Konfiguracja i testowanie raportu kwarantanny Sophos Firewall

Raport kwarantanny informuje użytkowników pocztą elektroniczną o wiadomościach spam zatrzymanych przez Sophos Firewall. Nie jest to zwykłe powiadomienie systemowe: wysyłka, przypisanie użytkowników, link zwalniania i portal użytkownika muszą działać razem.

Najważniejszym kryterium odbioru jest zatem pełna ścieżka użytkownika. Pomyślne wysłanie wiadomości testowej nie potwierdza, że rzeczywisty użytkownik otrzyma raport, zaloguje się do właściwego portalu i zwolni dozwoloną wiadomość.

⚠️ Link zwalniania nie zwalnia wiadomości bezpośrednio. Otwiera portal użytkownika, w którym użytkownik musi się zalogować i wybrać wiadomość. Wybrany adres portalu musi być osiągalny dla przewidzianych odbiorców, ale nie może bez kontroli otwierać portalu na inne sieci.

Konfiguracja raportu w siedmiu krokach

Skonfigurować transport poczty w Administration > Notification settings.
Określić adres portalu, DNS, certyfikat i dozwolone sieci źródłowe dla przewidzianych użytkowników.
Włączyć raport w Email > Quarantine settings i ustawić czas, nadawcę oraz nazwę wyświetlaną.
Wybrać właściwy adres portalu użytkownika w Release link settings, sprawdzić go za pomocą Send test email i zapisać przyciskiem Apply.
Tylko w trybie MTA: określić obszar kwarantanny i świadomie wykluczane wzorce adresów.
Przypisać raport właściwym kontom w Authentication > Groups lub Authentication > Users.
Za pomocą rzeczywistej wiadomości testowej umieszczonej w kwarantannie jako spam sprawdzić raport, logowanie do portalu i zwalnianie od początku do końca.

Co raport robi, a czego nie robi

Raport zawiera wiadomości spam z kwarantanny wraz z czasem odbioru, nadawcą, odbiorcą i tematem. Zapewnia wygodny widok użytkownika, ale nie zastępuje kwarantanny administracyjnej w Email > SMTP quarantine ani analizy technicznej polityki, dzienników poczty i dzienników MTA.

Ogólne ustawienia raportu są dostępne w trybie MTA i w trybie Legacy. SFOS wyświetla jednak Quarantine area i Skip address patterns tylko w trybie MTA. Administratorzy korzystający z trybu Legacy konfigurują więc jedynie wysyłkę, link zwalniania i przypisanie użytkowników.

Raport otrzymują tylko użytkownicy, którzy co najmniej raz uwierzytelnili się na firewallu. Łatwo to przeoczyć, gdy konta zostały zaimportowane z Active Directory, ale nigdy nie logowały się do portalu użytkownika, portalu przechwytującego ani innej odpowiedniej usługi.

Według pomocy SFOS 22/23 raport nie jest dostępny na XGS 87 i XGS 87w. To ograniczenie dotyczy raportu i nie może być mylone z oddzielnym ograniczeniem trybu MTA. Konfiguracja Mail Protection w trybie MTA opisuje przepływ poczty, politykę SMTP i kwarantannę administracyjną.

Przygotowanie wysyłki i adresu portalu

Wysyłka korzysta z Administration > Notification settings. Najpierw muszą tam działać serwer poczty, nadawca, odbiorca, DNS, trasa, uwierzytelnianie i TLS. Pełny test transportu opisuje artykuł Konfiguracja powiadomień e-mail Sophos Firewall.

Dla linku zwalniania dostępne są dwie opcje:

Reference user portal IP: SFOS używa adresu wybranego interfejsu wraz z portem portalu użytkownika.
IP address or hostname: SFOS używa adresu skonfigurowanego w Administration > Admin and user settings > Admin console and end-user interaction.

