Wykorzystanie kategorii internetowych i natychmiastowych alertów w Sophos Firewall

Kategorie internetowe określają, które strony mogą otwierać użytkownicy. Natychmiastowe alerty dodają powiadomienia e-mail dla niewielkiej liczby świadomie monitorowanych kategorii. Kategoria, polityka internetowa, reguła firewalla, logowanie i wysyłka poczty muszą być spójne, aby obie funkcje działały niezawodnie.

Jest to szczególnie przydatne w szkołach, wrażliwych działach firmy lub środowiskach, w których określone żądania internetowe nie powinny pozostać niezauważone aż do miesięcznego raportu.

Sama kategoria nie zmienia ruchu. Polityka internetowa musi powiązać ją z działaniem, a następnie zostać przypisana do pasującej reguły firewalla. Inspekcja TLS, obsługa QUIC i logowanie określają dodatkowo, co firewall może rozpoznać i później wykazać.

Dla ogólnego planowania polityki internetowej najpierw pasuje Konfigurowanie ochrony internetowej Sophos Firewall z politykami internetowymi. Dla podstawy reguł pomaga Zrozumienie i prawidłowa konfiguracja reguł Sophos Firewall. Ten artykuł koncentruje się na operacyjnej części internetowej: kategoriach, grupach URL, natychmiastowych alertach, ocenie i reakcji.

Orientacja

Najpierw należy wybrać metodę ochrony lub konfiguracji pasującą do rzeczywistego przypadku. Dzięki temu unika się zbyt szerokich reguł i podwójnego troubleshooting.

Wyraźne rozdzielenie pojęć

Sophos używa kilku obiektów internetowych, które w codziennym użytkowaniu łatwo się mieszają.

• Kategoria internetowa: Grupuje domeny, URL lub słowa kluczowe. Wiele kategorii pochodzi od Sophos, ale można też tworzyć własne. Kategorie umożliwiają zezwalanie na dostęp, blokowanie, ograniczanie lub raportowanie dostępu do internetu według ryzyka lub treści.
• Grupa URL: Zawiera listę domen do użycia w politykach internetowych lub wyjątkach TLS. Służy do tworzenia jednoznacznych list dozwolonych lub blokowanych domen, gdy konkretne domeny są ważniejsze niż kategorie.
• Polityka internetowa: Zawiera reguły dla użytkowników, grup, kategorii, grup URL, typów plików, filtrów treści i działań. Steruje dostępem do internetu po przypisaniu do reguły firewalla.
• Natychmiastowe alerty: Powiadamiają e-mailem o dostępie do monitorowanych kategorii. Umożliwiają szybkie powiadamianie o trafieniach szczególnie wrażliwych lub ryzykownych kategorii.
• Log Viewer i raporty: Pozwalają ocenić rzeczywistą decyzję i sprawdzić, czy kategoria, polityka, użytkownik i reguła firewalla działają zgodnie z oczekiwaniami.

Polityka internetowa działa dopiero wtedy, gdy jest wybrana w odpowiedniej regule firewalla pod Security features > Web filtering. Sama polityka internetowa nie jest więc jeszcze regułą obsługującą ruch produkcyjny.

Kiedy kategorie internetowe są przydatne

Kategorie internetowe są szczególnie przydatne, gdy dostęp do internetu nie powinien być tylko ogólnie dozwolony lub blokowany. Typowe scenariusze:

• Blokowanie kategorii złośliwego oprogramowania, phishingu i oszustw.
• Ograniczanie anonimizatorów, proxy i usług obchodzenia zabezpieczeń.
• Szczególne monitorowanie kategorii Command-and-Control lub spyware.
• Blokowanie kategorii takich jak treści dla dorosłych, hazard lub substancje kontrolowane w zależności od środowiska.
• Pozwalanie na krytyczne aplikacje chmurowe, ale ograniczanie prywatnych usług chmurowych lub udostępniania plików.
• Monitorowanie szczególnie wrażliwych kategorii z natychmiastowymi alertami w szkołach lub środowiskach nadzorowanych.
• Ograniczanie przepustowości dla określonych kategorii internetowych za pomocą kształtowania ruchu.

Kategorie nie powinny być bezmyślnie ustawiane na blokowanie lub alert. W przeciwnym razie powstaje wiele trafień, których nikt nie może sensownie sprawdzić. Lepiej jest mieć mały, jasny zestaw z właścicielem, ścieżką reakcji i przeglądem.

Wymagania

Przed konfiguracją należy wyjaśnić następujące kwestie:

• Ochrona internetowa lub odpowiedni pakiet Sophos Firewall jest licencjonowany.
• Istnieje reguła klienta lub użytkownika, która ma używać filtrowania internetowego.
• Planowane jest dopasowanie użytkowników lub grup, jeśli polityki mają działać na podstawie użytkowników.
• Log firewall traffic jest aktywne w odpowiedniej regule firewalla.
• W System services > Log settings co najmniej Content filtering jest zaznaczone dla Local reporting. Dla Central Reporting lub Syslog wybierz ten sam typ logu w odpowiedniej kolumnie docelowej.
• Powiadomienia e-mail działają, jeśli mają być używane natychmiastowe alerty.
• Używany model obsługuje natychmiastowe alerty; XGS 87 i XGS 88 nie obsługują tej funkcji.
• Dla długoterminowej oceny planowane jest Central Firewall Reporting lub Syslog.
• Podjęto świadomą decyzję dotyczącą obsługi QUIC i inspekcji TLS.

Dla centralnej oceny pasuje Aktywacja Central Firewall Reporting. Jeśli logi mają być wysyłane do własnego SIEM, lepszym artykułem jest Wysyłanie Syslog Sophos Firewall do SIEM.

Planowanie polityki internetowej

Przed konfiguracją alertów należy określić, które kategorie są istotne, kto otrzymuje powiadomienia i co ma się stać po alercie.

Planowanie kategorii i grup URL

Dla administratorów ważne jest, kiedy lepiej pasuje własna kategoria internetowa, a kiedy grupa URL.

