Verificar as definições IPS globais da Sophos Firewall

No SFOS 22, a Device Console da Sophos Firewall contém em set ips definições globais do motor IPS. Controlam fail-close, âmbito de análise, deteção de aplicações, processamento SIP, PKI Acceleration e comportamento durante atualizações de assinaturas. Não se limitam a uma IPS Policy ou regra de firewall.

O ponto de partida seguro é show ips-settings, que mostra valores e instâncias em execução. Só se altera um parâmetro quando um sintoma reproduzível o indica. Valor inicial, efeito esperado, fluxo de controlo e rollback são registados antes da manutenção.

⚠️ set ips não é uma lista geral de tuning. Algumas opções podem eliminar novas ligações, contornar Application Control ou Active Threat Response, fazer todo o tráfego contornar IPS durante um restart do motor ou exigir restart da firewall.

Configurar e testar IPS na Sophos Firewall aborda ativação, policies, assinaturas e falsos positivos. Este artigo acrescenta a camada CLI global.

Verificar primeiro a disponibilidade e o estado da proteção

Os valores globais não provam, por si só, que o IPS protege o tráfego. IPS protection tem de estar ativo em Intrusion prevention > IPS policies, e a regra de firewall deve usar a IPS policy pretendida. As assinaturas IPS exigem uma subscrição Network Protection ou trial license ativa. Após expirar, o interruptor pode continuar ligado embora o IPS deixe de ser aplicado. Se for desligado manualmente, a Sophos elimina todas as assinaturas e regras IPS após 30 dias; antes disso, exporte a configuração IPS ou crie um backup.

Em Backup & firmware > Pattern updates, o pattern IPS deve mostrar versão atual, hora plausível e Success. As Application Signatures estão sempre disponíveis; uma firewall ligada apenas descarrega assinaturas IPS com licença e interruptor IPS ativos. Em HA, atualize o Primary, que sincroniza automaticamente com o Auxiliary. Configurar e verificar Pattern Updates trata atualizações automáticas, manuais e air gap.

Procedimento curto e seguro

1. Registar ligação, Firewall Rule ID, IPS Policy, assinatura, hora e sintoma.
2. Guardar show ips-settings e, se necessário, a saída só de leitura show ips_conf.
3. Verificar se uma correção restrita de policy ou assinatura evita a alteração global.
4. Alterar um valor com testes positivo, negativo e de controlo.
5. Planear Apply e impacto operacional de failclose ou das instâncias IPS.
6. Validar Log Viewer, ips.log, aplicação e recursos, e reverter sem benefício claro.

Após um acesso SSH protegido, selecionar 4. Device Console. Troubleshooting de CLI na Sophos Firewall explica chave do host, acesso e limite com Advanced Shell.

show ips-settings
show ips_conf

show ips_conf expõe uma vista técnica da configuração Snort. As chaves internas não são um modelo aprovado para alterações próprias.

Compreender fail-close e limites de recursos

failclose determina a reação quando o motor IPS atinge o limite de ligações ou memória. Com on elimina novas ligações. Com off, o serviço IPS remove ligações antigas da cache para libertar espaço.

A Sophos documenta o valor segundo a RAM:

Um restore de backup pode transferir outro estado failclose. O valor é verificado após o restore, não deduzido apenas do hardware.

Os timeouts TCP e UDP aceitam de 1 a 43200 segundos. A Sophos documenta 180 segundos com failclose off e 600 com failclose on. Depois de alterar estado ou timeout, executar separadamente set ips failclose apply.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

O exemplo mostra a sintaxe ligada ao valor on, não uma recomendação geral. Verificar primeiro valores atuais, RAM, novas ligações, aplicações críticas e reação pretendida à falta de recursos. O rollback restaura estado e timeouts e executa failclose apply.

Para um rollback personalizado, substitua os marcadores pelo estado e timeouts guardados e execute apply:

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Após cada apply, execute novamente show ips-settings. Depois do exemplo, deve indicar failclose on e ambos os timeouts como 600; depois do rollback, deve mostrar os valores iniciais guardados. Não altere outro valor global se o resultado for diferente.

Só reponha o valor documentado após verificar a RAM: até 8 GB, off e 180 segundos; acima de 8 GB, on e 600 segundos. Não substitua uma configuração restaurada ou personalizada.

Definir conscientemente o âmbito de análise

Confiança ou todo o conteúdo

inspect untrusted-content analisa apenas conteúdo que a SophosLabs não considera confiável. É o valor documentado com melhor desempenho. inspect all-content analisa tudo e, segundo a Sophos, oferece a melhor segurança.

A alteração é global. Testar web, transferências, servidores publicados, aplicações VPN, CPU, memória e throughput sob carga comparável. Interpretar métricas de desempenho da Sophos Firewall explica o método.

