Configurar Sophos Endpoint Web Control
O Sophos Fusion (anteriormente Sophos Central) disponibiliza dois modelos de Endpoint Web Control. O modelo atual usa Web Filtering Profiles reutilizáveis. Classic Web Control permanece para agentes Windows antigos e macOS.
O processo seguro consiste em inventariar dispositivos e versões do agente, criar um Web Filtering Profile, atribuir uma pequena política-piloto User ou Device, ativar logging e testar um pedido permitido, avisado e bloqueado. Só depois da validação se amplia a atribuição. Website Exclusions globais não substituem Site Lists ou Tags específicos.
Esta distinção é decisiva para a operação. Uma nova política corretamente configurada não atua num Mac nem num Windows Endpoint com um agente demasiado antigo. Em contrapartida, uma Base Policy pode conter ambas as configurações e funcionar como fallback.
Novo Profile ou Classic?
O Web Profile exige Windows Endpoint 2026.1 ou posterior e só está disponível em Windows, não em Linux nem macOS. A Sophos indica Classic sobretudo para macOS e Windows Endpoint 2025.2.3.8 ou anterior.
Uma Custom Policy usa o novo Profile ou Classic. A Base Policy pode conter ambos e o agente seleciona a variante adequada à plataforma e versão.
Se um dispositivo ao qual a política foi atribuída não suportar Web Filtering Profiles, a política Web Profile correspondente é ignorada e aplica-se a política Web Control aplicável seguinte. Trata-se de uma seleção entre políticas, não de uma mudança para Classic dentro da mesma Custom Policy. O fallback Classic dentro da Base Policy, descrito acima, é um mecanismo distinto.
Antes da migração, inventarie por isso o sistema operativo, a versão do agente e toda a sequência de políticas aplicáveis até à Base Policy. Para Macs e agentes Windows antigos, determine qual é a política Classic compatível que efetivamente se segue e quais as suas definições. Altere a atribuição apenas quando o grupo de destino suportar o novo modelo ou quando tiver sido verificado o respetivo fallback compatível.
Criar um Web Filtering Profile
O perfil é criado em Global Settings > Protection & Remediation > Web Settings > Web Filtering Profiles; a função requer Manage web profiles. Um tenant pode ter 20 perfis e categorias e Site Lists podem estar ativas em conjunto. O limite aplica-se a cada tenant.
As opções atuais são Keep it clean, Optimal productivity, Block generative AI, Conserve bandwidth e Business only. Com Custom, selecione Allow, Warn, Block ou Let me specify para cada grupo; Let me specify apresenta as categorias individuais. Antes da escolha, View Details mostra o que cada nível controla efetivamente.
As Site Lists têm prioridade sobre decisões de categoria e tipo de ficheiro. Cada lista pode conter domínios, URLs, endereços IP ou intervalos CIDR; confirme cada entrada com Enter ou Tab. Segundo a Sophos, example.com e *.example.com abrangem todos os domínios que terminam em example.com, sem http:// nem https://. Cada lista pode conter até 750 entradas e um perfil até 20 listas. A ordem de cima para baixo determina a prioridade.
Nas Site Lists, o separador Category Checker apresenta a categoria SophosLabs Intelix e a classificação de risco de cada entrada. Durante a revisão, compare esta classificação com a ação da categoria no perfil, a ação e a prioridade da Site List e o motivo original da exceção. Assim é possível identificar entradas de bloqueio antigas cujo objetivo já é cumprido pela categoria, ou autorizações que possam sobrepor-se a uma classificação de risco. A indicação, por si só, não comprova nem a filtragem efetiva nem que uma entrada possa ser eliminada sem risco. Antes de remover uma entrada, verifique todos os perfis e políticas que utilizam a lista, documente a entrada anterior com a respetiva ação e ordem para a poder repor e teste primeiro a alteração num piloto restrito; depois, verifique os acessos necessários e os eventos correspondentes. Se o efeito for inesperado, reponha a entrada documentada e volte a verificar.