Własna kategoria internetowa jest sensowna, gdy:

• Domeny lub słowa kluczowe mają być używane jako kategoria w kilku politykach internetowych.
• Kategoria ma być świadomie widoczna w raportach i logach.
• Planowane jest kształtowanie ruchu według kategorii.
• Ma powstać monitorowana kategoria dla natychmiastowych alertów.

Grupa URL jest zazwyczaj lepsza, gdy:

• Zbierane są tylko konkretne domeny.
• Potrzebna jest mała lista dozwolonych lub blokowanych.
• Lista ma być używana również dla wyjątków TLS.
• Unika się dopasowania słów kluczowych.

W przypadku dopasowania samych domen grupy URL są bardziej bezpośrednie i łatwiejsze do sprawdzenia niż kategorie ze słowami kluczowymi. Takich kategorii używać tylko w regułach blokujących, nie zezwalających: parametry zapytania mogą inaczej wymusić niepożądany dostęp.

Grupa URL zawiera poprawne domeny. Wyrażenia regularne nie są dozwolone; wpisy są oceniane za pomocą OR, więc wystarczy jedno dopasowanie. Aktualna pomoc SFOS 22 nie podaje stałego maksimum. Nie oznacza to nieograniczonych list. W przypadku dużych lub dynamicznie utrzymywanych list należy sprawdzić, czy lepiej pasuje importowana baza kategorii lub threat feed.

Artykuł Tworzenie i bezpieczne używanie URL Groups przedstawia pełny proces tworzenia, Web Policy, TLS i testów.

Rozróżnianie kategorii stałych, dynamicznych i brakujących

Większość wbudowanych kategorii opiera się na wyszukiwaniu URL. ActiveX, Applets, Cookies i HTTPUpload to jednak kategorie dynamiczne: firewall przypisuje je na podstawie inspekcji treści. Samo wyszukiwanie URL nie potwierdza więc, że taka reguła treści zadziała przy rzeczywistym żądaniu. ALLWebTraffic oznacza cały ruch HTTP, a nie tylko nieznane jeszcze witryny.

None i Uncategorized oznaczają różne wyniki. Przy None wyszukiwanie się powiodło, ale baza URL nie zawiera informacji o kategorii. Przy Uncategorized wyszukiwanie się nie powiodło. Przed utworzeniem wyjątku należy odróżnić brak klasyfikacji w bazie od problemu z kategoryzacją; żaden z wyników nie dowodzi, że witryna jest bezpieczna.

Wybór kategorii według ich znaczenia

Kategoria nie stanowi ogólnej oceny bezpieczeństwa wszystkich treści w usłudze. Te różnice mają znaczenie przy wyborze działań polityki:

• CRL and OCSP dotyczy sprawdzania unieważnienia certyfikatów; Software updates, aktualizacji popularnego oprogramowania. Te żądania są zwykle potrzebne. Download freeware & shareware wyraźnie wyklucza witryny aktualizacji systemów operacyjnych, antywirusów i innych programów krytycznych. Blokada pobierania nie może przypadkowo uniemożliwić aktualizacji.
• Content delivery obejmuje zwykle treści wtórne lub osadzone z innych witryn. Ogólna blokada może zakłócić działanie dozwolonych stron; przed wyjątkiem sprawdzić rzeczywisty host docelowy i stronę główną w logach.
• Command & control oznacza znane serwery sterowania malware, Spyware & malware witryny ze złośliwą treścią, a Phishing & fraud między innymi strony phishingowe i oszukańcze. Newly registered websites i Parked Domain są natomiast sygnałami ryzyka, nie dowodami malware.
• Business cloud apps, Personal cloud apps i Personal network storage rozróżniają aplikacje biznesowe, osobiste usługi chmurowe i prywatną pamięć sieciową. Decyzję opierać na ryzyku wycieku danych i potrzebie biznesowej, nie tylko słowie „chmura”.
• Anonymizers i Translators mogą obchodzić filtrowanie; Image search, Portal sites i wyszukiwarki mogą udostępniać treści innych kategorii. Zezwolenie na stronę główną nie oznacza więc, że każdy osadzony cel ma być dozwolony.
• Live audio, Live video, Video hosting, Surveillance i Voice & video calls rozróżniają streaming, wideo na żądanie, monitoring i komunikację. Wybór kształtowania ruchu lub blokady zależy od potrzebnej usługi. Strony kasyn, hoteli i kurortów należą do Travel, jeśli nie oferują ani hazardu online, ani porad dotyczących hazardu lub gier. Sama nazwa hotelu nie dowodzi jego klasyfikacji.

