Sophos Firewall Webbescherming instellen met Web Policies

Sophos Firewall Webbescherming bepaalt welke websites, categorieën en webinhoud gebruikers mogen bereiken. In de praktijk is webbescherming echter niet eenvoudigweg een enkele instelling. Een Web Policy moet zorgvuldig worden gepland, geactiveerd in een passende firewallregel en vervolgens getest met echt verkeer.

Veel fouten ontstaan omdat een Web Policy wel bestaat, maar niet wordt toegepast op een actieve firewallregel. Andere problemen houden verband met HTTPS, TLS-inspectie, QUIC, gebruikersherkenning, regelvolgorde of te ruime uitzonderingen. De logische volgorde is daarom: policy plannen, regel bouwen, activeren, testen en in gebruik monitoren.

Welk artikel over webbescherming past bij uw situatie?

Webbescherming overlapt met firewallregels, TLS-inspectie, QUIC, rapportage en uitzonderingen. Afhankelijk van de taak past een specifieker artikel beter:

• Webbescherming en Web Policies inrichten: Dit artikel.
• Single of Dual Engine, scanfouten, groottelimieten en een echte malwaretest begrijpen: Sophos Firewall Malware-Scanning configureren en testen.
• Webcategorieën, URL-groepen en directe waarschuwingen evalueren: Sophos Firewall Webcategorieën en directe waarschuwingen gebruiken.
• HTTPS-verkeer ontsleutelen en controleren: Sophos Firewall TLS-inspectie correct invoeren.
• CA-certificaat voor beheerde clients distribueren: Sophos Firewall CA-certificaat voor TLS-inspectie distribueren.
• QUIC en HTTP/3 bij webfilterproblemen indelen: Sophos Firewall QUIC en HTTP/3 correct blokkeren.
• Uitzoeken welke firewallregel en policy echt van toepassing zijn: Sophos Firewall regel testen met Log Viewer, Policy tester en Packet Capture.
• Web- en beveiligingsevenementen langer evalueren: Central Firewall Reporting of Syslog naar SIEM sturen.

Zo blijft de analyse helder: eerst moet duidelijk zijn of de firewallregel overeenkomt. Daarna controleert men Web Policy, categorie, gebruikerscontext, QUIC, TLS-inspectie en logging.

Wat Webbescherming controleert

Webbescherming bestaat uit meerdere componenten. Niet elke component hoeft in elke omgeving te worden gebruikt, maar de samenhang moet duidelijk zijn.

• Web Policy: Regels voor toegestane, gewaarschuwde, geblokkeerde of quota-gebaseerde webtoegang.
• Webcategorieën: Sophos-categorieën en eigen categorieën voor websites.
• URL-groepen: Eigen domeinlijsten voor gerichte toestaan- of blokkeerregels.
• Bestandstypen: Beheer van bepaalde download- of bestandstypen.
• Inhoudsfilters: Termen of patronen voor inhoudscontrole.
• Uitzonderingen: Gerichte uitzonderingen op web-, TLS- of scangedrag.
• Search engine enforcement: SafeSearch en YouTube-beperkingen.
• Advanced settings: Google Apps-inlogdomeinen en Microsoft Entra ID Tenant Restrictions.
• Logging en rapportage: Traceerbaarheid in Log Viewer, rapportage, Central of SIEM.

Webbescherming vervangt geen solide basis van firewallregels. De firewallregel bepaalt eerst welk verkeer van welke zone naar welke doelzone is toegestaan. De Web Policy voegt webcontrole toe aan deze regel. De basisprincipes van regelvolgorde, bron, bestemming, services en beveiligingsprofielen staan in Sophos Firewall regels begrijpen en correct opbouwen.

Vereisten

Voor de uitrol moeten deze punten duidelijk zijn:

• Webbescherming is gelicentieerd of opgenomen in het gebruikte pakket.
• De betrokken clientnetwerken hebben eigen firewallregels.
• Logging is actief in de relevante regels.
• DNS en tijd van de firewall werken correct.
• Gebruikersherkenning is duidelijk, als policies per gebruiker of groep moeten gelden.
• TLS-inspectie is gepland als HTTPS-inhoud nauwkeuriger moet worden gecontroleerd.
• QUIC/HTTP/3 wordt bewust toegestaan of geblokkeerd.
• Er is een pilotgroep en een terugvaloptie voor bedrijfskritische sites.

Bijzonder belangrijk is de scheiding naar doelgroepen. Een Web Policy voor normale clients, servers, gasten, VPN-gebruikers en beheersystemen moet niet dezelfde zijn. Servers hebben vaak minder browsecontrole nodig, maar strengere doel- en updatelijsten. Gasten hebben vaak categorieën en bandbreedtebeperking nodig, maar geen toegang tot interne bronnen.

Als Web Policies op gebruikers of groepen moeten reageren, moet gebruikersherkenning werken. AD SSO, Captive Portal, STAS, SATC of andere methoden mogen niet pas tijdens de Web Policy-uitrol worden ontdekt. In de Log Viewer moet zichtbaar zijn of een request als bekende gebruiker, als groep of als Anybody of onbekende gebruiker is beoordeeld.

Gebruikerscriteria in de overeenkomende firewallregel gaan vóór Users in de Web Policy; de policy kan die scope beperken, maar geen uitgesloten gebruiker toevoegen.

Minimaal uitvoerbaar pad

Maak onder Web > Policies een policy en activeer daarin minstens één gerichte Allow/Block-beslissing.

Bewerk vervolgens onder Rules and policies > Firewall rules een echte regel met Action: Accept, passende Source Zone en Source Network, Destination Zone en Destination Network en de benodigde Services. Activeer Log firewall traffic en wijs de Web Policy toe onder Web filtering. Controleer alleen of het bestaande NAT bij het huidige internetpad past; introduceer niet uitsluitend voor deze policy nieuw NAT-gedrag. Leg vóór de wijziging de Rule ID en de resultaten van dezelfde bewust toegestane en geblokkeerde requests vast en herhaal ze erna vanuit de echte bron- en gebruikerscontext. Accepteer de wijziging pas als Log Viewer de verwachte Rule ID, policy en echte Allow- en Block-resultaten toont.

Web Policy plannen

Een goede Web Policy begint niet in de interface, maar met enkele zakelijke beslissingen.

Doelgroepen definiëren

Eerst wordt bepaald voor wie de policy geldt:

• Standaardclients in het LAN
• Beheerde laptops via VPN
• Gast-WLAN
• Leslokalen of schoolomgevingen
• Servers met uitgaande HTTP/HTTPS-toegang
• Geprivilegieerde beheerderswerkplekken

Als dezelfde firewallregel meerdere zeer verschillende groepen bevat, wordt webbescherming moeilijk te begrijpen. Beter zijn gescheiden regels en policies, bijvoorbeeld LAN_USERS_WEB, GUEST_WEB of SERVER_UPDATES_WEB.

Categorieën en URL-groepen vaststellen

De categorie highly objectionable criminal activity wordt altijd geblokkeerd. Noch beleidsregels, noch uitzonderingen kunnen deze categorie toestaan; bovendien verbergt SFOS het domein in logs en rapporten.

Sophos-webcategorieën zijn goed voor brede controle: malware, phishing, volwassen inhoud, anonymizers, streaming, sociale media of games. URL-groepen zijn beter als specifieke domeinen gericht moeten worden toegestaan of geblokkeerd.

Typisch gebruik:

• Bekende risicocategorieën blokkeren: Webcategorie.
• Bepaalde SaaS-domeinen toestaan: URL-groep.
• Enkel verkeerd gecategoriseerd domein behandelen: URL-groep of eigen categorie.
• Streaming tijdsgebonden beperken: Web Policy met schema of quota.
• Waarschuwingspagina in plaats van harde blokkering: Web Policy met waarschuwingsactie.

URL-groepen moeten geen ongeordende verzamelingslijst worden. Als veel domeinen worden toegevoegd, heeft de lijst een eigenaar, een doel en een beoordelingsdatum nodig. Voor zeer grote of dynamische lijsten zijn Sophos Firewall Threat Feeds of andere architectuurcomponenten vaak zinvoller.

URL Groups maken en veilig gebruiken legt uit hoe geldige domeinwaarden, OR-logica, gebruik in een Web Policy en TLS-uitsluitingen samenhangen.

Voor zuivere domeinmatches zijn URL-groepen meestal beter dan eigen Web Categories. Sophos wijst erop dat URL-groepen performanter zijn en minder false positives kunnen opleveren. Eigen categorieën zijn nuttig wanneer een domein naast de standaard Sophos-categorie ook in een eigen policylogica moet verschijnen.

Gebruik keywords in eigen categorieën zeer voorzichtig. Keywords worden tegen de volledige URL inclusief pad en query gecontroleerd. Een allow op basis van een keyword kan daardoor onbedoeld matchen als het woord in een queryparameter op een ander domein voorkomt. Voor allow-beslissingen zijn concrete domeinen of URL-groepen meestal schoner; keywordregels passen eerder bij smalle blokkeercases.

Toestaan-regels voorzichtig instellen

Toestaan-regels in Web Policies moeten nauwkeurig zijn. Een toestaan-regel hoog in de lijst kan latere blokkeerregels onwerkzaam maken, omdat Sophos Web Policy-regels van boven naar beneden worden geëvalueerd. Dit is vooral relevant als een URL-groep, een bestandstype-regel of een categorie-uitzondering boven andere regels staat.

Praktisch bewezen:

Een zakelijke toestaan-regel boven kritische blokkeerregels geldt alleen binnen zijn nauw afgebakende scope. Als een risicocategorie zonder uitzonderingen geblokkeerd moet blijven, moet de bijbehorende blokkeerregel boven alle overeenkomende Allow-regels staan. Test de volgorde met een toegestaan zakelijk doel en een geblokkeerd doel binnen de scope van de uitzondering; het toestaan van een domein mag niet onbedoeld elk bestandstype of alle inhoud van dat doel vrijgeven.

• Waarschuwings- of quotaregels voor grijze gebieden.
• Algemeen toegestaan webverkeer pas aan het einde.

