Konfiguracja Sophos Endpoint Web Control
Sophos Fusion (dawniej Sophos Central) oferuje dwa modele Endpoint Web Control. Aktualny model korzysta z profili Web Filtering Profiles, których można używać wielokrotnie. Classic Web Control pozostaje dla starszych agentów Windows i macOS.
Bezpieczny przebieg obejmuje inwentaryzację urządzeń i wersji agentów, utworzenie Web Filtering Profile, przypisanie małej pilotażowej Policy User lub Device, włączenie logowania oraz test żądania dozwolonego, ostrzeganego i blokowanego. Przypisanie rozszerza się dopiero po akceptacji. Globalne Website Exclusions nie zastępują precyzyjnych Site Lists ani tagów.
Rozróżnienie to jest kluczowe dla eksploatacji. Prawidłowo skonfigurowana nowa Policy nie działa na Macu ani na Endpoincie Windows ze zbyt starą wersją agenta. Z drugiej strony Base Policy może zawierać obie konfiguracje i służyć jako fallback.
Nowy profil czy Classic?
Model Web Profile wymaga Windows Endpoint 2026.1 lub nowszego i działa tylko w Windows, nie w Linux ani macOS. Sophos wskazuje Classic przede wszystkim dla macOS i Windows Endpoint 2025.2.3.8 lub starszego.
Custom Policy używa nowego profilu albo Classic. Base Policy może zawierać oba elementy, a agent wybiera wariant właściwy dla platformy i wersji.
Jeśli przypisane urządzenie nie obsługuje Web Filtering Profiles, odpowiednia polityka Web Profile jest pomijana i zostaje zastosowana następna pasująca polityka Web Control. Jest to wybór między politykami, a nie przełączenie na Classic w tej samej Custom Policy. Opisany powyżej fallback Classic wewnątrz Base Policy jest osobnym mechanizmem.
Dlatego przed migracją zinwentaryzuj system operacyjny, wersję agenta i całą kolejność pasujących polityk aż do Base Policy. Dla komputerów Mac i starszych agentów Windows ustal, która zgodna polityka Classic rzeczywiście jest następna i jakie zawiera ustawienia. Zmień przypisanie dopiero wtedy, gdy grupa docelowa obsługuje nowy model lub gdy sprawdzono jej zgodny mechanizm zastępczy.
Tworzenie Web Filtering Profile
Profil tworzy się w Global Settings > Protection & Remediation > Web Settings > Web Filtering Profiles; rola wymaga Manage web profiles. Tenant może mieć 20 profili, a kategorie i Site Lists mogą działać jednocześnie. Limit obowiązuje dla każdego tenanta.
Aktualne opcje to Keep it clean, Optimal productivity, Block generative AI, Conserve bandwidth i Business only. W trybie Custom dla każdej grupy wybiera się Allow, Warn, Block lub Let me specify; Let me specify udostępnia poszczególne kategorie. Przed wyborem View Details pokazuje, co faktycznie kontroluje dany poziom.
Site Lists mają pierwszeństwo przed decyzjami dotyczącymi kategorii i typów plików. Każda lista może zawierać domeny, adresy URL, adresy IP lub zakresy CIDR; każdy wpis trzeba zatwierdzić klawiszem Enter lub Tab. Według Sophos example.com i *.example.com obejmują wszystkie domeny kończące się na example.com, bez http:// ani https://. Site List obejmuje najwyżej 750 wpisów, a profil najwyżej 20 list. O priorytecie decyduje kolejność od góry do dołu.
W Site Lists karta Category Checker pokazuje dla każdego wpisu kategorię SophosLabs Intelix i ocenę ryzyka. Podczas przeglądu porównaj tę klasyfikację z akcją kategorii w profilu, akcją i priorytetem Site List oraz pierwotnym powodem wyjątku. Pozwala to rozpoznać stare wpisy blokujące, których cel jest już realizowany przez kategorię, lub zezwolenia mogące mieć pierwszeństwo przed ryzykowną klasyfikacją. Sam widok nie dowodzi ani skuteczności filtrowania, ani tego, że wpis można bezpiecznie usunąć. Przed usunięciem sprawdź wszystkie profile i polityki używające listy, udokumentuj dotychczasowy wpis wraz z akcją i kolejnością na potrzeby przywrócenia, a zmianę najpierw przetestuj w wąskim pilotażu; następnie sprawdź niezbędne dostępy i odpowiadające im zdarzenia. Jeśli efekt jest nieoczekiwany, przywróć udokumentowany wpis i sprawdź ponownie.
