Verificar as definições IPS globais da Sophos Firewall

No SFOS 22, a Device Console da Sophos Firewall contém em set ips definições globais do motor IPS. Controlam fail-close, âmbito de análise, deteção de aplicações, processamento SIP, PKI Acceleration e comportamento durante atualizações de assinaturas. Não se limitam a uma IPS Policy ou regra de firewall.

O ponto de partida seguro é show ips-settings, que mostra valores e instâncias em execução. Só se altera um parâmetro quando um sintoma reproduzível o indica. Valor inicial, efeito esperado, fluxo de controlo e rollback são registados antes da manutenção.

⚠️ set ips não é uma lista geral de tuning. Algumas opções podem eliminar novas ligações, contornar Application Control ou Active Threat Response, fazer todo o tráfego contornar IPS durante um restart do motor ou exigir restart da firewall.

Configurar e testar IPS na Sophos Firewall aborda ativação, policies, assinaturas e falsos positivos. Este artigo acrescenta a camada CLI global.

Verificar primeiro a disponibilidade e o estado da proteção

Os valores globais não provam, por si só, que o IPS protege o tráfego. IPS protection tem de estar ativo em Intrusion prevention > IPS policies, e a regra de firewall deve usar a IPS policy pretendida. As assinaturas IPS exigem uma subscrição Network Protection ou trial license ativa. Após expirar, o interruptor pode continuar ligado embora o IPS deixe de ser aplicado. Se for desligado manualmente, a Sophos elimina todas as assinaturas e regras IPS após 30 dias; antes disso, exporte a configuração IPS ou crie um backup.

Em Backup & firmware > Pattern updates, o pattern IPS deve mostrar versão atual, hora plausível e Success. As Application Signatures estão sempre disponíveis; uma firewall ligada apenas descarrega assinaturas IPS com licença e interruptor IPS ativos. Em HA, atualize o Primary, que sincroniza automaticamente com o Auxiliary. Configurar e verificar Pattern Updates trata atualizações automáticas, manuais e air gap.

Procedimento curto e seguro

1. Registar ligação, Firewall Rule ID, IPS Policy, assinatura, hora e sintoma.
2. Guardar show ips-settings e, se necessário, a saída só de leitura show ips_conf.
3. Verificar se uma correção restrita de policy ou assinatura evita a alteração global.
4. Alterar um valor com testes positivo, negativo e de controlo.
5. Planear Apply e impacto operacional de failclose ou das instâncias IPS.
6. Validar Log Viewer, ips.log, aplicação e recursos, e reverter sem benefício claro.

Após um acesso SSH protegido, selecionar 4. Device Console. Troubleshooting de CLI na Sophos Firewall explica chave do host, acesso e limite com Advanced Shell.

show ips-settings
show ips_conf

show ips_conf expõe uma vista técnica da configuração Snort. As chaves internas não são um modelo aprovado para alterações próprias.

Compreender fail-close e limites de recursos

failclose determina a reação quando o motor IPS atinge o limite de ligações ou memória. Com on elimina novas ligações. Com off, o serviço IPS remove ligações antigas da cache para libertar espaço.

A Sophos documenta o valor segundo a RAM:

Um restore de backup pode transferir outro estado failclose. O valor é verificado após o restore, não deduzido apenas do hardware.

Os timeouts TCP e UDP aceitam de 1 a 43200 segundos. A Sophos documenta 180 segundos com failclose off e 600 com failclose on. Depois de alterar estado ou timeout, executar separadamente set ips failclose apply.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

O exemplo mostra a sintaxe ligada ao valor on, não uma recomendação geral. Verificar primeiro valores atuais, RAM, novas ligações, aplicações críticas e reação pretendida à falta de recursos. O rollback restaura estado e timeouts e executa failclose apply.

Para um rollback personalizado, substitua os marcadores pelo estado e timeouts guardados e execute apply:

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Após cada apply, execute novamente show ips-settings. Depois do exemplo, deve indicar failclose on e ambos os timeouts como 600; depois do rollback, deve mostrar os valores iniciais guardados. Não altere outro valor global se o resultado for diferente.

Só reponha o valor documentado após verificar a RAM: até 8 GB, off e 180 segundos; acima de 8 GB, on e 600 segundos. Não substitua uma configuração restaurada ou personalizada.

Definir conscientemente o âmbito de análise

Confiança ou todo o conteúdo

inspect untrusted-content analisa apenas conteúdo que a SophosLabs não considera confiável. É o valor documentado com melhor desempenho. inspect all-content analisa tudo e, segundo a Sophos, oferece a melhor segurança.

