Sophos Firewall Webcategorieën en Instant Alerts gebruiken

Webcategorieën bepalen welke websites gebruikers mogen openen. Instant alerts voegen e-mailmeldingen toe voor een klein aantal bewust bewaakte categorieën. Categorie, webbeleid, firewallregel, logging en e-mailbezorging moeten op elkaar aansluiten om beide functies betrouwbaar te laten werken.

Dit is vooral nuttig in scholen, gevoelige bedrijfsonderdelen of omgevingen waar bepaalde webtoegang niet pas in het maandrapport mag opvallen.

Een categorie alleen verandert het verkeer niet. Een webbeleid moet er een actie aan koppelen en dat beleid moet aan een passende firewallregel worden toegewezen. TLS-inspectie, QUIC-afhandeling en logging bepalen bovendien wat de firewall kan herkennen en later kan rapporteren.

Voor algemene webbeleidplanning past eerst Sophos Firewall Webbescherming met webbeleid instellen. Voor de regelbasis helpt Sophos Firewall-regels begrijpen en correct configureren. Dit artikel richt zich op het operationele webgedeelte: categorieën, URL-groepen, instant alerts, evaluatie en reactie.

Oriëntatie

Bepaal eerst welke webfunctie welke taak heeft. Zo blijven categorieën, URL-groepen, Web Policies en Instant Alerts duidelijk van elkaar onderscheiden.

Begrippen duidelijk scheiden

Sophos gebruikt meerdere webobjecten die in de praktijk gemakkelijk door elkaar gehaald worden.

• Webcategorie: Categorie voor domeinen, URL’s of trefwoorden. Veel categorieën komen van Sophos, eigen categorieën zijn mogelijk. Webtoegang toestaan, blokkeren, beperken of melden op basis van risico of inhoud.
• URL-groep: Lijst met domeinen die in webbeleid of TLS-uitzonderingen kan worden gebruikt. Expliciete toestaan- of blokkeerlijsten, wanneer specifieke domeinen belangrijker zijn dan categorieën.
• Webbeleid: Regelwerk voor gebruikers, groepen, categorieën, URL-groepen, bestandstypen, inhoudsfilters en acties. Webtoegang beheren en koppelen aan een firewallregel.
• Instant alerts: E-mailmelding voor toegang tot bewaakte categorieën. Snelle melding bij bijzonder gevoelige of risicovolle categorieën.
• Log Viewer en rapporten: Evaluatie van de daadwerkelijke beslissing. Controleren of categorie, beleid, gebruiker en firewallregel zoals verwacht werken.

Een webbeleid werkt pas als het in een passende firewallregel onder Security features > Web filtering is geselecteerd. Het webbeleid alleen is dus nog geen firewallregel die productie­verkeer afhandelt.

Wanneer webcategorieën zinvol zijn

Webcategorieën zijn vooral nuttig wanneer webtoegang niet alleen algemeen toegestaan of geblokkeerd moet worden. Typische scenario’s:

• Malware-, phishing- en fraudecategorieën blokkeren.
• Anonymizers, proxies en omzeildiensten beperken.
• Command-and-Control- of spywarecategorieën speciaal monitoren.
• Categorieën zoals Adult content, Gambling of Controlled substances afhankelijk van de omgeving blokkeren.
• Bedrijfskritische cloudapplicaties toestaan, maar privécloud- of bestandsdelingdiensten beperken.
• In scholen of begeleide omgevingen bijzonder gevoelige categorieën met instant alerts monitoren.
• Bandbreedte voor bepaalde webcategorieën beperken via traffic shaping.

Categorieën moeten niet willekeurig allemaal op blokkeren of alert worden gezet. Anders ontstaan er veel treffers die niemand zinvol kan beoordelen. Beter is een kleine, duidelijke set met eigenaar, reactieweg en beoordeling.

Vereisten

Voor de configuratie moeten deze punten duidelijk zijn:

• Webbescherming of een passend Sophos Firewall-pakket is gelicentieerd.
• Er is een client- of gebruikersregel die webfiltering moet gebruiken.
• Gebruikers- of groepsmatching is gepland, als beleid gebruikersgebaseerd moet werken.
• Log firewall traffic is in de relevante firewallregel actief.
• Onder System services > Log settings is ten minste Content filtering voor Local reporting geselecteerd. Selecteer voor Central Reporting of Syslog hetzelfde logtype in de bijbehorende doelkolom.
• E-mailmeldingen werken als instant alerts gebruikt moeten worden.
• Het gebruikte model ondersteunt Instant Alerts; XGS 87 en XGS 88 ondersteunen deze functie niet.
• Voor langdurige evaluatie is Central Firewall Reporting of Syslog gepland.
• Er is bewust besloten hoe QUIC en TLS-inspectie worden afgehandeld.

Voor centrale evaluatie past Central Firewall Reporting activeren. Als logs naar een eigen SIEM moeten gaan, is Sophos Firewall Syslog naar SIEM sturen het betere vervolgartikel.

Policy-ontwerp plannen

Bepaal vóór de configuratie welke categorieën relevant zijn, wie meldingen ontvangt en wat er na een alert moet gebeuren.

Categorieën en URL-groepen plannen

Voor beheerders is het belangrijk wanneer een eigen webcategorie en wanneer een URL-groep beter past.

Een eigen webcategorie is zinvol wanneer:

• domeinen of trefwoorden als categorie in verschillende webbeleidssets gebruikt moeten worden.
• de categorie bewust zichtbaar moet zijn in rapporten en logs.
• een traffic-shaping-concept per categorie gepland is.
• een bewaakte categorie voor instant alerts moet ontstaan.

