Wprowadzenie inspekcji TLS w Sophos Firewall

Dzięki kontroli TLS Sophos Firewall kończy szyfrowane połączenie klienta i ustanawia drugie połączenie z serwerem docelowym. Może sprawdzić tekst jawny między nimi. Zapora ponownie podpisuje certyfikat serwera przedstawiony klientowi we własnym urzędzie certyfikacji (CA). Jeśli klient nie ufa temu urzędowi certyfikacji, wyświetli ostrzeżenie o certyfikacie lub zakończy połączenie.

Umożliwia to kontrolę odszyfrowanej zawartości, w tym skanowanie złośliwego oprogramowania i zawartości. Bez odszyfrowania funkcje ochrony mogą zostać ograniczone, w zależności od modułu, do informacji takich jak adres IP, domena, SNI, certyfikat lub metadane protokołu. Nie uzasadnia to początkowego wdrożenia na szeroką skalę: przed wdrożeniem należy uwzględnić przypinanie certyfikatów, prywatność, zgodność aplikacji i dodatkowe obciążenie zapory ogniowej.

Bezpieczna, krótka wersja to: określ, czy chcesz używać ścieżki DPI czy Web Proxy, rozprowadź ponownie podpisujący urząd certyfikacji wśród małej grupy, udokumentuj bieżący stan, utwórz regułę odszyfrowania o wąskim zakresie, przeprowadź jeden test pozytywny i jeden negatywny, a dopiero potem rozszerz zakres.

Decyzje przed projektem pilotażowym

Licencja, CA i odpowiedzialność

Reguły inspekcji SSL/TLS i użyte w nich grupy adresów URL są egzekwowane za pomocą Base License. Web Protection nie jest ogólnym warunkiem wstępnym inspekcji TLS. Jest to wymagane, gdy kategorie internetowe są używane jako kryteria reguł lub gdy potrzebne są odpowiednie funkcje Ochrony sieci. Kontrole złośliwego oprogramowania, Zero-Day i inne wymagają odpowiedniej subskrypcji. Jakie pakiety zapory Sophos są dostępne? i Opis podstawowej licencji Sophos Firewall wyjaśniają różnice.

Przed utworzeniem pierwszej reguły wyjaśnij następujące kwestie:

• Udokumentuj używaną wersję SFOS, dostępną licencję i zamierzoną ścieżkę inspekcji.
• Zdefiniuj zarządzaną grupę pilotażową i jasne okno czasowe. Poniższy przykład wykorzystuje klienta 10.20.30.50 z sieci testowej 10.20.30.0/24; zastąp te wartości własnymi obiektami.
• Uzyskaj zgodę od odpowiedzialnych interesariuszy ds. prywatności w zakresie zakresu, rejestrowania, przechowywania i powiadamiania użytkowników.
• Utwórz kopię zapasową dokładnego stanu początkowego reguły zapory sieciowej, reguł TLS, profilu deszyfrowania, urzędu certyfikacji i wszelkich ustawień globalnych.
• Podaj nazwę właściciela, kryteria przerwania, proces wyjątku i ścieżkę wycofania.

Ponownie podpisujący urząd certyfikacji musi znajdować się w magazynie zaufania systemów operacyjnych lub przeglądarek, których dotyczy problem. Alternatywnie użyj podrzędnego urzędu certyfikacji przedsiębiorstwa. Do tego celu nie jest dostępny publicznie zaufany urząd certyfikacji, ponieważ zapora sieciowa ponownie podpisuje certyfikaty dla domen stron trzecich. W przypadku zewnętrznego urzędu certyfikacji należy zaimportować zarówno główny, jak i podrzędny urząd certyfikacji; jeśli urząd certyfikacji podpisujący zawiera sekcję EKU, musi zezwalać na TLS Web Server Authentication. Zainstaluj certyfikat CA zapory Sophos do skanowania HTTPS opisuje dystrybucję, natomiast Skonfiguruj podrzędny urząd certyfikacji do inspekcji TLS zapory Sophos obejmuje metodę korporacyjnego urzędu certyfikacji.