Web Policy aanmaken

De Web Policy wordt aangemaakt onder het volgende menu:

Web > Policies

Basisstappen:

1. Kies Add policy.
2. Geef een duidelijke naam, bijvoorbeeld LAN_USERS_STANDARD_WEB.
3. Voeg regels toe.
4. Controleer search engine enforcement, bijvoorbeeld SafeSearch of YouTube restrictions.
5. Stel policy quota status in als Quota-acties worden gebruikt.
6. Controleer Advanced settings, vooral logging, reporting, grote downloads, Google Apps en Microsoft Entra ID Tenant Restrictions.
7. Sla de policy op.

Een regel binnen de Web Policy wordt met Add rule aangemaakt. De firewall maakt eerst een uitgeschakelde standaardregel aan die HTTP voor Anybody blokkeert. Daarna worden de velden gericht aangepast:

1. Open Users en stel bewust Anybody, concrete gebruikers of groepen in.
2. Open Activities en selecteer All web traffic, User activities, Categories, URL Groups of File types.
3. Kies voor inhoud de aparte tab Content filters, selecteer het filter, activeer and with content en laat HTTPS op Use action.
4. Stel Action voor HTTP in: Allow, Warn, Block of Quota.
5. Controleer de HTTPS-actie: Use action, Allow HTTPS, Warn HTTPS, Block HTTPS of Quota HTTPS.
6. Stel Constraints in als de regel alleen volgens een schema moet gelden.
7. Controleer de regelpositie binnen de policy.
8. Schakel de regelstatus in.
9. Sla de policy op.

Schakel in Users > Add new item Anybody uit als alleen bepaalde gebruikers of groepen worden bedoeld. Schakel in Activities > Add new item All web traffic uit voordat u afzonderlijke Activities selecteert. Bevestig elke selectie met Apply selected items. Anders blijft de regel ondanks de toegevoegde afzonderlijke objecten onnodig breed. De HTTP-acties heten Allow HTTP, Warn HTTP, Block HTTP en Quota HTTP; Use action past dezelfde beslissing toe op HTTPS. Bij Content filters staat deze koppeling vast en kan deze niet door een afwijkende HTTPS-actie worden vervangen.

Contentfilterlijsten correct importeren

Content filters worden beheerd onder Web > Content filters en daarna onder Activities in de webpolicyregel geselecteerd. Voor grotere lijsten met termen ondersteunt Sophos een eenvoudig .txt-bestand. Het bestand mag maximaal 2,000 regels bevatten en elke invoer mag inclusief spaties en leestekens maximaal 80 tekens lang zijn.

Het importbestand bevat exact één term per regel en elke regel wordt als exact match beoordeeld. Koppen, opmerkingen, metadata of extra kolommen horen niet in het bestand. Sla niet-ASCII-inhoud op als UTF-8.

Veilige werkwijze:

1. Maak de termen schoon in een teksteditor en plaats exact één invoer per regel.
2. Sla het bestand als .txt met UTF-8-codering op.
3. Importeer de lijst onder Web > Content filters en geef deze een duidelijke naam.
4. Open in Activities de tab Content filters, selecteer het filter, activeer and with content en behoud Use action.
5. Test met een pilotclient één toegestane term en één bewust overeenkomende term en controleer de actie in Log Viewer.

Als een import wordt geweigerd of afzonderlijke termen niet worden toegepast, controleer dan eerst het aantal regels, de tekenlengte, de codering en onzichtbare extra tekens. Een brede Allow-regel boven de Content filter-regel mag de lijst niet omzeilen.

Kies voor de import specifiek Add content filter, voer de naam in, selecteer via Choose file bijvoorbeeld blocked.txt en klik op Apply. Controleer daarna in de webpolicyregel expliciet Block HTTP en voor HTTPS Use action, bevestig het filter met Apply selected items, schakel Status in en sla de policy op. Alleen importeren activeert geen blokkering. Voor de pilot is een eigen, toegewezen policy geschikter dan een ongecontroleerde wijziging van de gezamenlijk gebruikte Default Policy.

Aangepaste webbestandstypen maken

Sophos Firewall herkent File types aan de bestandsextensie of MIME-header. De ingebouwde typen kunnen niet worden bewerkt. Maak een aangepast type onder Web > File types > Add op basis van een geschikte sjabloon en voeg de benodigde extensies zonder voorafgaande punt of MIME-headers toe. Hetzelfde object kan daarna in web- en e-mailbeveiligingspolicies worden gebruikt.

Voer in het dialoogvenster Add een naam in. Template is optioneel en neemt de gebruikelijke extensies en MIME-headers van een categorie over; voor het aangepaste type kunnen waarden worden toegevoegd. Sla daarna op met Save. Zet geen punt voor een extensie: pdf is correct en .pdf niet. Ingebouwde typen dienen als sjabloon en kunnen niet worden bewerkt; maak voor wijzigingen een aangepast type.

SFOS bevat de ingebouwde categorieën All executable files, Audio files, Backup files, Compressed files, Configuration files, Database files, Developer files, Disk image files, Document files, Dynamic files, Encoded files, Executable files, Image files, Page layout files, Plugin files, System files, Video files en Web files. De detailweergave onder Web > File types is de operationele bron voor de extensies en MIME-headers die momenteel zijn vastgelegd. Compressed files bevat bijvoorbeeld onder meer 7z, gz, rar, tar.gz en zip, terwijl Document files onder meer docx, xlsx, pptx, odt, rtf en pdf bevat. Open vóór het toestaan van een categorie daarom het concrete ingebouwde type in de eigen SFOS-versie en vergelijk dit met de werkelijke toepassing; vertrouw niet alleen op de categorienaam.

Het nieuwe bestandstype heeft op zichzelf nog geen effect. Selecteer het onder Activities > File types in de betreffende webpolicyregel. Controleer daarna de actie, status en volgorde van de regel en of de webpolicy nog is toegewezen aan de firewallregel die het verkeer daadwerkelijk verwerkt.

Valideer dit met een representatieve download en een bewust vergelijkbaar bestand dat niet mag matchen. Controleer in Log Viewer de webpolicy en de actie. Een match op extensie of MIME-header is een policyclassificatie, geen bewijs van malware of van een uitgevoerde Zero-Day-analyse. Voor HTTPS hangt de benodigde zichtbaarheid ook af van het TLS Inspection-pad. Als het type niet matcht, vergelijk dan eerst de regelstatus en -volgorde, het werkelijk geselecteerde File Type, het Content-Type-antwoord van de server, de zichtbare bestandsextensie en de TLS Inspection-status. Een onjuist of algemeen MIME-type van de server kan ertoe leiden dat de test anders uitvalt dan de bestandsnaam doet vermoeden.

Referentie van de ingebouwde bestandstypen

De volgende referentie koppelt de gedocumenteerde extensies en MIME-headers aan de ingebouwde categorieën. Deze beschrijft een classificatie, geen toegestaan of veilig bestand. Controleer vóór wijzigingen de waarden in uw eigen installatie. All executable files omvat via aanvullende MIME-headers ook uitvoerbare Mac-/Linux-bestanden; Executable files is gericht op Windows. Dynamic files genereren dynamische webinhoud, Encoded files omvatten onder meer versleutelde of binair gecodeerde inhoud. Categorieën kunnen elkaar overlappen: mdf staat bijvoorbeeld bij databases en Disk Images, tar bij documenten en tar.gz bij gecomprimeerde bestanden. Met name application/octet-stream bij Backup files is een generieke MIME-waarde, geen betrouwbaar bewijs dat het om een back-upbestand gaat.

All executable files

• Extensies: exe, cmd, bat, com.
• MIME-headers: application/bat, application/x-bat, application/x-msdos-program, application/textedit, application/x-dosexec, application/x-mach-binary, application/x-executable.

Audio files

• Extensies: gsm, sd2, qcp, kar, smf, midi, mid, ulw, snd, aifc, aif, aiff, m3url, m3u, wav, rm, ram, mp3, wmv.
• MIME-headers: audio/x-gsm, audio/vnd.qcelp, audio/x-midi, application/x-midi, audio/midi, audio/x-mid, x-music/x-midi, audio/basic, audio/x-adpcm, audio/aiff, audio/x-aiff, audio/x-mpequrl, audio/wav, audio/x-wav, application/vnd.rn-realmedia, audio/x-au, audio/x-pn-realaudio, audio/mpeg3, audio/x-mpeg-3, audio/x-ms-wmv, audio/ac3, audio/x-ape, audio/flac, audio/mpeg, audio/mp4, audio/ogg.

Backup files

• Extensies: asd, bak, bkp, bup, dba, dbk, fbw, gho, nba, old, ori, sqb, tlg, tmp.
• MIME-headers: application/octet-stream.

Compressed files

• Extensies: 7z, alz, deb, gz, pkg, pup, rar, rpm, sea, sfx, sit, sitx, tar.gz, tgz, war, zip, zipx.
• MIME-headers: application/x-7z-compressed, application/x-alz, application/x-deb, application/x-gzip, application/x-newton-compatible-pkg, application/x-rar-compressed, application/sea, application/x-sea, application/x-sit, application/x-stuffit, application/gnutar, application/x-compressed, application/x-zip-compressed, application/zip, multipart/x-zip.

Configuration files

• Extensies: cfg, clg, dbb, ini, keychain, prf, prx, psf, rdf, reg, thmx, vmx, wfc.
• MIME-headers: application/pics-rules, application/vnd.ms-officetheme.

Database files

• Extensies: accdb, db, mdsn, mdb, mdf, pdb, sql, sqlite.
• MIME-headers: application/msaccess, application/x-msaccess, application/vnd.msaccess, application/vnd.ms-access, application/mdb, application/x-mdb, chemical/x-pdb.

Developer files

• Extensies: rb, src, tcl, trx, v, vbproj, vcproj, vtm, xcodeproj, asc, cbl, cp, cpp, csproj, dev, fs, fsproj, fsx, ftl, gem, hpp, ise, ism, java, ocx, pas, pod, r.
• MIME-headers: text/pascal, application/x-bsh, application/x-sh, text/x-script.sh, application/x-wais-source, application/x-tcl, text/x-script.tcl, application/x-shar.