Een URL-groep is meestal beter wanneer:

• alleen specifieke domeinen verzameld worden.
• een kleine toestaan- of blokkeerlijst nodig is.
• de lijst ook voor TLS-uitzonderingen gebruikt moet worden.
• trefwoordmatching vermeden moet worden.

URL-groepen zijn bij pure domeinmatches directer en eenvoudiger te controleren dan categorieën met trefwoorden. Gebruik trefwoordcategorieën alleen in blokkeerregels, niet in toestaan-regels: queryparameters kunnen anders ongewenste toegang afdwingen.

Een URL-groep bevat geldige domeinen. Reguliere expressies zijn niet toegestaan; de vermeldingen worden met OR geëvalueerd, zodat één overeenkomst volstaat. De actuele SFOS 22-help vermeldt geen vast maximum. Dat is geen belofte van onbeperkte lijsten. Controleer voor grote of dynamisch onderhouden lijsten of een geïmporteerde categoriedatabase of threat feed beter past.

URL Groups maken en veilig gebruiken toont de volledige werkwijze voor maken, Web Policy, TLS en testen.

Vaste, dynamische en ontbrekende categorieën onderscheiden

De meeste ingebouwde categorieën berusten op een URL-lookup. ActiveX, Applets, Cookies en HTTPUpload zijn daarentegen dynamische categorieën: de firewall wijst ze toe op basis van inhoudsinspectie. Een URL-lookup alleen bevestigt dus niet of zo’n inhoudsregel bij een echt verzoek wordt toegepast. ALLWebTraffic betekent al het HTTP-verkeer, niet alleen nog onbekende websites.

None en Uncategorized zijn verschillende resultaten. Bij None is de lookup geslaagd, maar bevat de URL-database geen categoriegegevens. Bij Uncategorized is de lookup mislukt. Onderscheid vóór een uitzondering een ontbrekende databaseclassificatie van een categoriseringsprobleem; geen van beide resultaten bewijst dat een website veilig is.

Categorieën op betekenis selecteren

Een categorie is geen algemeen veiligheidsoordeel over alle inhoud van een dienst. Deze verschillen zijn belangrijk bij het kiezen van beleidsacties:

• CRL and OCSP betreft certificaatintrekkingscontroles; Software updates betreft updates van gangbare software. Deze aanvragen zijn normaal nodig. Download freeware & shareware sluit updatesites voor besturingssystemen, antivirus en andere bedrijfskritische software uitdrukkelijk uit. Een downloadblokkade mag updates niet onbedoeld verhinderen.
• Content delivery omvat meestal secundaire of ingesloten inhoud van andere websites. Een algemene blokkade kan toegestane sites verstoren; controleer vóór een uitzondering de werkelijke doelhost en hoofdsite in de logs.
• Command & control betekent bekende malwarebesturingsservers, Spyware & malware sites met schadelijke inhoud en Phishing & fraud onder meer phishing- en frauduleuze sites. Newly registered websites en Parked Domain zijn daarentegen risicosignalen, geen bewijs van malware.
• Business cloud apps, Personal cloud apps en Personal network storage onderscheiden zakelijke toepassingen, persoonlijke clouddiensten en privé-netwerkopslag. Beslis op basis van datalekrisico en zakelijke noodzaak, niet alleen het woord ‘cloud’.
• Anonymizers en Translators kunnen filters omzeilen; Image search, Portal sites en zoekmachines kunnen inhoud van andere categorieën tonen. Een toegestane hoofdsite betekent daarom niet dat elk ingesloten doel toegestaan moet zijn.
• Live audio, Live video, Video hosting, Surveillance en Voice & video calls onderscheiden streaming, video op aanvraag, bewaking en communicatie. Of shaping of blokkering past, hangt af van de benodigde dienst. Sites van casino’s, hotels en resorts vallen onder Travel als ze noch online gokken noch gok- of speltips aanbieden. De hotelnaam alleen bewijst de classificatie niet.

Compacte begrippenlijst voor diagnose en gevoelige omgevingen

• Gambling omvat online gokken en loterijen met echt of virtueel geld; informatie of advies over inzetten, loterijen, gokken en illegale getallenloterijen; virtuele casino’s en offshore-gokactiviteiten; voorspellingen voor sportweddenschappen en gezamenlijke weddenschappen; en virtuele sportcompetities en fantasy leagues met grote beloningen of aanzienlijke inzetten. Games omvat het spelen, downloaden en hosten van games, het organiseren van spelwedstrijden, speltips en cheatcodes, en tijdschriften over online games. Onderscheid gokken dus van gamen bij het kiezen van categorieacties.

• HTTPUpload betreft beperkingen op HTTP-uploads en is dynamisch; IPAddress betreft sites die via IP-adressen worden bezocht. Dit zijn verschillende regelgevallen, geen synoniemen voor ontbrekende classificatie.

• Pro-suicide & self-harm omvat sites die zelfdoding of zelfbeschadiging aanmoedigen. Scholen kunnen hiermee mogelijke zorgen over leerlingen bewaken. Pagina’s over geestelijke gezondheid, hulp en ondersteuning vallen hier niet alleen vanwege hun onderwerp onder. Een treffer vereist menselijke beoordeling, geen automatische conclusie dat er een incident is.

