Konfiguracja i testowanie raportu kwarantanny Sophos Firewall

Raport kwarantanny informuje użytkowników pocztą elektroniczną o wiadomościach spam zatrzymanych przez Sophos Firewall. Nie jest to zwykłe powiadomienie systemowe: wysyłka, przypisanie użytkowników, link zwalniania i portal użytkownika muszą działać razem.

Najważniejszym kryterium odbioru jest zatem pełna ścieżka użytkownika. Pomyślne wysłanie wiadomości testowej nie potwierdza, że rzeczywisty użytkownik otrzyma raport, zaloguje się do właściwego portalu i zwolni dozwoloną wiadomość.

⚠️ Link zwalniania nie zwalnia wiadomości bezpośrednio. Otwiera portal użytkownika, w którym użytkownik musi się zalogować i wybrać wiadomość. Wybrany adres portalu musi być osiągalny dla przewidzianych odbiorców, ale nie może bez kontroli otwierać portalu na inne sieci.

Konfiguracja raportu w siedmiu krokach

1. Skonfigurować transport poczty w Administration > Notification settings.
2. Określić adres portalu, DNS, certyfikat i dozwolone sieci źródłowe dla przewidzianych użytkowników.
3. Włączyć raport w Email > Quarantine settings i ustawić czas, nadawcę oraz nazwę wyświetlaną.
4. Wybrać właściwy adres portalu użytkownika w Release link settings, sprawdzić go za pomocą Send test email i zapisać przyciskiem Apply.
5. Tylko w trybie MTA: określić obszar kwarantanny i świadomie wykluczane wzorce adresów.
6. Przypisać raport właściwym kontom w Authentication > Groups lub Authentication > Users.
7. Za pomocą rzeczywistej wiadomości testowej umieszczonej w kwarantannie jako spam sprawdzić raport, logowanie do portalu i zwalnianie od początku do końca.

Co raport robi, a czego nie robi

Raport zawiera wiadomości spam z kwarantanny wraz z czasem odbioru, nadawcą, odbiorcą i tematem. Zapewnia wygodny widok użytkownika, ale nie zastępuje kwarantanny administracyjnej w Email > SMTP quarantine ani analizy technicznej polityki, dzienników poczty i dzienników MTA.

Ogólne ustawienia raportu są dostępne w trybie MTA i w trybie Legacy. SFOS wyświetla jednak Quarantine area i Skip address patterns tylko w trybie MTA. Administratorzy korzystający z trybu Legacy konfigurują więc jedynie wysyłkę, link zwalniania i przypisanie użytkowników.

Raport otrzymują tylko użytkownicy, którzy co najmniej raz uwierzytelnili się na firewallu. Łatwo to przeoczyć, gdy konta zostały zaimportowane z Active Directory, ale nigdy nie logowały się do portalu użytkownika, portalu przechwytującego ani innej odpowiedniej usługi.

Według aktualnej pomocy SFOS 22 raport nie jest dostępny na XGS 87 i XGS 87w. To ograniczenie dotyczy raportu i nie może być mylone z oddzielnym ograniczeniem trybu MTA. Konfiguracja Mail Protection w trybie MTA opisuje przepływ poczty, politykę SMTP i kwarantannę administracyjną.

Przygotowanie wysyłki i adresu portalu

Wysyłka korzysta z Administration > Notification settings. Najpierw muszą tam działać serwer poczty, nadawca, odbiorca, DNS, trasa, uwierzytelnianie i TLS. Pełny test transportu opisuje artykuł Konfiguracja powiadomień e-mail Sophos Firewall.

Dla linku zwalniania dostępne są dwie opcje:

• Reference user portal IP: SFOS używa adresu wybranego interfejsu wraz z portem portalu użytkownika.
• IP address or hostname: SFOS używa adresu skonfigurowanego w Administration > Admin and user settings > Admin console and end-user interaction.

FQDN jest zwykle bardziej zrozumiały i można go prawidłowo zabezpieczyć pasującym certyfikatem. Musi wskazywać właściwy adres firewalla i być osiągalny z sieci odbiorców. Prywatny adres interfejsu w raporcie jest zwykle bezużyteczny dla użytkowników zewnętrznych lub mobilnych. Z kolei adres publiczny nie uzasadnia otwarcia portalu dla każdej sieci WAN. Przegląd portali Sophos Firewall oddzielnie objaśnia rolę portalu i Device Access.

Portal użytkownika jest usługą lokalną. Dostęp do niego kontroluje się w Administration > Device access, a nie zwykłą regułą firewalla. Aby ograniczyć dostęp do określonych hostów lub sieci, należy użyć Local service ACL exception rules. Trzeba również sprawdzić serwer proxy WWW: SFOS traktuje żądania HTTP i HTTPS przechodzące przez proxy firewalla jako wewnętrzne. Portal użytkownika może więc być dostępny mimo wyłączenia dostępu dla strefy źródłowej. Korzystanie z proxy i jego reguły należy zatem objąć tym samym testem dostępu.