Disk image files

• Extensies: dmg, iso, mdf, nrg, nri, pvm, toast, vcd, vmdk.
• MIME-headers: application/x-cdlink.

Document files

• Extensies: doc, docx, wbk, xls, xlsx, ppt, pptx, oft, pub, msg, one, xsf, xsn, grv, mpp, mpt, acl, pip, bld, blg, bvp, cdd, cdf, contact, csv, dif, dmsp, efx, epub, epw, exif, exp, fdb, fxp, gbr, gpi, hdf, id2, lib, mat, mcd, menc, ndx, not, notebook, out, ovf, pdx, pfc, pps, ppsx, pptm, prj, qbw, sdf, svf, tar, tsv, vdb, odt, opml, pages, rtf, sig, tex, wpd, wps, pdf.
• MIME-headers: application/msword, application/vnd.openxmlformats-officedocument.wordprocessingml.document, application/excel, application/vnd.ms-excel, application/x-excel, application/x-msexcel, application/vnd.openxmlformats-officedocument.spreadsheetml.sheet, application/mspowerpoint, application/powerpoint, application/vnd.ms-powerpoint, application/x-mspowerpoint, application/vnd.openxmlformats-officedocument.presentationml.presentation, application/x-mspublisher, application/onenote, application/vnd.ms-project, application/x-project, application/cdf, application/x-cdf, application/x-netcdf, video/x-dv, application/x-hdf, application/mcad, application/x-mathcad, application/vnd.openxmlformats-officedocument.presentationml.slideshow, application/vnd.ms-powerpoint.presentation.macroEnabled.12, image/vnd.dwg, image/x-dwg, application/x-tar, text/x-vcard, application/rtf, application/x-rtf, text/richtext, application/x-tex, application/wordperfect, application/x-wpwin, application/vnd.ms-works, application/pdf, application/vnd.oasis.opendocument.graphics, application/vnd.oasis.opendocument.presentation, application/vnd.oasis.opendocument.formula, application/vnd.oasis.opendocument.text, application/vnd.oasis.opendocument.spreadsheet, application/vnd.ms-excel.addin.macroEnabled.12, application/vnd.ms-excel.sheet.binary.macroEnabled.12, application/vnd.ms-excel.sheet.macroEnabled.12, application/vnd.ms-excel.template.macroEnabled.12, application/vnd.ms-powerpoint.addin.macroEnabled.12, application/vnd.ms-powerpoint.slideshow.macroEnabled.12, application/vnd.ms-powerpoint.template.macroEnabled.12, application/vnd.ms-word.document.macroEnabled.12, application/vnd.ms-word.template.macroEnabled.12, application/vnd.openxmlformats-officedocument.presentationml.template, application/vnd.openxmlformats-officedocument.spreadsheetml.template, application/vnd.openxmlformats-officedocument.wordprocessingml.template.

Dynamic files

• Extensies: jsp, asp, php, cgi, shtml.
• MIME-headers: text/x-script.perl, text/asp.

Encoded files

• Extensies: bin, enc, hex, hqx, mim, mime, uue.
• MIME-headers: application/mac-binary, application/macbinary, application/x-binary, application/x-macbinary, application/binhex, application/binhex4, application/mac-binhex, application/mac-binhex40, application/x-binhex40, application/x-mac-binhex40, message/rfc822, www/mime, text/x-uuencode.

Executable files

• Extensies: exe, cmd, bat, com.
• MIME-headers: application/bat, application/x-bat, application/x-msdos-program, application/textedit, application/x-dosexec.

Image files

• Extensies: bmp, gif, jpeg, jpg, pcx, png.
• MIME-headers: image/bmp, image/x-windows-bmp, image/gif, image/pjpeg, image/jpeg, image/x-pcx, image/png, image/jp2, image/vnd.adobe.photoshop, image/tiff.

Page layout files

• Extensies: idml, indd, inx, isd, mdi, pmd, ptx, pub, qxb, qxd, qxp, rels, xps.
• MIME-headers: application/x-mspublisher, application/vnd.ms-xpsdocument.

Plugin files

• Extensies: 8bi, arx, plugin, vst, xll.
• MIME-headers: application/x-visio.

System files

• Extensies: bashrc, cab, cpl, cur, dll, dmp, drv, hlp, key, lnk, msp, prf, profile, scf, scr, sys.
• MIME-headers: application/vnd.ms-cab-compressed, application/x-msdownload, application/hlp, application/x-helpfile, application/x-winhelp.

Video files

• Extensies: dat, mov, avi, qt, smi, sml, smil, flc, fli, vfw, mpeg, mpg, m15, m1u, m1a, m75, mls, mp2, mpm, rm, wmv, flv, swf.
• MIME-headers: application/x-troff-msvideo, video/avi, video/msvideo, video/x-msvideo, video/quicktime, application/smil, application/x-simile, Video/flc, video/fli, video/x-fli, video/mpeg, video/x-mpeg, video/x-mpeq2a, application/vnd.rn-realmedia, video/flv, application/x-shockwave-flash, video/x-flv, video/x-ms-asf, video/3gpp, video/mp4, video/mj2.

Web files

• Extensies: alx, asax, asmx, aspx, atom, att, axd, chm, dwt.
• MIME-headers: application/atom+xml.

User Activities duidelijk bundelen

Onder Web > User activities > Add combineert een User activity Web Categories, File types en URL Groups tot een herbruikbare activiteit. Deze elementen worden met OR geëvalueerd; één match is voldoende. De naam verwijst dus niet naar een aangemelde gebruiker, maar naar een verzameling webcriteria.

Selecteer de User Activity daarna onder Activities in de webpolicyregel. Dit past wanneer dezelfde combinatie in meerdere policies wordt gebruikt. Test voor de validatie minstens één match per opgenomen objecttype en één vergelijkbaar geval dat niet mag matchen.

Stel in het dialoogvenster een duidelijke naam in, zoals RISK_WEB_CONTENT, selecteer via Add new item de benodigde categorieën, bestandstypen of URL Groups en sla op met Save. Met Show: All kunt u zo nodig de weergegeven objecttypen beperken. Een activiteit kan bijvoorbeeld de categorie Spyware/Malware en een eigen lijst met geblokkeerde testdomeinen bundelen: zodra één van deze criteria overeenkomt, wordt de blokkeeractie van de policyregel uitgevoerd. Gebruik voor tests onschadelijke doelen die u zelf beheert; open geen echte malwaresite.

Regelvolgorde en gemigreerde policies controleren

Webpolicyregels worden van boven naar beneden geëvalueerd. Staat bijvoorbeeld een Allow-regel voor het bestandstype .mdb boven een categorieblokkeerregel, dan blijven .mdb-downloads uit die categorie toegestaan. In DPI-modus kan de eerste verbinding met de categorie worden toegestaan totdat het bestandstype bekend is; past het bestand daarna niet, dan verbreekt de firewall de verbinding zonder een blokkeerpagina te tonen. Als de categorie altijd moet worden geblokkeerd, hoort de categorieregel boven de Allow-regel voor het bestandstype.

Voor gemigreerde oude policies geldt bovendien een harde limiet van 128 regels per policy. Bevat de bron meer regels, dan gebruikt SFOS alleen de eerste 128. Aangrenzende regels voor User Activities, Categories, URL Groups, File types en Dynamic Categories worden daarom vóór of na de migratie bewust samengevoegd tot gecombineerde Activities. Regelaantal, volgorde en echte Allow- en Block-tests horen bij de migratievalidatie.

Terugkerende tijdvensters worden als afzonderlijk schema gemaakt. De werkwijze en de afbakening van een tijdgestuurde firewallregel staan in Tijdschema’s voor regels en policies instellen op Sophos Firewall.

Een Web Policy alleen heeft nog geen effect. De policy moet daarna in een firewallregel worden gebruikt. Dit is een van de meest voorkomende configuratiefouten.

Voeg alleen aangrenzende regels samen met dezelfde gebruikerstoewijzing, HTTP-/HTTPS-actie en dezelfde tijdsvoorwaarden. Verschillen in Content filters, Constraints of volgorde mogen niet verloren gaan. Maak vóór het samenvoegen een back-up van de oude policy of documenteer deze en leg per Activity representatieve matches en niet-matches vast. Controleer deze beslissingen na het samenvoegen opnieuw; een lager aantal regels alleen bewijst geen gelijkwaardige bescherming.

Advanced settings gericht instellen

Enable logging and reporting neemt de policy op in logs en rapporten; daarnaast blijft Log firewall traffic nodig in de firewallregel die het verkeer daadwerkelijk verwerkt. Prevent downloading of large files blokkeert downloads boven de ingevoerde grootte. Kies de grenswaarde op basis van de daadwerkelijk benodigde zakelijke downloads en test met onschadelijke bestanden onder en boven deze waarde; deze downloadblokkering is niet hetzelfde als een groottelimiet voor malwarescans.

Add X-Forwarded-For header to outgoing HTTP requests geeft het IP-adres van het oorspronkelijke HTTP-request door aan het doel. Dit vinkje is niet nodig voor webfiltering. Schakel het alleen in als daar een onderbouwde behoefte aan is, omdat de doelserver hierdoor aanvullende clientinformatie ontvangt; beoordeel vooraf het doorgeven van interne adressen en de privacyvereisten. Documenteer voor de pilot de bestaande waarden en draai bij ongewenste effecten precies deze wijzigingen terug.

Web Policy in firewallregel activeren

De firewallregel bevindt zich onder:

Rules and policies > Firewall rules

Voor normaal client-internetverkeer is meestal een regel van LAN of een clientzone naar WAN verantwoordelijk. Daar wordt in het gedeelte Web filtering de passende Web Policy geselecteerd.

Controlepunten in de firewallregel:

• Bronzone en bronnetwerken passen bij het clientnetwerk.
• Doelzone is meestal WAN.
• Services bevatten HTTP/HTTPS of de gewenste webdiensten.
• Log firewall traffic is actief.
• In het gedeelte Web filtering is de juiste Web Policy ingesteld.
• Scan HTTP and decrypted HTTPS is geactiveerd als web-malware- of inhoudsscanning moet werken.
• Use Zero-day protection is alleen zinvol als bestanden via HTTP of ontsleutelde HTTPS worden gescand.
• Block QUIC protocol is bewust ingesteld.
• Op het transparante firewallregelpad is Use web proxy instead of DPI engine ingeschakeld voor SafeSearch, YouTube Restrictions en Google Apps-inlogbeperkingen; voor andere functies en bij Direct Proxy wordt de modus bewust naar behoefte gekozen.
• TLS-inspectie wordt apart gepland en niet verward met Web Policy.