A alteração é global. Testar web, transferências, servidores publicados, aplicações VPN, CPU, memória e throughput sob carga comparável. Interpretar métricas de desempenho da Sophos Firewall explica o método.

Analisar tráfego desencriptado independentemente da porta

scan_decrypted_port_agnostic on está ativo por predefinição. IPS pode assim analisar tráfego desencriptado quando uma assinatura espera HTTP mas o fluxo usa outra porta.

Desativar reduz a cobertura em toda a firewall e não é uma correção permanente de um falso positivo. Um teste focado exige ID da assinatura, destino, porta, regra SSL/TLS Inspection e IPS Policy. Depois prefere-se uma exceção restrita e restaura-se o valor global. O processo está em Implementar TLS Inspection por fases.

Respostas HTTP e número de pacotes

http_response_scan_limit aceita de 0 a 262144; a Sophos exige 0 para análise completa. Outro valor não é copiado sem prova porque altera profundidade e recursos.

maxpkts define quantos pacotes as Application Filter policies analisam do cliente e servidor em ligações novas ou atualizadas. O valor documentado é 8. A Sophos recomenda 80 para aplicações proxy, P2P e túnel complexas, mas avisa que valores demasiado altos reduzem a velocidade.

A forma de entrada documentada é set ips maxpkts [numeric value more than 8|all|default]: um valor numérico explícito tem de ser superior a 8; all e default são entradas alternativas, não uma sequência de comandos. Por isso, o valor predefinido 8 não é um exemplo de definição numérica explícita. O número de pacotes limita a classificação de aplicações separadamente em cada direção, não a análise IPS subsequente: com 9, são considerados para classificação os primeiros nove pacotes do cliente e os primeiros nove do servidor; a análise IPS continua. Para um teste justificado, escolha exatamente uma entrada e guarde previamente o valor atual. O rollback restaura exatamente o estado anterior; default só é adequado para uma baseline predefinida confirmada, não como substituto de uma configuração personalizada. Se não for possível ler inequivocamente o estado anterior ou restaurá-lo numa forma documentada, deve envolver-se o Sophos Support antes do teste. Após a alteração e o rollback, leem-se novamente as definições e comparam-se a classificação, o tráfego de controlo e o desempenho. Não se deduz desta referência qualquer significado adicional de all em tempo de execução.

80 não é uma definição geral de desempenho IPS. Primeiro prova-se classificação insuficiente com o valor normal e depois comparam-se deteção, estabelecimento, throughput e tráfego de controlo.

Deteção de aplicações e exceções ATR

enable_appsignatures on ativa assinaturas de aplicação e é o valor documentado. Um off global reduz a deteção de aplicações maliciosas e não corrige uma classificação errada isolada.

ac_atr exception fwrules exclui uma ou mais Firewall Rule IDs de Application Classification e Active Threat Response. IDs múltiplos são separados por vírgulas; none remove a exceção.

Antes de definir as exceções, guardam-se os IDs das exceções existentes obtidos com show ips-settings e determina-se a lista de destino completa necessária. Se a baseline ou o procedimento para a restaurar exatamente não forem claros, não se efetua qualquer alteração e envolve-se o Sophos Support. 12,27 são IDs de exemplo para a lista escolhida conscientemente; daí não decorre qualquer semântica documentada de adição ou fusão.

Alteração escolhida: definir apenas a lista de destino verificada, usando os IDs das regras correspondentes em vez dos IDs de exemplo:

set ips ac_atr exception fwrules 12,27

Remoção alternativa, a não executar em seguida: escolher none apenas se não deva realmente permanecer qualquer exceção. Como rollback, esta opção só é adequada para uma baseline vazia confirmada; caso contrário, restaurar exatamente a lista guardada, sem a eliminar entretanto:

set ips ac_atr exception fwrules none

A exceção não permite nem bloqueia as regras. Retira o seu tráfego de dois caminhos adicionais. Só se usa para IDs comprovados, com responsável, validade e teste negativo. Antes verificam-se Threat Feed, correspondência e configuração Active Threat Response.

Os dois exemplos são alternativas, não uma sequência de teste. Após a alteração e o rollback, lê-se novamente a lista com show ips-settings e compara-se com a lista de destino escolhida ou com a baseline guardada, respetivamente. Depois, é necessário voltar a verificar Application Classification e ATR tanto numa regra anteriormente excluída como numa regra não afetada.