• Sex education omvat sites met afbeeldingen of tekst over correct gebruik van voorbehoedsmiddelen, waaronder de pil en het spiraaltje, en gesprekken met een partner over ziekten, zwangerschap en het respecteren van grenzen. Commerciële sites die seksuele hulpmiddelen verkopen vallen hier niet onder, maar doorgaans onder Sexually explicit. Die categorie omvat producten voor volwassenen, zoals seksspeeltjes, cd-roms en video’s; materiaal over seksueel misbruik van kinderen en pedofilie, inclusief de IWF-lijst; diensten voor volwassenen, zoals videoconferenties, escortdiensten en stripclubs; erotische verhalen en beschrijvingen van seksuele handelingen; expliciete tekenfilms, animaties, nieuwsgroepen en forums; seksueel gerichte of erotische sites met volledige of gedeeltelijke naaktheid; voorstellingen of afbeeldingen van seksuele handelingen, ook met dieren of seksueel gebruikte levenloze voorwerpen; seksueel uitbuitende of gewelddadige tekst en beelden; bondage, fetisjen en genitale piercings; naturistensites met naaktheid; en erotische of fetisjfotografie met naaktheid. Informatie over seksuele gezondheid, borstkanker en seksueel overdraagbare aandoeningen is uitgesloten, behalve bij grafische voorbeelden.

• Intolerance & hate omvat sites die vernedering of aanvallen op bevolkingsgroepen of instellingen bepleiten of aanwakkeren vanwege religie, ras, nationaliteit, gender, leeftijd, beperking of seksuele geaardheid; politieke of sociale agenda’s die de eigen groep als superieur voorstellen en anderen op die gronden uitsluiten; Holocaustrevisionisme of -ontkenning en ander revisionisme dat haat aanmoedigt; dwang of werving voor bendes of sektes; militante en extremistische sites; en flagrant ongevoelig of beledigend materiaal, waaronder materiaal dat andere opvattingen en overtuigingen niet erkent of respecteert. Een bende betekent hier een groep met een gemeenschappelijke naam of herkenningsteken waarvan ernstige misdrijven de hoofdactiviteit zijn en waarvan leden namens de groep criminele activiteiten uitvoeren. Een sekte betekent hier een groep die volgelingen misleidend en manipulatief werft en vasthoudt, hun persoonlijkheid en gedrag door ongepaste beïnvloeding verandert, een almachtige leiding en allesomvattende ideologie heeft, de individuele wil ondergeschikt maakt en zich buiten de samenleving plaatst. Nieuws, historisch materiaal en persverslagen zijn uitgesloten, behalve bij grafische voorbeelden. Verslaggeving is niet automatisch goedkeuring.

• Radio & audio hosting omvat legitieme audio en muziek op aanvraag, met Spotify en Pandora als beschrijvende voorbeelden, anders dan live-uitzendingen van evenementen of programma’s in Live audio. Deze voorbeelden zijn geen garantie voor de actuele classificatie van een specifieke URL. Online Chat omvat webchat en instant messaging; Voice & video calls betreft internettelefonie en videogesprekken. Kies op basis van de benodigde communicatievorm.

• Unauthorized software stores omvat dubieuze distributie van software en apps voor computers en mobiele apparaten, met mogelijk schadelijke downloads of downloads met trojans. Niet elke niet-goedgekeurde winkel is aantoonbaar schadelijk. Onderscheid dit van noodzakelijke, goedgekeurde Software updates voor gangbare producten.

Gebruik voor gevoelige categorieën alleen onschuldige, goedgekeurde testgevallen en gecontroleerde testmiddelen; bezoek nooit illegaal of schokkend materiaal. Laat classificatie, context en mogelijke fouten door een persoon beoordelen vóór escalatie. Gewone thematische catalogusdefinities en historische dienstvoorbeelden blijven om redactionele redenen buiten dit artikel; ze zijn niet slechts navigatie en worden niet als volledig vertaalde taxonomie opgevoerd.

Bewaar vóór brede wijzigingen het bestaande beleid en test met onschuldige, goedgekeurde doelen zowel de gewenste treffer als noodzakelijke updates en certificaatintrekkingscontroles. Herstel bij uitval de betrokken categorieactie en herhaal de tests in plaats van webfiltering geheel uit te schakelen.

Generative AI als webcategorie in SFOS 23.0

SFOS 23.0 documenteert Generative AI als ingebouwde webcategorie voor websites en diensten waarmee gebruikers via prompts inhoud kunnen maken of omzetten. Websites waarvan generatieve AI niet het hoofddoel is, zijn uitdrukkelijk uitgesloten. Een extra AI-functie binnen een andere dienst is dus geen reden om aan te nemen dat die dienst tot deze categorie behoort. De categorie garandeert niet dat al het AI-gebruik wordt herkend.

Deze URL-classificatie van Sophos wordt via een Web Policy gebruikt. Ze staat los van applicatiehandtekeningen en de applicatiecategorie Generative AI in Application Control. Een aangepaste webcategorie met dezelfde naam wordt niet automatisch met de applicatiecatalogus gesynchroniseerd. Ook een door de beheerder onderhouden domeinlijst in een URL-groep of aangepaste categorie blijft een apart object, met een eigen verantwoordelijke en beoordelingsdatum, en is niet de ingebouwde categorie.