Sophos Firewall zet Block QUIC protocol standaard aan wanneer in de regel een Web Policy is geselecteerd of Scan HTTP and decrypted HTTPS is ingeschakeld. Dat is vaak zinvol, omdat QUIC niet zoals klassiek HTTPS-verkeer kan worden gescand. Toch moet men dit vinkje niet zomaar accepteren, maar bewust testen: browsers, Google-diensten, collaboration-tools en individuele SaaS-applicaties kunnen ander gedrag vertonen als QUIC wordt geblokkeerd.

Als in dezelfde firewallregel ook Application Control wordt gebruikt, is er een belangrijke overlap: sommige Micro Apps, bijvoorbeeld uploads of downloads binnen Dropbox of Gmail, worden via URL-details herkend. In DPI-omgevingen vereist deze herkenning een passende SSL/TLS Inspection-regel met decryption. Application Control kan zulke Micro Apps dan ook evalueren als de Web Policy zelf niet het eigenlijke beslispunt is.

Als een algemenere regel boven de gewenste webregel overeenkomt, bereikt het verkeer de Web Policy niet. In dergelijke gevallen helpt Sophos Firewall regel testen met Log Viewer en Packet Capture.

HTTPS, TLS-inspectie en QUIC indelen

Een groot deel van het webverkeer is HTTPS. Zonder TLS-inspectie ziet de firewall minder inhoud. Categorieën, SNI, certificaten, doel-IP, domeininformatie en metadata helpen, maar vervangen geen volledige inhoudscontrole.

DPI of Web Proxy?

Bij webbescherming moet men vroeg beslissen of de betrokken firewallregel de DPI Engine of de Web Proxy gebruikt. Deze beslissing beïnvloedt welke functies hoe werken en welke logs later relevant zijn.

• DPI-modus: Moderne standaard voor veel client-internetregels. TLS-inspectie loopt via SSL/TLS-inspectieregels, Quota wordt niet ondersteund.
• Web Proxy-modus: Omgevingen met expliciet proxygedrag of policy-quota. Proxygedrag, browser-/clientcompatibiliteit en proxylogs bewust controleren.

In veel installaties is de DPI-modus het betere startpunt. Als echter tijdsquota via Quota nodig zijn, is een pure DPI-regel niet voldoende. Dan moet Web Proxy-modus bewust worden gepland en getest. Deze beslissing moet voor de uitrol worden genomen, omdat een latere wijziging andere foutbeelden, logs en gebruikerservaringen kan veroorzaken.

In een transparante firewallregel verwerkt de Transparent Web Proxy alleen verkeer op de klassieke poorten 80 en 443. Op andere poorten kan de DPI Engine HTTP- en SSL/TLS-verkeer inspecteren, mits zowel de firewallregel als de SSL/TLS Inspection-regels passen. Direct Proxy is daarentegen een afzonderlijk, expliciet door de client gekozen pad en vereist Use web proxy instead of DPI engine niet noodzakelijk. Leg daarom bij elke test vast of de client het transparante pad of zijn expliciete proxyconfiguratie gebruikt.

De volledige functiekeuze, pilotmigratie en modusspecifieke controles staan in DPI Engine en Web Proxy correct vergelijken.

Direct Web Proxy met een PAC-bestand instellen legt uit hoe listener, PAC-bestand, Device Access en een werkende proxyregel samenhangen.

IPv6-only-clients die IPv4-only-webdoelen openen, gebruiken een apart pad met twee regels. NAT64 met Direct Web Proxy scheidt de Web Policy in de IPv6-regel van Application Control en IPS in de IPv4-egress.

Als Sophos Firewall zijn Web Requests naar een parent proxy moet doorsturen, leidt een upstream proxy in WAN of LAN/DMZ configureren door het juiste regel- en NAT-pad voor elke topologie.

Als meerdere RDS-gebruikers hetzelfde server-IP delen, kan Per-Connection AD SSO voor multi-userhosts de afzonderlijke HTTP- en HTTPS-proxyverbindingen onderscheiden. De methode geldt niet voor non-proxyverkeer en moet daarom bewust worden afgebakend ten opzichte van SATC.

TLS-inspectie

Als downloads, malware-scanning, bepaalde webcategorieën of inhoudscontroles betrouwbaar moeten worden gecontroleerd, moet TLS-inspectie worden gepland. Hiervoor is een vertrouwd CA-certificaat op de clients nodig, passende TLS-regels, uitzonderingen en een schone pilot.

De uitrol staat in TLS-inspectie op Sophos Firewall stapsgewijs uitrollen. Voor het distribueren en valideren van het CA-certificaat past Sophos Firewall CA-certificaat voor HTTPS-scanning installeren.

QUIC en HTTP/3

Moderne browsers gebruiken vaak QUIC of HTTP/3 via UDP 443. Dit kan webfilter-, TLS-inspectie- en scanverwachtingen verstoren als men eigenlijk klassiek HTTPS-verkeer via TCP wil controleren.

In veel bedrijfsomgevingen is het zinvol om QUIC in client-internetregels te blokkeren, zodat browsers terugvallen op HTTPS via TCP. De details staan in Sophos Firewall QUIC en HTTP/3 correct blokkeren.

SafeSearch, YouTube en Tenant-beperkingen

SafeSearch en YouTube staan onder Search engine enforcement; Google Apps en Entra onder Advanced settings.

Typische opties:

• Enforce SafeSearch voor Google, Yahoo en Bing.
• Enforce YouTube restrictions voor beperkte YouTube-inhoud.
• Restrict login domains for Google Apps voor toegestane Google-domeinen.
• Apply Microsoft Entra ID tenant restrictions voor Microsoft-cloudtenantbeheer.

De XML-API-referentie voor SFOS 22/23 beschrijft EnforceSafeSearch als alleen van toepassing wanneer de categorieën Adult Content, Nudity en Porn in de Web Policy worden geweigerd. Controleer deze beslissingen in de policy die daadwerkelijk aan het verkeer is toegewezen; alleen de optie inschakelen en aan de proxy- en HTTPS-scanningvoorwaarden voldoen, toont niet aan dat aan deze gedocumenteerde voorwaarde is voldaan. Controleer deze API-voorwaarde tegen de geïnstalleerde build en de daadwerkelijk opgeslagen configuratie. Als de help van de geïnstalleerde build afwijkt, verduidelijk dat verschil voordat u op SafeSearch vertrouwt.

Op het transparante firewallregelpad vereisen SafeSearch, YouTube Restrictions en Google Apps Use web proxy instead of DPI engine; een expliciete Direct Proxy kan deze proxyfuncties zonder die firewallregeloptie leveren. Bing en Yahoo via HTTPS vereisen bovendien HTTPS scanning. Behandel Entra Tenant Restrictions apart, test echte Microsoft-aanmeldingen en behoud de governance van identiteiten en cloudapps in Microsoft 365 of Google Workspace.

Bij Bing en Yahoo kan SafeSearch op HTTPS-verbindingen alleen worden afgedwongen als HTTPS scanning in de betrokken firewallregel actief is. Google Apps-loginbeperkingen gelden alleen voor door Google gehoste domeinen. Microsoft Entra ID Tenant Restrictions hebben schone tenantwaarden nodig en moeten met echte Microsoft-cloudaanmeldingen worden getest, niet alleen met een voorbeeld-URL.

Onder Apply Microsoft Entra ID tenant restrictions bevat Restrict-Access-To-Tenants de toegestane tenants als een door komma’s gescheiden lijst met domeinnamen of domein-ID’s, met maximaal 256 tekens in totaal. Restrict-Access-Context bevat de domein-ID van de tenant die de beperking instelt, met maximaal 50 tekens. Neem deze waarden over uit uw eigen tenantbeheer, niet uit een voorbeeldconfiguratie van een andere omgeving. Maak vooraf een back-up van de bestaande waarden; test daarna in de pilot een aanmelding bij een toegestane en een niet-toegestane tenant en herstel bij fouten alleen de gewijzigde waarden naar hun vorige toestand.

Quota en waarschuwingspagina’s

Web Policies kunnen niet alleen blokkeren of toestaan. Met waarschuwings- of quota-acties kan men gebruikers bewust informeren of tijdelijk beperkte toegang toestaan.

Zinvolle voorbeelden:

• Gebruikers mogen een waarschuwing voor bepaalde grijze gebieden bewust bevestigen.
• Streaming of winkelen is alleen tijdelijk toegestaan.
• School- of laboratoriumomgevingen staan bepaalde categorieën alleen tijdens gedefinieerde tijden toe.

Belangrijk: Policy-quota wordt in de DPI-modus niet ondersteund. Als tijdsquota nodig zijn, moet Web Proxy-modus worden gebruikt. Dit moet vroeg worden besloten, omdat DPI en Web Proxy verschillende eigenschappen en grenzen hebben.

De allowed time quota wordt op Web Policy-niveau ingesteld en geldt voor alle regels in deze policy die een Quota-actie gebruiken. Als twee categorieën verschillende tijdsquota nodig hebben, zijn gescheiden Web Policies schoner dan één policy met gemengde quotaverwachtingen. Quota’s worden lokaal om middernacht gereset en kunnen niet op nul worden gezet.

Policy Quota geldt niet voor Content filters of Dynamic Categories en wordt niet ondersteund in de DPI-modus. Een quotawijziging wordt bovendien niet toegepast als de policy ongeldig is, er geen tijd resteert of er al een Quota-sessie actief is. Controleer in deze gevallen eerst de policystatus en de sessie in plaats van de waarde herhaaldelijk te wijzigen.

Deze Policy Quota geldt voor webcategorieën en is niet de gebruikersgebaseerde Surfing Quota. Het maken, toewijzen en controleren van het verbruik van Surfing Quota en Network Traffic Quota volgt een afzonderlijk proces.