Zwięzły słownik do diagnostyki i środowisk wrażliwych

• Gambling obejmuje hazard online i loterie z użyciem prawdziwych lub wirtualnych pieniędzy; informacje i porady dotyczące obstawiania, udziału w loteriach, hazardu i zakładów liczbowych; kasyna wirtualne i przedsięwzięcia hazardowe działające za granicą; typy sportowe i wspólne pule zakładów; a także sporty wirtualne i ligi fantasy oferujące duże nagrody lub wymagające znacznych stawek. Games obejmuje witryny umożliwiające granie lub pobieranie gier, hosting gier i konkursów, porady dotyczące gier i kody ułatwiające grę oraz czasopisma poświęcone graniu online. To odrębne kategorie: samo granie nie oznacza hazardu.
• HTTPUpload dotyczy ograniczeń przesyłania danych przez HTTP i jest kategorią dynamiczną; IPAddress dotyczy witryn otwieranych przez adresy IP. To różne przypadki reguł, a nie synonimy brakującej klasyfikacji.
• Pro-suicide & self-harm obejmuje strony promujące samobójstwo lub samookaleczenie. Szkoły mogą monitorować potencjalne zagrożenia dla uczniów za pomocą tej kategorii. Strony dotyczące zdrowia psychicznego, pomocy i wsparcia nie należą do niej tylko ze względu na temat. Trafienie wymaga oceny człowieka, nie automatycznego stwierdzenia incydentu.
• Sex education obejmuje obrazy i teksty promujące prawidłowe stosowanie antykoncepcji, np. pigułek i wkładek domacicznych, oraz dyskusje o tym, jak rozmawiać z partnerem o chorobach, ciąży i poszanowaniu granic. Nie obejmuje witryn komercyjnych sprzedających akcesoria erotyczne, zwykle zaliczanych do Sexually explicit. Sexually explicit obejmuje produkty dla dorosłych, np. zabawki erotyczne, CD-ROM-y i filmy; materiały przedstawiające wykorzystywanie seksualne dzieci i treści pedofilskie, w tym witryny z listy IWF; usługi dla dorosłych, np. wideokonferencje o charakterze seksualnym, usługi towarzyskie i kluby ze striptizem; opowiadania erotyczne i opisy aktów seksualnych; jednoznaczne seksualnie komiksy, animacje, grupy i fora; witryny erotyczne z pełną lub częściową nagością; przedstawienia aktów seksualnych, także z udziałem zwierząt lub przedmiotów; teksty i obrazy przedstawiające wykorzystywanie lub przemoc seksualną; krępowanie, fetysze, piercing genitaliów, witryny naturystyczne z nagością oraz erotyczną lub fetyszystyczną fotografię nagości. Wyklucza witryny dotyczące zdrowia seksualnego, raka piersi i chorób przenoszonych drogą płciową, z wyjątkiem tych zawierających przykłady graficzne.
• Intolerance & hate obejmuje witryny popierające poniżanie lub atakowanie określonych grup albo instytucji lub nawołujące do takich działań ze względu na religię, rasę, narodowość, płeć, wiek, niepełnosprawność lub orientację seksualną; witryny promujące programy polityczne lub społeczne oparte na supremacji i wykluczaniu innych ze względu na te cechy; rewizjonizm dotyczący Holokaustu lub jego negowanie oraz inne treści rewizjonistyczne podsycające nienawiść; przymuszanie lub rekrutację do gangów i sekt; witryny promujące bojowość i ekstremizm oraz rażąco niewrażliwe lub obraźliwe materiały, w tym lekceważące odmienne poglądy i przekonania. W tej kategorii gang oznacza grupę, której główną działalnością są poważne przestępstwa, która ma wspólną nazwę, znak lub symbol i której członkowie indywidualnie lub wspólnie popełniają przestępstwa w jej imieniu. Sekta oznacza grupę pozyskującą i zatrzymującą członków przez oszustwo, manipulację i nadmierny wpływ zmieniający ich osobowość i zachowanie, z wszechwładnym przywództwem, totalistyczną ideologią, podporządkowaniem jednostki grupie i odcięciem od społeczeństwa. Wiadomości, materiały historyczne i relacje prasowe opisujące takie zjawiska są wykluczone, poza przykładami graficznymi. Relacjonowanie nie oznacza automatycznie popierania.
• Radio & audio hosting obejmuje legalne treści audio i muzykę na żądanie, których przykładami są Spotify i Pandora, w odróżnieniu od transmisji wydarzeń lub programów na żywo w Live audio. Są to przykłady rodzaju usługi, nie potwierdzenie jej bieżącej klasyfikacji. Online Chat obejmuje czat internetowy i komunikatory tekstowe; Voice & video calls dotyczy telefonii internetowej i połączeń wideo. Wybór zależy od potrzebnej formy komunikacji.
• Unauthorized software stores obejmuje witryny oferujące oprogramowanie lub aplikacje dla komputerów i urządzeń mobilnych, których wiarygodność budzi wątpliwości. Pobrane pliki mogą być złośliwe lub zawierać trojany; sama kategoria nie dowodzi jednak, że każdy niezatwierdzony sklep rozpowszechnia malware. Należy odróżnić tę kategorię od Software updates, czyli witryn dostarczających aktualizacje popularnego oprogramowania, zwykle potrzebnych do pobierania i instalowania aktualizacji.

Przy kategoriach wrażliwych używać wyłącznie nieszkodliwych, zatwierdzonych przypadków i kontrolowanych zasobów testowych; nigdy nie odwiedzać materiałów nielegalnych lub niepokojących. Przed eskalacją człowiek powinien sprawdzić kategorię, kontekst i możliwą błędną klasyfikację. Zwykłe definicje tematyczne katalogu i historyczne przykłady usług pozostają poza artykułem z powodów redakcyjnych; nie są jedynie nawigacją i nie są przedstawiane jako w pełni przetłumaczona taksonomia.

Przed szerokimi zmianami zachować politykę i użyć nieszkodliwych, zatwierdzonych celów do testowania oczekiwanego dopasowania oraz potrzebnych aktualizacji i kontroli unieważnienia certyfikatów. Przy awarii przywrócić działanie danej kategorii i powtórzyć testy zamiast wyłączać całe filtrowanie internetowe.

Generative AI jako kategoria internetowa w SFOS 23.0

SFOS 23.0 dokumentuje Generative AI jako wbudowaną kategorię internetową dla witryn i usług, które pozwalają tworzyć lub przekształcać treści za pomocą promptów. Witryny, których głównym przeznaczeniem nie jest generatywna AI, są wyraźnie wyłączone z tej kategorii. Dodatkowa funkcja AI w innej usłudze nie wystarcza więc, aby zakładać przynależność tej usługi do kategorii. Kategoria nie gwarantuje wykrywania każdego użycia AI.

Ta klasyfikacja adresów URL przez Sophos jest wykorzystywana przez Web Policy. Należy ją odróżnić od sygnatur aplikacji i kategorii aplikacji Generative AI w Application Control. Niestandardowa kategoria internetowa o tej samej nazwie nie synchronizuje się automatycznie z katalogiem aplikacji. Lista domen utrzymywana przez administratora w grupie URL lub niestandardowej kategorii również pozostaje osobnym obiektem, z własną osobą odpowiedzialną i terminem przeglądu, a nie kategorią wbudowaną.