Um novo perfil não contém automaticamente a configuração de base correta. Categorias, listas e ações são selecionadas conscientemente antes de o perfil ser usado numa política Web Control.
Criar e atribuir a Policy
- Em My Products > Endpoint > Policies, clique em Add policy.
- Selecione Web Control como Feature e, consoante o destino, User ou Device como Type. Atribuir outros objetos mais tarde não substitui a escolha do tipo correto.
- Atribua um nome inequívoco, como
WC-Pilot-Windows-Profile, e inclua apenas o grupo-piloto em Users ou Computers. - Em Settings, selecione o tipo de política Web profile e o perfil preparado. Opcionalmente, podem aplicar-se perfis diferentes em horários diferentes.
- Configure Risky File Types de forma deliberada. Recommended é o ponto de partida seguro; Allow, Warn, Block ou Let me specify exigem uma justificação operacional documentada. Não é possível adicionar tipos de ficheiro próprios.
- Ative Log web control events e guarde a política. Sem esta opção, a Sophos regista apenas acessos a sites infetados, não todas as tentativas bloqueadas e com aviso.
Uma Custom Policy contém Web profile ou Classic settings, nunca ambos. Só a Base Policy pode conter ambos e usar Classic como fallback. O fallback para Classic na Base Policy aplica-se quando o Web Profile não pode ser aplicado a um dispositivo.
Utilizar corretamente Website Management
Website Management resolve duas tarefas diferentes: Tags próprias para websites e correção de categoria em todo o tenant. Uma entrada de domínio inclui subdomínios sem precisar de um caráter universal. Podem ser criadas até 5'000 Tags. Em Global Settings > Protection & Remediation > Web Settings > Website Management > Add, uma entrada aceita URL individuais, domínios completos, endereços IP, intervalos CIDR ou domínios de topo. Um comentário com o responsável e o número do pedido facilita revisões posteriores.
As Tags de Website Management pertencem ao fluxo de Classic Web Control. No novo modelo Web Profile, os destinos próprios são controlados através de Site Lists no Web Filtering Profile:
- Em Global Settings > Protection & Remediation > Web Settings > Website Management > Add, introduza os destinos, escolha uma Tag nova ou existente em Add tags e clique em Save.
- Aceda a My Products > Endpoint > Policies > Web Control, abra uma política que utilize Classic settings e selecione Settings.
- Em Control sites tagged in Website Management > Add New, selecione a Tag, defina Action como Allow, Warn ou Block e clique em Save na janela e novamente na política.
Category Override não pode permitir uma página classificada como Malware, Phishing, Hacking ou Command-and-Control. Se a categoria atribuída pela Sophos estiver incorreta, a Sophos recomenda abrir um pedido de suporte para solicitar a reclassificação. Website Exclusion remove as verificações de Web Control e tem um efeito muito mais amplo. Uma Category override altera a categoria Sophos em todo o tenant. Uma Tag agrupa destinos para que uma política os possa controlar especificamente. As entradas de Website Management baseadas em IP controlam apenas acessos do browser, não outras aplicações nem regras de firewall locais.
Os cryptominers JavaScript baseados na Web são bloqueados através da categoria Hacking. Isto bloqueia toda a categoria, não apenas o código de mineração; por isso, a alteração deve ser testada primeiro numa política-piloto. Se um site específico tiver de permanecer acessível por um motivo empresarial justificado, atribua-lhe uma Tag própria em Website Management e permita-o especificamente na política Web Control afetada. A Sophos classifica estes cryptominers como malware parasitário; a autorização continua a ser uma exceção documentada, não uma configuração de base recomendada.
HTTPS e páginas de aviso
As páginas de aviso do novo modelo Web Profile exigem desencriptação HTTPS na política Threat Protection efetiva. Por predefinição, a desencriptação HTTPS está desativada nos endpoints. A ativação é feita em My Products > Endpoint > Policies, na política Threat Protection efetiva, através de SSL/TLS decryption of HTTPS websites.