Analisar tráfego desencriptado independentemente da porta

scan_decrypted_port_agnostic on está ativo por predefinição. IPS pode assim analisar tráfego desencriptado quando uma assinatura espera HTTP mas o fluxo usa outra porta.

Desativar reduz a cobertura em toda a firewall e não é uma correção permanente de um falso positivo. Um teste focado exige ID da assinatura, destino, porta, regra SSL/TLS Inspection e IPS Policy. Depois prefere-se uma exceção restrita e restaura-se o valor global. O processo está em Implementar TLS Inspection por fases.

Respostas HTTP e número de pacotes

http_response_scan_limit aceita de 0 a 262144; a Sophos exige 0 para análise completa. Outro valor não é copiado sem prova porque altera profundidade e recursos.

maxpkts define quantos pacotes as Application Filter policies analisam do cliente e servidor em ligações novas ou atualizadas. O valor documentado é 8. A Sophos recomenda 80 para aplicações proxy, P2P e túnel complexas, mas avisa que valores demasiado altos reduzem a velocidade.

80 não é uma definição geral de desempenho IPS. Primeiro prova-se classificação insuficiente com o valor normal e depois comparam-se deteção, estabelecimento, throughput e tráfego de controlo.

Deteção de aplicações e exceções ATR

enable_appsignatures on ativa assinaturas de aplicação e é o valor documentado. Um off global reduz a deteção de aplicações maliciosas e não corrige uma classificação errada isolada.

ac_atr exception fwrules exclui uma ou mais Firewall Rule IDs de Application Classification e Active Threat Response. IDs múltiplos são separados por vírgulas; none remove a exceção.

set ips ac_atr exception fwrules 12,27
set ips ac_atr exception fwrules none

A exceção não permite nem bloqueia as regras. Retira o seu tráfego de dois caminhos adicionais. Só se usa para IDs comprovados, com responsável, validade e teste negativo. Antes verificam-se Threat Feed, correspondência e configuração Active Threat Response.

Antes de definir uma exceção, guarde as Rule IDs atuais de show ips-settings. O rollback predefinido é none; se existia uma lista personalizada, restaure-a exatamente. Teste depois Application Classification e ATR com uma regra antes excluída e outra independente.

Motor, CPU e aceleração de hardware

Não mover instâncias IPS como otimização rápida

ips-instance add e clear atribuem ou removem uma instância IPS de uma CPU. A Sophos exige depois set ips-instance apply e restart da firewall. Sem restart a atribuição não fica ativa.

A atribuição manual não é tuning live. Pertence a manutenção com plataforma, instâncias atuais, recomendação Sophos e carga antes/depois documentadas.

Manter inalterados os interruptores obsoletos

A Sophos considera ips_mmap e packet-streaming obsoletos desde SFOS 18.0; ambos aparecem como on. Não servem para otimizar SFOS 22. packet-streaming off é arriscado: sem reassembly, conteúdo malicioso dividido entre pacotes Telnet, POP3, SMTP ou HTTP pode escapar às assinaturas.

Classificar corretamente PKI Acceleration

pki-acceleration enable é o valor documentado. Em modelos de XGS Appliance suportados, Xstream Flow Processor pode descarregar a nova assinatura de certificados X.509 para fluxos SSL/TLS inspecionados por DPI Engine.

show ips-settings mostra o estado. Versões ou modelos não suportados indicam disabled; com PKI Acceleration ativa e Firewall Acceleration desligada aparece enabled (inactive). Não avalie PKI Acceleration isoladamente. Segundo a Sophos, alterar o requisito Firewall Acceleration causa uma interrupção; a mudança exige uma janela planeada e não é um passo de diagnóstico deste artigo.

Não adivinhar o método de pesquisa

A Sophos documenta ac-bnfa com pouca memória e alto desempenho, ac-q com muita memória e o melhor desempenho e hyperscan com pouca memória e o melhor desempenho. hyperscan é o padrão.

As etiquetas não justificam uma mudança intuitiva. Suporte da plataforma, memória, carga reproduzível e resultado de deteção devem coincidir. Mantém-se o método documentado sem recomendação Sophos específica.

SIP e comportamento TCP especial

sip_preproc enable analisa sessões SIP contra ataques e está ativo por predefinição. sip_ignore_call_channel enable exclui por predefinição canais de áudio e vídeo da análise IPS. Ambos são globais.

Primeiro separam-se sinalização, media, direção, NAT, helper, evento IPS e VPN. Só uma chamada reproduzível justifica comparação CLI temporária. Otimizar e testar VoIP na Sophos Firewall fornece o processo.

tcp urgent-flag remove remove e repõe flag e pointer urgent TCP e é o valor documentado. allow encaminha-os inalterados. Flexibilizar exige Packet Capture e uma aplicação legacy específica.

