Zarządzanie Windows Firewall przez Sophos Fusion Endpoint
Windows Firewall Policy w Sophos Fusion (dawniej Sophos Central) monitoruje lub konfiguruje zaporę hosta wbudowaną w Windows. Nie tworzy reguł szczegółowych: wyjątki pozostają lokalnymi regułami Windows Firewall albo są wdrażane przez przeznaczony do tego system, taki jak Group Policy lub MDM.
Granica produktu: ta Policy dotyczy komputerów i serwerów Windows. Nie ma związku z urządzeniem Sophos Firewall, jego regułami sieciowymi, NAT, VPN ani Central Firewall Management. Ścieżka dla komputerów to My Products > Endpoint > Policies, a dla serwerów My Products > Server > Policies.
Szybka procedura
- Wybrać Add Policy, wskazać funkcję Windows Firewall, a dla Endpoint również wymagany typ Policy.
- Na stronie szczegółów Policy przypisać wymagane urządzenia lub grupy.
- W Settings > Monitor Type zacząć od Monitor Only.
- Włączyć Policy i w grupie pilotażowej udokumentować zgłaszany stan oraz istniejące reguły.
- Dopiero potem przejść do Monitor & Configure Network Profiles i ustawić połączenia przychodzące dla Domain Networks, Private Networks oraz Public Networks.
Ostrożny początek jest ważny: Sophos wyraźnie ostrzega, że inne zapory i Windows Group Policy mogą wpływać na zastosowanie Policy. Istniejąca baza reguł musi też nadal zezwalać na komunikację z Sophos.
Wybór właściwego Monitor Type
| Tryb | Znaczenie |
|---|---|
| Disabled | Odinstalowuje komponent zapory Sophos z Endpointa; opcja jest opisana w aktualnej dokumentacji Endpoint, ale nie w osobnej Server Policy |
| Monitor Only | Zgłasza stan zapory bez zmieniania profili |
| Monitor & Configure Network Profiles | Zgłasza stan i ustawia wybraną akcję dla połączeń przychodzących w każdym profilu |
Monitor Only jest udokumentowanym ustawieniem domyślnym i bezpieczną bazą przy istniejącym zarządzaniu GPO lub MDM. Disabled nie oznacza jedynie „nie konfiguruj”: na komputerach Endpoint odinstalowuje komponent. Dla serwerów Windows Sophos opisuje tylko Monitor Only oraz Monitor & Configure Network Profiles.
Połączenia przychodzące dla profili sieciowych
Domain, Private i Public mają trzy akcje:
- Block All: blokuje wszystkie połączenia przychodzące profilu.
- Block (with exceptions): blokuje połączenia przychodzące z wyjątkiem dozwolonych przez wyjątek skonfigurowany lokalnie na komputerze lub serwerze. Bez wyjątków blokuje wszystkie.
- Allow All: zezwala na wszystkie połączenia przychodzące profilu.
Według Sophos te opcje sterują połączeniami przychodzącymi, a nie całym ruchem wychodzącym. Block (with exceptions) jest zwykle rozsądną bazą produkcyjną. Allow All zwiększa powierzchnię ataku, a Block All może przerwać zarządzanie, uwierzytelnianie, druk, dostęp do plików i wsparcie.
Ustalenie profilu Windows i właściciela reguł
Windows stosuje profil Domain, Private lub Public zależnie od wykrytej sieci. Urządzenie dołączone do domeny automatycznie używa Domain po wykryciu kontrolera domeny. Public jest ustawieniem domyślnym dla niezidentyfikowanych sieci. Pilot powinien więc zawierać co najmniej jedno urządzenie z każdego rzeczywiście używanego profilu.
Gdy Sophos Fusion konfiguruje profile, Policy uniemożliwia zmiany Windows Firewall przez Windows Security Center. Jest to zamierzone, lecz może zmienić proces Helpdesk.
Przed trybem Configure należy wyznaczyć właściciela reguł szczegółowych. Sophos Fusion ustawia tutaj jedynie akcję profilu. Zarządzanie Windows nadal decyduje, które reguły lokalne mogą być łączone i które pochodzą z GPO lub MDM. Jawne reguły Block Windows mają pierwszeństwo przed sprzecznymi regułami Allow, dlatego widoczny wyjątek nie gwarantuje przepływu.