Nowy profil nie zawiera automatycznie konfiguracji bazowej odpowiedniej dla organizacji. Kategorie, listy i akcje wybiera się świadomie, a następnie używa profilu w polityce Web Control.
Tworzenie i przypisanie Policy
- W My Products > Endpoint > Policies kliknij Add policy.
- Wybierz Web Control jako Feature oraz, zależnie od celu, User lub Device jako Type. Późniejsze przypisanie innych obiektów nie zastępuje wyboru właściwego typu.
- Nadaj jednoznaczną nazwę, np.
WC-Pilot-Windows-Profile, i przypisz wyłącznie grupę pilotażową w Users lub Computers. - W Settings wybierz typ polityki Web profile i przygotowany profil. Opcjonalnie można stosować różne profile w różnych godzinach.
- Świadomie skonfiguruj Risky File Types. Recommended to bezpieczny punkt wyjścia; Allow, Warn, Block lub Let me specify wymagają udokumentowanego uzasadnienia biznesowego. Nie można dodawać własnych typów plików.
- Włącz Log web control events i zapisz politykę. Bez tej opcji Sophos rejestruje tylko dostęp do zainfekowanych witryn, a nie wszystkie próby skutkujące blokadą lub ostrzeżeniem.
Custom Policy zawiera Web profile albo Classic settings, nigdy oba. Tylko Base Policy może zawierać oba i użyć Classic jako fallback. Fallback do Classic w Base Policy działa wtedy, gdy Web Profile nie może zostać zastosowany do urządzenia.
Prawidłowe użycie Website Management
Website Management rozwiązuje dwa inne zadania: własne tagi dla witryn oraz korektę kategorii w całym tenancie. Wpis domeny obejmuje także subdomeny bez konieczności użycia symbolu wieloznacznego. Można utworzyć do 5'000 tagów. W Global Settings > Protection & Remediation > Web Settings > Website Management > Add wpis może obejmować pojedyncze adresy URL, całe domeny, adresy IP, zakresy CIDR lub domeny najwyższego poziomu. Komentarz z osobą odpowiedzialną i numerem zgłoszenia ułatwia późniejsze przeglądy.
Tagi Website Management należą do procedury Classic Web Control. W nowym modelu Web Profile własnymi adresami zarządza się natomiast za pomocą Site Lists w Web Filtering Profile:
- Przejdź do Global Settings > Protection & Remediation > Web Settings > Website Management > Add, wprowadź adresy, wybierz nowy lub istniejący tag w Add tags i kliknij Save.
- Przejdź do My Products > Endpoint > Policies > Web Control, otwórz Policy korzystającą z Classic settings i wybierz Settings.
- W Control sites tagged in Website Management > Add New wybierz tag, ustaw Action na Allow, Warn lub Block, a następnie kliknij Save w oknie i ponownie w Policy.
Category Override nie może zezwolić na stronę sklasyfikowaną jako Malware, Phishing, Hacking lub Command-and-Control. Przy błędnej kategorii właściwa jest reklasyfikacja przez Sophos. Website Exclusion usuwa kontrole Web i ma znacznie szerszy wpływ. Category override zmienia kategorię Sophos w całym tenancie. Tag grupuje cele, aby polityka mogła nimi precyzyjnie sterować. Wpisy Website Management oparte na adresach IP kontrolują wyłącznie dostęp przez przeglądarkę, a nie inne aplikacje ani reguły lokalnej zapory.
Internetowe koparki kryptowalut w JavaScript są blokowane przez kategorię Hacking. Powoduje to blokadę całej kategorii, a nie tylko kodu kopiącego; zmianę należy więc najpierw sprawdzić w polityce pilotażowej. Jeśli konkretna witryna musi pozostać dostępna z uzasadnionego powodu biznesowego, nadaj jej osobny tag w Website Management i precyzyjnie zezwól na nią w odpowiedniej polityce Web Control. Sophos klasyfikuje takie koparki jako pasożytnicze złośliwe oprogramowanie; zezwolenie pozostaje udokumentowanym wyjątkiem, a nie zalecanym ustawieniem bazowym.
HTTPS i strony ostrzeżeń
Komunikaty ostrzegawcze nowego modelu Web Profile wymagają HTTPS Decryption. Odszyfrowywanie HTTPS włącza się w faktycznie obowiązującej polityce Threat Protection. Domyślnie HTTPS Decryption jest wyłączone dla Endpoints. Włączanie odbywa się w My Products > Endpoint > Policies, w faktycznie obowiązującej polityce Threat Protection, za pomocą SSL/TLS decryption of HTTPS websites.
