importmeldingen op fouten; vergelijk daarna onder Web > Exceptions namen en aantal items, activeringsstatus, Matching URLs, criteria en skipopties met de gewenste toestand. Instellingen zonder passend importitem blijven bestaan; de import verwijdert ongewenste extra uitzonderingen niet automatisch.

Maak daarna nieuwe verbindingen, herhaal de bestaande positieve en negatieve tests met logs en vergelijk bij een prestatieherstel CPU-verloop en procesbelasting met de baseline. Stop bij fouten de uitrol en deactiveer de betreffende uitzondering gecontroleerd als de gevolgen voor de applicatie aanvaardbaar zijn. Voor gericht herstel kan de ongewijzigde selectieve export van dezelfde firewall worden geïmporteerd; sluit eerst tussentijdse wijzigingen uit, omdat die anders ook worden overschreven. Activeer een aantoonbaar te brede vorige toestand niet opnieuw zonder controle. Een volledige backuprestore blijft de afzonderlijk geplande noodroute, niet de eerste rollbackstap voor één regex. Controleer na elke rollback de configuratie en het beschermingspad opnieuw.

WebFilterException via de XML API plannen

De selectieve import van Entities.xml hierboven is geen algemene werkwijze voor de XML API. De objectreferenties voor SFOS 22.0 en 23.0 beschrijven Add Web Filter Exception / Update Web Filter Exception met het object WebFilterException. De onderstaande koppelingen helpen bij het controleren van geplande automatisering; ze vormen geen volledig request dat klaar is om te verzenden of op een firewall is getest. Toegang, beschermde toegangsgegevens, een expliciete operatie, een versiegebonden requeststructuur en veilige verwerking van antwoorden horen bij de centrale werkwijze XML API veilig gebruiken. Zonder syntaxis die voor de specifieke build is bevestigd, worden geen schrijfbewerkingen uitgevoerd.

Activering, skipflags en DomainList onderscheiden

Enabled activeert de uitzondering en staat on of off toe. De vijf skipflags staan eveneens on of off toe, maar duiden op het overslaan van een controle, niet op het activeren ervan: HttpsDecrypt voor HTTPS-decryptie, VirusScan voor malwarescanning, PolicyCheck voor Web Policy-controles, ZeroDayProtection voor Zero-Day-bescherming en CertValidation voor HTTPS-certificaatvalidatie. on bij een skipflag betekent dus dat bescherming wordt omzeild. De hierboven uitgelegde gevolgen voor de bescherming blijven gelden, met name de automatische Zero-Day-bypass bij het overslaan van de malwarescan. Leid uit een ingestelde skipflag niet af dat een vermelding al actief is of bij de flow past.

De referentie toont onder DomainList herhaalbare criteria en afzonderlijke schakelaars op het object:

• EnableSrcIP met SrcIp: bron-IP-controle; hier hoort de client thuis.
• EnableDstIP met DstIp: doel-IP-controle; hier hoort het adres van de website thuis.
• EnableURLRegex met URLRegex: controle op URL-patronen, geen domeinlijst die automatisch subdomeinen omvat.
• EnableWebCat met WebCategory: controle op webcategorieën.

De vier schakelaars zijn scalaire yes/no-waarden, niet on/off. De vier criteria zijn stringarrays met meerdere toegestane waarden; voor elke vermelding van SrcIp en DstIp noemt de referentie maximaal 43 tekens. Alleen een gevuld array vervangt geen bevestigde activeringsschakelaar. Verschillende geactiveerde criteriatypen moeten volgens de matchlogica met AND overeenkomen, waarden binnen één type met OR. Extra URL-patronen kunnen de match dus verruimen. De hierboven gedocumenteerde onopgeloste TLS-beperking voor gecombineerde bron- en doel-IP-uitzonderingen blijft bestaan: de aanwezigheid van beide API-velden bewijst niet dat de combinatie is toegestaan. Creëer geen bredere bypass door een criterium weg te laten.

Voor URLRegex blijven een beginanker, hostpunten met escape, een duidelijke hostgrens, ASCII/Punycode en positieve, negatieve en lange non-matchtests vereist. Het patroon uit de API-referentie is geen goedgekeurde allowlist en vervangt noch deze tests, noch de HTTPS-padgrens. Alleen een XML-syntaxiscontrole bewijst geen veilige match.