Przed wdrożeniem szerokiej blokady należy sprawdzić działanie na używanej wersji w ograniczonym pilotażu:

1. Sprawdzić kategorię w Web > Categories i użyć Diagnostics > URL category lookup dla zatwierdzonego, nieszkodliwego adresu testowego. Wyszukiwanie pokazuje tylko klasyfikację, nie rzeczywistą decyzję polityki; niestandardowa kategoria może określać wyświetlany wynik.
2. W Web > Policies sprawdzić kategorię, działania HTTP/HTTPS i kolejność reguł. Polityka musi być wybrana w pasującej regule firewalla w Security features > Web filtering. Sprawdzić Enable logging and reporting, Log firewall traffic oraz Content filtering w System services > Log settings > Local reporting.
3. Uzupełnić Policy tester rzeczywistym, kontrolowanym żądaniem z klienta i sprawdzić w Log Viewer użytą kategorię, Web Policy, regułę firewalla oraz działanie. Decyzje Application Control oceniać osobno. W razie rozbieżności sprawdzić najpierw niestandardowe kategorie, kolejność reguł, wyjątki i ścieżkę TLS/QUIC, zamiast zakładać pełne wykrywanie AI.

Kontrolowanie generatywnej AI wyjaśnia wybór między kategorią internetową, Application Filter i dodatkową listą domen oraz przebieg pilotażu.

Blokowanie, alert czy tylko raportowanie?

Nie każda kategoria wymaga tego samego traktowania. Dobre projektowanie ochrony internetowej oddziela jednoznaczne decyzje dotyczące bezpieczeństwa od ostrzeżeń i samej analizy.

• Blokowanie: Stosuj do złośliwego oprogramowania, phishingu, znanych usług obchodzenia zabezpieczeń i wyraźnie zabronionych kategorii. Legalna strona może zostać zablokowana, jeśli jej klasyfikacja jest błędna.
• Ostrzeżenie: Stosuj w niejednoznacznych przypadkach, środowiskach szkoleniowych i świadomie dozwolonych kategoriach. Użytkownicy mogą przyzwyczaić się do ostrzeżeń i odruchowo je pomijać.
• Natychmiastowy alert: Wybierz kilka kategorii, które rzeczywiście wymagają reakcji. Zbyt wiele alertów prowadzi do zmęczenia alarmami.
• Tylko raportowanie: Stosuj do analizy trendów, raportów użytkowania i słabych sygnałów. Trafienia są widoczne dopiero później.

Dla środowisk produkcyjnych często lepsza jest mała, jasna selekcja niż maksymalny katalog. Jeśli nikt nie ocenia alertu, kategoria nie powinna być ustawiona jako natychmiastowy alert. Jeśli kategoria zawsze ma być blokowana, alert dodatkowo ma sens tylko wtedy, gdy z tego wynika konkretne działanie.

Stała granica systemowa dotyczy stron sklasyfikowanych przez Sophos jako szczególnie naganna działalność przestępcza: firewall blokuje je niezależnie od polityki internetowej lub wyjątku i ukrywa nazwę domeny w logach oraz raportach. Brak domeny w takim przypadku nie jest błędem logowania.

Konfiguracja

Konfiguracja powinna być precyzyjna, testowalna i łatwa do późniejszego przeglądu.

Tworzenie lub dostosowywanie kategorii internetowej

Ścieżka menu to:

Web > Categories

Podstawowy przebieg:

1. Edytuj istniejącą kategorię lub wybierz Add.
2. Nadaj nazwę.
3. Wybierz klasyfikację.
4. Opcjonalnie wybierz politykę kształtowania ruchu.
5. Wybierz typ konfiguracji.
6. Dodaj domeny lub słowa kluczowe.
7. Opcjonalnie aktywuj Instant alerts.
8. Zapisz.

W przypadku własnych kategorii nazwa powinna jasno opisywać cel. Nazwy takie jak Custom1 lub Blocklist później niewiele pomagają. Lepsze są nazwy takie jak Alert_Self_Harm, Block_Proxy_Anonymizer lub Allow_Business_Cloud_Exceptions.

Domeny są sprawdzane względem nazwy domeny w URL i automatycznie obejmują subdomeny. Słowa kluczowe są natomiast sprawdzane względem pełnego URL, w tym ścieżki i zapytania. Może to być pomocne, ale łatwiej generuje fałszywe trafienia.

Jeśli używana jest zewnętrzna baza danych URL, firewall sprawdza tę listę co 48 godzin pod kątem aktualizacji. Tego interwału nie można zmienić. Dla publicznych list blokowania warto jednak sprawdzić, czy Konfigurowanie i bezpieczne zarządzanie Sophos Firewall Threat Feeds lepiej pasuje.

Własna kategoria nie zastępuje domyślnej kategorii Sophos dla adresu URL. Adres URL może należeć do wielu kategorii. Firewall ocenia kategorie w kolejności widocznej na liście, a logi i raporty pokazują kategorię użytą przy decyzji polityki. Po zmianie wpisów lub ich kolejności trzeba ponownie wykonać rzeczywiste żądanie testowe.

W przypadku Local database można użyć maksymalnie 2,000 wpisów. Lokalny plik .txt zawiera jeden wpis w każdym wierszu, natomiast plik .csv zawiera wpisy rozdzielone przecinkami w jednym wierszu. External URL database przyjmuje plik .txt, .csv, .tar, .gz lub .bz2 dostępny przez HTTP albo FTP, ale nie obsługuje uwierzytelniania na serwerze źródłowym. Nieprawidłowe wpisy są ignorowane.

Rozmiar zewnętrznej pamięci podręcznej zależy od pamięci RAM zapory. Sophos podaje, że większość modeli z ponad 4 GB RAM może buforować do 122,880 wpisów. Przed użyciem dużej listy w środowisku produkcyjnym należy sprawdzić rzeczywiście dostępny limit w /log/nSXLd.log.