⚠️ Nie zaczynaj od wszystkich użytkowników. Urządzenia bez zarządzalnego magazynu zaufania, BYOD i aplikacje korzystające z przypinania certyfikatów powinny początkowo pozostać w odrębnym zakresie. Wyjątek przywraca połączenie, ale usuwa jego zawartość z deszyfrowania.

Oddziel DPI i serwer proxy sieci Web

SFOS domyślnie używa DPI engine. Na tej ścieżce zapora przetwarza najpierw regułę zapory, a następnie reguły inspekcji SSL/TLS. Reguła inspekcji sama w sobie nie zezwala na ruch: nawet Services: Any oznacza jedynie, że ruch TLS dozwolony już przez regułę zapory na dowolnym porcie TCP kwalifikuje się do tej reguły inspekcji.

Dla ścieżki DPI otwórz Rules and policies > Firewall rules, edytuj odpowiednią regułę LAN-to-WAN i sprawdź Security features > Web filtering:

1. Pozostaw Use web proxy instead of DPI engine wyłączony.
2. Wybierz Politykę sieciową tylko wtedy, gdy wymaga tego planowana ochrona; nie jest to warunek wstępny zastosowania reguły deszyfrowania.
3. Scan HTTP and decrypted HTTPS umożliwia skanowanie złośliwego oprogramowania w poszukiwaniu protokołów HTTP i HTTPS, które zostały już odszyfrowane. Ta opcja sama w sobie nie umożliwia odszyfrowania protokołu HTTPS.

W Web Proxy Mode serwer proxy obsługuje deszyfrowanie HTTPS. Decrypt HTTPS during web proxy filtering to odpowiednie ustawienie na ścieżce proxy. Reguły DPI w Rules and policies > SSL/TLS inspection rules nie mają zastosowania do połączeń odszyfrowanych przez serwer proxy sieci Web. W przypadku przezroczystego serwera proxy porty 80 i 443 przechodzą przez serwer proxy, podczas gdy protokół SSL/TLS na innych portach może być nadal obsługiwany przez ścieżkę DPI; w przypadku jawnego serwera proxy serwer proxy sieci Web wykonuje odszyfrowanie.

Urzędy certyfikacji są również oddzielne: DPI używa urzędu certyfikacji z ustawień SSL/TLS lub wybranego profilu deszyfrowania. Serwer proxy sieci Web korzysta z urzędu certyfikacji z Web > General settings. Zmieniając tryb, sprawdź nie tylko zasady, ale także faktycznie zaprezentowany urząd certyfikacji. Wybierz poprawnie silnik DPI lub serwer proxy sieci Web wyjaśnia różnice bardziej szczegółowo.

Ta ścieżka kontroli wychodzącej nie jest przeznaczona dla serwerów internetowych publikowanych w Internecie. Ochrona serwera WWW / WAF lub odwrotne proxy to zazwyczaj bardziej odpowiednia architektura. Reguły inspekcji SSL/TLS mają zastosowanie do ruchu wychodzącego, dlatego jako Source zones można wybrać tylko strefy wewnętrzne. Wykrywają TLS na dowolnym porcie TCP, ale nie są wymuszane przez UDP.

Uwzględnienie QUIC w ścieżce inspekcji

QUIC, czyli HTTP/3, wykorzystuje UDP. Block QUIC protocol w regule zapory sieciowej zrzuca wychodzące pakiety UDP na porty 80 i 443 w zakresie tej reguły, zmuszając klientów do powrotu do sprawdzalnej ścieżki TCP. SFOS wybiera tę opcję domyślnie natychmiast po wybraniu zasady sieciowej w regule lub włączeniu Scan HTTP and decrypted HTTPS. Dotyczy to reguły, a nie globalnej, więc sprawdź regułę zapory sieciowej, która faktycznie pasuje.