Controleer vóór een brede blokkade het effect op de gebruikte versie met een beperkte pilot:

1. Controleer de categorie onder Web > Categories en gebruik Diagnostics > URL category lookup voor een goedgekeurde, onschuldige test-URL. De lookup toont alleen de classificatie, niet de werkelijke beleidsbeslissing; een aangepaste categorie kan het getoonde resultaat bepalen.
2. Controleer onder Web > Policies de categorie, HTTP/HTTPS-acties en regelvolgorde. Het beleid moet in de passende firewallregel onder Security features > Web filtering zijn geselecteerd. Controleer Enable logging and reporting, Log firewall traffic en Content filtering onder System services > Log settings > Local reporting.
3. Vul Policy tester aan met een gecontroleerd echt clientverzoek en controleer in Log Viewer de gebruikte categorie, Web Policy, firewallregel en actie. Beoordeel beslissingen van Application Control afzonderlijk. Controleer bij afwijkingen eerst aangepaste categorieën, regelvolgorde, uitzonderingen en het TLS/QUIC-pad, in plaats van volledige AI-detectie aan te nemen.

Generatieve AI beheersen legt de keuze tussen webcategorie, Application Filter en aanvullende domeinlijst uit, samen met de pilotwerkwijze.

Blokkeren, alert of alleen rapporteren?

Niet elke categorie heeft dezelfde behandeling nodig. Een goed webbeschermingsontwerp scheidt harde veiligheidsbeslissingen van aanwijzingen en pure evaluatie.

• Blokkeren: Blokkeer malware, phishing, bekende omzeildiensten en duidelijk verboden categorieën. Een legitieme site kan door een verkeerde classificatie worden geblokkeerd.
• Waarschuwen: Gebruik waarschuwingen voor grijze gebieden, trainingsomgevingen en bewust toegestane categorieën. Gebruikers kunnen aan waarschuwingen wennen en reflexmatig verder klikken.
• Instant Alert: Bewaak enkele categorieën waarvoor daadwerkelijk actie vereist is. Te veel alerts leiden tot alarmmoeheid.
• Alleen rapporteren: Gebruik rapportage voor trendanalyse, gebruiksrapporten en zwakke signalen. Treffers worden dan pas later zichtbaar.

Voor productieve omgevingen is vaak een kleine, duidelijke selectie beter dan een maximale catalogus. Als niemand een alert beoordeelt, moet de categorie niet als instant alert draaien. Als een categorie altijd geblokkeerd moet worden, is een alert alleen dan zinvol als daaruit een concrete follow-up ontstaat.

Voor sites die Sophos als bijzonder ernstige criminele activiteit classificeert, geldt een vaste systeemgrens: de firewall blokkeert ze ongeacht webbeleid of uitzondering en verbergt de domeinnaam in logs en rapporten. Een ontbrekende domeinnaam is in dit geval dus geen loggingfout.

Configuratie

De configuratie bestaat uit vier delen: een categorie of URL-groep, een Web Policy, een firewallregel en optioneel Instant Alerts. Pas wanneer die op elkaar aansluiten, heeft de configuratie effect op het productie­verkeer.

Webcategorie maken of aanpassen

Het menupad is:

Web > Categories

Basisstappen:

1. Bestaande categorie bewerken of Add kiezen.
2. Naam geven.
3. Classificatie selecteren.
4. Optioneel een traffic shaping policy selecteren.
5. Configuratietype kiezen.
6. Domeinen of trefwoorden toevoegen.
7. Optioneel Instant alerts activeren.
8. Opslaan.

Bij eigen categorieën moet de naam het doel duidelijk beschrijven. Namen zoals Custom1 of Blocklist helpen later nauwelijks. Beter zijn namen zoals Alert_Self_Harm, Block_Proxy_Anonymizer of Allow_Business_Cloud_Exceptions.

Domeinen worden gecontroleerd tegen de domeinnaam in de URL en omvatten automatisch subdomeinen. Trefwoorden worden daarentegen gecontroleerd tegen de volledige URL inclusief pad en query. Dit kan nuttig zijn, maar genereert gemakkelijker valse treffers.

Als een externe URL-database wordt gebruikt, controleert de firewall deze lijst elke 48 uur op updates. Dit interval kan niet worden gewijzigd. Voor openbare blokkeerlijsten moet men toch controleren of Sophos Firewall Threat Feeds instellen en veilig beheren technisch beter past.

Een aangepaste categorie vervangt de standaardcategorie van Sophos voor een URL niet. Een URL kan tot meerdere categorieën behoren. De firewall beoordeelt categorieën in de volgorde van de categorielijst; logs en rapporten tonen de categorie die voor de beleidsbeslissing is gebruikt. Test daarom opnieuw met een echt verzoek nadat items of hun volgorde zijn gewijzigd.

Bij Local database zijn maximaal 2,000 vermeldingen mogelijk. Een lokaal .txt-bestand bevat één vermelding per regel, terwijl een .csv-bestand de kommagescheiden vermeldingen op één regel bevat. External URL database accepteert een via HTTP of FTP bereikbaar .txt-, .csv-, .tar-, .gz- of .bz2-bestand, maar ondersteunt geen authenticatie bij de bronserver. Ongeldige vermeldingen worden genegeerd.

De grootte van de externe cache hangt af van het RAM-geheugen van de firewall. Volgens Sophos kunnen de meeste modellen met meer dan 4 GB RAM maximaal 122,880 vermeldingen cachen. Controleer de werkelijk beschikbare limiet in /log/nSXLd.log voordat een grote lijst in productie wordt gebruikt.