Bij het openen van een doel met een Quota-actie verschijnt eerst de quotapagina. De gebruiker kiest een duur tot maximaal het beschikbare quotum en Proceed, of ziet af van toegang met Return to previous page. Aan het einde van de gekozen periode verschijnt de pagina opnieuw; als het quotum is verbruikt, wordt geen resterende tijd meer aangeboden. Een Policy Override kan in plaats daarvan tijdelijke toegang mogelijk maken; daarbij geldt het quotum niet. De overridebevoegdheid mag daarom niet als een vrij te gebruiken alternatief voor alle gebruikers worden ingeschakeld.

Een overeenkomende SSL/TLS Inspection-regel met Action > Deny blijft blokkeren; meer quotum of een reset lost dit conflict niet op. Controleer eerst of de TLS-blokkering inhoudelijk bedoeld is. Plan alleen voor een expliciet goedgekeurd, nauw afgebakend geval een Web Exception die HTTPS-ontsleuteling overslaat. Deze verwijdert ook de daarvan afhankelijke controles en kan ongeldige servercertificaten toestaan; gebruik dit niet als standaardoplossing. Test de toegestane pilottoegang, de blijvende blokkering buiten de scope van de uitzondering en het herstelpad door de pilotexception uit te schakelen afzonderlijk. De daadwerkelijke afbakening van de Web Exception moet worden bepaald door de ondersteunde criteria, bijvoorbeeld het bron-IP van de pilot plus het bevestigde hostnamepatroon — niet door de groep van de quotagebruiker.

Policy Quota tijdens gebruik controleren

Onder Web > Policy quota status toont SFOS per gebruiker de resterende tijd in de betreffende Web Policies binnen een periode van 24 uur. De geselecteerde gebruiker kan daar met Reset worden teruggezet. Dit is een bewuste statuswijziging en geen diagnoseknop: documenteer eerst gebruiker, policy, resterende tijd, reden en tijdstip.

Deze reset betreft de tijdgebaseerde Policy Quota van een webcategorie. Dit is niet hetzelfde als Reset user accounting voor Surfing Quota of Network Traffic Quota. Een reset corrigeert geen verkeerde regelvolgorde en ook geen ontbrekende gebruikersidentificatie.

Waarschuwings- en blokkeerpagina’s aanpassen

Onder Web > User notifications kunnen eigen afbeeldingen en blokkeer-, override-, quota- en waarschuwingsteksten worden ingesteld. De placeholders {category}, {user} en {url} voegen de webcategorie, gebruikersnaam en geblokkeerde URL in. De preview controleert weergave en tekst, maar niet of de juiste Web Policy en firewallregel de productieaanvraag matchen.

De melding moet kort uitleggen waarom de toegang is geblokkeerd of gewaarschuwd en waar een legitieme zakelijke behoefte kan worden gemeld. Gebruikersnamen en URL’s kunnen gevoelige informatie bevatten; de pagina bevat daarom geen interne geheimen, wachtwoorden of onnodige contactgegevens.

Schakel voor afbeeldingen Use custom images in en selecteer de gewenste afbeeldingen. Schakel voor teksten telkens Use custom block message, Use custom override message, Use custom quota message of Use custom warn message in en voer de tekst in. Open de bijbehorende previewlink en test daarna met een echt pilotrequest het juiste meldingstype. Gebruik geen echte klantgegevens in testafbeeldingen.

Policy Overrides veilig beperken

Een gebruiker die al door de beheerder is geautoriseerd, maakt als volgt een sessie aan in het User Portal:

1. Open My policy overrides > Add en geef de sessie een duidelijke naam.
2. Behoud de voorgestelde toegangscode of genereer een nieuwe via Generate access code. Een eigen, handmatig aangemaakte code is alleen toegestaan als daarvoor uitdrukkelijk toestemming is verleend.
3. Selecteer de benodigde toegestane websites en webcategorieën; doelen die de beheerder voor overrides heeft geblokkeerd, kunnen niet worden vrijgegeven.
4. Kies onder Restricted to time periods een bestaand schema uit de lijst. Hier wordt een tijdschema geselecteerd, niet een willekeurige periode als vrije tekst ingevoerd.
5. Sla op met Apply. Voer de toegangscode daarna bij een overeenkomend geblokkeerd verzoek in het codeveld op de blokkeerpagina in.

Met Status schakelt de gebruiker deze overridesessie in of uit. Dit is niet hetzelfde als het administratieve beheer via View overrides: de beheerder kan de door de gebruiker aangemaakte sessie onafhankelijk daarvan in- of uitschakelen of verwijderen. Zonder autorisatie is deze gebruikersprocedure niet beschikbaar; de beperking tot de AD-Main-Group en individuele gebruikers blijft gelden.

Policy Overrides zijn een ander hulpmiddel dan quota’s. Met Enable policy override kunnen geautoriseerde gebruikers in de User Portal tijdelijke toegang tot normaal geblokkeerde websites aanmaken. Authorized users and groups beperkt wie dit mag doen en Blocked websites and categories bepaalt welke doelen nooit mogen worden overschreven. Allow manual access code entry wordt alleen ingeschakeld als door gebruikers aangemaakte codes in het goedkeuringsproces passen.

Documenteer onder Web > General settings > Policy overrides eerst de vorige toestand en de bevoegde gebruikers. De bevoegde gebruiker stelt in de User Portal websites of categorieën, een beperkte periode en een toegangscode voor de override in. Bij een verzoek naar een passend geblokkeerd doel bevat de blokkeerpagina een extra veld voor die code. Als Allow manual access code entry aan staat, mogen de aangewezen gebruikers eigen codes aanmaken; staat de optie uit, dan moeten zij gegenereerde codes gebruiken. Verwar deze keuze niet met het invoeren van een reeds geldige code op de blokkeerpagina.

Met View overrides kunnen bestaande overrides worden weergegeven, ingeschakeld, uitgeschakeld en verwijderd. Gebruik voor de acceptatie een bevoegde testgebruiker om binnen de periode met een geldige code een passend doel te openen; zonder code, buiten de periode en voor een doel dat nooit mag worden vrijgegeven via een override moet de normale blokkade blijven gelden. Vergelijk gebruiker, Rule ID, webpolicy, actie en tijd in Log Viewer. Bij HTTPS moet de blokkeerpagina daadwerkelijk kunnen worden weergegeven; alleen een verbroken verbinding biedt geen invoerveld.

Schakel voor rollback de pilotoverride uit via View overrides en controleer met een nieuw verzoek de oorspronkelijke blokkade. Verwijder pas daarna een niet meer benodigde override en herstel uitsluitend de tijdens de pilot gewijzigde globale waarden naar hun gedocumenteerde vorige toestand. Verwijder bestaande overrides van andere gebruikers niet zonder onderscheid.

Voor AD-gebruikers geldt My policy overrides alleen voor de hoofdgroep en individuele gebruikers, niet voor andere groepslidmaatschappen. Een matchende SSL/TLS Inspection-regel met Action > Deny houdt voorrang. Als een goedgekeurde override in die situatie moet werken, wordt een nauw begrensde Web Exception gepland die HTTPS-decryptie overslaat en afzonderlijk met een negatieve test wordt gecontroleerd; de TLS-regel wordt niet breed afgezwakt. Overridebevoegdheid beperkt de Web Exception niet; definieer het eigen bereik op basis van bron-IP plus hostname/categorie en voer daarop negatieve tests uit zoals hieronder beschreven.

Web Exceptions en TLS-uitzonderingen

Het overslaan van HTTPS decryption verwijdert afhankelijke controles en staat ongeldige servercertificaten toe; Malware and content scanning slaat automatisch Zero-day protection over. Een concreet hostnamepatroon kan al in de TLS-context overeenkomen, terwijl een zuiver URL-pad alleen zichtbaar is bij HTTP of reeds ontsleuteld HTTPS. Een URL Group is geen Web Exception-criterium.

Web Exceptions zijn krachtig en daarom gevaarlijk als snelle reparatie. Een exception onder Web > Exceptions kan beschermingscontroles voor passend verkeer overslaan, onafhankelijk van welke Web Policy op dat moment geldt. Afhankelijk van de selectie worden HTTPS decryption, HTTPS certificate validation, Malware and content scanning, Zero-day protection of Policy checks overgeslagen.

Voor DPI-omgevingen geldt een belangrijke beperking: Web Exceptions werken alleen als een Web Policy is ingesteld, Malware and content scanning actief is of ATP actief is. SSL/TLS Exclusion Rules zijn daarentegen de juiste plaats als het alleen gaat om bepaalde TLS-verbindingen niet te ontsleutelen. Het operationele verschil is belangrijk:

• SSL/TLS Exclusion Rule: neemt TLS-verbindingen gericht uit de ontsleuteling, meestal vanwege Certificate Pinning of incompatibiliteit.
• Web Exception: kan Web Policy-controles, malware-scanning, Zero-Day-analyse of certificaatvalidatie overslaan.
• URL Group in Web Policy: stuurt Allow, Warn, Block of Quota binnen de normale policylogica.

Vermijd bij Web Exceptions rootdomeinen en te brede URL-regex-patronen: een kaal patroon zoals example.com kan ook overeenkomen met tekst in het pad of de query van een ander domein. Specifieke hostnamepatronen kunnen in de TLS-context overeenkomen; paden die alleen in de URL voorkomen, zijn alleen zichtbaar bij HTTP of reeds ontsleuteld HTTPS. De ondersteunde criteria voor Web Exceptions zijn URL-regex-patronen, webcategorieën, bron-IP-adressen en doel-IP-adressen — niet gebruikers, gebruikersgroepen of URL Groups.

Gebruik voor een zakelijke toestemming die beperkt is tot een gebruikersgroep de overeenkomende firewallregel en Users in de Web Policy; gebruik voor een identiteitsgebonden uitsluiting van ontsleuteling in DPI-modus de passende SSL/TLS-inspectieregel met Don’t decrypt en expliciete gebruikers- of groepscriteria. Deze identiteitscriteria worden geen criteria van een afzonderlijk toegepaste Web Exception en beperken op zichzelf niet het bereik van de controles die deze overslaat.