Ten filtr sieciowy nie może skanować QUIC. Nie oznacza to, że wszystkie inne elementy sterujące zapory sieciowej są pomijane, ale oczekiwana ścieżka TCP TLS i filtr sieciowy nie ma zastosowania. Prawidłowe blokowanie QUIC i HTTP/3 w zaporze Sophos pokazuje test reguły; Tworzenie polityki ochrony sieciowej zapory Sophos dotyczy polityki sieciowej.

Wybierz zakres według celu i ryzyka

Zwykle punktem wyjścia jest zarządzany ruch użytkowników z LAN do WAN. Oddzielna korporacyjna sieć bezprzewodowa może działać jako Wi-Fi > WAN. W przypadku dostępu zdalnego VPN > WAN ma zastosowanie tylko wtedy, gdy ruch internetowy użytkowników faktycznie przechodzi przez zaporę sieciową przez pełny tunel. Uwzględniaj połączenia wewnętrzne od LAN do DMZ tylko wtedy, gdy kontrola treści przynosi tam wyraźne korzyści i obie strony ufają ponownie podpisującemu urząd certyfikacji.

Zgodność techniczna i pozwolenie na odszyfrowanie to osobne decyzje. Portale bankowe, zdrowotne i rządowe, menedżery haseł, dostawcy tożsamości, aktualizacje systemów operacyjnych i dostawców, a także usługi głosowe, wideo i współpracy wymagają oceny funkcjonalnej i prywatności przed ich włączeniem. Przypinanie lub awaria programu pilotażowego nie uzasadnia ogólnego wyjątku dla całej kategorii: najpierw należy zidentyfikować rzeczywiście wymagane źródło, domenę i aplikację.

Skonfiguruj kompletny pilot

W przypadku pilota, który można przetestować bezpośrednio, używamy następujących przykładowych wartości:

• Klient pilotażowy: 10.20.30.50 z udokumentowanej sieci testowej 10.20.30.0/24
• Reguła zapory sieciowej: LAN to WAN - TLS pilot
• Reguła inspekcji SSL/TLS: TLS decrypt pilot client
• Strefa źródłowa: LAN, Strefa docelowa: WAN
• Sieci i usługi docelowe: Any
• Działanie: Decrypt
• Profil deszyfrowania: początkowo Block insecure SSL lub wywodzący się z niego profil pilotażowy
• Rejestrowanie: Log connections włączone dla pilota

10.20.30.0/24, adres IP hosta i nazwy obiektów mają charakter przykładowy. Źródło produkcyjne musi być na tyle wąskie, aby jednoznacznie identyfikować jednego klienta. Any dla miejsca docelowego i usługi ułatwia obserwację TLS poza TCP 443 podczas pilotażu; nie rozszerza to, na co pozwala poprzednia Reguła zapory sieciowej. Jeśli inspekcja jest dozwolona tylko dla określonej grupy docelowej, dodaj grupę adresów URL lub inne odpowiednie kryterium miejsca docelowego.

Wybierz profil deszyfrowania

W Profiles > Decryption profiles dostępne są trzy nieedytowalne profile domyślne:

• Maximum compatibility maksymalizuje kompatybilność i nie ogranicza szyfrów.
• Block insecure SSL blokuje słabe szyfry i umożliwia ruch, którego nie można odszyfrować.
• Strict compliance stosuje rygorystyczne wymagania, w tym wymagania oparte na PCI DSS.

Maximum compatibility może pomóc tymczasowo odizolować problematycznego klienta, ale jego luźne kontrole sprawiają, że nie nadaje się jako kryterium akceptacji produkcji. Dla pilota Block insecure SSL lub profil celowo z niego wyprowadzony jest bardziej przejrzystym punktem wyjścia. Toleruj stare wersje TLS lub klucze RSA krótsze niż 2048 bitów tylko w przypadku nazwanego starszego serwera i w regule o wąskim zakresie.