Bezpieczne wdrożenie w grupie pilotażowej
1. Udokumentowanie stanu początkowego
Należy uwzględnić komputery lub serwery z rzeczywiście używanych profili oraz klienta Home Office, jeśli taki scenariusz występuje. W Monitor Only dokumentuje się aktywne profile, reguły lokalne, ustawienia GPO lub MDM, zapory innych firm i aplikacje wymagające połączeń przychodzących.
2. Konfiguracja Policy
W Settings > Monitor Type wybrać Monitor & Configure Network Profiles. Świadomie ustawić akcję dla Domain Networks, Private Networks i Public Networks. Przed przełączeniem wdrożyć wymagane wyjątki lokalnie lub uzgodnionym kanałem zarządzania Windows i ograniczyć je do właściwych profili. Umieścić Policy pilotażową na liście nad bardziej ogólnymi Policy Windows Firewall, ponieważ Sophos Fusion stosuje pierwszą aktywną Policy o pasującym zakresie. W pilotażu najpierw zmienić i sprawdzić tylko jeden rzeczywiście używany profil.
3. Walidacja działania
Po zapisaniu najpierw sprawdzić, czy Policy jest włączona i przypisana do urządzenia testowego. Następnie otworzyć My Environment > Computers & Servers > urządzenie testowe > Policies i potwierdzić, że nazwa Policy pilotażowej jest wyświetlana jako Policy faktycznie zastosowana dla Windows Firewall. Dopiero potem dla każdego aktywnego profilu przetestować wymagane połączenia przychodzące, na przykład Remote Support, druk lub zatwierdzone usługi klient-serwer. Komunikacja z Sophos Fusion, DNS, DHCP, logowanie, dystrybucja oprogramowania i zwykłe działanie Endpointa także należą do odbioru. Sam zielony stan nie dowodzi, że każde wymagane połączenie działa.
4. Bezpieczny powrót
Przed zmianą zachować przetestowany dostęp administracyjny niezależny od objętej zmianą ścieżki sieciowej. Przy nieoczekiwanej blokadzie ustawić tę samą Policy z powrotem na Monitor Only, zapisać, poczekać na odebranie zmiany i ponowić test. Jeśli komunikacja z Sophos Fusion już nie działa, zdalny rollback tą samą ścieżką nie wystarczy; trzeba użyć przygotowanego dostępu alternatywnego. Disabled nie jest szybkim rollbackiem, ponieważ odinstalowuje komponent na komputerach Endpoint.
Monitorowanie innej zarejestrowanej zapory
Jeśli inna zapora hosta jest zarejestrowana w Windows Security Center, Sophos może monitorować jej stan. Nie oznacza to możliwości konfigurowania jej reguł w Sophos Fusion. Zielony stan potwierdza tylko ochronę zgłoszoną przez Windows, a nie jakość wszystkich reguł.
Rozwiązywanie problemów według objawu
Przy nieoczekiwanej blokadzie najpierw sprawdza się aktywny profil Windows, faktycznie zastosowaną Sophos Policy oraz efektywne reguły Windows Firewall. Następnie sprawdza się wynikowy zestaw zasad GPO, MDM i zarejestrowane produkty ochronne. Szczególnej uwagi wymagają sprzeczne jawne reguły Block oraz wyjątki ograniczone do niewłaściwego profilu.
Brak możliwości zmiany Windows Firewall w Security Center jest oczekiwany w trybie Configure. Jeśli zmiany lokalne są wymagane, należy dostosować model operacyjny zamiast manipulować agentem Endpoint.
Przy nieprawidłowym stanie w Sophos Fusion sprawdzić Windows Security Center, zarejestrowaną zaporę, stan usług, zdarzenia i odbiór Policy. Po zmianie komponentu może być wymagane ponowne uruchomienie. Szeroki wyjątek Threat Protection nie naprawia Policy zapory. Nie przenosić starych obejść Registry ani Audit Policy na aktualne agenty. Zapisać zainstalowaną wersję agenta i przedział czasowy incydentu, a następnie skorzystać z artykułu Sophos Endpoint Updates, Cache i Message Relay, aby skorelować początek problemu ze zmianami komponentów i sprawdzić znane problemy wersji. Jeśli nie ma zgodności, eskalować sprawę do Sophos Support z dokładną wersją agenta, znacznikami czasu i logami.
Powiązane artykuły
Prawidłowe tworzenie polityk Sophos Fusion Endpoint opisuje przypisanie Policy. Dostęp sieciowy agenta i wymagania proxy omówiono osobno.