Combineer voor een Web Exception-pilot de specifieke Source IP addresses van de clients met een bevestigd hostnamepatroon of een onderbouwde webcategorie. Test zowel een niet-goedgekeurde bron als een bestemming buiten het daadwerkelijke matchbereik; een IP-adres is geen gebruikersidentiteit. Leid uit generieke AND-logica niet af dat bron-IP- en doel-IP-uitzonderingen voor TLS-uitsluiting mogen worden gecombineerd: de behouden richtlijn voor TLS-uitsluiting zegt dat ze niet kunnen worden gecombineerd, en het exacte toepassingsgebied daarvan is onduidelijk. Als beide IP-beperkingen vereist zijn, stop dan zonder de uitzondering in te schakelen of te verruimen en vraag om verduidelijking voor de specifieke build. De procedure en de beperkingen van het matchbereik worden behandeld in Web Exceptions veilig maken en testen.

Exceptions combineren hun verschillende criteria met AND. Binnen één criteriumtype, bijvoorbeeld meerdere URL Patterns, geldt daarentegen OR. Dat is handig maar foutgevoelig: een exception met URL Pattern en Source IP werkt alleen als beide passen. Een exception met zeer veel URL Patterns kan daarentegen veel breder werken dan bedoeld.

Wees bijzonder voorzichtig met Policy checks. Als een Web Exception Policy checks overslaat, kan dat ook andere regelbeslissingen indirect verzwakken. In combinatie met Synchronized Security Heartbeat kan zo’n uitzondering ertoe leiden dat webrequests niet zoals verwacht worden geblokkeerd, hoewel Heartbeat-controles in de firewallregel zijn ingesteld.

Web Protection gericht automatiseren via de XML API

De XML API is zinvol wanneer dezelfde gecontroleerde webobjecten op meerdere firewalls moeten worden beheerd. Ze vervangt noch de toewijzing van de Web Policy aan de daadwerkelijk passende firewallregel, noch de verkeerscontrole. Maak vóór het schrijven een back-up van de huidige objecten, hun referenties en de oude policy. Toegang, requestopbouw, API-versie, XML-status en Audit Trail worden uitgelegd in XML API-toegang veilig configureren en antwoorden evalueren. De volgende objectrelaties zijn geen volledige, uitvoerbare aanvraag. Controleer bij de expliciet genoemde tegenstrijdigheden tussen bronnen eerst API help van de geïnstalleerde build en schrijf niets zonder eenduidige opheldering.

Eerst objecten, daarna policy en toewijzing

Een overzichtelijk automatiseringsscenario is een eigen URL Group voor zakelijke bestemmingen, een eigen File Type voor downloads en een User Activity die deze criteria samenbrengt. Lees of maak eerst deze objecten met hun werkelijke namen, laat daarna de policyregels naar deze objecten verwijzen en wijs ten slotte de Web Policy gecontroleerd toe aan de bestaande, daadwerkelijk passende firewallregel. Een nieuw object alleen staat nog geen verkeer toe en blokkeert ook nog geen verkeer.

• URL Group: WebFilterURLGroup bevat Name en herhaalde URL-items onder URLlist. De schrijfwijze URLlist is niet dezelfde als URLList van een externe Web Category. IsDefault markeert een ingebouwde URL Group; volgens de referentie is het veld alleen leesbaar en worden wijzigingen eraan bij een update genegeerd. Het maakt een eigen object niet tot een bewerkbaar standaardobject. Voor geschikte domeinwaarden en beheer via de UI blijft de URL-Group-procedure bepalend.
• File Type: FileType bundelt FileExtensionList met herhaalde FileExtension-waarden en MIMEHeaderList met herhaalde MIMEHeader-waarden. De opmerking in het XML-voorbeeld beschrijft Template zo dat de extensies en MIME-headers van het sjabloon worden overgenomen en afzonderlijk genoemde items daarnaast worden toegevoegd. Controleer daarom na het schrijven de effectieve volledige lijst, niet alleen de toegevoegde waarden. Het voorbeeld toont Blank, maar de parametertabel licht Template niet toe; leid hieruit geen universele lijst met toegestane templates af. Extensies blijven zonder punt aan het begin, bijvoorbeeld pdf.
• User Activity: UserActivity gebruikt Name voor de bestaande naam en NewName voor een beoogde naamswijziging. Onder CategoryList staan Category-objecten met Type en ID. In het voorbeeld zijn de typeaanduidingen web category, file type en url group gescheiden van de ID als objectnaam. Gebruik geen typewoord als object-ID en verzin geen numerieke ID. Het voorbeeld noemt de beschrijvingstag Desc, de tabel daarentegen Description; bevestig de geldige tag voor de specifieke build. De OR-koppeling van de Activity-criteria blijft gescheiden van de latere HTTP-/HTTPS-actie.

Bij een File-Type-fout zijn deze XML-antwoorden bijzonder relevant: Edit File Type 202 / Message.FileTypeUpdateWithRename, Add File Type of Edit File Type 503 / Message.FileTypeSameDetailRecordExists en 505 / Message.FileTypeInvalidExtensionOrMIMEHeader. Dit zijn ongewijzigde referentiesymbolen, geen uitgewerkte meldingsteksten en geen HTTP-codes. Lees bij 202 de oude en nieuwe naam en de policyreferenties; vergelijk bij 503 de al aanwezige detailwaarden en controleer bij 505 de extensies/MIME-headers. Maak niet zomaar een tweede object met een andere naam.

Eigen categorieën: inhoud, classificatie en bandbreedte scheiden

WebFilterCategory onderscheidt met ConfigureCategory twee invoermethoden: Local gebruikt DomainList/Domain en KeywordList/Keyword; External gebruikt URLList/URL voor de externe categorielijst. Een externe lijst-URL is niet automatisch een zakelijke domeinwaarde waarvoor toegang moet worden toegestaan. Herkomst, actualisering en inhoud van de externe lijst moeten traceerbaar zijn. Meng niet beide methoden ongecontroleerd in één request.

Classification classificeert de categorie, maar beslist niet over Allow of Block. De beschrijving noemt deels andere aanduidingen dan de enumtabel; deze noemt Productive, Unproductive, Acceptable en Objectionable. Ook ConfigureCategory is niet volledig consistent: het voorbeeld toont Local/External, de tabel daarnaast 0. Neem noch vertaalde classificatienamen, noch 0 als ongecontroleerde vervanging over. QoSPolicy verwijst naar een bandbreedtebeleid, niet naar een Web-Policy-actie; selectie en werking worden gecontroleerd in de Traffic-Shaping-procedure. Pas een passende Web-Policy-regel maakt van de categorie een toegangsbeslissing.

De categorietabel vereist een nauwkeurige nacontrole van de details:

• Add Category 201 / Message.WFCCategoryDetailCannotAdded en Update Category 201 / Message.WFCCategoryDetailCannotUpdated: behandel niet alle XML-2xx-antwoorden alsof domein-/trefwoord-/lijstwaarden volledig zijn opgeslagen. Lees de objectheader en elke benodigde detailverzameling afzonderlijk terug. Add Category 202 verwijst net als 200 naar Message.WFCAddSuccess; de gedeelde symboolnaam verklaart het verschil tussen de codes niet.
• Add Category 522 / Message.WFCMaxFiveURL en 523 / Message.WFCMaxFiveKeyword, maar Update Category 503 / Message.WFCMaxFiveURL en 504 / Message.WFCMaxFiveKeyword: evalueer de operatie en de code samen. De symboolnamen alleen bewijzen geen universele actuele limiet van vijf items; stel de daadwerkelijk toegestane omvang vast aan de hand van de buildhelp.
• Delete WebFilter Category 201 / Message.WFCRelationExists en 203 / Message.WFCSomeCategoryCannotDeleted: controleer referenties en resterende categorieën voordat u verwijdert of het opnieuw probeert. Ga bij een selectie van meerdere categorieën niet uit van een algemeen geslaagde verwijdering.

Alle Message.*-symbolen blijven hier bewust onuitgewerkt. Leg vóór een retry de daadwerkelijk opgeslagen toestand en het antwoord vast; herhaal met name een gedeeltelijk toegepaste categoriewijziging niet blind.

Content Condition Lists: Key is niet Name

Een ContentConditionList-object bevat de zichtbare Name, de afzonderlijke identiteit Key en ContentList met herhaalde ContentString-waarden. De referentie vereist Name en Key; voor Delete Content Condition List is expliciet Key de selector. Bewaar daarom bij het lezen en documenteren beide waarden en gebruik nooit de weergegeven naam ongecontroleerd als verwijderingssleutel.

De API-tabel duidt ContentString aan als ruwe regexwaarden en zegt dat duplicaten niet worden genegeerd. De hierboven beschreven UI-import is daarentegen een tekstlijst met één Exact Match per regel. Daarmee is niet aangetoond dat een UI-import en een API-regexlijst een identiek invoerformaat hebben. Verduidelijk vóór een overstap de semantiek met de buildhelp en test onschadelijke overeenkomsten en niet-overeenkomsten; verstuur een bestaande tekstlijst niet ongecontroleerd als regexpayload.

Bijzonder opvallend zijn de tegenstrijdige koppelingen tussen operaties en meldingen in de referentie:

Deze regels tonen een tegenstrijdigheid in de documentatie aan, niet dat een Update verwijdert of een Delete bijwerkt. Controleer de operatie, Key, het antwoord en de daadwerkelijk aanwezige inhoud. Leid hieruit zonder eenduidige opheldering voor de build geen destructieve operatie af en start geen automatische retry op basis van een symboolnaam.

WebFilterPolicy: volgorde en selectors behouden

WebFilterPolicy bevat de regels onder RuleList/Rule. Elke regel verwijst onder CategoryList/Category naar een ID-objectnaam en een type-selector. Het policyvoorbeeld gebruikt WebCategory, URLGroup, UserActivity, DynamicCategory en FileType; deze tokens verschillen van de typeaanduidingen in het User-Activity-voorbeeld en de tag type is daar met kleine letters geschreven. Neem schrijfwijze, objecttype en bestaande naam over uit het gelezen object of de buildhelp, in plaats van UI-labels of verzonnen ID’s te serialiseren.