A desencriptação permite à Sophos ver URL completos e conteúdos e, em caso de deteção, enviar amostras à SophosLabs. Antes da ativação, verifique a privacidade, as regras internas e as categorias sensíveis. As exceções HTTPS globais protegem determinadas categorias e sites contra a desencriptação. As categorias predefinidas podem ser ativadas ou desativadas, mas não adicionadas nem removidas; é possível adicionar domínios, endereços IP e intervalos individuais. Nos destinos excluídos, não atuam a análise de transferências nem os controlos Risky File Types que necessitam de conteúdo desencriptado. Continuam a ser possíveis as verificações que não exigem desencriptação.
No Windows, a desencriptação HTTPS transfere o fluxo de dados da Windows Filtering Platform no kernel para um processo da Sophos no espaço de utilizador. Aí, o tráfego é desencriptado, verificado e novamente encriptado. Isto requer CPU, memória e consultas adicionais à nuvem. Processadores antigos e armazenamento lento podem, por isso, perder uma proporção especialmente elevada do débito. Se o problema afetar apenas alguns sites ou permanecer inalterado com a desencriptação desativada, esta causa geral de perda de desempenho não está demonstrada.
O Firefox usa um repositório de certificados próprio e pode usar DNS over HTTPS próprio. No Windows, security.enterprise_roots.enabled deve ser true para confiar no repositório de certificados do Windows. Para uma inspeção SNI fiável, também se verifica se o Firefox respeita as definições DNS geridas.
Num site HTTPS interno com certificado de servidor autoassinado ou não fidedigno por outro motivo, o browser pode indicar o certificado raiz RSA da Sophos após a ativação da desencriptação. Isto não significa automaticamente que o certificado Sophos tenha um problema: a Sophos restabelece a ligação, mas mantém o estado de confiança inválido do servidor de origem. A solução correta é corrigir a cadeia de certificados do site ou a respetiva confiança nos endpoints. Uma exceção de desencriptação implica, pelo contrário, aceitar conscientemente menos controlo e deve ser estritamente limitada. Uma Website Exclusion ampla esconderia o problema e enfraqueceria a inspeção.
Classic Web Control
Classic oferece opções de segurança adicionais, níveis de utilização aceitável predefinidos e controlos de partilha de dados. Os agendamentos não estão disponíveis na Base Policy. Quando usados, seguem a hora local do endpoint.
A política pode ser User ou Device. Verifique atribuição, prioridade, versão e plataforma e, após alterações, confirme a política efetiva em Reports > Events. Numa User Policy, verifique a associação do utilizador no Central e a conta com sessão iniciada localmente; numa Device Policy, a atribuição do computador. A prioridade determina qual a Custom Policy aplicável que fica efetiva. Aguarde a sincronização e confirme através de eventos, não apenas pela atribuição prevista.
No macOS, Sophos Endpoint não filtra nem bloqueia atualmente tráfego Web IPv6. Um teste IPv4 bem-sucedido não prova controlo do mesmo acesso por IPv6.
Piloto e validação
O piloto testa uma categoria permitida, uma com aviso e uma bloqueada, uma Site List de prioridade superior, uma Tag de Website Management, um tipo de ficheiro de risco, uma página HTTPS e uma exceção de desencriptação escolhida deliberadamente. Testam-se os browsers suportados pela organização, IPv4 e, quando necessário, IPv6. As políticas agendadas são verificadas segundo a hora local do endpoint. Em grupos de destino mistos, teste também, em cada caso, um dispositivo sem suporte para perfis: espera-se a política compatível seguinte identificada anteriormente e a respetiva ação planeada, não a política Web Profile ignorada. Verifique separadamente o nome da política no dispositivo e o seu efeito.
