Bezpieczne sprawdzanie globalnych ustawień IPS Sophos Firewall

W SFOS 22 Device Console w Sophos Firewall zawiera pod set ips globalne ustawienia silnika IPS. Sterują fail-close, zakresem skanowania, wykrywaniem aplikacji, przetwarzaniem SIP, PKI Acceleration i zachowaniem podczas aktualizacji sygnatur. Nie dotyczą tylko jednej IPS Policy lub reguły zapory.

Bezpiecznym punktem wyjścia jest show ips-settings, pokazujące wartości i działające instancje. Jeden parametr zmienia się dopiero, gdy wskazuje go odtwarzalny objaw. Przed oknem serwisowym zapisuje się wartość początkową, oczekiwany efekt, przepływ kontrolny i wycofanie.

⚠️ set ips nie jest ogólną listą optymalizacji. Opcje mogą odrzucać nowe połączenia, omijać Application Control lub Active Threat Response, przepuszczać cały ruch bez IPS podczas restartu silnika albo wymagać restartu zapory.

Konfiguracja i testowanie IPS na Sophos Firewall opisuje aktywację, polityki, sygnatury i false positives. Ten artykuł dodaje globalną warstwę CLI.

Najpierw sprawdzić dostępność i stan ochrony

Same ustawienia globalne nie dowodzą, że IPS chroni ruch. IPS protection musi być włączone w Intrusion prevention > IPS policies, a reguła zapory musi używać właściwej IPS policy. Sygnatury IPS wymagają aktywnej subskrypcji Network Protection lub trial license. Po wygaśnięciu subskrypcji przełącznik może pozostać włączony, choć IPS nie jest egzekwowany. Po ręcznym wyłączeniu Sophos po 30 dniach usuwa wszystkie sygnatury i reguły IPS; wcześniej należy wyeksportować konfigurację IPS lub wykonać backup.

W Backup & firmware > Pattern updates pattern IPS musi mieć aktualną wersję, wiarygodny czas i stan Success. Application Signatures są zawsze dostępne; podłączona zapora pobiera sygnatury IPS tylko przy aktywnej licencji i przełączniku IPS. W HA aktualizuje się Primary, który automatycznie synchronizuje Auxiliary. Konfiguracja i kontrola Pattern Updates opisuje aktualizacje automatyczne, ręczne i air gap.

Krótka bezpieczna procedura

1. Zapisać połączenie, Firewall Rule ID, IPS Policy, sygnaturę, czas i objaw.
2. Zachować show ips-settings i w razie potrzeby odczyt show ips_conf.
3. Sprawdzić, czy wąska korekta polityki lub sygnatury pozwala uniknąć zmiany globalnej.
4. Zmienić jedną wartość z testem pozytywnym, negatywnym i kontrolnym.
5. Zaplanować Apply i wpływ operacyjny failclose lub instancji IPS.
6. Sprawdzić Log Viewer, ips.log, aplikację i zasoby, a bez wyraźnej korzyści wycofać zmianę.

Po zabezpieczonym logowaniu SSH wybrać 4. Device Console. Rozwiązywanie problemów z CLI Sophos Firewall wyjaśnia klucz hosta, dostęp i granicę Advanced Shell.

show ips-settings
show ips_conf

show ips_conf pokazuje techniczny widok konfiguracji Snort. Wewnętrzne klucze nie są zatwierdzonym wzorem własnych zmian.

Zrozumienie fail-close i limitów zasobów

failclose określa reakcję, gdy silnik IPS osiągnie limit połączeń lub pamięci. Przy on odrzuca nowe połączenia. Przy off usługa IPS usuwa stare połączenia z cache, aby zwolnić miejsce.

Sophos dokumentuje stan według RAM:

Restore backupu może przenieść inny stan failclose. Po odtworzeniu trzeba go jawnie sprawdzić, a nie wyprowadzać tylko z hardware.

Timeouty TCP i UDP przyjmują od 1 do 43200 sekund. Sophos dokumentuje 180 sekund przy failclose off i 600 przy failclose on. Po zmianie stanu lub timeoutu osobno wykonać set ips failclose apply.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

Przykład pokazuje składnię związaną ze stanem on, a nie ogólne zalecenie. Najpierw sprawdzić wartości, RAM, nowe połączenia, krytyczne aplikacje i oczekiwaną reakcję na brak zasobów. Wycofanie przywraca zapisany stan i timeouty, potem wykonuje failclose apply.