Kontrola wpisów i importu

Classification pomaga filtrować kategorie i zarządzać nimi. Traffic shaping policy określa limity użycia oraz pasmo wysyłania i pobierania; pozostawić None, jeśli ograniczenie nie jest zamierzone. Configuration type ma początkowo wartość Local. Wpisać pozycję w Search/Add i wybrać Add albo zaimportować lokalny plik przez Browse. W przypadku zewnętrznej bazy dodać tam adres URL źródła.

Wpisy domen mogą zawierać ścieżkę lub zapytanie, np. example.com/research albo example.com/search?q=report; nie należy dodawać prefiksu protokołu, takiego jak https://. Są to przykłady składni, nie zatwierdzone cele testowe. Słowo kluczowe musi zaczynać się literą, cyfrą lub _. Nieprawidłowe znaki, niepoprawne wpisy domen oraz puste wiersze są odrzucane. Jeśli lokalny plik zawiera ponad 2,000 wpisów, importowane są tylko pierwsze 2,000. Archiwa zewnętrznych baz muszą zawierać pliki tekstowe. Zewnętrzna baza nie ma stałego limitu wpisów; nie oznacza to jednak nieograniczonej pamięci podręcznej, której wielkość zależy od RAM.

Nie tworzyć listy dozwolonych adresów opartej na słowach kluczowych: takie kontrole są mniej wydajne i obejmują parametry zapytania. Dozwolona kategoria ze słowem research może dopasować blocked.example/?tag=research, mimo że sama domena powinna pozostać zablokowana. Kategorie ze słowami kluczowymi stosować tylko w regułach blokujących, nie do zezwalania na dostęp. Grupa URL lepiej pasuje do wyjątków obejmujących wyłącznie domeny. Przed importem udokumentować wpisy i dotychczasową politykę; po nim sprawdzić zapisaną listę, oczekiwane dopasowanie i brak dopasowania. Przy błędnych trafieniach przywrócić wcześniejsze wpisy zamiast szeroko łagodzić blokady.

Strona blokowania dla konkretnej kategorii

W Advanced settings > Override default notification page własny komunikat może zastąpić domyślny, gdy ta kategoria blokuje witrynę. Znaczniki {category}, {user} i {url} pokazują kategorię, nazwę użytkownika i zablokowany URL. Używać tylko niezbędnych danych: użytkownicy i adresy URL mogą ujawniać informacje wrażliwe. Zachować poprzedni komunikat i ustawienie, a następnie sprawdzić nieszkodliwy cel blokowany w kontrolowanym teście. Jeśli wygląd jest nieodpowiedni, przywrócić poprzedni tekst lub stronę domyślną; zmiana komunikatu nie zezwala na dostęp do witryny.

Konfiguracja polityki internetowej

Ścieżka menu to:

Web > Policies

Polityka internetowa zawiera reguły dla użytkowników, grup, aktywności, kategorii, grup URL, typów plików, filtrów treści, działań i harmonogramów.

Podstawowy przebieg:

1. Utwórz nową politykę internetową lub edytuj istniejącą politykę.
2. Dodaj regułę.
3. Wybierz użytkowników lub grupy, jeśli polityka ma być oparta na użytkownikach.
4. Wybierz kategorie lub grupy URL.
5. Ustal działanie dla HTTP.
6. Sprawdź oddzielne działanie dla HTTPS.
7. Ustal harmonogram, jeśli to konieczne.
8. W Advanced settings aktywuj Enable logging and reporting, jeśli polityka ma pojawiać się w logach i raportach.
9. Aktywuj status reguły.
10. Sprawdź pozycję reguły.
11. Zapisz.

Enable logging and reporting w polityce internetowej oraz Log firewall traffic w regule firewalla pełnią różne funkcje. Dla możliwej do prześledzenia analizy należy świadomie sprawdzić obie opcje.

Kolejność w polityce internetowej ma kluczowe znaczenie. Reguły są oceniane od góry do dołu. Szeroka reguła dozwolona powyżej specyficznej reguły blokującej może spowodować, że reguła blokująca nigdy nie zadziała.

Jeśli użytkownicy są ustawieni w regule firewalla i w polityce internetowej, należy świadomie przetestować działanie. Użytkownicy w regułach firewalla mogą mieć pierwszeństwo przed użytkownikami w politykach internetowych. W przypadku niejasnych trafień należy więc sprawdzić nie tylko politykę internetową, ale także regułę firewalla.

Aktywacja polityki internetowej w regule firewalla

Ścieżka menu to:

Rules and policies > Firewall rules > [Rule] > Security features > Web filtering

Podstawowy przebieg:

1. Otwórz odpowiednią regułę klienta lub serwera.
2. Sprawdź strefę źródłową, sieć źródłową, strefę docelową i usługi.
3. Aktywuj Log firewall traffic.
4. Pod Web filtering wybierz żądaną politykę internetową.
5. Świadomie aktywuj lub uzasadnionie dezaktywuj Block QUIC protocol.
6. Sprawdź ustawienia skanowania złośliwego oprogramowania i skanowania HTTPS.
7. Zapisz.
8. Przetestuj za pomocą testera polityki, Log Viewer i rzeczywistego ruchu klienta.

QUIC jest częstym czynnikiem zakłócającym filtrowanie internetowe. Gdy przeglądarki komunikują się przez UDP 443, logika i widoczność nie zawsze odpowiadają oczekiwaniom klasycznego HTTPS przez TCP. Dla szczegółów pasuje Blokowanie QUIC i HTTP/3 w Sophos Firewall.

Jeśli treści HTTPS lub pełne ścieżki URL są istotne, sama kategoryzacja internetowa nie zawsze wystarcza. Wtedy należy zaplanować inspekcję TLS. Nie powinno to być robione przypadkowo, ponieważ dotyczy certyfikatów, wyjątków, ochrony danych, wydajności i procesów wsparcia. Wdrożenie opisano w Wprowadzenie inspekcji TLS w Sophos Firewall.

Przykład: zezwalanie na kategorie tylko grupie badawczej

Wyjątek ograniczony do grupy jest bezpieczniejszy od ogólnej reguły zezwalającej. Najpierw udokumentować politykę, pozycję reguły firewalla i ustawienia grupy oraz potwierdzić poprawną identyfikację użytkowników testowych. Research, Web categories i Web research group to dowolnie wybrane nazwy przykładowe.