Profil niestandardowy może zastąpić globalne ustawienia protokołu SSL/TLS. Opcje ponownego podpisania urzędu certyfikacji to Use CAs defined in SSL/TLS settings, Re-sign RSA with i Re-sign EC with. W przypadku ruchu, którego nie można odszyfrować, dostępne są następujące opcje: Use SSL/TLS settings default, Allow without decryption, Drop i Reject. Odniesienie do ustawień globalnych nie ma zastosowania do Unrecognized cipher suites; ten przypadek należy ocenić wyraźnie w profilu. W zależności od ustawienia, błędów certyfikatów, minimalnego rozmiaru RSA, wersji TLS i zablokowanych szyfrów, jako Block action użyj Drop, Reject lub Reject and notify.

Kontrola nie sprawia, że ​​certyfikat serwera z podpisem własnym lub certyfikat z niekompletnym łańcuchem jest godny zaufania. Zamiast pochopnie go wykluczać, najpierw sprawdź nazwę hosta, oryginalny certyfikat i cały łańcuch.

W przypadku TLS 1.3 błędy certyfikatów, minimalny rozmiar RSA, globalne obniżenie wersji i Reject and notify zachowują się zgodnie z dokumentacją tylko w przypadku Action: Decrypt. W przypadku Don’t decrypt lub Deny do obsługi tego profilu używany jest Reject. Globalne przejście na wersję TLS 1.2 stwarza zagrożenie bezpieczeństwa i nie stanowi ogólnej poprawki dotyczącej zgodności.

Utwórz regułę i sprawdź jej kolejność

W Rules and policies > SSL/TLS inspection rules > Add ustaw pola w następujący sposób:

1. Rule name: TLS decrypt pilot client
2. Rule position: Top, więc reguła pilotażowa poprzedza ogólne niestandardowe reguły deszyfrowania
3. Action: Decrypt
4. Log connections: włączone do monitorowania pilota
5. Decryption profile: wybrany profil pilota
6. Source zones: LAN
7. Source networks and devices: obiekt hosta dla 10.20.30.50
8. Destination zones: WAN
9. Destination networks: Any
10. Services: Any
11. Categories and websites: puste lub ograniczone do zatwierdzonego zakresu docelowego

Log connections jest opcjonalny i nie jest wymagany do działania reguły. Niemniej jednak jest to przydatne w przypadku pilota ograniczonego czasowo, ponieważ można prześledzić uzgadnianie TLS i zamknięcie połączenia. Przechowywanie musi być zgodne z uzgodnioną polityką prywatności i operacji.

Tabela jest oceniana od góry do dołu, a przetwarzanie zatrzymuje się przy pierwszym dopasowaniu. Wszystkie skonfigurowane kryteria muszą być zgodne jednocześnie. Stała reguła domyślna Exclusions by website or category pozostaje na górze i nie można jej poprzedzić poprzez wybranie Rule position: Top. Umieść niestandardowe wyjątki Don't decrypt bezpośrednio pod nim, po nich określone reguły pilotażowe i na koniec szersze reguły deszyfrowania.

Kryteria użytkowników i grup są wiarygodne tylko wtedy, gdy SFOS zna kontekst użytkownika dla połączenia. Jeśli nie jest to gwarantowane, zacznij od jednoznacznego hosta lub obiektu sieciowego i dodaj kryteria tożsamości dopiero po oddzielnym teście dopasowania.

Staraj się, aby wyjątki były wąskie

Domyślna reguła Exclusions by website or category wykorzystuje Don’t decrypt z Maximum compatibility i pozostaje na pierwszej pozycji. Domyślnie Local TLS exclusion list jest pusta; Managed TLS exclusion list zawiera znane niezgodne witryny i jest aktualizowany poprzez aktualizacje oprogramowania sprzętowego.