Odszyfrowywanie umożliwia Sophos wgląd w pełne adresy URL i treści oraz, w razie wykrycia, wysyłanie próbek do SophosLabs. Dlatego przed włączeniem sprawdź ochronę danych, wymagania wewnętrzne i wrażliwe kategorie. Globalne wyjątki HTTPS chronią określone kategorie i witryny przed odszyfrowywaniem. Kategorie predefiniowane można włączać i wyłączać, ale nie dodawać ani usuwać; można dodawać pojedyncze domeny, adresy IP i zakresy. Dla celów objętych wyjątkiem nie działają skanowanie pobrań i kontrole Risky File Types wymagające odszyfrowanej treści. Kontrole niewymagające odszyfrowywania pozostają możliwe.
W systemie Windows HTTPS Decryption przenosi strumień danych z Windows Filtering Platform w jądrze systemu do procesu Sophos w przestrzeni użytkownika. Tam dane są odszyfrowywane, sprawdzane i ponownie szyfrowane. Wymaga to CPU, pamięci i dodatkowych zapytań do chmury. Starsze procesory i wolna pamięć mogą więc tracić nieproporcjonalnie dużo przepustowości. Jeżeli problem dotyczy tylko pojedynczych witryn albo pozostaje bez zmian przy wyłączonym odszyfrowywaniu, ta ogólna przyczyna wydajnościowa nie jest jednak potwierdzona.
Firefox używa własnego magazynu certyfikatów i może korzystać z własnego DNS over HTTPS. W Windows ustawienie security.enterprise_roots.enabled musi mieć wartość true, aby Firefox ufał magazynowi certyfikatów systemu Windows. Dla niezawodnej kontroli opartej na SNI dodatkowo sprawdza się, czy Firefox przestrzega zarządzanych ustawień DNS.
W przypadku wewnętrznej witryny HTTPS z samopodpisanym lub z innego powodu niezaufanym certyfikatem serwera przeglądarka po włączeniu odszyfrowywania może wskazywać certyfikat główny RSA Sophos. Nie oznacza to automatycznie, że certyfikat Sophos jest wadliwy: Sophos zestawia połączenie od nowa, ale zachowuje nieprawidłowy status zaufania serwera źródłowego. Właściwym rozwiązaniem jest naprawienie łańcucha certyfikatów witryny lub zaufania do niego na urządzeniach końcowych. Wyjątek od odszyfrowywania oznacza natomiast świadome ograniczenie kontroli i powinien mieć wąski zakres. Szeroka Website Exclusion ukryłaby problem i osłabiła inspekcję.
Classic Web Control
Classic oferuje dodatkowe opcje Security, predefiniowane poziomy Acceptable Use i kontrole Data Sharing. Harmonogramy nie są dostępne w Base Policy. Jeśli harmonogram jest używany, obowiązuje lokalny czas Endpoint.
Policy może mieć typ User albo Device. Sprawdź przypisanie, priorytet, wersję i platformę, a po zmianach potwierdź efektywną Policy w Reports > Events. Dla User Policy sprawdź powiązanie użytkownika w Central i konto zalogowane lokalnie; dla Device Policy — przypisanie komputera. Priorytet określa, która pasująca Custom Policy faktycznie obowiązuje. Poczekaj na synchronizację i weryfikuj za pomocą zdarzeń, a nie wyłącznie oczekiwanego przypisania.
Na macOS Sophos Endpoint obecnie nie obsługuje filtrowania ani blokowania Web Traffic IPv6. Udany test IPv4 nie dowodzi więc, że ten sam dostęp przez IPv6 został skontrolowany.
Pilot i akceptacja
Pilot testuje kategorię dozwoloną, ostrzeganą i blokowaną, Site List o wyższym priorytecie, tag Website Management, ryzykowny typ pliku, stronę HTTPS i świadomie wybrany wyjątek od odszyfrowywania. Testuje się przeglądarki wspierane w organizacji oraz IPv4 i, w razie potrzeby, IPv6. Zaplanowane Policy sprawdza się według lokalnego czasu Endpointu. W mieszanych grupach docelowych przetestuj dodatkowo w każdym przypadku urządzenie bez obsługi profili: oczekiwane są wcześniej ustalona następna zgodna polityka i zaplanowana dla niej akcja, a nie pominięta polityka Web Profile. Osobno sprawdź nazwę polityki na urządzeniu i jej działanie.