1. Utworzyć Research w Authentication > Groups > Add. Świadomie wybrać Surfing quota i Access time, a następnie Save. Unlimited internet access i Allowed all the time to możliwe wartości przykładowe, nie wymagania dla wyjątku kategorii: nieograniczone użycie i dostęp przez całą dobę wymagają osobnej zgody.
2. W Web > Policies > Add policy utworzyć Web categories i wybrać Add rule. Nowa reguła jest na górze, początkowo wyłączona, a jej ustawienia początkowe blokowałyby cały ruch HTTP wszystkich użytkowników. Zmienić wybór przed włączeniem.
3. W Activities otworzyć All web traffic > Add new item, odznaczyć All web traffic i wybrać tylko zatwierdzone kategorie w Show only > Web category. Potwierdzić przez Apply selected items.
4. W Action wybrać Allow HTTP, świadomie sprawdzić osobne działanie HTTPS, włączyć Status i zapisać. Nie pominąć przypadkowo logowania ani pozostałych reguł.
5. W Rules and policies > Firewall rules wybrać IPv4 lub IPv6 oraz Add firewall rule. Ograniczyć Web research group do potrzebnych sieci źródłowych, stref, celów i usług. W wyborze użytkowników/grup użyć Add new item, odznaczyć Any, wybrać Research i Apply selected items. Przypisać politykę w Security features > Web filtering.
6. Po Save przesunąć regułę uchwytem przed ogólną regułę środowiska pracy, nie bez sprawdzenia przed inne reguły bezpieczeństwa. Testować z członkiem grupy i osobą spoza niej: tylko zatwierdzona grupa powinna uzyskać dostęp do dozwolonej kategorii; inne kategorie i użytkownicy nadal muszą podlegać zamierzonej polityce bazowej. Potwierdzić ID reguły, kategorię i działanie w Log Viewer.

Przy nieoczekiwanym zezwoleniu na dostęp wyłączyć nową regułę wyjątku grupowego i przywrócić udokumentowaną kolejność lub przypisanie polityki. Powtórzyć oba testy użytkowników. Sama przynależność do grupy nie dowodzi zastosowania właściwej reguły firewalla.

Udokumentowany przykład nazywa przypisanie użytkowników Identity, a wybór polityki Advanced. Nazwy sekcji mogą różnić się między interfejsami. Istotne są ograniczony wybór użytkowników/grup oraz przypisanie Web Policy w Web filtering na zainstalowanej wersji; nie włączać wyjątku, gdy przypisanie jest niejasne.

Aktywacja natychmiastowych alertów

Natychmiastowe alerty są aktywowane na poziomie kategorii. Domyślnie są wyłączone dla wszystkich kategorii. Ikona filtra obok Instant alerts w Web > Categories pomaga wyświetlać i kontrolować monitorowane kategorie.

Ścieżka menu to:

Web > Categories

Podstawowy przebieg:

1. Edytuj kategorię.
2. Świadomie wybierz kategorię do monitorowania.
3. Aktywuj Instant alerts.
4. Zapisz.
5. Otwórz System services > Notifications list.
6. Włącz Email notifications u góry strony.
7. Wyszukaj Web – Instant alerts.
8. Zaznacz pole pod Email.
9. Sprawdź serwer pocztowy, nadawcę i odbiorców w Administration > Notification settings.
10. Wygeneruj żądanie testowe i sprawdź następną pięciominutową partię powiadomień.

Firewall wysyła powiadomienia e-mail dla monitorowanych kategorii w partiach co pięć minut. Tego interwału nie można zmienić. Alert nie jest więc alarmem w czasie rzeczywistym z dokładnością do sekundy, lecz szybkim powiadomieniem e-mail w porównaniu z raportami analizowanymi dopiero później.

Natychmiastowe alerty nie są dostępne na XGS 87 i XGS 88. Jeśli funkcji brakuje na jednym z tych modeli, konfiguracja poczty lub powiadomień nie musi być błędna.

Natychmiastowe alerty powinny być aktywowane tylko dla kategorii, dla których zdefiniowany odbiorca może faktycznie zareagować. Duża lista alertów bez odpowiedzialności zazwyczaj prowadzi do zmęczenia alarmami.

Analiza i eksploatacja

Alerty są przydatne tylko wtedy, gdy są regularnie przeglądane, klasyfikowane i obsługiwane w codziennej pracy.

Ochrona danych i wewnętrzna odpowiedzialność

Alerty kategorii internetowych mogą zawierać użytkownika, adres IP źródłowy, czas, kategorię i w zależności od widoczności również informacje o celu. Jest to przydatne dla bezpieczeństwa i operacji, ale w zależności od organizacji może wywołać pytania dotyczące prawa pracy lub ochrony danych.

Przed wdrożeniem produkcyjnym należy więc wyjaśnić:

• Kto może zobaczyć alerty internetowe?
• Które trafienia są sprawdzane tylko technicznie, a które są traktowane jako przypadki bezpieczeństwa?
• Jak długo przechowywane są e-maile alertów, raporty lub zdarzenia SIEM?
• Czy ocena jest uzgadniana z HR, ochroną danych lub wewnętrznymi politykami?
• Jak zapobiegać nadinterpretacji pojedynczych nieszkodliwych trafień?

Technicznie ustawienie jest szybko aktywowane. Operacyjnie powinno być jednak traktowane jak mały proces monitorowania: odbiorca, cel, ścieżka reakcji i przechowywanie muszą być zgodne.

Ustalanie zasad wstępnej klasyfikacji alertów

Natychmiastowe alerty nie powinny być traktowane jednakowo. Pojedyncze trafienie kategorii może być nieszkodliwym błędnym kliknięciem, błędnie sklasyfikowaną usługą, problemem z polityką lub rzeczywistym przypadkiem bezpieczeństwa. Dlatego należy wcześniej zdefiniować, które trafienia są sprawdzane natychmiast, a które trafiają tylko do normalnego przeglądu.