Pomoc kwarantanny SFOS 22/23 nazywa tę sekcję inaczej: Administration > Admin settings. Decydujące jest pole w Admin console and end-user interaction, a nie sama nazwa menu. Porównać zainstalowany interfejs z linkiem w otrzymanym raporcie; różnice nazw nie oznaczają dodatkowej funkcji zwalniania.

FQDN jest zwykle bardziej zrozumiały i można go prawidłowo zabezpieczyć pasującym certyfikatem. Musi wskazywać właściwy adres firewalla i być osiągalny z sieci odbiorców. Prywatny adres interfejsu w raporcie jest zwykle bezużyteczny dla użytkowników zewnętrznych lub mobilnych. Z kolei adres publiczny nie uzasadnia otwarcia portalu dla każdej sieci WAN. Przegląd portali Sophos Firewall oddzielnie objaśnia rolę portalu i Device Access.

Sophos ostrzega przed udostępnianiem User Portal ze strefy WAN. Użytkownicy zewnętrzni powinni więc najpierw nawiązać bezpieczne połączenie, na przykład przez VPN; sam raport nie uzasadnia dostępu z WAN. W przypadku kont uwierzytelnianych zewnętrznie uwzględnić w pilotażu wymagane pierwsze logowanie do Captive Portal przed pierwszym użyciem User Portal.

Portal użytkownika jest usługą lokalną. Dostęp do niego kontroluje się w Administration > Device access, a nie zwykłą regułą firewalla. Aby ograniczyć dostęp do określonych hostów lub sieci, należy użyć Local service ACL exception rules. Trzeba również sprawdzić serwer proxy WWW: SFOS traktuje żądania HTTP i HTTPS przechodzące przez proxy firewalla jako wewnętrzne. Portal użytkownika może więc być dostępny mimo wyłączenia dostępu dla strefy źródłowej. Korzystanie z proxy i jego reguły należy zatem objąć tym samym testem dostępu.

Konfiguracja raportu

W Email > Quarantine settings włączyć Enable quarantine digest. Następnie ustawić częstotliwość, czas i, jeśli dotyczy, dzień tygodnia. From email address musi zawierać prawidłowy adres nadawcy, a Display name powinien jednoznacznie identyfikować kwarantannę firewalla.

Następnie w Release link settings wybrać przygotowany adres portalu. Wysłać wiadomość testową za pomocą Send test email, a po jej odebraniu zapisać ustawienia przyciskiem Apply. Taka wiadomość nie wystarcza do odbioru przez użytkowników: dopiero pełna ścieżka z przypisanym użytkownikiem pilotażowym potwierdza harmonogram, przypisanie, logowanie do portalu i zwalnianie.

Przykład pilotażowy z wartościami do dostosowania

Przykład do dostosowania na potrzeby pilotażu to Email frequency: Daily o 10:00, From email address: firewall@example.com oraz Display name: Firewall Quarantine. Daily i nazwy pól są wartościami interfejsu; godzinę, nadawcę i nazwę wyświetlaną dobrać do własnego środowiska. 10:00 umożliwia kontrolę w godzinach pracy, ale nie jest wymaganiem produktu. Domenę przykładową zastąpić dozwoloną domeną nadawcy. W trybie MTA można dodać sales@example.com za pomocą + w Skip address patterns, jeśli ten wspólny alias ma być celowo pomijany w raporcie. Następnie sprawdzić, czy jego wiadomości nadal są w SMTP quarantine, ale nie występują w raporcie.

Prawidłowa interpretacja harmonogramu XML i list użytkowników

W automatyzacji XML AntiSpamQuarantineDigestSettings oddziela konfigurację globalną w SpamDigestSettings od przypisań użytkowników w SpamDigestUsers. EmailFrequency używa wartości Hourly, Day lub Week; wartość Daily z przykładu interfejsu odpowiada Day. Pola w SpamDigestSettings > SendEmailAt zależą od tego wyboru:

Hourly: według dokumentacji Hour opisuje odstęp w godzinach, a nie codzienną godzinę wysyłki.
Day: Hour i Minute określają codzienną godzinę wysyłki. Przykład pilotażowy 10:00 odpowiada Hour = 10 i Minute = 0.
Week: Hour i Minute określają godzinę wysyłki, a powtarzane wpisy Days wskazują wybrane dni tygodnia.