Konfiguracja raportu

W Email > Quarantine settings włączyć Enable quarantine digest. Następnie ustawić częstotliwość, czas i, jeśli dotyczy, dzień tygodnia. From email address musi zawierać prawidłowy adres nadawcy, a Display name powinien jednoznacznie identyfikować kwarantannę firewalla.

Następnie w Release link settings wybrać przygotowany adres portalu. Wysłać wiadomość testową za pomocą Send test email, a po jej odebraniu zapisać ustawienia przyciskiem Apply. Taka wiadomość nie wystarcza do odbioru przez użytkowników: dopiero pełna ścieżka z przypisanym użytkownikiem pilotażowym potwierdza harmonogram, przypisanie, logowanie do portalu i zwalnianie.

Obszar kwarantanny i automatyczne czyszczenie

W trybie MTA w Quarantine area wybrać rozmiar lokalnego obszaru kwarantanny. SFOS sprawdza wykorzystanie co pięć minut. Po osiągnięciu co najmniej 90 procent wybranego rozmiaru usuwa starsze wiadomości, aż wykorzystanie spadnie do 60 procent.

Automatyczne czyszczenie nie jest archiwum. Zbyt mały obszar może skrócić czas na kontrolę i zwolnienie, a duży obszar zajmuje lokalną przestrzeń dyskową. Zajętość pokazuje Total utilization w Email > SMTP quarantine. Sprawdzanie pamięci i raportów Sophos Firewall ułatwia ocenę stanu pozostałej przestrzeni dyskowej.

Skip address patterns w trybie MTA

W trybie MTA w Skip address patterns wpisać każdy adres e-mail odbiorcy, którego wiadomości w kwarantannie mają być pomijane w raporcie kwarantanny, a następnie kliknąć przycisk plus +, aby dodać ten adres do listy. Adresy w Skip address patterns są pomijane w raporcie kwarantanny. Może to być przydatne dla wspólnych aliasów, których spam nie powinien trafiać do wielu użytkowników. Ustawienie nie usuwa wiadomości i nie wyłącza kontroli spamu, malware ani ochrony danych.

Przypisanie użytkowników i grup

Konfiguracja globalna sama nie włącza wysyłki dla wszystkich. W Authentication > Groups lub Authentication > Users ustawić Quarantine digest na Enable dla właściwych kont i zapisać za pomocą Apply. Przypisanie można też wykonać w Email > Quarantine settings > Change user’s quarantine digest settings. Ustawienie pojedynczego użytkownika ma pierwszeństwo przed ustawieniem grupy; w razie nieoczekiwanego wyniku należy sprawdzić oba poziomy.

Aby wykonać zbiorcze przypisanie, otworzyć Email > Quarantine settings > Change user’s quarantine digest settings, w razie potrzeby filtrować według Group i wybrać przewidzianych użytkowników. Jeśli trzeba tam poprawić adres e-mail pojedynczego użytkownika, zmienić go za pomocą Edit i zapisać przyciskiem Save. Następnie zakończyć przypisanie przyciskiem Apply. Po zakończeniu porównać adres podstawowy i świadomie przypisane aliasy z odpowiednim kontem użytkownika.

Aliasy mają dwa ważne ograniczenia. Domyślnie SFOS nie stosuje ustawień automatycznie do aliasów; trzeba je zapisać razem z podstawowym adresem użytkownika lub świadomie przypisać. Raport może wtedy wykazywać spam dla adresu głównego i aliasów. Sophos informuje jednak, że wiadomości do aliasów nie pojawiają się w portalu użytkownika. Wymagają więc jasnego procesu administracyjnego w Email > SMTP quarantine.

Kontrola wyjątków nadawców użytkownika

W sekcji Exception portalu użytkownika uprawniony użytkownik może zezwolić na pojedyncze adresy nadawców lub symbole wieloznaczne, takie jak *@example.com, albo je zablokować. Dozwoleni nadawcy nie są oznaczani jako spam ani przenoszeni do kwarantanny spamu, ale skanowanie antywirusowe pozostaje aktywne. Jeśli ten sam adres znajduje się na obu listach, pierwszeństwo ma lista blokowania i wiadomość trafia do kwarantanny. Te wyjątki użytkownika należy uwzględnić w testach pilotażowych i wsparcia, a nie mylić ich z globalnymi Skip address patterns raportu.