Prosta klasyfikacja wstępna pomaga ustalić priorytety:

• Wysoki: Przypisz ten priorytet trafieniom dotyczącym złośliwego oprogramowania, phishingu, Command-and-Control, exploitów lub spyware. Niezwłocznie sprawdź Log Viewer, użytkownika, status Endpoint i inne logi bezpieczeństwa.
• Średni: Przypisz ten priorytet trafieniom dotyczącym anonimizatorów, proxy, udostępniania plików, prywatnych chmur lub powtarzających się prób obchodzenia polityki. Sprawdź wzorce, wyjaśnij kontekst użytkownika i doprecyzuj politykę.
• Niski: Przypisz ten priorytet pojedynczym niejednoznacznym trafieniom, które się nie powtarzają. Uwzględnij je w raportowaniu lub przeglądzie tygodniowym; nie eskaluj ich natychmiast.
• Fałszywy alarm: Tak oznacz błędnie sklasyfikowaną stronę biznesową po weryfikacji. Rozważ precyzyjnie ograniczoną grupę URL lub dostosowanie kategorii; nie twórz szerokiej reguły zezwalającej.

To przyporządkowanie nie powinno istnieć tylko w głowie administratora. Sensowna jest krótka notatka operacyjna: monitorowane kategorie, odbiorcy, czas reakcji, ścieżka eskalacji, dozwolone wyjątki i data przeglądu. Dzięki temu jest jasne, czy alert ma być tylko udokumentowany, technicznie skorygowany czy traktowany jako incydent.

Używanie URL Category Lookup przed testem polityki

Przy aktywnej subskrypcji Web Protection strona Diagnostics > URL category lookup pokazuje, do jakiej kategorii Sophos przypisuje konkretny URL. W Search URL należy wpisać pełny testowy URL i kliknąć Search. Wynik zawiera nazwę i opis kategorii. Jeśli URL należy jednocześnie do kategorii niestandardowej i domyślnej, wyszukiwanie pokazuje kategorię niestandardową.

Wyszukiwanie potwierdza tylko kategoryzację. Nie dowodzi, do jakiej reguły firewalla lub polityki internetowej zostanie dopasowany ruch rzeczywistego klienta, czy działa wyjątek ani jak zachowują się TLS, QUIC i faktyczna ścieżka ruchu. Po wyszukiwaniu należy więc użyć Policy tester, wykonać kontrolowane żądanie z klienta i przeanalizować wynik w Log Viewer.

Testowanie i ocena

Po każdej zmianie należy nie tylko zapisać, ale także sprawdzić działanie.

Sensowne kroki testowe:

1. Otwórz Diagnostics > Tools > Pop-out tools > Policy tester. Web > Policies > Policy tester to alternatywny skrót do tego samego narzędzia.
2. Podaj URL, użytkownika, czas, źródłowy adres IP i strefę źródłową, a następnie przetestuj Firewall, SSL/TLS, and web. Tryb Web policy only celowo pomija reguły firewalla.
3. Na kliencie testowym otwórz odpowiednią stronę internetową.
4. Otwórz Log viewer.
5. Sprawdź logi filtrowania internetowego, firewalla, inspekcji SSL/TLS i kontroli aplikacji.
6. W regule firewalla sprawdź, czy trafienie znajduje się na oczekiwanej regule.
7. W przypadku natychmiastowych alertów sprawdź skrzynkę odbiorczą e-mail.
8. W Sophos Fusion (dawniej Sophos Central) lub SIEM sprawdź, czy zdarzenia tam docierają.

Policy tester modeluje przezroczysty ruch internetowy i nie uwzględnia tras SD-WAN, dlatego nie zastępuje rzeczywistego przepływu. Jeśli reguła nie pasuje lub TLS/QUIC zmienia ścieżkę, różnicę często widać dopiero w Log Viewer albo w przechwyceniu pakietów. Dla takich przypadków pasuje Testowanie reguły firewalla za pomocą Log Viewer, Policy Test i Packet Capture.

Dla przyporządkowania plików logów pomaga Rozwiązywanie problemów z Sophos Firewall: Usługi i logi. Tam są między innymi awarrenhttp.log, webproxy.log i nSXLd.log dla pytań dotyczących internetu i kategoryzacji.

Ustalanie reakcji na natychmiastowe alerty

Natychmiastowy alert jest pomocny tylko wtedy, gdy wiadomo, co ma się wydarzyć. W przeciwnym razie powstaje dodatkowy ruch e-mailowy, ale nie lepsze bezpieczeństwo. Przed aktywacją należy więc zdefiniować prosty proces reakcji.

Dla każdego monitorowanego typu kategorii powinno być przynajmniej ustalone:

• Kto otrzymuje alert?: Zapobiega dystrybucji bez odpowiedzialności.
• Jak szybko trzeba zareagować?: Pozwala oddzielić krytyczne trafienia od tych wymagających rutynowej późniejszej analizy.
• Jakie logi są sprawdzane?: Log Viewer, Central Reporting, Syslog lub logi usług dostarczają informacji o różnym poziomie szczegółowości.
• Kiedy trafienie jest incydentem?: Nie każde trafienie kategorii jest automatycznie przypadkiem bezpieczeństwa.
• Kto może zatwierdzić wyjątek?: Zapobiega szybkim, szerokim regułom dozwolonym bez oceny ryzyka.
• Kiedy wybór kategorii jest przeglądany?: Redukuje zmęczenie alarmami przez zbyt szerokie zestawy alertów.