Dokumentacja podaje zakres 0–23 dla Hour i 0–59 dla Minute. Powtarzane wiersze Hour/Minute, oznaczone jako obowiązkowe, opisują różne konteksty częstotliwości: nie wymagają wprowadzenia wszystkich wariantów jednocześnie. Sam udokumentowany zakres nie ustala również zweryfikowanego znaczenia odstępu godzinowego równego 0.

⚠️ Dokumentacja XML SFOS 22/23 jest wewnętrznie sprzeczna w kwestii soboty: przykład zawiera Saturday, ale lista dozwolonych wartości Days nie zawiera tej wartości. Nie dowodzi to ani obsługi soboty, ani jej zakazu. Jeśli potrzebna jest wysyłka w sobotę, wyjaśnić obsługę na zainstalowanym buildzie SFOS z Sophos Support, zamiast kopiować wartość przykładową bez weryfikacji lub zgadywać odpowiednik liczbowy. Nie wdrażać produkcyjnego harmonogramu sobotniego przez XML, dopóki kwestia nie zostanie wyjaśniona.

W SpamDigestUsers lista EnableUsers zawiera powtarzane wpisy EnableUser włączające raport, a DisableUsers powtarzane wpisy DisableUser wyłączające go dla wskazanych kont. Wartości to nazwy użytkowników, a nie wzorce adresów odbiorców; te listy nie są więc Skip address patterns. Na potrzeby pilotażu zapisać dotychczasowe przypisania, unikać sprzecznych wpisów dla tego samego konta, a następnie sprawdzić zapisane ustawienia użytkowników i harmonogramu oraz rzeczywistą wysyłkę raportu. Dokumentacja nie wyjaśnia wszystkich szczegółów obsługi list nakładających się lub pominiętych; nie wywodzić z przykładu reguł pierwszeństwa ani zastępowania. Poniżej objaśniono pola XML.

Obszar kwarantanny i automatyczne czyszczenie

W trybie MTA w Quarantine area wybrać rozmiar lokalnego obszaru kwarantanny. SFOS sprawdza wykorzystanie co pięć minut. Po osiągnięciu co najmniej 90 procent wybranego rozmiaru usuwa starsze wiadomości, aż wykorzystanie spadnie do 60 procent.

Automatyczne czyszczenie nie jest archiwum. Zbyt mały obszar może skrócić czas na kontrolę i zwolnienie, a duży obszar zajmuje lokalną przestrzeń dyskową. Zajętość pokazuje Total utilization w Email > SMTP quarantine. Sprawdzanie miejsca na dysku i raportów Sophos Firewall ułatwia ocenę stanu pozostałej przestrzeni dyskowej.

10 GB to możliwy przykład konfiguracji, a nie wartość domyślna czy gwarantowany okres przechowywania. Rozmiar dobrać do ilości poczty, wolnego miejsca i czasu potrzebnego na kontrolę, a następnie obserwować wykorzystanie podczas pilotażu. Późniejsze powiększenie nie przywróci wiadomości już automatycznie usuniętych lub skasowanych za pomocą Delete.

Skip address patterns w trybie MTA

W trybie MTA w Skip address patterns wpisać każdy adres e-mail odbiorcy, którego wiadomości w kwarantannie mają być pomijane w raporcie kwarantanny, a następnie kliknąć przycisk plus +, aby dodać ten adres do listy. Adresy w Skip address patterns są pomijane w raporcie kwarantanny. Może to być przydatne dla wspólnych aliasów, których spam nie powinien trafiać do wielu użytkowników. Ustawienie nie usuwa wiadomości i nie wyłącza kontroli spamu, malware ani ochrony danych.

