Przejdz do tresci
Avanet

Generatywna AI w Sophos Firewall: wykrywanie i kontrola

Sophos Firewall

Sophos Firewall może wykrywać znane aplikacje GenAI na podstawie sygnatur aplikacji i zezwalać na nie lub je blokować za pośrednictwem kategorii Generative AI. Aby wdrożenie było bezpieczne, należy najpierw zezwolić na korzystanie z tych aplikacji w małej grupie pilotażowej i rejestrować ruch. Dopiero po sprawdzeniu jakości wykrywania powinno się włączyć blokowanie.

Zapora nie analizuje przy tym treści promptów i nie gwarantuje wykrycia każdej nowej usługi AI. Kontroluje ruch sieciowy rozpoznanych aplikacji. Synchronized Application Control może uzupełnić tę widoczność o informacje z Sophos Endpoint, ale sama funkcja nie egzekwuje odrębnej polityki.

Skrócona procedura

  1. Wyznaczyć małą grupę pilotażową lub osobną sieć testową.
  2. W obszarze Applications > Application filter utworzyć osobną politykę na podstawie szablonu Allow All.
  3. Wybrać tę politykę w rzeczywiście pasującej regule zapory pod Identify and control applications (App control) oraz włączyć Log firewall traffic.
  4. Wygenerować ruch testowy przy użyciu zatwierdzonych i niezatwierdzonych usług GenAI.
  5. W Log Viewer sprawdzić, jakie Rule ID, aplikacja, kategoria, działanie oraz użytkownik lub klient są rejestrowane.
  6. Aby wprowadzić blokowanie, utworzyć drugi Application Filter, wybrać kategorię Generative AI za pomocą Select All i ustawić działanie Deny.
  7. Najpierw włączyć politykę blokującą wyłącznie w regule pilotażowej, a następnie powtórzyć test.

Test kończy się powodzeniem, gdy znana usługa zostaje przypisana do oczekiwanej aplikacji lub kategorii, ruch trafia do właściwej reguły pilotażowej, a użytkownicy spoza grupy pilotażowej nie odczuwają żadnych zmian.

Co Sophos Firewall wykrywa w przypadku GenAI

Application Control i Synchronized Application Control uzupełniają się, ale realizują różne zadania.

Application Control jest podstawowym mechanizmem

Standardowa funkcja Application Control analizuje ruch przechodzący przez zaporę i przypisuje znane aplikacje na podstawie sygnatur Sophos. Nie wymaga do tego Sophos Endpoint. Politykę definiuje się za pomocą Application Filter, a następnie aktywuje w regule zapory.

Kategoria Generative AI jest dostępna już we wcześniejszych wspieranych wersjach SFOS i aktualizowana wraz z sygnaturami aplikacji. SFOS 22.0 MR2 nie wprowadził tej kategorii, lecz ulepszył dodatkowe wykrywanie za pośrednictwem Sophos Endpoint.

Application Control wymaga ważnej subskrypcji Web Protection. Aktualizacje wzorców muszą być bieżące, ponieważ Sophos dostarcza w ten sposób sygnatury nowych i zmienionych aplikacji. Zakres usług objętych szeroką regułą kategorii może się więc zmieniać podczas eksploatacji.

Ogólne podstawy dotyczące Application Filter, przypisania do reguły, sygnatur i fałszywych alarmów opisano w artykule Konfiguracja i testowanie Sophos Firewall Application Control.

Synchronized Application Control dodaje telemetrię endpointów

Synchronized Application Control otrzymuje za pośrednictwem Security Heartbeat dodatkowe informacje o aplikacjach działających na Sophos Endpoint. Nieznane aplikacje pojawiają się początkowo w kategorii SyncAppCtl discovered. Etykiety New, Mapped i Customized wskazują, czy aplikację wykryto po raz pierwszy, przypisano automatycznie czy dostosowano ręcznie.

Egzekwowanie nadal odbywa się za pośrednictwem Application Filter w regule zapory. Synchronized Application Control poprawia zatem wykrywanie i kategoryzację, ale sama nie blokuje ruchu.

Ta dodatkowa widoczność wymaga:

  • ważnej subskrypcji Web Protection dla Application Control;
  • Network Protection dla Security Heartbeat;
  • konta Sophos Central;
  • endpointa zarządzanego przez Sophos Central z licencją próbną lub pełną;
  • działającego połączenia Security Heartbeat.

W środowiskach z Microsoft Defender lub innym produktem endpointowym dodatkowa telemetria Sophos nie jest dostępna. Standardowy mechanizm Application Control nadal może być używany.