Motor, CPU e aceleração de hardware

Não mover instâncias IPS como otimização rápida

A Sophos documenta em set ips a estrutura de argumentos ips-instance [add|clear] IPS cpu <0-maximum CPUs in the device> e um intervalo de CPU de 0 até ao número máximo de CPUs do equipamento. A documentação SFOS-22/23 é contraditória quanto a Apply: a lista de sintaxe apresenta ips-instance apply em set ips, enquanto o texto explicativo indica set ips-instance apply. Não se deduz aqui desta informação qualquer chamada Apply executável, nem se presume a numeração das CPUs. Antes de qualquer alteração, o Sophos Support tem de confirmar os IDs de CPU válidos, a sintaxe exata de Add/Clear/Apply e a restauração exata da atribuição anterior para a build instalada. Registam-se as instâncias em execução com show ips-settings; sem uma baseline inequívoca e um procedimento de restauração confirmado, não se efetua qualquer alteração. Segundo a fonte, Apply exige um restart subsequente da firewall; sem restart, a nova configuração não é aplicada. Após a alteração e a restauração, leem-se novamente as instâncias em execução depois do restart planeado e comparam-se com o estado pretendido ou com a baseline, respetivamente.

A atribuição manual não é tuning live. Pertence a manutenção com plataforma, instâncias atuais, recomendação Sophos e carga antes/depois documentadas.

Manter inalterados os interruptores obsoletos

Segundo a Sophos, ips_mmap e packet-streaming estão obsoletos desde SFOS 18.0; para ambos, a referência indica on como valor predefinido, não como valor atual medido no equipamento. Por isso, não são utilizados como opções de otimização no SFOS 22. Em particular, packet-streaming off é arriscado: sem reassembly, conteúdos maliciosos repartidos através de protocolos como Telnet, POP3, SMTP ou HTTP podem escapar à análise de assinaturas.

Classificar corretamente PKI Acceleration

pki-acceleration enable é o valor predefinido documentado. Em modelos de XGS Appliance suportados, o Xstream Flow Processor pode assumir a tarefa de voltar a assinar certificados de servidor X.509 para fluxos SSL/TLS inspecionados pelo DPI Engine.

show ips-settings mostra o estado. Versões ou modelos não suportados indicam disabled; com PKI Acceleration ativa e Firewall Acceleration desligada aparece enabled (inactive). Não avalie PKI Acceleration isoladamente. Segundo a Sophos, alterar o requisito Firewall Acceleration causa uma interrupção; a mudança exige uma janela planeada e não é um passo de diagnóstico deste artigo.

Não adivinhar o método de pesquisa

A Sophos documenta ac-bnfa com pouca memória e alto desempenho, ac-q com muita memória e o melhor desempenho e hyperscan com pouca memória e o melhor desempenho. hyperscan é o padrão.

As etiquetas não justificam uma mudança intuitiva. Suporte da plataforma, memória, carga reproduzível e resultado de deteção devem coincidir. Mantém-se o método documentado sem recomendação Sophos específica.

SIP e comportamento TCP especial

sip_preproc enable analisa sessões SIP contra ataques e está ativo por predefinição. sip_ignore_call_channel enable exclui por predefinição canais de áudio e vídeo da análise IPS. Ambos são globais.

Primeiro separam-se sinalização, media, direção, NAT, helper, evento IPS e VPN. Só uma chamada reproduzível justifica comparação CLI temporária. Otimizar e testar VoIP na Sophos Firewall fornece o processo.

tcp urgent-flag remove remove e repõe flag e pointer urgent TCP e é o valor documentado. allow encaminha-os inalterados. Flexibilizar exige Packet Capture e uma aplicação legacy específica.

Aplicar em segurança o âmbito dos patterns e as assinaturas

Full Signature Pack apenas a partir de 32 GB de RAM

system ips full-signature-pack controla se Pattern Updates descarrega o pacote IPS completo. A Sophos exige pelo menos 32 GB de RAM e alerta para possíveis efeitos no desempenho. Como a documentação da CLI não indica um valor predefinido, leia primeiro o estado:

system ips full-signature-pack show

Antes da alteração, registe RAM, versão e hora do pattern IPS, CPU e memória. enable ou disable afeta o download durante Pattern Updates. Após a próxima atualização controlada, verifique Success, versão e novamente show. Se falhar ou os recursos mudarem, restaure o estado guardado com um único comando e observe o ciclo seguinte:

system ips full-signature-pack enable
system ips full-signature-pack disable

Não o ative como teste abaixo de 32 GB. Mais assinaturas não substituem uma IPS policy adequada. O SFOS 22.0 MR2 fornece novos patterns PQC com a ação Disabled; a utilização requer uma regra IPS e uma ação escolhidas conscientemente.