Vermeldingen en imports controleren

Classification helpt categorieën te filteren en beheren. Traffic shaping policy bepaalt gebruikslimieten en upload-/downloadbandbreedte; laat None staan als geen beperking gewenst is. Configuration type staat aanvankelijk op Local. Voer een item in onder Search/Add en kies Add, of importeer een lokaal bestand met Browse. Voer voor een externe database de bron-URL in onder Search/Add en klik op Add.

Domeinvermeldingen mogen een pad of query bevatten, zoals example.com/research of example.com/search?q=report; een protocolvoorvoegsel zoals https:// hoort niet in de vermelding. Dit zijn syntaxvoorbeelden, geen goedgekeurde testdoelen. Trefwoorden moeten beginnen met een letter, cijfer of _. Ongeldige tekens, ongeldige domeinvermeldingen en lege regels worden verwijderd. Bij meer dan 2,000 lokale vermeldingen worden alleen de eerste 2,000 geïmporteerd. Archieven voor externe databases moeten tekstbestanden bevatten. De externe database heeft geen vaste vermeldingslimiet; dit maakt de RAM-afhankelijke cache nadrukkelijk niet onbeperkt.

Maak geen toestaan-lijst met trefwoorden: trefwoordcontroles zijn minder efficiënt en onderzoeken ook queryparameters. Een toegestane categorie met het trefwoord research kan bijvoorbeeld overeenkomen met blocked.example/?tag=research, terwijl het domein geblokkeerd zou moeten blijven. Gebruik trefwoordcategorieën alleen in blokkeerregels, niet om toegang te verlenen. Een URL-groep past beter bij uitzonderingen voor alleen domeinen. Documenteer vermeldingen en bestaand beleid vóór de import; controleer daarna de opgeslagen lijst, een verwachte treffer en een niet-treffer. Herstel bij onjuiste treffers de eerdere vermeldingen in plaats van blokkades breed te versoepelen.

Categoriespecifieke blokkeerpagina

Onder Advanced settings > Override default notification page kan een eigen bericht de standaardmelding vervangen wanneer deze categorie een website blokkeert. De plaatshouders {category}, {user} en {url} tonen categorie, gebruikersnaam en geblokkeerde URL. Gebruik alleen noodzakelijke gegevens: gebruikers en URL’s kunnen gevoelige informatie bevatten. Bewaar het eerdere bericht en de instelling, en controleer daarna met een onschuldig doel dat in een gecontroleerde test wordt geblokkeerd. Herstel bij een ongeschikte weergave de eerdere tekst of standaardpagina; een gewijzigde melding staat de website niet toe.

Webbeleid configureren

Het menupad is:

Web > Policies

Een webbeleid bevat regels voor gebruikers, groepen, activiteiten, categorieën, URL-groepen, bestandstypen, inhoudsfilters, acties en tijdschema’s.

Basisstappen:

1. Nieuw webbeleid maken of bestaand beleid bewerken.
2. Regel toevoegen.
3. Gebruikers of groepen selecteren, als het beleid gebruikersgebaseerd moet zijn.
4. Categorieën of URL-groepen selecteren.
5. Actie voor HTTP instellen.
6. Aparte actie voor HTTPS controleren.
7. Tijdschema instellen, indien nodig.
8. Onder Advanced settings Enable logging and reporting activeren als het beleid in logs en rapporten moet verschijnen.
9. Status van de regel activeren.
10. Regelpositie controleren.
11. Opslaan.

Enable logging and reporting in het webbeleid en Log firewall traffic in de firewallregel hebben verschillende functies. Controleer beide bewust wanneer een traceerbare evaluatie nodig is.

De volgorde binnen het webbeleid is cruciaal. Regels worden van boven naar beneden geëvalueerd. Een brede toestaan-regel boven een specifieke blokregel kan ervoor zorgen dat de blokregel nooit van kracht wordt.

Als gebruikers in de firewallregel en in het webbeleid zijn ingesteld, moet men de werking bewust testen. Gebruikers in firewallregels kunnen voorrang hebben boven gebruikers in webbeleid. Bij onduidelijke treffers moet men daarom niet alleen het webbeleid, maar ook de firewallregel controleren.

Webbeleid in firewallregel activeren

Het menupad is:

Rules and policies > Firewall rules > [Rule] > Security features > Web filtering

Basisstappen:

1. Relevante client- of serverregel openen.
2. Source zone, Source network, Destination zone en Services controleren.
3. Log firewall traffic activeren.
4. Onder Web filtering het gewenste webbeleid selecteren.
5. Block QUIC protocol bewust activeren of gemotiveerd deactiveren.
6. Malware Scan en HTTPS-scaninstellingen controleren.
7. Opslaan.
8. Met Policy tester, Log Viewer en reëel clientverkeer testen.

QUIC is voor webfiltering een veelvoorkomende stoorfactor. Als browsers via UDP 443 communiceren, passen logica en zichtbaarheid niet altijd bij de verwachting van klassiek HTTPS via TCP. Voor details past Sophos Firewall QUIC en HTTP/3 correct blokkeren.

Als HTTPS-inhoud of volledige URL-paden relevant zijn, is webcategorisering alleen niet altijd voldoende. Dan moet TLS-inspectie worden gepland. Dit moet niet terloops gebeuren, omdat certificaten, uitzonderingen, privacy, prestaties en ondersteuningsprocessen betrokken zijn. De uitrol is beschreven in Sophos Firewall TLS-inspectie correct invoeren.