Konfiguracja pilotażu GenAI

W przykładzie używane są następujące nazwy:

  • grupa pilotażowa: GG-SFOS-GenAI-Pilot
  • zezwalający Application Filter: APP-GenAI-Pilot
  • blokujący Application Filter: APP-GenAI-Block
  • reguła zapory: LAN-Pilot-to-WAN

Nazwy można wybrać dowolnie. Grupa użytkowników musi pochodzić z własnego źródła uwierzytelniania, a reguła zapory musi pasować do lokalnych stref, sieci, usług i polityk bezpieczeństwa. Jeśli niezawodne rozpoznawanie użytkowników nie jest dostępne, osobna sieć testowa jest zwykle prostsza niż reguła pilotażowa oparta na użytkownikach.

Precyzyjne ograniczenie reguły pilotażowej

Reguła pilotażowa powinna używać tych samych wymaganych ustawień NAT, web, IPS i TLS co istniejąca ścieżka internetowa klientów. Należy umieścić ją bezpośrednio nad bardziej ogólną regułą internetową, a nie bezwarunkowo na początku całego zestawu reguł.

W regule opartej na użytkownikach należy włączyć Match known users i wybrać GG-SFOS-GenAI-Pilot. W przypadku sieci testowej jej konkretny obiekt sieciowy należy wskazać jako Source networks and devices. Następnie trzeba potwierdzić, że żadna wcześniejsza reguła nie przetwarza już tego samego ruchu.

Zależności między źródłem, celem, użytkownikami i kolejnością reguł wyjaśnia artykuł Bezpieczne konfigurowanie reguł Sophos Firewall.

Najpierw zezwalanie i rejestrowanie GenAI

Application Filter w Sophos Firewall nie oferuje osobnego działania Monitor. Obserwacja oznacza zatem zezwolenie na ruch, włączenie rejestrowania na zaporze i analizę trafień.

W obszarze Applications > Application filter:

  1. Otworzyć Add.
  2. Jako Name wpisać APP-GenAI-Pilot.
  3. Jako Template wybrać Allow All.
  4. Wybrać Save.

Następnie otworzyć regułę LAN-Pilot-to-WAN w obszarze Rules and policies > Firewall rules:

  1. Pozostawić Action ustawione na Accept.
  2. Włączyć Log firewall traffic.
  3. Pod Other security features wybrać filtr APP-GenAI-Pilot dla Identify and control applications (App control).
  4. Zapisać regułę i sprawdzić jej pozycję.

Aplikacje są teraz wykrywane i rejestrowane, ale nie są jeszcze blokowane na podstawie kategorii GenAI. Pilotaż powinien obejmować co najmniej jeden reprezentatywny cykl pracy z udziałem zainteresowanych grup użytkowników i zatwierdzonych usług firmowych. Sztywna liczba dni jest mniej przydatna niż test odzwierciedlający rzeczywiste procesy robocze.

Blokowanie GenAI w grupie pilotażowej

Po przeanalizowaniu wyników należy utworzyć osobną politykę blokującą. Dzięki temu pierwotny stan zezwalający pozostaje udokumentowany i można do niego wrócić.

W obszarze Applications > Application filter:

  1. Otworzyć Add.
  2. Jako Name wpisać APP-GenAI-Block.
  3. Jako Template wybrać Allow All i zapisać politykę.
  4. Ponownie otworzyć nową politykę i wybrać Add.
  5. Użyć Select All i ustawić filtr Category: Generative AI.
  6. Ustawić Action na Deny, a Schedule na All the Time.
  7. Zapisać regułę filtra, a następnie politykę.

W regule LAN-Pilot-to-WAN dotychczasowy filtr APP-GenAI-Pilot należy zastąpić filtrem APP-GenAI-Block. Sama reguła zapory pozostaje ustawiona na Accept; blokowanie GenAI wynika z przypisanego Application Filter.

Jeśli określone usługi GenAI są zatwierdzone do użytku firmowego, nie należy od razu blokować całej kategorii dla wszystkich użytkowników. Bezpieczniejsze są jasno rozdzielone grupy użytkowników lub sieci oraz osobna reguła dla zatwierdzonego użycia. Alternatywnie można zacząć od pojedynczych niedozwolonych aplikacji zamiast całej kategorii. Dzięki temu pozostaje jasne, kto może korzystać z danej usługi i w jakim celu.