Test pełnej ścieżki zwalniania

Użyć użytkownika pilotażowego, który przynajmniej raz uwierzytelnił się na firewallu. Oczekiwana polityka SMTP musi umieścić kontrolowaną wiadomość w kwarantannie jako spam. Następnie sprawdzić:

1. Wiadomość pojawia się w Email > SMTP quarantine z oczekiwanym odbiorcą, tematem i powodem.
2. Użytkownik pilotażowy otrzymuje raport o ustawionej porze.
3. Nadawca, nazwa wyświetlana, temat i metadane spełniają wymagania prywatności i operacyjne.
4. Link otwiera przewidziany FQDN portalu z prawidłowym łańcuchem certyfikatów.
5. Logowanie działa z dozwolonej sieci i nie działa z sieci nieprzewidzianej. Jeśli używany jest jawny serwer proxy WWW, test negatywny powtórzyć raz bez proxy i raz z proxy.
6. Dozwoloną wiadomość testową można po zalogowaniu zwolnić i zostaje ona rzeczywiście dostarczona.
7. Użytkownik bez przypisania nie otrzymuje raportu.

W portalu użytkownik widzi wiadomości w kwarantannie skierowane na swój podstawowy adres e-mail, ale może zwalniać wyłącznie spam. SFOS ponownie skanuje zwolnioną wiadomość, a następnie ją dostarcza. W przypadku aliasów i innych powodów kwarantanny należy korzystać ze ścieżki administracyjnej w Email > SMTP quarantine. Można tam zwalniać lub usuwać filtrowane wiadomości, a dla Spam lub Probable spam zgłosić wynik fałszywie dodatni do SophosLabs za pomocą Release and report. Ani wiadomości zainfekowane wirusem, ani wiadomości uznane przez Zero-Day Protection za złośliwe nie mogą zostać zwolnione nawet przez administratora.

Systematyczne zawężanie błędów

Wiadomość testowa nie dociera

Najpierw sprawdzić Administration > Notification settings. Błąd funkcji Send test email występuje jeszcze przed uruchomieniem właściwej funkcji kwarantanny, jeśli nieprawidłowe są DNS, trasa, serwer, uwierzytelnianie, TLS, nadawca lub odbiorca. Nie zmieniać przypisań ani rozmiaru, dopóki nie działa transport poczty.

Wiadomość testowa dociera, ale raport użytkownika nie

Sprawdzić, czy Enable quarantine digest jest aktywne, zmiana została zapisana za pomocą Apply, harmonogram i strefa czasowa są prawidłowe, a konto włączone w Groups, Users lub Change user’s quarantine digest settings. Ustawienie użytkownika może zastąpić wybór dokonany na poziomie grupy. Użytkownik musi przynajmniej raz uwierzytelnić się na firewallu. W wybranym okresie musi też istnieć pasująca wiadomość spam w kwarantannie dla tego odbiorcy.

Link wskazuje niewłaściwy adres

Porównać Release link settings, wybrany interfejs, port portalu i Admin console and end-user interaction. Następnie sprawdzić DNS, nazwę certyfikatu i dostęp z rzeczywistej sieci użytkownika. Ponowne wysyłanie testu nie poprawi adresu; najpierw trzeba naprawić odwołanie do portalu.

Wiadomości aliasów nie są widoczne w portalu

Nie musi to oznaczać błędu raportu. Sophos wyraźnie dokumentuje, że wiadomości do aliasów nie pojawiają się w portalu. Oddzielnie sprawdzić adres główny, przypisanie aliasu, zawartość raportu i administracyjną kwarantannę SMTP.

Eksploatacja i wycofanie

Raporty zawierają metadane komunikacji i mogą pozostawać poza firewallem w skrzynkach, archiwach lub zgłoszeniach. Grupa odbiorców powinna być mała, retencja skrzynki zgodna z wymaganiami ochrony, a wspólne aliasy dodawane do raportów tylko świadomie.

Przed wycofaniem udokumentować globalny stan raportu, harmonogram, link zwalniania, przypisania użytkowników i grup oraz współdzielone ustawienia portalu i powiadomień. Na potrzeby testu wysłać po jednej kontrolowanej wiadomości spam do użytkownika pilotażowego i do użytkownika kontrolnego, który pozostanie aktywny, a następnie sprawdzić ich obecność w Email > SMTP quarantine. Potem wyłączyć Enable quarantine digest lub usunąć przypisanie użytkownika pilotażowego, zapisując każdą zmianę przyciskiem Apply.

Po kolejnym zaplanowanym uruchomieniu raportu użytkownik pilotażowy nie może go otrzymać. Jeśli usunięto tylko jego przypisanie, raport użytkownika kontrolnego potwierdza, że zaplanowane uruchomienie się odbyło. Ustawienia portalu lub powiadomień cofać tylko wtedy, gdy nie korzysta z nich inna usługa. Kwarantanna działa niezależnie od raportu i nie jest usuwana w ramach wycofania.