Voorbeeld: categorieën alleen voor een onderzoeksgroep toestaan

Een beperkte groepsuitzondering is veiliger dan een algemene toestaan-regel. Documenteer eerst het bestaande beleid, de positie van de firewallregel en de groepsinstellingen, en bevestig dat testgebruikers correct worden herkend. Research, Web categories en Web research group zijn vrij gekozen voorbeeldnamen.

1. Maak Research onder Authentication > Groups > Add. Kies Surfing quota en Access time bewust en klik op Save. Unlimited internet access en Allowed all the time zijn mogelijke voorbeeldwaarden, geen voorwaarden voor een categorie-uitzondering: onbeperkt gebruik en toegang op elk tijdstip vereisen aparte goedkeuring.
2. Maak onder Web > Policies > Add policy de policy Web categories en kies Add rule. De nieuwe regel staat bovenaan, is aanvankelijk uitgeschakeld en zou met de begininstellingen al het HTTP-verkeer voor alle gebruikers blokkeren. Wijzig de selectie vóór het inschakelen.
3. Open in Activities All web traffic > Add new item, deselecteer All web traffic en selecteer onder Show only > Web category alleen goedgekeurde categorieën. Bevestig met Apply selected items.
4. Kies in Action Allow HTTP, controleer de aparte HTTPS-actie bewust, schakel Status in en sla op. Laat logging of de overige regels niet per ongeluk weg.
5. Kies onder Rules and policies > Firewall rules de passende IPv4- of IPv6-familie en Add firewall rule. Beperk Web research group tot de benodigde bronnetwerken, zones, doelen en services. Gebruik bij de gebruikers-/groepsselectie Add new item, deselecteer Any, kies Research en Apply selected items. Wijs de policy toe onder Security features > Web filtering.
6. Verplaats de regel na Save met de sleephendel vóór de algemene werkplekregel, niet zonder controle vóór andere veiligheidsregels. Test met een groepslid en een niet-lid: alleen de goedgekeurde groep mag de toegestane categorie bereiken; andere categorieën en gebruikers moeten het bedoelde basisbeleid blijven volgen. Bevestig regel-ID, categorie en actie in Log Viewer.

Schakel bij onverwacht toegestane toegang de nieuwe groepsuitzonderingsregel uit en herstel de gedocumenteerde volgorde of policytoewijzing. Herhaal beide gebruikerstests. Groepslidmaatschap alleen bewijst niet dat de juiste firewallregel is toegepast.

Het gedocumenteerde voorbeeld noemt de gebruikerstoewijzing Identity en de policyselectie Advanced. Sectienamen kunnen per interface verschillen. Het gaat om de beperkte gebruikers-/groepsselectie en Web Policy-toewijzing onder Web filtering op de geïnstalleerde versie; activeer de uitzondering niet als de toewijzing onduidelijk is.

Instant Alerts activeren

Instant Alerts worden op categorieniveau geactiveerd. Ze zijn standaard voor alle categorieën uitgeschakeld. Het filterpictogram naast Instant alerts onder Web > Categories helpt de bewaakte categorieën weer te geven en te controleren.

Het menupad is:

Web > Categories

Basisstappen:

1. Categorie bewerken.
2. Categorie bewust voor monitoring selecteren.
3. Instant alerts activeren.
4. Opslaan.
5. System services > Notifications list openen.
6. Bovenaan Email notifications inschakelen.
7. Web – Instant alerts zoeken.
8. Het selectievakje onder Email aanvinken.
9. Mailserver, afzender en ontvangers controleren onder Administration > Notification settings.
10. Een testaanvraag uitvoeren en de volgende meldingsbatch van vijf minuten controleren.

De firewall stuurt e-mailmeldingen voor bewaakte categorieën in batches elke vijf minuten. Dit interval kan niet worden gewijzigd. Een alert is daarom geen realtimealarm dat tot op de seconde nauwkeurig is, maar een snelle e-mailmelding vergeleken met rapportage achteraf.

Instant Alerts zijn niet beschikbaar op XGS 87 en XGS 88. Als de functie op een van deze modellen ontbreekt, is de e-mail- of meldingsconfiguratie dus niet noodzakelijk fout.

Instant Alerts moeten alleen worden geactiveerd voor categorieën waarbij een gedefinieerde ontvanger daadwerkelijk kan reageren. Een grote alertlijst zonder verantwoordelijkheid leidt meestal tot alarmmoeheid.

Analyse en beheer

Alerts zijn pas nuttig als ze in het dagelijks beheer consequent worden beoordeeld, geclassificeerd en opgevolgd.

Privacy en interne verantwoordelijkheid

Webcategorie-alerts kunnen gebruikers, bron-IP, tijdstip, categorie en afhankelijk van de zichtbaarheid ook doelinformatie bevatten. Dit is nuttig voor veiligheid en operatie, maar kan afhankelijk van de organisatie arbeidsrechtelijke of privacygerelateerde vragen oproepen.

Voor productief gebruik moet daarom duidelijk zijn:

• Wie mag webalerts zien?
• Welke treffers worden alleen technisch gecontroleerd en welke worden als veiligheidsincident behandeld?
• Hoe lang worden alert-e-mails, rapporten of SIEM-events bewaard?
• Wordt de evaluatie afgestemd met HR, privacy of interne richtlijnen?
• Hoe voorkomt men dat individuele onschuldige treffers overgeïnterpreteerd worden?

Technisch is de instelling snel geactiveerd. Operationeel moet ze echter als een klein monitoringproces worden behandeld: ontvanger, doel, reactieweg en bewaring moeten op elkaar aansluiten.