W niestandardowym wycofaniu zastąpić znaczniki zapisanym stanem i timeoutami, a następnie wykonać apply:

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Po każdym apply ponownie wykonać show ips-settings. Po przykładzie wynik musi wskazywać failclose on oraz oba timeouty ustawione na 600; po wycofaniu musi pokazać zapisane wartości początkowe. Jeśli wynik jest inny, nie zmieniać kolejnego ustawienia globalnego.

Do udokumentowanego standardu wracać dopiero po sprawdzeniu RAM: do 8 GB off i 180 sekund, powyżej 8 GB on i 600 sekund. Nie nadpisywać przypadkiem konfiguracji przywróconej lub niestandardowej.

Świadome określanie zakresu skanowania

Zaufanie lub cała zawartość

inspect untrusted-content sprawdza tylko treści, których SophosLabs nie uznaje za zaufane. Jest to udokumentowany standard o najlepszej wydajności. inspect all-content sprawdza wszystko i według Sophos zapewnia najlepsze bezpieczeństwo.

Zmiana jest globalna. Należy przetestować web, transfery, publikowane serwery, aplikacje VPN, CPU, pamięć i przepustowość pod porównywalnym obciążeniem. Interpretacja metryk wydajności Sophos Firewall opisuje metodę.

Skanowanie odszyfrowanego ruchu niezależnie od portu

scan_decrypted_port_agnostic on jest domyślnie aktywne. IPS może więc analizować odszyfrowany ruch, choć sygnatura oczekuje HTTP, a przepływ używa innego portu.

Wyłączenie zmniejsza ochronę całej zapory i nie jest trwałym rozwiązaniem jednego false positive. Test wymaga ID sygnatury, celu, portu, reguły SSL/TLS Inspection i IPS Policy. Potem preferuje się wąski wyjątek i przywraca wartość globalną. Szczegóły zawiera Etapowe wdrażanie TLS Inspection.

Odpowiedzi HTTP i liczba pakietów

http_response_scan_limit przyjmuje od 0 do 262144; Sophos wymaga 0 dla pełnego skanowania. Inna wartość zmienia głębokość i zasoby i nie powinna być kopiowana bez dowodu.

maxpkts określa, ile pakietów Application Filter policies skanują od klienta i serwera w nowych lub aktualizowanych połączeniach. Standard to 8. Sophos zaleca 80 dla złożonych lub unikających wykrywania aplikacji, takich jak aplikacje proxy, P2P i tunelowe, ale ostrzega przed spadkiem szybkości przy zbyt wysokich wartościach.

Udokumentowana postać wejściowa to set ips maxpkts [numeric value more than 8|all|default]: jawnie podana wartość liczbowa musi być większa niż 8; all i default to alternatywne wartości wejściowe, a nie sekwencja poleceń. Standard 8 nie jest zatem przykładem jawnego ustawienia wartości liczbowej. Liczba pakietów ogranicza klasyfikację aplikacji osobno dla każdego kierunku, a nie dalszą kontrolę IPS: przy 9 klasyfikacja uwzględnia pierwszych dziewięć pakietów klienta i pierwszych dziewięć pakietów serwera; skanowanie IPS trwa nadal. Do uzasadnionego testu wybrać dokładnie jedną wartość wejściową i wcześniej zapisać aktualną wartość. Wycofanie przywraca dokładnie stan początkowy; default nadaje się tylko do potwierdzonego standardowego stanu bazowego, a nie jako zamiennik konfiguracji niestandardowej. Jeśli nie można jednoznacznie odczytać stanu początkowego lub przywrócić go w udokumentowanej postaci, przed testem należy zaangażować Sophos Support. Po zmianie i wycofaniu ponownie odczytać ustawienia oraz porównać klasyfikację, ruch kontrolny i wydajność. Z tej dokumentacji nie wyprowadza się żadnego szerszego znaczenia all podczas działania systemu.

80 nie jest ogólnym ustawieniem wydajności IPS. Najpierw trzeba wykazać, że konkretna aplikacja nie jest wiarygodnie klasyfikowana przy ustawieniu domyślnym, następnie porównać wykrywanie, zestawianie, przepustowość i ruch kontrolny.