Edytuj listę lokalną pod adresem:

Web > URL groups > Local TLS exclusion list

Grupy adresów URL lub dopasowania SNI są bardziej wydajne w przypadku wyjątków domen niż wiele hostów FQDN. Na przykład według Sophos hosty 200 FQDN powodują wyszukiwania 200 dla każdego nowego połączenia SSL/TLS. Wyjątków źródła i miejsca docelowego również nie można łączyć. Twórz i bezpiecznie używaj grup adresów URL wyjaśnia zakres domeny, symbole wieloznaczne i testy negatywne.

Niestandardowa reguła inspekcji SSL/TLS z Action: Don’t decrypt powinna rejestrować domenę, źródło, którego dotyczy problem, przyczynę, zgłoszenie, właściciela i datę przeglądu. Don’t decrypt nie jest bezwarunkowym obejściem: nadal obowiązują ograniczenia wybranego profilu deszyfrowania. Aby zezwolić na stosowanie SSL 2/3, kompresji lub nieznanych szyfrów w wyraźnie zatwierdzonym starszym przypadku, użyj profilu z Allow without decryption razem z Action: Don’t decrypt. Nie należy stosować tej kombinacji w szerokiej regule ruchu internetowego.

Wyłączenia SSL/TLS i wyjątki internetowe rozwiązują różne problemy. Wyjątek TLS kontroluje deszyfrowanie na dowolnym porcie TCP w trybie DPI. Wyjątek sieciowy zmienia wybrane kontrole zasad sieciowych; w trybie proxy wpływa na odpowiednią ścieżkę proxy. Przed dokonaniem zmiany ustal, czy należy wykluczyć odszyfrowanie, czy tylko sprawdzenie sieci. Bezpiecznie twórz i testuj wyjątki internetowe przedstawia przepływ pracy związany z zaznaczaniem i wyrażeniem regularnym.

Obsługa Androida w wąskim zakresie

Niektóre połączenia Androida korzystają z przypinania certyfikatów. Sprawdzanie łączności, Sklep Play lub aktualizacje mogą wówczas zakończyć się niepowodzeniem podczas deszyfrowania. Przepływ pracy udokumentowany przez Sophos wykorzystuje izolowaną sieć VLAN lub sieć bezprzewodową oraz grupę hostów FQDN zawierającą:

• *.play.googlezip.net
• *.gvt1.com
• *.app-measurement.com
• lokalna domena Google, na przykład *.google.ch w Szwajcarii

Nad ogólną regułą odszyfrowywania dodaj regułę inspekcji SSL/TLS z Action: Don’t decrypt, Decryption profile: Maximum compatibility, Source zone: Wi-Fi, sieć urządzeń mobilnych jako Source networks and devices, WAN jako Destination zone i grupę Google jako Destination networks. Znajduje się poniżej stałego domyślnego wykluczenia, ale powyżej ogólnej reguły odszyfrowywania. Trzymaj sieć urządzeń mobilnych odizolowaną od wrażliwych zasobów wewnętrznych.

Zaakceptuj zmianę za pomocą jednego urządzenia pilotażowego z Androidem: uruchom Connectivity Check, przeglądarkę, pobierz i zaktualizuj Sklep Play. W Log viewer tylko oczekiwane miejsca docelowe Google mogą pasować do wyjątku; inne miejsce docelowe HTTPS z tej samej sieci VLAN musi nadal używać zamierzonej reguły deszyfrowania. Ten negatywny test uniemożliwia akceptację wyjątku, który działa, ale jest zbyt szeroki. Bezpiecznie twórz wyjątki internetowe i wykluczenia TLS omawia dalsze metody i ograniczenia SNI.

Weryfikacja działania

Symulacja polityki, prawdziwy klient i logi odpowiadają na różne pytania. Połącz je, aby uzyskać wiarygodny test akceptacyjny.