Przed rozszerzeniem pilota należy zdefiniować wycofanie: udokumentować poprzednie przypisanie i profil, ustalić kryteria przerwania oraz wskazać właściciela, który usunie przypisanie Custom Policy lub przywróci poprzedni profil. Automatyczny fallback Base Policy do Classic dotyczy tylko urządzeń, na których nie można zastosować Web Profile; nie wycofuje niewłaściwej konfiguracji na obsługiwanym urządzeniu.
W Reports > Events sprawdza się, która Policy i akcja zostały rzeczywiście wywołane. Sama widoczna strona w przeglądarce nie wystarcza: pamięć podręczna przeglądarki, Secure DNS, Proxy i QUIC mogą zmieniać obserwowaną ścieżkę. Oczekiwane są zdarzenie Block lub Warn, właściwy użytkownik lub komputer oraz zaplanowana polityka.
Jeśli brakuje oczekiwanych Events, najpierw sprawdź Log web control events, a potem typ Policy, przypisanie, priorytet, wersję agenta i platformę. Bez logowania Sophos zapisuje tylko próby odwiedzenia zainfekowanych stron; pusty filtr Events nie dowodzi, że Policy nie działa.
Do bezpiecznego testu funkcjonalnego nadaje się strona testowa Sophos sophostest.com. W systemie Windows plik C:\ProgramData\Sophos\Sophos Network Threat Protection\Logs\SophosNetFilter.log pokazuje używaną kategorię URL i akcję oraz informuje, czy dostęp był odszyfrowywany. W macOS akcja Web Intelligence znajduje się w /Library/Logs/Sophos Anti-Virus.log.
Bez HTTPS Decryption Sophos w ruchu HTTPS często widzi tylko nazwę serwera z SNI, a nie pełną ścieżkę. Strony ostrzeżenia nie można wtedy wstawić do zaszyfrowanej treści; przeglądarka może pokazać jedynie ogólny błąd połączenia. Dokładne reguły URL zależą ponadto od pisowni. Test pełnej ścieżki HTTPS nie może być więc interpretowany jak zwykła reguła domeny.
Rozgraniczenie innych kontroli Web
Endpoint Web Control pozostaje oddzielnym modułem. Jeśli filtrują również DNS Protection for endpoints, Protected Browser, proxy albo firewall sieciowy, inna warstwa może zablokować wcześniej, a zezwolenie Endpoint nie cofnie tej blokady. Ten artykuł konfiguruje tylko Endpoint Web Control; podczas rozwiązywania problemów osobno sprawdza się zdarzenia i polityki każdej faktycznie używanej warstwy.
Częste błędy
Przy nieoczekiwanym zezwoleniu sprawdza się priorytet Site List, Global Website Exclusions, Category Override i efektywną Policy. Przy braku ostrzeżenia: HTTPS Decryption, zaufanie certyfikatu i obsługę przeglądarki.
Jeśli problem dotyczy tylko Firefoksa, sprawdza się Trust Store i DNS over HTTPS. Jeśli problem dotyczy wyłącznie komputerów Mac, dodatkowo uwzględnij IPv6. Szeroka Website Exclusion nie jest metodą diagnostyczną, bo usuwa badane kontrole.
Jeżeli ryzykowne typy plików są traktowane różnie, nie musi to oznaczać błędu Policy. Sophos może na podstawie reputacji inaczej oceniać znane, zaufane źródła niż źródła nieznane. W przypadku zaszyfrowanych pobrań również ta kontrola wymaga odpowiedniego HTTPS Decryption. Wpływ na wydajność należy zmierzyć na urządzeniach pilotażowych.
Jeśli dozwolona strona ładuje się częściowo, skrypty, style, obrazy lub logowanie często pochodzą z innych domen. Użyj logu Network Threat Protection i narzędzi przeglądarki, bez zezwalania na szeroką kategorię. W karcie Network narzędzi deweloperskich przeglądarki ustal żądania, które faktycznie kończą się niepowodzeniem. Oceń i dodaj tylko niezbędne dodatkowe cele; ogólny wyjątek dla wszystkich treści zewnętrznych na stronie byłby niepotrzebnie szeroki.
Jeśli Web Protection trzeba krótko wyłączyć do diagnozy, użyj osobnej polityki na kilku urządzeniach z właścicielem i terminem. Nie wyłączaj Base Policy globalnie. Włącz od razu ponownie i zachowaj Events i logi. Również globalna Website Exclusion usunęłaby jednocześnie wiele warstw ochrony i nie jest akceptowalnym trwałym obejściem.
Powiązane artykuły
HTTPS Decryption opisują Best Practices Sophos Endpoint Threat Protection. Ogólny rollout opisuje Praktyczne wdrażanie Sophos Endpoint Control Policies.