HTTPAction en HTTPSAction zijn afzonderlijke beslissingen; FollowHTTPAction beschrijft hun koppeling. Het API-voorbeeld noemt Deny, Allow, Warn, Log en Quota. Deze voorbeeldwaarden bevestigen niet dat ze allemaal op elke build selecteerbaar zijn, en Deny mag niet zomaar worden vervangen door het UI-woord Block. PolicyRuleEnabled regelt de activering van de regel, Schedule het tijdschema waarnaar wordt verwezen en UserList/User het gebruikersbereik. CCLRuleEnabled en CCLList/CCL koppelen de inhoudsfilters aan de regel; het voorbeeld verwijst daar naar een CCL-naam, terwijl het verwijderen van de CCL haar Key vereist. Het HTTPS-gedrag van een Content Filter moet nog steeds overeenkomen met de hierboven uitgelegde UI-koppeling. Behoud bij een update de volgorde, het gebruikersbereik, het tijdschema, de inhoudsfilters en de Default Action en vergelijk de volledige opgeslagen policy. Uit een ontbrekend veld mag niet worden afgeleid dat behoud of verwijdering gegarandeerd is.

Voor de volgende invoer levert de referentie geen uitvoerbaar sjabloon zonder tegenstrijdigheden:

• DefaultAction: de tabel noemt maximaal één teken, maar staat tegelijkertijd Allow en Deny toe. Kort niet af tot één teken en verzin geen numerieke vervangende codering. EnableReporting toont in het voorbeeld Enable/Disable, terwijl de tabel alleen Enable toestaat; uitschakelen is daarmee niet bevestigd zonder controle van de build.
• DownloadFileSizeRestriction: de XML-opmerking noemt 1 tot 1536 MB, de parametertabel 0 tot 1536. De betekenis van 0 is daarmee onduidelijk; behandel deze waarde noch als onbeperkt, noch als geldige actieve limiet. Stel de schakelaar DownloadFileSizeRestrictionEnabled en de limiet samen vast aan de hand van de buildhelp en test met onschadelijke bestanden aan beide kanten van de bevestigde grens. QuotaLimit heeft in de API-tabel het bereik 1 tot 1440; bevestig de beschikbare waarden op de geïnstalleerde build. DPI ondersteunt de Policy Quota nog steeds niet.
• Tenant Controls: Office365Enabled, Office365TenantsList en Office365DirectoryId horen bij de Microsoft-tenantbeperking. Voor de lijst noemt de API-tabel 4096 tekens, de UI-help voor Restrict-Access-To-Tenants daarentegen 256; stel deze limieten niet aan elkaar gelijk en leid uit de API-opgave geen langere waarde voor productiegebruik af. De voorbeeldwaarde voor Office365DirectoryId, 456ff232-35l2-5h23-b3b3-3236w0826f3d, bevat niet-hexadecimale tekens en is geen geldige GUID-voorbeeldwaarde. Repareer deze niet stilzwijgend, maar gebruik de daadwerkelijke Directory-ID uit uw eigen tenantbeheer en test zowel toegestane als niet-toegestane tenantlogins. Bevestig de UI-veldtoewijzing, lengtes en semantiek in de geïnstalleerde build.

Add Policy 522 / Message.WebPoliciesLimit betreft de policylimiet; leid hieruit geen limiet voor regels of categorieën af. Update Policy 503 / Message.WFPQuotaLimitInvalid vereist controle van de Quota-invoer. De referentie vermeldt daarnaast Update Policy from API als afzonderlijke operatienaam; de antwoordregels daarvan bevatten deze 503-vermelding niet. Dat bewijst niet dat deze methode elke Quota accepteert. Controleer status, opgeslagen policy en daadwerkelijke werking voordat u opnieuw schrijft.

Globale beschermingsopties en meldingen niet vermengen

WebFilterSettings is het globale instellingenbereik voor het webfilter, niet één afzonderlijke WebFilterPolicy. Het bevat onder meer PharmingProtection, Scanning, BlockUnscannableContent en PUAWhitelist met herhaalde PUA-namen. Een PUA-item is een bewust goedgekeurde uitzondering, geen noodzakelijke stap voor een nieuwe Web Policy. Scannerselectie en werking blijven onderdeel van de gekoppelde Malware-Scanning-procedure; het aanpassen van een bericht is geen aanleiding om daarnaast globale beschermingsopties of de PUA-lijst te wijzigen.

WebFilterProtectionSettings is een ander, afzonderlijk scanner-/beschermingscontract met velden zoals ScanMode en FileSizeThreshold. Beschermingsvelden met vergelijkbare namen maken dit niet tot een synoniem van WebFilterSettings of WebFilterNotificationSettings; wissel geen payloads tussen deze objecten uit. Neem voor een tekst die uitsluitend ter informatie dient geen scanner-, grootte- of certificaatopties op. Ook voor dit beschermingsobject moet het geldige contract afkomstig zijn uit de build-help, niet uit zonder controle overgenomen voorbeeldwaarden.

Ook hier spreekt het voorbeeld de tabel tegen: BlockUnscannableContent toont Enable/Disable, de tabel staat daarentegen Allow en Block (Best Protection) toe. Trek deze enums niet gelijk en raad ze niet op basis van de veldnaam. Leg vóór elke wijziging het huidige gedrag vast en verduidelijk het exacte contract voor de build.

WebFilterNotificationSettings richt zich daarentegen op de gebruikersmeldingen. OverrideDefaultDeniedMessage hoort bij DefaultDeniedMessage, OverrideDefaultWarnedMessage bij DefaultWarnedMessage; aangepaste teksten worden alleen met de passende Override bewust geselecteerd. Aanvullende Override-/Quota-velden staan in de tabel, maar ontbreken deels in het voorbeeld: OverrideDefaultOverrideMessage/DefaultOverrideMessage en OverrideDefaultQuotaMessage/DefaultQuotaMessage. De Override-/Quota-schakelaars noemen 0/1 als toegestane waarden, maar tegelijkertijd Enable als standaardwaarde. Dat is nog een tegenstrijdigheid tussen bronnen en geen reden om alle flags op dezelfde manier te coderen. Wijzig voor een zuivere tekstwijziging alleen de daarvoor bedoelde tekst-/Override-velden volgens het bevestigde buildcontract en controleer de passende pagina in de pilot.

DeniedMessageImage selecteert Default of Custom. Het voorbeeld koppelt TopImageFile en BottomImageFile aan een bestandsnaam uit het multipartrequest; de tabel beschrijft jpg/jpeg. Bij de User Notifications noemt de tabel de bovenste parameter echter Top Image, terwijl het voorbeeld TopImageFile gebruikt. Deze gegevens zijn niet voldoende om partnamen, Content-Disposition, uploadendpoint of bestandstoewijzing met zekerheid te construeren. Verduidelijk de bestandsoverdracht eerst aan de hand van de buildhelp of een daarvoor bevestigde officiële Collection. Voer zonder bevestigd uploadcontract geen geautomatiseerde afbeeldingswijziging uit. De vergelijkbare bericht-/afbeeldingsvelden in WebFilterSettings maken de twee objecten niet onderling uitwisselbaar.

DefaultWebFilterNotificationSettings staat hier weer los van: het biedt benoemde standaardberichtteksten, bijvoorbeeld WebsiteBlocked. Een zinvolle, beperkte toepassing is een goedgekeurde melding met de juiste supportcontactgegevens. Maak daarvoor een back-up van precies de betreffende oorspronkelijke tekst, wijzig alleen de bevestigde berichtsleutel, controleer de passende preview en de daadwerkelijke pilotpagina en herstel indien nodig precies deze tekst. Berichttekst is noch een toegangstoestemming, noch bewijs voor een malware-/zero-day-detectie.

Elke automatiseringswijziging teruglezen en valideren

Lees na elke schrijfoperatie het exact geadresseerde object terug via de API of in WebAdmin: vergelijk namen/Keys, effectieve lijsten, referenties, policyvolgorde, activering en de daadwerkelijke firewalltoewijzing. Voer daarna dezelfde toegestane en geblokkeerde pilotrequests uit als vóór de wijziging en correleer Rule ID, gebruiker, Web Policy en actie in de Log Viewer. Een geslaagd HTTP-resultaat, een XML-2xx-code of een onuitgewerkt Message.*-symbool alleen volstaat niet. Leg bij een gedeeltelijke wijziging of onduidelijk antwoord eerst de huidige toestand en Audit Trail vast en corrigeer daarna gericht; geen blinde Add-/Delete-retry. Alleen de gedocumenteerde eigen wijzigingen worden teruggedraaid, niet andere bestaande policies, Overrides of globale beschermingswaarden.

Webbescherming testen

Na het opslaan moet men niet alleen controleren of de policy bestaat. Doorslaggevend is of deze voor echt verkeer van toepassing is.

1. Policy Tester gebruiken

Het exacte pad is Diagnostics > Tools > Pop-out tools > Policy tester. Firewall, SSL/TLS, and web test het gecombineerde transparante pad, terwijl Web policy only de beslissing van de Web Policy isoleert. De webtest vertegenwoordigt uitsluitend transparante webtoegang, houdt geen rekening met SD-WAN-routes en accepteert geen Source Networks met MAC-adressen. Zonder opgegeven protocol gebruikt de tester HTTP; zonder opgegeven poort gebruikt hij de standaardpoort van het gekozen protocol.

Voer vóór de wijziging beide relevante modi als baseline uit en leg het resultaat en de verwachte Rule ID vast; herhaal daarna exact dezelfde tests. De Policy Tester blijft een voorcontrole en vervangt geen echte Allow- en Block-test vanaf een pilotclient, omdat NAT, TLS-inspectie, QUIC, routing of een expliciet Direct Proxy-pad de werkelijke pakketstroom anders kunnen verwerken.