W Diagnostics > Tools > Pop-out tools > Policy tester wybierz Firewall, SSL/TLS, and web i ustaw źródłowy adres IP, docelowy lub adres URL, protokół i, jeśli to konieczne, port. Bez protokołu narzędzie testuje protokół HTTP przy użyciu domyślnego portu specyficznego dla protokołu. Tester zasad symuluje przejrzysty ruch sieciowy; nie modeluje tras SD-WAN, a reguły z adresami MAC w Source networks and devices tam nie pasują. Web policy only testuje tylko politykę sieciową. Wynik jest zatem przewidywaniem, a nie dowodem rzeczywistej ścieżki danych.

Przeprowadź cztery ukierunkowane testy na kliencie:

1. Przed zmianą zanotuj domenę docelową, wystawcę certyfikatu, czas odpowiedzi oraz to, czy aplikacja biznesowa działa.
2. Otwórz zatwierdzone pozytywne miejsce docelowe. Przeglądarka musi pokazywać ponownie podpisujący urząd certyfikacji wybrany dla DPI jako wystawcę, a Log viewer musi wskazywać oczekiwaną regułę deszyfrowania i profil deszyfrowania.
3. Otwórz celowo wykluczone miejsce docelowe. Musi pasować do oczekiwanej reguły Don't decrypt; przeglądarka nie może pokazywać tam certyfikatu ponownie podpisanego przez zaporę sieciową.
4. Nadal należy odszyfrować drugie, niewykluczone miejsce docelowe z tego samego zakresu klienta. To jest negatywny test wyjątku.

Jeśli częścią projektu jest polityka sieciowa, zablokuj także kategorię testową lub testowy adres URL specjalnie zatwierdzony do tego celu. Przeprowadź test złośliwego oprogramowania tylko z udokumentowanym, nieszkodliwym obiektem testowym dostawcy i wstępnie zdefiniowanym oczekiwanym wynikiem; ten artykuł nie rości sobie prawa do testu laboratoryjnego. Przed i po pilotażu porównaj obciążenie procesora i pamięci, czas odpowiedzi i błędy użytkownika w tym samym oknie czasowym.

Prawidłowa interpretacja Control Center i Log viewer

Widżet Centrum sterowania nosi nazwę SSL/TLS connections. Jego szczegóły są aktualizowane co pięć minut. Sesje obejmują ostatnie 24 godziny, a błędy ostatnie 7 dni; Failed resetuje się o północy. Dane szczegółowe nie uwzględniają połączeń poprzez serwer proxy WWW. Decryption peak pojawia się tylko w pobliżu szczytu lub powyżej, a Decryption limit tylko w pobliżu limitu specyficznego dla urządzenia. Dlatego nie ma uniwersalnego progu dla wszystkich urządzeń.

Otwórz Log viewer w prawym górnym rogu i wybierz moduł SSL/TLS inspection. Połączenie TLS jest rejestrowane po zakończeniu uzgadniania i jego zamknięciu. Akcja, reguła, profil deszyfrowania, źródło, miejsce docelowe, domena i przyczyna błędu mają znaczenie; same kolory nie są wiarygodnym kryterium akceptacji. W obszarze Manage > Exclude możesz dodać domeny lub subdomeny do listy wykluczeń lokalnych TLS i kategorii do wykluczeń domyślnych. Exclude nie jest dostępny dla błędów o identyfikatorach 19004 i 19005.

Zdarzenie Don't decrypt dowodzi jedynie, że połączenie nie zostało odszyfrowane. Dopiero Reguła, dopasowanie listy i test negatywny pokazują, czy wyjątek jest uzasadniony i wystarczająco wąski.

Rozwiązywanie problemów i bezpieczne przywracanie ustawień

Gdy wystąpi incydent, początkowo ogranicz sprawę do jednego klienta, jednej domeny, jednego punktu w czasie, jednej reguły zapory sieciowej i jednej reguły inspekcji SSL/TLS.