Wykrywanie aplikacji i wyjątki ATR

enable_appsignatures on aktywuje sygnatury aplikacyjne i jest udokumentowanym standardem. Globalne off ogranicza wykrywanie złośliwych aplikacji i nie naprawia jednej błędnej klasyfikacji.

ac_atr exception fwrules wyklucza jedną lub więcej Firewall Rule IDs z Application Classification i Active Threat Response. Wiele ID oddziela się przecinkami; none usuwa wyjątek.

Przed ustawieniem zapisać dotychczasowe ID wyjątków z show ips-settings i ustalić pełną wymaganą listę docelową. Jeśli stan bazowy lub sposób jego dokładnego przywrócenia jest niejasny, nie wprowadzać zmiany, lecz zaangażować Sophos Support. 12,27 to przykładowe ID dla świadomie wybranej listy; nie wynika z tego udokumentowana semantyka dodawania ani scalania.

Wybrana zmiana: ustawić tylko zweryfikowaną listę docelową, zastępując przykładowe ID właściwymi ID reguł:

set ips ac_atr exception fwrules 12,27

Alternatywne usunięcie, nie wykonywać dodatkowo po poprzedniej zmianie: wybrać none tylko wtedy, gdy rzeczywiście nie ma pozostać żaden wyjątek. Jako wycofanie nadaje się to tylko przy potwierdzonym pustym stanie bazowym; w przeciwnym razie przywrócić dokładnie zapisaną listę, bez jej uprzedniego usuwania:

set ips ac_atr exception fwrules none

Wyjątek nie zezwala ani nie blokuje samych reguł. Usuwa ich ruch z dwóch dodatkowych ścieżek. Stosować tylko dla potwierdzonych ID, z właścicielem, datą wygaśnięcia i testem negatywnym. Najpierw sprawdzić Threat Feed, dopasowanie i konfigurację Active Threat Response.

Oba przykłady są alternatywami, a nie sekwencją testową. Po zmianie i wycofaniu ponownie odczytać listę za pomocą show ips-settings i porównać ją odpowiednio z wybraną listą docelową lub zapisanym stanem bazowym. Następnie ponownie sprawdzić działanie Application Classification i ATR zarówno dla reguły wcześniej objętej wyjątkiem, jak i dla niezależnej reguły.

Silnik, CPU i akceleracja sprzętowa

Nie przenosić instancji IPS jako szybkiej optymalizacji

Sophos dokumentuje pod set ips strukturę argumentów ips-instance [add|clear] IPS cpu <0-maximum CPUs in the device> oraz zakres CPU od 0 do maksymalnej liczby CPU urządzenia. Dokumentacja SFOS 22/23 jest sprzeczna w kwestii Apply: lista składni podaje ips-instance apply pod set ips, natomiast tekst objaśniający wskazuje set ips-instance apply. Nie wyprowadza się tu z tego wykonywalnego wywołania Apply ani nie zgaduje numeracji CPU. Przed zmianą Sophos Support musi potwierdzić prawidłowe ID CPU, dokładną składnię Add/Clear/Apply oraz sposób dokładnego przywrócenia dotychczasowego przypisania dla zainstalowanego buildu. Zapisać działające instancje za pomocą show ips-settings; bez jednoznacznego stanu bazowego i potwierdzonego sposobu jego przywrócenia nie wprowadzać zmiany. Według źródła po Apply wymagany jest restart zapory; bez restartu nowa konfiguracja nie zostanie zastosowana. Po zmianie i po przywróceniu stanu początkowego ponownie odczytać działające instancje po zaplanowanym restarcie i porównać je odpowiednio ze stanem docelowym lub bazowym.

Ręczne przypisanie CPU nie jest tuningiem live. Należy je wykonywać w serwisie z dokumentacją platformy, instancji, zalecenia Sophos i obciążenia przed/po.

Pozostawić przestarzałe przełączniki bez zmian

Według Sophos ips_mmap i packet-streaming są przestarzałe od SFOS 18.0; dla obu dokumentacja podaje on jako standard, a nie jako zmierzoną aktualną wartość na urządzeniu. Dlatego nie używa się ich do optymalizacji SFOS 22. Szczególnie ryzykowne jest packet-streaming off: bez ponownego składania danych złośliwa treść podzielona podczas przesyłania przez protokoły takie jak Telnet, POP3, SMTP lub HTTP może uniknąć kontroli sygnatur.