Para automatização através da API XML, IPSFullSignaturePack utiliza o campo obrigatório Status com os valores em minúsculas enable, disable ou show: ativam o download completo, desativam-no ou consultam o estado, respetivamente. A tabela de parâmetros da API indica disable como valor predefinido; isto não estabelece um estado inicial universal da CLI ou do equipamento. O exemplo de configuração não documenta uma operação Get geral. A automatização também exige as verificações de RAM, licença, atualização e rollback descritas acima.

Manter reload e evitar bypass da proteção

set ips engine_update_mode reload é o valor documentado. Um reload pode eliminar alguns pacotes durante o carregamento. restart reinicia o motor; todo o tráfego de entrada e saída contorna IPS durante o restart.

A Sophos recomenda vivamente não alterar por segurança. Perante interrupção reproduzível, guardar hora, versão de patterns, fluxos e logs para Sophos Support.

Primeiro, show ips_conf deve mostrar config update_mode reload. Apenas se o Sophos Support solicitar excecionalmente uma comparação, prepare a janela e restaure logo o estado:

set ips engine_update_mode restart
set ips engine_update_mode reload

O segundo comando é o rollback predefinido. Depois, show ips_conf deve voltar a indicar config update_mode reload. Caso contrário, não repita restart; registe o desvio para o Sophos Support. Se restart já era a baseline personalizada documentada, não execute o exemplo e esclareça primeiro esse desvio com Support. Guarde hora, versão do pattern, fluxos, duração do bypass e logs.

Se o serviço IPS permanecer no estado Dead no SFOS 22 e as atualizações dos patterns IPS também falharem, não use engine_update_mode restart como contramedida. Guarde o estado do serviço, ips.log, sig_upgrade.log, a configuração da web policy e o nó HA. O âmbito das builds, o diagnóstico e o percurso de suporte para NC-181971 constam em O serviço IPS está DEAD no artigo Configurar e testar IPS com segurança. Planeie separadamente qualquer mudança de versão com a verificação de upgrade para SFOS 22.

Reservar set ips_conf para Sophos Support

set ips_conf pode adicionar, atualizar ou eliminar pares key-value internos de Snort. A Sophos avisa que só engenheiros Sophos Support devem executar estes comandos.

A saída só de leitura show ips_conf pode servir de baseline para suporte. Não se derivam comandos add, update ou del. Uma chave errada pode afetar proteção, estabilidade e suporte sem rollback seguro.

Validar e reverter uma alteração

Cria-se antes e depois uma nova ligação com mesma origem, destino e regra. Um fluxo de controlo não afetado deve manter a IPS Policy e ação esperadas. Avaliam-se juntos Log Viewer, ips.log, CPU, memória, estabelecimento e resultado.

O rollback utiliza o valor inicial documentado com show ips-settings. No caso de failclose, executa-se depois novamente set ips failclose apply; numa alteração de instâncias, os requisitos de Apply e restart também se aplicam à restauração. A restauração das instâncias IPS também exige o esclarecimento com o Sophos Support, para a build instalada, da sintaxe Apply contraditória, conforme descrito acima. Não se alteram a título experimental parâmetros obsoletos ou internos do suporte.

Se o Log Viewer não mostrar os eventos esperados, verifique primeiro licença, interruptor IPS, pattern, Firewall Rule ID e policy atribuída. Um evento ausente não justifica restart nem reduzir globalmente a análise. Se uma atualização continuar Failed após uma tentativa manual documentada, envie versão, hora, build e logs ao Sophos Support.

Checklist operacional

• show ips-settings, build SFOS, modelo, hora e responsável registados.
• Parâmetro e caminho de tráfego específicos isolados.
• Correção restrita de policy ou assinatura verificada antes da alteração global.
• Estado failclose conforme RAM e efeito de restore considerados.
• Licença, interruptor IPS, policy atribuída e estado do pattern verificados.
• Full Signature Pack avaliado apenas a partir de 32 GB e com estado inicial guardado.
• Riscos de Apply, restart e bypass esclarecidos.
• Fluxos positivo, negativo e de controlo testados.
• Valor inicial real preparado para rollback.
• Nenhuma alteração própria set ips_conf executada.

FAQ