Name is de enige parameter die als verplicht is gemarkeerd: een scalaire string met maximaal 60 tekens; uitgesloten zijn ^, ;, ', " en \. Het optionele NewName dient voor het hernoemen en heeft dezelfde beperkingen. Dit is niet hetzelfde als het aanmaken van een nieuwe vermelding door een gewijzigde naam bij de selectieve import. Desc is een optionele scalaire string met maximaal 250 tekens; IsDefault markeert een standaarduitzondering met een scalaire yes/no-waarde en geeft geen toestemming om standaardobjecten te wijzigen. De overige parameters zijn optioneel en hun defaultkolommen zijn leeg. Daaruit volgt noch een concrete standaardwaarde, noch een toezegging dat weggelaten waarden bij een update behouden blijven. Bewaar vooraf de opgeslagen toestand en leg de volledige vergelijking tussen gewenste en werkelijke toestand vast.

Antwoorden indelen op operatie, code en symbool

Beide objectreferenties bevatten exact deze koppelingen. De operatiebenamingen en symbolen blijven bewust ongewijzigd:

Deze XML-codes zijn geen HTTP-statuscodes. Message.* blijft een niet nader verklaard documentatiesymbool, geen geverifieerde runtime-melding of eenduidige foutoorzaak. Met name uit Message.WebExceptionsLimit mag geen numeriek maximum worden afgeleid. Add en Update hebben verschillende succes- en foutsymbolen; de Add-koppelingen voor 502 en 522 worden niet op Update toegepast.

Bewaar het werkelijke antwoord met operatie en XML-code op een beschermde locatie, ook bij een timeout of een onduidelijk resultaat. Controleer vóór elke nieuwe schrijfpoging de daadwerkelijk opgeslagen vermelding via een voor de specifieke build bevestigde alleen-lezenquery of onder Web > Exceptions: de oude en eventueel nieuwe naam, het aantal, de activering, alle criteria en skipflags. Ook een gemeld succes vervangt deze vergelijking niet. Maak een bestaande vermelding niet blind opnieuw aan, hernoem of overschrijf deze niet blind en verwijder niet blind criteria. Stop bij een onduidelijke of gedeeltelijk gewijzigde toestand en stem met de firewalleigenaar af op basis van het antwoord, de vorige toestand en de gewenste toestand. Maak na een bevestigde wijziging nieuwe verbindingen en voer de bestaande positieve en negatieve tests uit; pas daarmee wordt de beschermingswerking gecontroleerd. De centrale API-handleiding geeft aanvullende uitleg over waarschuwingen, gedeeltelijke successen en de veilige werkwijze zonder blinde retries.

Review en rollback

Elke Web Exception in productie bevat minstens:

• technische motivering en ticket
• eigenaar van applicatie en firewall
• getroffen hosts, paden, bronnen en gebruikersgroepen
• exact overgeslagen controles
• datum van de positieve en negatieve tests
• review- of vervaldatum
• gedocumenteerde vorige toestand

Voor rollback wordt de uitzondering eerst uitgeschakeld en niet direct verwijderd. Daarna worden oorspronkelijke fout, normaal beschermingspad en niet-getroffen doelen opnieuw getest. Pas wanneer er geen afhankelijkheid meer bestaat, wordt de uitzondering verwijderd.

Standaard- en vendoruitzonderingen worden niet ongecontroleerd gewijzigd. Bij een eigen uitzondering blijft duidelijk waarom ze bestaat en wie haar later opnieuw beoordeelt.

Operationele checklist

• DPI Mode of Web Proxy Mode bepaald.
• Werkelijk matchende firewallregel en Web Policy bevestigd.
• Hostname en indien van toepassing URL-pad uit werkelijk verkeer vastgelegd.
• Regex aan het begin verankerd en tegen non-matches getest.
• AND tussen criteriatypen en OR binnen een type meegenomen.
• Alleen de kleinste benodigde skipoptie geselecteerd.
• Automatische Zero-Day-bypass bij Malware and content scanning meegenomen.
• Pilotbron begrensd.
• Positieve en negatieve tests uitgevoerd.
• Log Viewer, certificaat en beschermingsimpact samen gecontroleerd.
• Eigenaar, ticket, controledatum en rollback gedocumenteerd.

Veelgestelde vragen