• Jeśli przeglądarka wyświetli ostrzeżenie o certyfikacie, porównaj widocznego wystawcę z urzędem certyfikacji używanym przez rzeczywistą ścieżkę DPI lub proxy. Następnie sprawdź magazyn zaufania klienta, łańcuch główny/podrzędny i nazwę hosta.
• Jeśli brakuje zdarzeń SSL/TLS, najpierw sprawdź zgodność reguły zapory sieciowej i tryb. Następnie potwierdź, że Rules and policies > SSL/TLS inspection rules i Advanced settings > SSL/TLS engine > Enabled są aktywne.
• Jeśli ruch jest dozwolony, ale nie jest odszyfrowany, przeszukaj od góry do dołu stałe domyślne wykluczenia, listę zarządzaną/lokalną lub niestandardową regułę Don't decrypt. Następnie powtórz test negatywny.
• Jeśli filtr sieciowy nie ma zastosowania, sprawdź aktualną regułę zapory sieciowej pod kątem jej zasad sieciowych, Scan HTTP and decrypted HTTPS, Block QUIC protocol i trybu DPI/proxy. Obecność zasad sieciowych nie dowodzi odszyfrowania.
• Jeśli tylko jedna aplikacja zawiedzie, użyj przyczyny błędu, wersji TLS, szyfru, łańcucha certyfikatów i przypinania, aby podjąć kolejną decyzję. Zachowaj wąski zakres tymczasowych wyjątków i podaj datę przeglądu.
• Jeśli obciążenie wzrasta, zmniejsz zakres pilotażu i porównaj to samo okno czasowe przed i po zmianie. Oceń powiadomienia o szczytach lub limitach dla konkretnego urządzenia.

Wyłącz SSL/TLS engine tylko na krótko w celu rozwiązania problemu. Po wyłączeniu nie obowiązują żadne reguły inspekcji SSL/TLS, a silnik DPI nie stosuje zasad sieciowych zapory sieciowej do protokołu HTTPS; Odszyfrowanie HTTPS serwera proxy sieci Web pozostaje niezmienione. Wyłączenie tej funkcji nie jest zatem równoważnym substytutem niskiego ryzyka dla wyłączenia reguły pilotażowej.

Testuj IPS niezależny od portu tylko ze znanym stanem początkowym

Domyślnie SFOS sprawdza odszyfrowany ruch pod kątem podpisów IPS na każdym porcie TCP. Aby uzyskać powtarzalny fałszywy alarm, udokumentuj identyfikator podpisu, źródło, miejsce docelowe, port TCP, regułę zapory sieciowej, regułę inspekcji i kompilację SFOS. Preferuj wyjątek dotyczący wąskiego podpisu z Action: Allow packet w aktualnie używanej polityce IPS; Skonfiguruj i przetestuj Sophos Firewall IPS opisuje tę metodę.

Możliwym objawem problemu z inspekcją niezależną od portu są powtarzające się trafienia tej samej sygnatury IPS na tej samej witrynie internetowej. Samo powtarzanie się trafień nie dowodzi fałszywego alarmu. Przed zatwierdzeniem wąsko zakrojonego, odwracalnego wyjątku dla sygnatury sprawdza się dokładną zgodność Signature ID i miejsca docelowego w logach, weryfikuje objęty problemem prawidłowy przepływ pracy i ocenia ryzyko.

Bardziej rozbudowana inspekcja pod kątem potencjalnych zagrożeń może zwiększyć obciążenie i nieznacznie zmniejszyć przepustowość odszyfrowanego ruchu HTTPS w porównaniu ze starszymi wersjami Sophos Firewall. Jest to możliwy efekt związany z wersją, a nie gwarantowany spadek ani dowód regresji aktualnie używanej kompilacji. Aby ocenić wyniki w odpowiednim kontekście, porównuje się przepustowość, obciążenie CPU i pamięci oraz czas odpowiedzi przy porównywalnym obciążeniu ruchem w tym samym oknie czasowym; pojedyncze porównanie nie zastępuje analizy przyczyn.