Prawidłowo ocenić PKI Acceleration

pki-acceleration enable jest standardem. Na wspieranych modelach XGS Appliance Xstream Flow Processor może przejąć ponowne podpisywanie certyfikatów X.509 dla przepływów SSL/TLS analizowanych przez DPI Engine.

show ips-settings pokazuje stan. Niewspierane wersje lub modele wskazują disabled; przy włączonym PKI Acceleration i wyłączonym Firewall Acceleration pojawia się enabled (inactive). PKI Acceleration nie należy oceniać osobno. Według Sophos zmiana wymaganego Firewall Acceleration powoduje przerwę; należy ją zaplanować w oknie serwisowym i nie jest to krok diagnostyczny tego artykułu.

Nie zgadywać metody wyszukiwania

Sophos dokumentuje ac-bnfa z małym użyciem pamięci i wysoką wydajnością, ac-q z dużym użyciem i najlepszą wydajnością oraz hyperscan z małym użyciem i najlepszą wydajnością. hyperscan jest standardem.

Etykiety nie uzasadniają intuicyjnej zmiany. Wsparcie platformy, pamięć, odtwarzalne obciążenie i wynik wykrywania muszą się zgadzać. Bez konkretnego zalecenia Sophos pozostaje metoda dokumentowana.

SIP i specjalne zachowanie TCP

sip_preproc enable analizuje sesje SIP pod kątem ataków i jest domyślnie aktywne. sip_ignore_call_channel enable domyślnie wyklucza kanały audio i wideo ze skanowania IPS. Oba są globalne.

Najpierw trzeba oddzielić sygnalizację, media, kierunek, NAT, helper, zdarzenie IPS i VPN. Tylko odtwarzalne połączenie uzasadnia czasowy test CLI. Optymalizacja i testowanie VoIP na Sophos Firewall opisuje proces.

tcp urgent-flag remove usuwa i resetuje TCP urgent flag oraz pointer i jest standardem. allow przekazuje je bez zmian. Poluzowanie wymaga Packet Capture i konkretnej aplikacji legacy.

Bezpieczne stosowanie zakresu patternów i aktualizacji sygnatur

Full Signature Pack tylko od 32 GB RAM

system ips full-signature-pack określa, czy Pattern Updates pobiera pełny pakiet IPS. Sophos wymaga co najmniej 32 GB RAM i ostrzega przed wpływem na wydajność. Ponieważ dokumentacja CLI nie podaje wartości domyślnej, najpierw należy odczytać stan:

system ips full-signature-pack show

Przed zmianą zapisać RAM, wersję i czas patternu IPS, CPU i pamięć. enable lub disable wpływa na pobieranie podczas Pattern Updates. Po następnej kontrolowanej aktualizacji sprawdzić Success, wersję i ponownie show. Przy błędzie lub istotnej zmianie zasobów przywrócić zapisany stan jednym z poleceń i obserwować kolejny cykl:

system ips full-signature-pack enable
system ips full-signature-pack disable

Nie włączać testowo poniżej 32 GB. Więcej sygnatur nie zastępuje właściwej IPS policy. SFOS 22.0 MR2 dostarcza nowe patterny PQC z akcją Disabled; ich użycie wymaga świadomej reguły IPS i wyboru akcji.

Przy automatyzacji przez API XML IPSFullSignaturePack używa obowiązkowego pola Status z wartościami zapisanymi małymi literami: enable, disable lub show. Odpowiednio włączają one pobieranie pełnego pakietu, wyłączają je lub odczytują stan. Tabela parametrów API podaje disable jako wartość domyślną; nie określa to uniwersalnego stanu początkowego CLI ani urządzenia. Przykład konfiguracji nie dokumentuje ogólnej operacji Get. Automatyzacja również wymaga opisanych wyżej kontroli RAM, licencji, aktualizacji i wycofania zmian.

Zachować reload i uniknąć obejścia ochrony

set ips engine_update_mode reload jest standardem. Reload może odrzucić niektóre pakiety podczas ładowania. restart restartuje silnik; cały ruch przychodzący i wychodzący omija wtedy IPS.