Przypisanie użytkowników i grup

Konfiguracja globalna sama nie włącza wysyłki dla wszystkich. W Authentication > Groups lub Authentication > Users ustawić Quarantine digest na Enable dla właściwych kont i zapisać za pomocą Save. Przypisanie można też wykonać w Email > Quarantine settings > Change user’s quarantine digest settings. Ustawienie pojedynczego użytkownika ma pierwszeństwo przed ustawieniem grupy; w razie nieoczekiwanego wyniku należy sprawdzić oba poziomy.

Aby wykonać zbiorcze przypisanie, otworzyć Email > Quarantine settings > Change user’s quarantine digest settings, w razie potrzeby filtrować według Group i wybrać przewidzianych użytkowników. Jeśli trzeba tam poprawić adres e-mail pojedynczego użytkownika, zmienić go za pomocą Edit i zapisać przyciskiem Save. Następnie zakończyć przypisanie przyciskiem Apply. Po zakończeniu porównać adres podstawowy i świadomie przypisane aliasy z odpowiednim kontem użytkownika.

Aliasy mają dwa ważne ograniczenia. Domyślnie SFOS nie stosuje ustawień automatycznie do aliasów; trzeba je zapisać razem z podstawowym adresem użytkownika lub świadomie przypisać. Raport może wtedy wykazywać spam dla adresu głównego i aliasów. Sophos informuje jednak, że wiadomości do aliasów nie pojawiają się w portalu użytkownika. Wymagają więc jasnego procesu administracyjnego w Email > SMTP quarantine.

Obsługa wiadomości w User Portal

Po otwarciu linku z raportu użytkownik loguje się do User Portal i otwiera Quarantine, zawierającą kwarantannę SMTP. Sam link nie zwalnia żadnej wiadomości. Widoczne są tam tylko wiadomości skierowane na własny podstawowy adres e-mail użytkownika, a nie na aliasy lub do cudzych skrzynek.

Zawęzić wyszukiwanie wiadomości na podstawie zakresu dat, nadawcy i tematu, a w razie potrzeby skorzystać z dostępnych filtrów.
Aby zwolnić pojedynczą wiadomość spam, wybrać przy niej Release. Aby zwolnić wiele wiadomości, zaznaczyć odpowiednie wiersze, wybrać Release z listy akcji i kliknąć Go.
W przypadku potwierdzonego wyniku fałszywie dodatniego dla klasyfikacji Spam lub Probable Spam zwolnić wiadomość i zgłosić ją do SophosLabs za pomocą Release and report. Niechcianą wiadomość można zamiast tego usunąć za pomocą Delete. Przed wykonaniem którejkolwiek z tych dwóch akcji sprawdzić odbiorcę i wiadomość.

Użytkownik może zwalniać wyłącznie spam umieszczony w kwarantannie. Wiadomości zainfekowanych wirusem nie można ani zwalniać, ani pobierać. Firewall ponownie skanuje zwolnione wiadomości, a następnie je dostarcza; wiadomości skierowane na aliasy oraz inne powody kwarantanny nadal wymagają opisanej poniżej administracyjnej ścieżki weryfikacji.

Kontrola wyjątków nadawców użytkownika

W sekcji Exception portalu użytkownika uprawniony użytkownik może zezwolić na pojedyncze adresy nadawców lub symbole wieloznaczne, takie jak *@example.com, albo je zablokować. Dozwoleni nadawcy nie są oznaczani jako spam ani przenoszeni do kwarantanny spamu, ale skanowanie antywirusowe pozostaje aktywne. Jeśli ten sam adres znajduje się na obu listach, pierwszeństwo ma lista blokowania i wiadomość trafia do kwarantanny. Te wyjątki użytkownika należy uwzględnić w testach pilotażowych i wsparcia, a nie mylić ich z globalnymi Skip address patterns raportu.

Pojedynczy adres nadawcy ma węższy zakres niż *@example.com. Przed dodaniem wyjątku zapisać istniejące wpisy i zbadać wynik fałszywie dodatni. Następnie sprawdzić pasującą i niepasującą wiadomość testową. Aby wycofać zmianę, przywrócić zapisane listy i ponownie zweryfikować oczekiwaną klasyfikację spamu; nie powoduje to wycofania już dostarczonych wiadomości.