2. Echte test met een pilotclient

Met een pilotclient controleren:

• Toegestane zakelijke site
• Geblokkeerde categorie
• Waarschuwende categorie
• URL-groep toestaan
• URL-groep blokkeren
• HTTPS-site met en zonder TLS-inspectie
• Download van een onschadelijk testbestandstype
• Gedrag met QUIC actief of geblokkeerd

3. Log Viewer controleren

In de Log Viewer moet zichtbaar zijn:

• Welke firewallregel is geraakt
• Welke gebruiker is herkend, indien relevant
• Welke webcategorie of URL-groep betrokken was
• Of HTTPS, TLS-inspectie of malware-scan betrokken waren
• Of de actie was toegestaan, gewaarschuwd of geblokkeerd
• Of een Web Exception of TLS Exclusion heeft gegolden
• Of een download door grootte, malware-scanfout of Zero-Day-analyse anders werd behandeld

Bij Syslog of SIEM zijn URL en action niet genoeg. Voor een betrouwbare analyse zijn ook Firewall Rule ID, gebruiker, categorie, Web Policy, HTTP-methode, status, scanresultaat, exception-indicatie en SSL/TLS-relatie nodig. Als deze velden in het SIEM ontbreken of verkeerd worden genormaliseerd, lijkt Web Protection in rapportage snel onduidelijker dan het op de firewall werkelijk is.

Voor diepere probleemoplossing zijn ook logbestanden relevant. De toewijzing staat in Sophos Firewall Troubleshooting: Services en Logs.

Directe waarschuwingen en rapportage

Als bepaalde categorieën niet alleen moeten worden geblokkeerd, maar ook actief moeten worden gemeld, kunnen directe waarschuwingen nuttig zijn. Dit is vooral handig in scholen, streng gereguleerde omgevingen of gebieden met een duidelijke internetgebruiksrichtlijn.

De drie evaluatieroutes beantwoorden verschillende vragen:

• Snelle e-mail bij enkele gevoelige webcategorieën: Directe waarschuwingen.
• Terugkerende rapporten, trends en gebruikers- of categorie-evaluaties: Central Firewall Reporting.
• Langere bewaring, correlatie met andere systemen of SOC-processen: Syslog of SIEM.

Voor directe waarschuwingen moet duidelijk zijn wie de melding ontvangt, welke categorieën echt een reactie uitlokken, hoe valse positieven worden behandeld en wanneer de categoriekeuze wordt herzien. Een brede waarschuwingslijst zonder eigenaar genereert snel e-mailruis, maar geen betere beveiliging.

Voor de technische activering en triage staat Sophos Firewall Webcategorieën en directe waarschuwingen gebruiken. Voor langdurige evaluaties moeten Central Firewall Reporting of Sophos Firewall Syslog naar SIEM sturen worden overwogen.

Wijzigingen en uitzonderingen in gebruik beheren

Webbescherming verandert voortdurend in gebruik. Nieuwe SaaS-diensten komen erbij, afzonderlijke domeinen worden verkeerd gecategoriseerd, afdelingen hebben tijdelijk toegang nodig en browsergedrag verandert. Zonder duidelijke procedure ontstaan snel brede uitzonderingen die later niemand meer kan verklaren.

Voor elke wijziging moet men ten minste vastleggen:

• Wie heeft toegang nodig? Voorkomt globale uitzonderingen voor enkele gebruikers.
• Welk domein, categorie of bestandstype is betrokken? Scheidt URL-groep, webcategorie en bestandstype duidelijk.
• Is het een tijdelijke of permanente uitzondering? Dwingt beoordeling af in plaats van permanente schaduwtoestemmingen.
• Welke firewallregel en Web Policy zijn betrokken? Voorkomt wijzigingen in de verkeerde regel.
• Hoe wordt getest? Maakt het succes in de Log Viewer aantoonbaar.

Een kleine wijzigingsprocedure heeft zich bewezen:

1. Verzoek vastleggen met gebruiker, URL, tijdstip, zakelijke reden en screenshot of foutmelding.
2. In de Log Viewer controleren welke firewallregel, Web Policy, categorie en actie van toepassing waren.
3. Beslissen of de categorie fundamenteel verkeerd is, of alleen een enkel domein moet worden vrijgegeven of dat het verzoek wordt afgewezen.
4. Als een zakelijke toestemming noodzakelijk is, houd deze dan nauw afgebakend in de overeenkomende firewallregel en Web Policy: een specifieke URL Group in plaats van een volledige categorie, en expliciete Users in plaats van het volledige LAN. Als in plaats daarvan een Web Exception nodig is, gebruik dan de eigen ondersteunde URL-/categorie-/IP-criteria; een gebruikersgroep of URL Group is geen Web Exception-criterium.
5. Wijziging in een testregel of pilotgroep controleren.
6. Na het opslaan een echte test uitvoeren en Log Viewer, categorie, regel-ID en gebruikerscontext documenteren.
7. Beoordelingsdatum instellen, vooral bij tijdelijke zakelijke uitzonderingen.

Tijdelijke uitzonderingen moeten duidelijk worden benoemd, bijvoorbeeld TMP_ALLOW_vendor-portal_until_2026-07-31. Permanente zakelijke uitzonderingen hebben ook een eigenaar nodig. Als niemand verantwoordelijk is voor een uitzondering, moet deze niet permanent in de policy blijven.

Als veel afzonderlijke domeinen voor dezelfde dienst ontstaan, is vaak niet de Web Policy het probleem, maar de architectuur van de dienst. Dan moet men controleren of een eigen firewallregel, een eigen Web Policy, een goed onderhouden URL-groep of een ander controlepunt beter past. Voor dynamische IOC- of blokkeerlijsten zijn Web Policy-uitzonderingen meestal de verkeerde plek; daarvoor passen eerder Sophos Firewall Threat Feeds.

Rollback en noodtoestemming

Een wijziging in de Web Policy kan direct invloed hebben op productief werk. Daarom moet men voor grotere wijzigingen vaststellen hoe de oude situatie kan worden hersteld.

Praktische rollback-opties:

• Betrokken Web Policy voor de wijziging dupliceren of documenteren
• Wijziging eerst in een pilotregel of kleine gebruikersgroep testen
• Oude firewallregel of oude Web Policy niet direct verwijderen
• Tijdvenster, testgebruikers en terugvalcriterium definiëren
• Na het opslaan Log Viewer, regel-ID en categoriebeslissing controleren

Voeg bij acute blokkeringen niet reflexmatig een brede Allow-regel bovenaan in. Geef de voorkeur aan een nauw afgebakende, tijdgebonden zakelijke toestemming in de overeenkomende firewallregel en Web Policy, met een specifieke URL Group, expliciete Users en een beoordelingsdatum. Dit is geen Web Exception die tot een gebruikersgroep beperkt is. Voor het eventueel overslaan van inspectie zijn eigen goedgekeurde, ondersteunde matchcriteria en afzonderlijke positieve en negatieve tests vereist. Beoordeel de tijdelijke toestemming achteraf opnieuw.

Typische fouten

Web Policy is niet van toepassing

Meestal is de policy niet in de juiste firewallregel geactiveerd, wordt de regel niet geraakt, staat een regel hoger die het verkeer toestaat of past de gebruikerscontext niet. Eerst Log Viewer en regel-ID controleren.

HTTPS wordt niet zoals verwacht geblokkeerd

Zonder TLS-inspectie ziet de firewall minder details. Afhankelijk van het doel kan een domein- of categoriebeslissing werken, terwijl inhoudscontrole, bestandstypen of bepaalde zoekfuncties beperkt blijven.

Als de verbinding niet wordt ontsleuteld, kan de firewall toch SNI- of domeininformatie voor policybeslissingen gebruiken. Voor blokpagina’s, waarschuwingspagina’s, bestandstypen, Content Filters, malware-scanning en Zero-Day-analyse is echter meer zichtbaarheid nodig. Controleer daarom in Log Viewer niet alleen de Web Policy-actie, maar ook de SSL/TLS Inspection-status.

QUIC omzeilt de verwachting

Als browsers UDP 443 gebruiken, kan verkeer anders worden verwerkt dan klassiek HTTPS via TCP. In clientregels moet bewust worden besloten of QUIC wordt geblokkeerd.

Toestaan-regel staat te hoog

Een brede toestaan-regel aan het begin van de Web Policy kan latere blokkeerregels uitschakelen. Regelvolgorde binnen de Web Policy is net zo belangrijk als regelvolgorde in de firewallregellijst.

Te veel uitzonderingen

Uitzonderingen lossen snel een enkel probleem op, maar kunnen de beschermende werking verminderen. Elke uitzondering heeft een doel, eigenaar en beoordelingsdatum nodig. Als veel uitzonderingen ontstaan, is vaak de policystructuur verkeerd of heeft een zakelijke toepassing een eigen regel nodig.

Vooral Web Exceptions die Policy checks of Malware and content scanning overslaan zijn riskant. Als alleen HTTPS decryption stoort, is een SSL/TLS Exclusion meestal nauwer en beter te begrijpen.

Rapportage toont niets

Dan moeten logging, rapportage, firewallregel, policyselectie of logdoorsturing worden gecontroleerd. Een policy zonder logging is in gebruik moeilijk te evalueren.

Bedrijfschecklist

• Webbeschermingslicentiestatus gecontroleerd.
• Client-, server-, gasten- en VPN-verkeer afzonderlijk geëvalueerd.
• Web Policy met duidelijke naam aangemaakt.
• Kritische categorieën en URL-groepen bewust gepland.
• Regelvolgorde binnen de Web Policy gecontroleerd.
• Web Policy in de juiste firewallregel geactiveerd.
• Log firewall traffic, Web Policy-logging en Reporting actief.
• Web Policy-regels zijn ingeschakeld en staan in de juiste volgorde.
• TLS-inspectie en CA-certificaat voor pilotgroep gecontroleerd.
• QUIC-strategie gedefinieerd.
• Web Exceptions en TLS Exclusions afzonderlijk gedocumenteerd.
• Policy Tester en echte tests uitgevoerd.
• Log Viewer en rapportage gecontroleerd.
• Wijzigingsproces voor Web Policy-uitzonderingen gedefinieerd.
• Tijdelijke uitzonderingen met vervaldatum voorzien.
• Uitzonderingen met eigenaar en beoordelingsdatum gedocumenteerd.

FAQ