Sophos zdecydowanie odradza zmianę ze względów bezpieczeństwa. Przy odtwarzalnym zakłóceniu zachować czas, wersję patterns, przepływy i logi dla Sophos Support.

Najpierw show ips_conf musi wskazać config update_mode reload. Tylko jeśli Sophos Support wyjątkowo zaleci porównanie, przygotować okno serwisowe i ruch kontrolny, a bezpośrednio po porównaniu przywrócić zapisany stan:

set ips engine_update_mode restart
set ips engine_update_mode reload

Drugie polecenie to standardowe wycofanie. Następnie show ips_conf musi ponownie wskazać config update_mode reload. Jeśli tak nie jest, nie powtarzać restart, lecz zapisać odchylenie dla Sophos Support. Jeśli restart był już udokumentowanym stanem niestandardowym, nie wykonywać przykładu i najpierw uzgodnić odchylenie z Support. Zapisać czas, wersję patternu, przepływy, czas obejścia i logi.

Jeśli w SFOS 22 usługa IPS pozostaje w stanie Dead, a aktualizacje patternów IPS również zawodzą, nie używać engine_update_mode restart jako środka zaradczego. Zapisać stan usługi, ips.log, sig_upgrade.log, konfigurację web policy oraz węzeł HA. Zakres buildów, diagnostykę i ścieżkę wsparcia dla NC-181971 opisano w sekcji Usługa IPS ma stan DEAD w artykule Konfiguracja i bezpieczne testowanie IPS. Zmianę wersji planować oddzielnie z kontrolą przed aktualizacją do SFOS 22.

Pozostawić set ips_conf dla Sophos Support

set ips_conf może dodawać, aktualizować lub usuwać wewnętrzne pary key-value Snort. Sophos ostrzega, że tylko inżynierowie Sophos Support powinni wykonywać te polecenia.

Odczyt show ips_conf może być stanem bazowym dla supportu. Nie należy wyprowadzać z niego add, update ani del. Błędny klucz może naruszyć ochronę, stabilność i obsługę bez bezpiecznego wycofania.

Walidacja i wycofanie zmiany

Przed zmianą i po niej utworzyć nowe połączenie z tym samym źródłem, celem i regułą. Niezależny przepływ kontrolny musi zachować oczekiwaną IPS Policy i akcję. Wspólnie ocenić Log Viewer, ips.log, CPU, pamięć, zestawianie i działanie aplikacji.

Wycofanie wykorzystuje wartość początkową udokumentowaną za pomocą show ips-settings. W przypadku failclose następnie ponownie wykonać set ips failclose apply; przy zmianie instancji wymagania dotyczące Apply i restartu obowiązują również podczas przywracania stanu początkowego. Także przywrócenie instancji IPS wymaga opisanego wyżej wyjaśnienia sprzecznej składni Apply z Sophos Support dla używanego buildu. Nie zmieniać eksperymentalnie parametrów przestarzałych ani wewnętrznych parametrów przeznaczonych dla Support.

Jeśli Log Viewer nie pokazuje oczekiwanych zdarzeń, najpierw sprawdzić licencję, przełącznik IPS, pattern, Firewall Rule ID i przypisaną policy. Brak zdarzenia nie uzasadnia restart ani globalnego ograniczenia skanowania. Jeśli aktualizacja pozostaje Failed po jednej udokumentowanej próbie ręcznej, przekazać wersję, czas, build i logi Sophos Support.

Lista kontrolna eksploatacji

• show ips-settings, build SFOS, model, czas i odpowiedzialny zapisane.
• Konkretny parametr i ścieżka ruchu wyizolowane.
• Wąska korekta polityki lub sygnatury sprawdzona przed zmianą globalną.
• Stan failclose zależny od RAM i efekt restore uwzględnione.
• Licencja, przełącznik IPS, przypisana policy i stan patternu sprawdzone.
• Full Signature Pack oceniany tylko od 32 GB i z zapisanym stanem początkowym.
• Ryzyka Apply, restartu i bypassu wyjaśnione.
• Przepływy pozytywny, negatywny i kontrolny sprawdzone.
• Rzeczywista wartość początkowa gotowa do wycofania.
• Nie wykonano własnych zmian set ips_conf.

FAQ