Alert-triage vaststellen

Instant Alerts moeten niet allemaal hetzelfde worden behandeld. Een enkele categorie-treffer kan een onschuldige foutklik zijn, een verkeerd geclassificeerde dienst, een beleidsprobleem of een echt veiligheidsincident. Daarom moet vooraf worden bepaald welke treffers onmiddellijk worden gecontroleerd en welke alleen in de normale beoordeling gaan.

Een eenvoudige triage helpt:

• Hoog: Geef malware, phishing, Command-and-Control en exploit- of spywarecategorieën hoge prioriteit. Controleer tijdig Log Viewer, de gebruiker, de endpointstatus en andere beveiligingslogs.
• Middel: Geef Anonymizers, proxy’s, bestandsdeling, privécloudopslag en herhaalde beleidsomzeiling middelhoge prioriteit. Controleer patronen, verduidelijk de gebruikerscontext en scherp het beleid aan.
• Laag: Geef afzonderlijke gevallen in grijze gebieden zonder herhaling lage prioriteit. Neem ze op in de rapportage of wekelijkse beoordeling en escaleer niet onmiddellijk.
• Foutalarm: Controleer of een zakelijk noodzakelijke site verkeerd is geclassificeerd. Overweeg een gerichte URL-groep of categorieaanpassing en stel geen brede toestaan-regel in.

Deze indeling moet niet alleen in het hoofd van een beheerder bestaan. Een korte bedrijfsnotitie is zinvol: bewaakte categorieën, ontvanger, reactietijd, escalatieweg, toegestane uitzonderingen en beoordelingsdatum. Hierdoor blijft duidelijk of een alert alleen gedocumenteerd, technisch gecorrigeerd of als incident behandeld moet worden.

URL Category Lookup vóór de policytest gebruiken

Met een actieve Web Protection-subscription toont Diagnostics > URL category lookup welke categorie Sophos aan een specifieke URL toewijst. Voer de volledige test-URL in bij Search URL en klik op Search. Het resultaat toont de categorienaam en beschrijving. Als de URL zowel tot een aangepaste als een standaardcategorie behoort, toont de lookup de aangepaste categorie.

De lookup bevestigt alleen de categorisering. Deze bewijst niet welke firewallregel of web policy een echte client treft, of een uitzondering geldt en hoe TLS, QUIC en het werkelijke verkeerstraject zich gedragen. Na de lookup volgen daarom Policy tester, een gecontroleerde clientaanvraag en de evaluatie in Log Viewer.

Testen en evalueren

Na elke wijziging moet men niet alleen opslaan, maar ook de werking controleren.

Zinvolle teststappen:

1. Diagnostics > Tools > Pop-out tools > Policy tester openen. Web > Policies > Policy tester is een alternatieve snelkoppeling naar hetzelfde hulpmiddel.
2. URL, gebruiker, tijdstip, bron-IP-adres en bronzone invoeren en vervolgens Firewall, SSL/TLS, and web testen. Web policy only laat firewallregels bewust buiten beschouwing.
3. Op een testclient een passende website openen.
4. Log viewer openen.
5. Webfilter-, firewall-, SSL/TLS-inspectie- en applicatiecontrollogs controleren.
6. In de firewallregel controleren of de treffer op de verwachte regel ligt.
7. Bij instant alerts de e-mailinbox controleren.
8. In Sophos Fusion (voorheen Sophos Central) of SIEM controleren of de gebeurtenissen daar aankomen.

Policy tester modelleert transparant webverkeer en houdt geen rekening met SD-WAN-routes. Het hulpmiddel vervangt daarom geen echte pakketstroom. Als een regel niet matcht, een SD-WAN-route anders beslist of TLS/QUIC het pad verandert, wordt het verschil vaak pas zichtbaar in Log Viewer of een packet capture. Voor dergelijke gevallen past Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Voor de toewijzing van de logbestanden helpt Sophos Firewall Troubleshooting: Services en Logs. Daar zijn onder andere awarrenhttp.log, webproxy.log en nSXLd.log voor web- en categoriseringsvragen ingedeeld.

Reactie op Instant Alerts vaststellen

Een instant alert is alleen nuttig als daarna duidelijk is wat er moet gebeuren. Anders ontstaat er extra e-mailverkeer, maar geen betere beveiliging. Voor de activering moet daarom een eenvoudige reactieroutine worden vastgesteld.

Voor elk bewaakt categorietype moet minimaal duidelijk zijn:

• Wie ontvangt de alert? Wijs verantwoordelijke ontvangers aan en vermijd distributielijsten zonder verantwoordelijke.
• Hoe snel moet worden gereageerd? Maak onderscheid tussen kritieke treffers en routinematige analyse achteraf.
• Welke logs worden gecontroleerd? Log Viewer, Central Reporting, Syslog en servicelogs bieden verschillende detailniveaus.
• Wanneer is een treffer een incident? Niet elke categorietreffer is automatisch een veiligheidsincident.
• Wie mag een uitzondering goedkeuren? Leg de bevoegdheid vast om snelle, brede toestaan-regels zonder risicoafweging te voorkomen.
• Wanneer wordt de categoriekeuze herzien? Plan een herbeoordeling om alarmmoeheid door te brede alertsets te verminderen.