Weryfikacja działania i zaostrzenie polityki

Pomyślne otwarcie strony lub wyświetlenie strony blokady nie dowodzi jeszcze, że zadziałała właściwa polityka. Odbiór konfiguracji powinien obejmować trzy poziomy:

  1. Dopasowanie reguły: Log Viewer pokazuje Rule ID reguły LAN-Pilot-to-WAN.
  2. Wykrywanie: Aplikacja i kategoria odpowiadają testowanej usłudze GenAI.
  3. Wpływ na użytkowników: Grupa pilotażowa otrzymuje oczekiwane działanie, a użytkownik spoza grupy lub inna sieć testowa pozostają bez zmian.

Dozwolone użycie można analizować w obszarze Applications > Cloud applications oraz Reports > Applications & web > User app risks & usage. Cloud Applications pokazuje tylko dozwolone aplikacje, dla których wystąpił ruch. Do testów blokowania należy używać Log Viewer oraz Reports > Applications & web > Blocked user apps. W przypadku Synchronized Application Control dodatkowych informacji dostarcza raport Synchronized applications.

Jeśli w Log Viewer nie ma oczekiwanych zdarzeń, w obszarze System services > Log settings należy sprawdzić, czy wymagane typy są aktywne dla Local Reporting, Central Reporting lub Syslog. Do długoterminowej analizy nadaje się Central Firewall Reporting.

Gdy wykrywanie nie działa zgodnie z oczekiwaniami

  • Inne Rule ID: Ruch jest przetwarzany przez wcześniejszą regułę zapory. Sprawdzić kryteria dopasowania i kolejność reguł.
  • Brak aplikacji lub tylko ogólne wykrywanie: Sprawdzić Application Patterns, widoczność HTTPS, QUIC i faktycznie używanego klienta.
  • Lokalnej aplikacji brakuje w Synchronized Application Control: Sprawdzić rejestrację w Sophos Central, licencję endpointa i Security Heartbeat.
  • Blokowanie obejmuje prawidłowe usługi: Natychmiast wrócić do APP-GenAI-Pilot i ograniczyć politykę do konkretnych użytkowników, sieci lub aplikacji.
  • IPv4 działa, a IPv6 nie: Oddzielnie sprawdzić oba zestawy reguł i faktyczną ścieżkę klienta.

W przypadku HTTPS TLS Inspection może zwiększyć widoczność, szczególnie dla Micro Apps opartych na adresach URL i dokładniejszych informacji o aplikacjach chmurowych. Nie gwarantuje jednak pełnego wykrywania GenAI i nie należy wdrażać jej bezwarunkowo dla wszystkich użytkowników wyłącznie na potrzeby tego testu. QUIC lub HTTP/3 mogą również wpływać na oczekiwane działanie kontroli web.

Szczegółową procedurę dotyczącą Rule ID, Log Viewer i Packet Capture opisano w artykule Testowanie reguł Sophos Firewall.

Powrót do poprzedniego stanu

Aby wycofać zmianę, należy ponownie wybrać APP-GenAI-Pilot w regule pilotażowej lub wyłączyć tę regułę. Przed jej wyłączeniem trzeba potwierdzić, że znajdująca się niżej ogólna reguła ponownie przetworzy ruch zgodnie z założeniami.

Polityki blokującej nie należy od razu usuwać. Dzięki temu konfiguracja, dokumentacja zmiany i powiązane logi pozostają identyfikowalne podczas badania przyczyny nieoczekiwanego blokowania.

Ograniczenia i bieżąca eksploatacja

Application Control kontroluje rozpoznane połączenia sieciowe. Nie odczytuje promptów, nie ocenia wprowadzanych danych firmowych i nie zastępuje ani DLP, ani kompleksowego nadzoru nad SaaS lub GenAI. Zablokowanie kategorii nie zapobiega też automatycznie każdej próbie dostępu przez nowe domeny, nieznane aplikacje, prywatne urządzenia lub inne ścieżki sieciowe.

Polityka techniczna wymaga zatem decyzji organizacyjnych:

  • Które usługi GenAI są zatwierdzone?
  • Którzy użytkownicy lub zespoły mogą z nich korzystać?
  • Jakie dane mogą być w nich przetwarzane?
  • Kto zatwierdza wyjątki?
  • Kiedy sygnatury, trafienia i wyjątki zostaną ponownie sprawdzone?

Po aktualizacjach wzorców lub firmware’u należy ponownie sprawdzić trafienia reguły kategorii. Dobry stan operacyjny nie polega na możliwie najszerszym blokowaniu, lecz na zrozumiałych regułach, stabilnym wykrywaniu, udokumentowanych wyjątkach i jednoznacznie wskazanym właścicielu.