Test pełnej ścieżki zwalniania

Użyć użytkownika pilotażowego, który przynajmniej raz uwierzytelnił się na firewallu. Oczekiwana polityka SMTP musi umieścić kontrolowaną wiadomość w kwarantannie jako spam. Następnie sprawdzić:

Wiadomość pojawia się w Email > SMTP quarantine z oczekiwanym odbiorcą, tematem i powodem.
Użytkownik pilotażowy otrzymuje raport o ustawionej porze.
Nadawca, nazwa wyświetlana, temat i metadane spełniają wymagania prywatności i operacyjne.
Link otwiera przewidziany FQDN portalu z prawidłowym łańcuchem certyfikatów.
Logowanie działa z dozwolonej sieci i nie działa z sieci nieprzewidzianej. Jeśli używany jest jawny serwer proxy WWW, test negatywny powtórzyć raz bez proxy i raz z proxy.
Dozwoloną wiadomość testową można po zalogowaniu zwolnić i zostaje ona rzeczywiście dostarczona.
Użytkownik bez przypisania nie otrzymuje raportu.

W portalu użytkownik widzi wiadomości w kwarantannie skierowane na swój podstawowy adres e-mail, ale może zwalniać wyłącznie spam. SFOS ponownie skanuje zwolnioną wiadomość, a następnie ją dostarcza. W przypadku aliasów i innych powodów kwarantanny należy korzystać ze ścieżki administracyjnej w Email > SMTP quarantine. Można tam zwalniać lub usuwać filtrowane wiadomości, a dla Spam lub Probable spam zgłosić wynik fałszywie dodatni do SophosLabs za pomocą Release and report. Ani wiadomości zainfekowane wirusem, ani wiadomości uznane przez Zero-Day Protection za złośliwe nie mogą zostać zwolnione nawet przez administratora.

Systematyczne zawężanie błędów

Precyzyjne filtrowanie kwarantanny administracyjnej

Dla wiadomości skierowanych na aliasy lub kontroli administracyjnej otworzyć Email > SMTP quarantine. Zawęzić okres przetwarzania przez Start and end dates i wpisać odpowiednie słowa kluczowe w Sender/Recipient/Subject. Sprawdzić odbiorcę, temat i powód przed zastosowaniem Release, Release and report lub Delete do filtrowanych wiadomości. Zbyt szeroki filtr może niezamierzenie objąć inne wiadomości.

Filter by różni się w zależności od trybu poczty:

Tryb MTA: Blocked by RBL, Spam, Analyzed by Zero-day protection, Infected, Unscannable content or protected attachment, DKIM verification, Other.
Tryb Legacy: Blocked source IP, Blocked destination IP, Unscannable content or protected attachment, Oversized message, Blocked header, Blocked by RBL, Blocked by data protection, Spam, Infected, Other.

Powód filtrowania nie daje prawa do zwolnienia: wiadomości zainfekowane wirusem lub uznane za złośliwe przez Zero-Day Protection nadal nie mogą zostać zwolnione. Usuwanie wiadomości umieszczonych w kwarantannie przez analizę Zero-Day Protection wymaga w profilu administratora praw odczytu i zapisu do Zero-day protection activity. Jeśli brakuje akcji, najpierw sprawdzić powód i profil zamiast wyłączać ochronę. Po dozwolonym zwolnieniu potwierdzić rzeczywiste dostarczenie; Delete nie jest odwracalnym testem.

Wiadomość testowa nie dociera

Najpierw sprawdzić Administration > Notification settings. Błąd funkcji Send test email występuje jeszcze przed uruchomieniem właściwej funkcji kwarantanny, jeśli nieprawidłowe są DNS, trasa, serwer, uwierzytelnianie, TLS, nadawca lub odbiorca. Nie zmieniać przypisań ani rozmiaru, dopóki nie działa transport poczty.