Aplicar em segurança o âmbito dos patterns e as assinaturas

Full Signature Pack apenas a partir de 32 GB de RAM

system ips full-signature-pack controla se Pattern Updates descarrega o pacote IPS completo. A Sophos exige pelo menos 32 GB de RAM e alerta para possíveis efeitos no desempenho. Como não documenta um valor predefinido, leia primeiro o estado:

system ips full-signature-pack show

Antes da alteração, registe RAM, versão e hora do pattern IPS, CPU e memória. enable ou disable afeta o download durante Pattern Updates. Após a próxima atualização controlada, verifique Success, versão e novamente show. Se falhar ou os recursos mudarem, restaure o estado guardado com um único comando e observe o ciclo seguinte:

system ips full-signature-pack enable
system ips full-signature-pack disable

Não o ative como teste abaixo de 32 GB. Mais assinaturas não substituem uma IPS policy adequada. O SFOS 22.0 MR2 fornece novos patterns PQC com a ação Disabled; a utilização requer uma regra IPS e uma ação escolhidas conscientemente.

Manter reload e evitar bypass da proteção

set ips engine_update_mode reload é o valor documentado. Um reload pode eliminar alguns pacotes durante o carregamento. restart reinicia o motor; todo o tráfego de entrada e saída contorna IPS durante o restart.

A Sophos recomenda vivamente não alterar por segurança. Perante interrupção reproduzível, guardar hora, versão de patterns, fluxos e logs para Sophos Support.

Primeiro, show ips_conf deve mostrar config update_mode reload. Apenas se o Sophos Support solicitar excecionalmente uma comparação, prepare a janela e restaure logo o estado:

set ips engine_update_mode restart
set ips engine_update_mode reload

O segundo comando é o rollback predefinido. Depois, show ips_conf deve voltar a indicar config update_mode reload. Caso contrário, não repita restart; registe o desvio para o Sophos Support. Se restart já era a baseline personalizada documentada, não execute o exemplo e esclareça primeiro esse desvio com Support. Guarde hora, versão do pattern, fluxos, duração do bypass e logs.

Se o serviço IPS permanecer no estado Dead no SFOS 22 e as atualizações dos patterns IPS também falharem, não use engine_update_mode restart como contramedida. Guarde o estado do serviço, ips.log, sig_upgrade.log, a configuração da web policy e o nó HA. O âmbito das builds, o diagnóstico e o percurso de suporte para NC-181971 constam em O serviço IPS está DEAD no artigo Configurar e testar IPS com segurança. Planeie separadamente qualquer mudança de versão com a verificação de upgrade para SFOS 22.

Reservar set ips_conf para Sophos Support

set ips_conf pode adicionar, atualizar ou eliminar pares key-value internos de Snort. A Sophos avisa que só engenheiros Sophos Support devem executar estes comandos.

A saída só de leitura show ips_conf pode servir de baseline para suporte. Não se derivam comandos add, update ou del. Uma chave errada pode afetar proteção, estabilidade e suporte sem rollback seguro.

Validar e reverter uma alteração

Cria-se antes e depois uma nova ligação com mesma origem, destino e regra. Um fluxo de controlo não afetado deve manter a IPS Policy e ação esperadas. Avaliam-se juntos Log Viewer, ips.log, CPU, memória, estabelecimento e resultado.

O rollback usa o valor inicial de show ips-settings. Após restaurar fail-close executa-se novamente set ips failclose apply; instâncias também exigem Apply e restart. Não se experimentam parâmetros obsoletos ou internos.

Se o Log Viewer não mostrar os eventos esperados, verifique primeiro licença, interruptor IPS, pattern, Firewall Rule ID e policy atribuída. Um evento ausente não justifica restart nem reduzir globalmente a análise. Se uma atualização continuar Failed após uma tentativa manual documentada, envie versão, hora, build e logs ao Sophos Support.

Checklist operacional

• show ips-settings, build SFOS, modelo, hora e responsável registados.
• Parâmetro e caminho de tráfego específicos isolados.
• Correção restrita de policy ou assinatura verificada antes da alteração global.
• Estado failclose conforme RAM e efeito de restore considerados.
• Licença, interruptor IPS, policy atribuída e estado do pattern verificados.
• Full Signature Pack avaliado apenas a partir de 32 GB e com estado inicial guardado.
• Riscos de Apply, restart e bypass esclarecidos.
• Fluxos positivo, negativo e de controlo testados.
• Valor inicial real preparado para rollback.
• Nenhuma alteração própria set ips_conf executada.

FAQ