Defina o rollback antes de alargar o piloto: documente a atribuição e o Profile anteriores, estabeleça critérios de interrupção e indique o responsável que removerá a atribuição da Custom Policy ou restaurará o Profile anterior. O fallback automático da Base Policy para Classic só abrange dispositivos onde o Web Profile não pode ser aplicado; não reverte uma configuração inadequada num dispositivo suportado.
Em Reports > Events verifica-se que política e ação foram realmente acionadas. Uma página visível no browser não basta: a cache do browser, o DNS seguro, o proxy e o QUIC podem alterar o caminho observado. Espera-se um evento Block ou Warn, o utilizador ou computador correto e a política planeada.
Se faltarem eventos esperados, verifique primeiro Log web control events e depois o tipo de política, a atribuição, a prioridade, a versão do agente e a plataforma. Sem logging, a Sophos só regista tentativas de visitar sites infetados; um filtro de eventos vazio não prova que a política esteja inativa.
A página de teste Sophos sophostest.com é adequada para um teste funcional seguro. No Windows, C:\ProgramData\Sophos\Sophos Network Threat Protection\Logs\SophosNetFilter.log mostra a categoria do URL, a ação aplicada e se o acesso foi desencriptado. No macOS, a ação de Web Intelligence encontra-se em /Library/Logs/Sophos Anti-Virus.log.
Sem desencriptação HTTPS, em HTTPS a Sophos vê frequentemente apenas o nome do servidor proveniente de SNI, não o caminho completo. Nesse caso, uma página de aviso não pode ser inserida no conteúdo encriptado e o browser pode mostrar apenas um erro genérico de ligação. Além disso, as regras de URL exatas são sensíveis à escrita. Por isso, um teste com um caminho HTTPS completo não deve ser interpretado como uma simples regra de domínio.
Delimitar outros controlos Web
Endpoint Web Control continua a ser um módulo independente. Se DNS Protection for endpoints, Protected Browser, um Proxy ou uma Firewall de rede também filtrarem, outra camada pode bloquear primeiro; um Allow do Endpoint não anula esse bloqueio. Este artigo configura apenas Endpoint Web Control. Na resolução de problemas, verifique separadamente os eventos e as políticas de cada camada realmente usada.
Erros frequentes
Perante uma autorização inesperada, verificam-se a prioridade das Site Lists, as Website Exclusions globais, o Category Override e a política efetiva. Se o aviso faltar, verificam-se a desencriptação HTTPS, a confiança nos certificados e o suporte do browser.
Se o problema ocorrer apenas no Firefox, verificam-se o repositório de confiança e o DNS over HTTPS. Se o problema afetar apenas Macs, considere também IPv6. Uma ampla Website Exclusion não é um método de diagnóstico, porque remove os controlos em análise.
Se tipos de ficheiro de risco forem tratados de forma diferente, não se trata necessariamente de um erro da política. A Sophos pode avaliar fontes conhecidas e fidedignas de forma diferente de fontes desconhecidas através da reputação. Nas transferências encriptadas, esta verificação também exige desencriptação HTTPS adequada. O impacto no desempenho é medido em dispositivos-piloto.
Se um site permitido carregar parcialmente, scripts, estilos, imagens ou login vêm frequentemente de outros domínios. Use o log Network Threat Protection e ferramentas do browser para identificar cada destino, sem permitir categoria ampla. No separador Network das ferramentas de desenvolvimento do browser, identifique os pedidos que efetivamente falham. Avalie e acrescente apenas os destinos adicionais necessários; uma exceção geral para todos os conteúdos de terceiros da página seria desnecessariamente ampla.
Se Web Protection tiver de ser brevemente desativado para diagnóstico, use uma política separada em poucos dispositivos com responsável e prazo. Não desative Base Policy globalmente. Reative de imediato e preserve os eventos e os registos. Também uma Website Exclusion global removeria várias camadas de proteção em simultâneo e não constitui uma solução permanente aceitável.
Artigos relacionados
HTTPS Decryption é descrita em Sophos Endpoint Threat Protection Best Practices. O rollout geral encontra-se em Implementar Sophos Endpoint Control Policies.