Wiadomość testowa dociera, ale raport użytkownika nie

Sprawdzić, czy Enable quarantine digest jest aktywne, zmiana została zapisana za pomocą Apply, harmonogram i strefa czasowa są prawidłowe, a konto włączone w Groups, Users lub Change user’s quarantine digest settings. Ustawienie użytkownika może zastąpić wybór dokonany na poziomie grupy. Użytkownik musi przynajmniej raz uwierzytelnić się na firewallu. W wybranym okresie musi też istnieć pasująca wiadomość spam w kwarantannie dla tego odbiorcy.

Link wskazuje niewłaściwy adres

Porównać Release link settings, wybrany interfejs, port portalu i Admin console and end-user interaction. Następnie sprawdzić DNS, nazwę certyfikatu i dostęp z rzeczywistej sieci użytkownika. Ponowne wysyłanie testu nie poprawi adresu; najpierw trzeba naprawić odwołanie do portalu.

Zwolnione wiadomości pozostają w kolejce poczty

Zwolnienie nie dowodzi dostarczenia. Porównać wiadomość i czas w Email > Mail spool oraz Email > Mail logs. Jeśli nowa reguła nad przewidzianą regułą SMTP już pasuje do ruchu SMTP, SFOS nie ocenia reguły poniżej. Problem mogą powodować automatycznie tworzone reguły IPsec lub hotspot oraz reguły ręczne z Rule position: Top.

Przed zmianą zapisać kolejność reguł i połączenia, na które może ona wpłynąć. W Rules and policies > Firewall rules przesunąć w dół wyłącznie nową nakładającą się regułę potwierdzoną jako przyczyna, aż przewidziana reguła SMTP będzie ponownie oceniana; nie edytować automatycznej reguły MTA. Następnie prześledzić kontrolowaną wiadomość aż do rzeczywistego dostarczenia, sprawdzić kolejkę i przetestować pozostałe połączenia objęte zmianą. W razie skutków ubocznych przywrócić zapisaną kolejność. Bez potwierdzonego dopasowania SMTP nie przesuwać reguł na ślepo; sprawdzić serwer docelowy, DNS, trasę i TLS według podlinkowanej instrukcji MTA, a jeśli błąd nie ustąpi, przekazać wyniki do wsparcia.

Wiadomości aliasów nie są widoczne w portalu

Nie musi to oznaczać błędu raportu. Sophos wyraźnie dokumentuje, że wiadomości do aliasów nie pojawiają się w portalu. Oddzielnie sprawdzić adres główny, przypisanie aliasu, zawartość raportu i administracyjną kwarantannę SMTP.

Eksploatacja i wycofanie

Raporty zawierają metadane komunikacji i mogą pozostawać poza firewallem w skrzynkach, archiwach lub zgłoszeniach. Grupa odbiorców powinna być mała, retencja skrzynki zgodna z wymaganiami ochrony, a wspólne aliasy dodawane do raportów tylko świadomie.

Przed wycofaniem udokumentować globalny stan raportu, harmonogram, link zwalniania, przypisania użytkowników i grup oraz współdzielone ustawienia portalu i powiadomień. Na potrzeby testu wysłać po jednej kontrolowanej wiadomości spam do użytkownika pilotażowego i do użytkownika kontrolnego, który pozostanie aktywny, a następnie sprawdzić ich obecność w Email > SMTP quarantine. Potem wyłączyć Enable quarantine digest lub usunąć przypisanie użytkownika pilotażowego, zapisując każdą zmianę przyciskiem Apply (Email) / Save (Authentication).

Po kolejnym zaplanowanym uruchomieniu raportu użytkownik pilotażowy nie może go otrzymać. Jeśli usunięto tylko jego przypisanie, raport użytkownika kontrolnego potwierdza, że zaplanowane uruchomienie się odbyło. Ustawienia portalu lub powiadomień cofać tylko wtedy, gdy nie korzysta z nich inna usługa. Kwarantanna działa niezależnie od raportu i nie jest usuwana w ramach wycofania.