Globalne porównanie w konsoli urządzeń jest dopuszczalne tylko wtedy, gdy dokładna bieżąca wartość, on lub off, jest już znana z zapisu zmian lub z niezawodnej kopii zapasowej konfiguracji. Oficjalna dokumentacja SFOS 22 nie zawiera wstępnej kontroli tego przełącznika w trybie tylko do odczytu. Jeżeli stan początkowy nie jest znany, nie należy wykonywać badania.

Tylko przy udokumentowanym stanie początkowym on można ustawić następujące ustawienia dla jednego przygotowanego porównania:

set ips scan_decrypted_port_agnostic off
set ips scan_decrypted_port_agnostic on

Druga komenda przywraca jedynie znany stan początkowy on. Jeśli stan początkowy to off, nie włączaj go na ślepo; zachowaj off lub przywróć go dokładnie po każdej autoryzowanej zmianie. To ustawienie globalne wpływa na całą zaporę sieciową i może nieznacznie zmniejszyć przepustowość lub, w przypadku off, zawęzić zakres inspekcji. Udokumentuj wynik i okno czasowe, nie traktując tego samego jako dowodu ogólnej przyczyny.

Wycofywanie zmian w ustalonej kolejności

Wycofywanie przywraca udokumentowany stan początkowy zamiast wprowadzać nową architekturę:

1. Wyłącz regułę pilota TLS decrypt pilot client. Nie zmieniaj jednocześnie profilu, Polityki sieciowej i wyjątków.
2. Korzystając z klienta pilotażowego, potwierdź, że ta reguła już nie pasuje i że ponownie została użyta poprzednio udokumentowana ścieżka. Nie zakładaj, że istniejące sesje zostaną natychmiast poddane ponownej ocenie; nawiąż nowe połączenie na potrzeby testu.
3. Jeśli problem dotyczy tylko jednego miejsca docelowego i wymagają tego operacje, utwórz ograniczony czasowo wyjątek Don't decrypt i uruchom jego negatywny test.
4. Po zatwierdzeniu usuń tymczasowe wyjątki, obiekty testowe i ustawienia CA dystrybuowane tylko dla pilota w sposób kontrolowany. Nie usuwaj współdzielonych urzędów certyfikacji bez sprawdzenia.
5. Zapisz identyfikator reguły, klienta, miejsce docelowe, widoczny urząd certyfikacji, zdarzenie w dzienniku, czas i przywrócone ustawienia w rekordzie zmian.

Polityka sieciowa może pozostać skonfigurowana, ale bez odszyfrowania nie może skanować zaszyfrowanego ładunku HTTPS. Przywróć serwer proxy sieci Web tylko wtedy, gdy był to zweryfikowany stan początkowy. Nie wyłączaj całego silnika SSL/TLS w ramach standardowego przywracania, ponieważ powoduje to zatrzymanie wszystkich reguł DPI TLS i stosowania zasad sieciowych DPI do protokołu HTTPS.

Zatrzymaj wdrażanie, gdy tylko ulegnie awarii aplikacja o znaczeniu krytycznym dla firmy, pojawią się ostrzeżenia o certyfikatach poza grupą pilotażową, zakres będzie pasował szerzej niż oczekiwano lub obciążenie i błędy przekroczą wstępnie zdefiniowane limity. Rozbuduj grupę Source stopniowo dopiero wtedy, gdy test pozytywny, test negatywny wyjątku, aplikacje biznesowe, logi, opinie użytkowników i profil obciążenia spełniają uzgodnione kryteria przez uzgodniony okres.

Podczas pracy przeglądaj wykluczenia, błędy TLS, nowe aplikacje, obciążenie i opinie użytkowników według określonego harmonogramu. Zachowaj tymczasowe wyjątki tylko wtedy, gdy właściciel, powód i data przeglądu pozostają ważne; w przeciwnym razie usuń je po świeżym pozytywnym i negatywnym teście.

Często zadawane pytania