Pragmatyczny przebieg wygląda tak:

1. Zarejestruj alert z użytkownikiem, adresem IP źródłowym, kategorią, URL lub domeną i czasem.
2. W Log Viewer sprawdź, która reguła firewalla i polityka internetowa zadziałały.
3. Jeśli Central Reporting lub SIEM są dostępne, użyj ich do ustalenia kolejności i czasu powiązanych zdarzeń.
4. Określ, czy to pojedynczy przypadek, powtarzający się wzorzec czy fałszywy alarm.
5. W przypadku błędnej kategoryzacji zastosuj wyłącznie precyzyjnie ograniczoną zmianę w grupie URL lub kategorii.
6. W przypadku zauważalnego wzorca oceń kontekst użytkownika, status Endpoint i inne logi bezpieczeństwa.
7. Udokumentuj decyzję: ignoruj, obserwuj, blokuj, wyjątek, incydent.

Dla technicznej analizy szczegółowej pomagają Rozwiązywanie problemów z Sophos Firewall: Usługi i logi, Aktywacja Central Firewall Reporting i Wysyłanie Syslog Sophos Firewall do SIEM. Jeśli nie jest jasne, czy trafiona została właściwa reguła firewalla, pasuje Testowanie reguły firewalla za pomocą Log Viewer, Policy Test i Packet Capture.

Rekomendacje operacyjne

Dla środowisk produkcyjnych sensowny jest trzystopniowy model:

1. Blokowanie: Blokuj złośliwe oprogramowanie, phishing, oszustwa, Command-and-Control, anonimizatory i inne wyraźnie ryzykowne kategorie.
2. Monitorowanie: Opatrz kilka wrażliwych kategorii natychmiastowymi alertami.
3. Ocena: Regularnie sprawdzaj raporty internetowe, Central Reporting lub SIEM.

Najważniejsza granica jest organizacyjna: Alert potrzebuje odbiorcy, czasu reakcji i decyzji, co zrobić z trafieniami. W przeciwnym razie z natychmiastowych alertów powstaje tylko dodatkowy hałas e-mailowy.

Lista kontrolna

• Sprawdzono licencję ochrony internetowej.
• Zidentyfikowano odpowiednią regułę firewalla.
• Utworzono lub dostosowano politykę internetową.
• Wybrano politykę internetową w regule firewalla.
• Aktywowano Log firewall traffic w regule.
• Świadomie zdecydowano o Block QUIC protocol.
• Świadomie zaplanowano inspekcję TLS lub świadomie jej nie zastosowano.
• Zdefiniowano krytyczne kategorie.
• Aktywowano natychmiastowe alerty tylko dla kilku jasnych kategorii.
• Aktywowano System services > Notifications list > Web – Instant alerts przez e-mail.
• Przeprowadzono test za pomocą testera polityki.
• Przeprowadzono test z rzeczywistym ruchem klienta.
• Sprawdzono Log Viewer.
• Sprawdzono Central Reporting lub Syslog, jeśli oczekiwana jest centralna ocena.
• Udokumentowano właściciela i ścieżkę reakcji dla alertów.

Bezpieczne wycofanie zmian

Przed zmianą zanotuj stan kategorii, politykę internetową i jej przypisanie do reguły firewalla. Pozwoli to wycofać tylko wymagane elementy bez wyłączania całego filtrowania internetowego.

1. Aby zatrzymać wyłącznie te alerty, wyłącz Instant alerts dla kategorii w Web > Categories. Nie wyłączaj globalnie Email notifications, jeśli inne zdarzenia systemowe korzystają z poczty.
2. Jeśli zmieniono wpisy kategorii lub kolejność reguł, przywróć zanotowane wpisy i pozycje.
3. Jeśli do reguły firewalla przypisano inną politykę internetową, przywróć poprzednią w Rules and policies > Firewall rules > [Rule] > Security features > Web filtering.
4. Powtórz pierwotne testy w Policy tester i na kliencie, a następnie potwierdź oczekiwane działanie w Log Viewer.

Powiadomienie utworzone przed wycofaniem może jeszcze dotrzeć w następnej pięciominutowej partii. Kryterium sukcesu jest ponowne zastosowanie zanotowanego działania polityki do nowego kontrolowanego żądania. Jeśli wyłączono Instant alerts, żądanie nie może wywołać kolejnej wiadomości e-mail z alertem webowym.

Troubleshooting

Jeśli brakuje oczekiwanego efektu, należy krok po kroku sprawdzić logi, dopasowanie reguł i działanie polityki.

Typowe błędy

• Polityka internetowa nie działa: Polityka nie jest wybrana w regule firewalla. Sprawdź regułę firewalla pod Web filtering.
• Kategoria jest dozwolona, chociaż powinna być zablokowana: Szeroka reguła zezwalająca znajduje się powyżej reguły blokującej. Sprawdź kolejność w polityce internetowej i regułach firewalla.
• Brak natychmiastowego alertu: Kategoria nie jest monitorowana, Email notifications jest globalnie wyłączone albo pole Email przy zdarzeniu nie jest zaznaczone. Sprawdź Web > Categories, System services > Notifications list, a następnie Administration > Notification settings.
• Brak informacji o użytkowniku w logu: Użytkownik nie jest rozpoznawany lub ruch nie pasuje do reguły opartej na użytkowniku. Sprawdź uwierzytelnianie, STAS, Captive Portal lub użytkowników bezklientowych.
• HTTPS jest nieoczekiwanie dozwolony: Brakuje odpowiedniej inspekcji TLS lub działania dla HTTPS. Sprawdź politykę internetową, reguły inspekcji SSL/TLS i deszyfrowanie.
• Filtrowanie internetowe nie działa w pełni: Przyczyną może być QUIC lub błędna ścieżka ruchu. Sprawdź Block QUIC protocol, usługi i Log Viewer.
• Zbyt wiele alertów: Wybrano zbyt szeroki zestaw kategorii. Zmniejsz listę alertów i ustal osobę odpowiedzialną.
• Brak domeny w logu/raporcie: Nazwa domeny może być ukrywana ze względu na szczególnie krytyczną kategorię. Sprawdź kategorię i zachowanie Sophos.

Sophos blokuje strony internetowe kategorii highly objectionable criminal activity zasadniczo i ukrywa nazwę domeny w logach i raportach. Jeśli wpis w tym obszarze jest anonimizowany, może to być zamierzone.

Często zadawane pytania