Een pragmatische routine ziet er zo uit:

1. Alert met gebruiker, bron-IP, categorie, URL of domein en tijdstip vastleggen.
2. In de Log Viewer controleren welke firewallregel en webbeleid van kracht waren.
3. Indien beschikbaar, Central Reporting of SIEM gebruiken voor tijdsindeling.
4. Bepalen of het een eenmalig geval, een herhaald patroon of een foutalarm is.
5. Bij verkeerde categorisering alleen gericht met URL-groep of categorieaanpassing werken.
6. Bij opvallend patroon gebruikerscontext, endpointstatus en andere beveiligingslogs evalueren.
7. Beslissing documenteren: negeren, observeren, blokkeren, uitzondering, incident.

Voor technische detailanalyse helpen Sophos Firewall Troubleshooting: Services en Logs, Central Firewall Reporting activeren en Sophos Firewall Syslog naar SIEM sturen. Als onduidelijk is of de juiste firewallregel is getroffen, past Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Bedrijfsaanbeveling

Voor productieve omgevingen is een driestapsmodel zinvol:

1. Blokkeren: Malware, phishing, fraude, Command-and-Control, anonymizers en andere duidelijk risicovolle categorieën blokkeren.
2. Monitoren: enkele gevoelige categorieën met instant alerts voorzien.
3. Evalueren: Webrapporten, Central Reporting of SIEM regelmatig controleren.

De belangrijkste grens is organisatorisch: een alert heeft een ontvanger, een reactietijd en een beslissing nodig over wat er met treffers gebeurt. Anders zorgen instant alerts alleen voor extra e-mailruis.

Checklist

• Webbeschermingslicentie gecontroleerd.
• Relevante firewallregel geïdentificeerd.
• Webbeleid gemaakt of aangepast.
• Webbeleid in de firewallregel geselecteerd.
• Log firewall traffic in de regel geactiveerd.
• Bewust besloten of Block QUIC protocol wordt ingeschakeld.
• TLS-inspectie bewust gepland of bewust niet ingezet.
• Kritieke categorieën gedefinieerd.
• Instant alerts alleen voor enkele duidelijke categorieën geactiveerd.
• System services > Notifications list > Web – Instant alerts per e-mail geactiveerd.
• Test met policy tester uitgevoerd.
• Test met echt clientverkeer uitgevoerd.
• Log Viewer gecontroleerd.
• Central Reporting of Syslog gecontroleerd, indien centrale evaluatie verwacht wordt.
• Eigenaar en reactieweg voor alerts gedocumenteerd.

Wijzigingen veilig terugdraaien

Noteer vóór de wijziging de status van de categorie, het webbeleid en de toewijzing in de firewallregel. Zo kan men gericht terugdraaien zonder alle webfiltering uit te schakelen.

1. Om alleen deze meldingen te stoppen, Instant alerts voor de categorie uitschakelen onder Web > Categories. Schakel Email notifications niet globaal uit als andere systeemgebeurtenissen e-mail gebruiken.
2. Als categorie-items of de regelvolgorde zijn gewijzigd, de genoteerde items en posities herstellen.
3. Als een ander webbeleid aan de firewallregel is toegewezen, het vorige beleid herstellen onder Rules and policies > Firewall rules > [Rule] > Security features > Web filtering.
4. De oorspronkelijke tests in Policy tester en op de client herhalen en daarna de verwachte actie in Log Viewer bevestigen.

Een melding die vóór het terugdraaien is gegenereerd, kan nog in de volgende batch van vijf minuten aankomen. De wijziging is correct teruggedraaid als een nieuwe gecontroleerde aanvraag weer de genoteerde beleidsactie krijgt. Als Instant alerts is uitgeschakeld, mag die aanvraag geen nieuwe e-mailwaarschuwing voor webtoegang genereren.

Troubleshooting

Als het verwachte resultaat ontbreekt, controleer dan stap voor stap logging, rule matching en policygedrag.

Typische fouten

• Webbeleid werkt niet: Het beleid is niet in de firewallregel geselecteerd. Controleer de firewallregel onder Web filtering.
• Categorie wordt toegestaan, hoewel deze geblokkeerd zou moeten zijn: Een brede toestaan-regel staat boven de blokregel. Controleer de volgorde in het webbeleid en de firewallregels.
• Geen instant alert: De categorie wordt niet bewaakt, Email notifications staat globaal uit of het selectievakje Email bij de gebeurtenis is niet aangevinkt. Controleer Web > Categories, System services > Notifications list en daarna Administration > Notification settings.
• Geen gebruikersvermelding in log: De gebruiker wordt niet herkend of het verkeer voldoet niet aan de gebruikerscriteria van de regel. Controleer authenticatie, STAS, Captive Portal of Clientless User.
• HTTPS wordt onverwacht toegestaan: Er is geen passende TLS-inspectie of HTTPS-actie ingesteld. Controleer het webbeleid, de SSL/TLS-inspectieregels en de decryptie.
• Webfilter werkt onvolledig: QUIC of een verkeerd verkeerstraject kan de oorzaak zijn. Controleer Block QUIC protocol, de services en Log Viewer.
• Te veel alerts: De categorieën zijn te breed gekozen. Beperk de alertlijst en wijs een verantwoordelijke aan.
• Domein ontbreekt in log/rapport: Bij een bijzonder kritische categorie wordt de domeinnaam verborgen. Controleer de categorie en het bijbehorende gedrag van Sophos.

Sophos blokkeert websites van de categorie highly objectionable criminal activity ongeacht webbeleid of uitzondering en verbergt de domeinnaam in logs en rapporten. Als een vermelding in dit gebied geanonimiseerd verschijnt, kan dit dus opzettelijk zijn.

Veelgestelde vragen