Gerir Windows Firewall com Sophos Fusion Endpoint
A Windows Firewall Policy do Sophos Fusion (anteriormente Sophos Central) monitoriza ou configura a firewall de host integrada no Windows. Não cria regras detalhadas: as exceções continuam a ser regras locais da Windows Firewall ou são distribuídas por um sistema próprio, como Group Policy ou MDM.
Limite do produto: esta Policy aplica-se a computadores e servidores Windows. Não está relacionada com um Sophos Firewall Appliance, as suas regras de rede, NAT, VPN ou Central Firewall Management. O caminho para computadores é My Products > Endpoint > Policies; para servidores, My Products > Server > Policies.
Procedimento rápido
- Selecionar Add Policy, escolher Windows Firewall como funcionalidade e, para Endpoint, o tipo de Policy necessário.
- Na página de detalhes da Policy, atribuir os dispositivos ou grupos necessários.
- Em Settings > Monitor Type, começar por Monitor Only.
- Ativar a Policy e registar o estado comunicado e as regras existentes num grupo piloto.
- Só depois mudar para Monitor & Configure Network Profiles e definir as ligações de entrada de Domain Networks, Private Networks e Public Networks.
Esta prudência é importante: a Sophos avisa expressamente que outras firewalls e a Windows Group Policy podem afetar a aplicação da Policy. A base de regras existente também tem de continuar a permitir comunicação com a Sophos.
Escolher o Monitor Type correto
| Modo | Significado |
|---|---|
| Disabled | Desinstala o componente de firewall Sophos do Endpoint; esta opção consta da documentação Endpoint atual, mas não da Server Policy separada |
| Monitor Only | Comunica o estado da firewall sem alterar os perfis |
| Monitor & Configure Network Profiles | Comunica o estado e define a ação de entrada escolhida para cada perfil de rede |
Monitor Only é a predefinição documentada e a base segura quando já existe gestão por GPO ou MDM. Disabled não significa apenas “não configurar”: nos computadores Endpoint desinstala o componente. Para servidores Windows, a Sophos documenta apenas Monitor Only e Monitor & Configure Network Profiles.
Ligações de entrada por perfil de rede
Domain, Private e Public oferecem três ações:
- Block All: bloqueia todas as ligações de entrada do perfil.
- Block (with exceptions): bloqueia as ligações de entrada, exceto quando uma exceção configurada localmente no computador ou servidor as permite. Sem exceções, bloqueia todas.
- Allow All: permite todas as ligações de entrada do perfil.
Segundo a Sophos, estas escolhas controlam ligações de entrada, não são uma regra geral para tráfego de saída. Block (with exceptions) é normalmente a base sensata em produção. Allow All aumenta a superfície de ataque; Block All pode interromper gestão, autenticação, impressão, acesso a ficheiros e suporte.
Determinar o perfil Windows e o responsável pelas regras
O Windows aplica o perfil Domain, Private ou Public de acordo com a rede detetada. Um dispositivo associado ao domínio usa Domain automaticamente ao detetar um Domain Controller. Public é o perfil predefinido para redes não identificadas. O piloto deve incluir pelo menos um dispositivo de cada perfil realmente usado.
Quando o Sophos Fusion configura os perfis, a Policy impede alterações à Windows Firewall através do Windows Security Center. É intencional, mas pode mudar o processo do Helpdesk.
Antes do Configure Mode, deve definir-se um responsável pelas regras detalhadas. O Sophos Fusion apenas define aqui a ação do perfil. A gestão Windows continua a determinar que regras locais podem ser combinadas e quais vêm de GPO ou MDM. Regras Block explícitas do Windows prevalecem sobre regras Allow em conflito; uma exceção aparente não garante o fluxo.
Implementar com segurança num grupo piloto
1. Registar o estado inicial
Incluir computadores ou servidores dos perfis realmente usados e um cliente Home Office, se aplicável. Em Monitor Only, registar perfis ativos, regras locais, definições GPO ou MDM, firewalls de terceiros e aplicações que necessitem de ligações de entrada.
2. Configurar a Policy
Em Settings > Monitor Type, selecionar Monitor & Configure Network Profiles. Definir deliberadamente uma ação para Domain Networks, Private Networks e Public Networks. Antes da mudança, distribuir as exceções necessárias localmente ou pelo canal Windows acordado e limitá-las aos perfis corretos. Colocar a Policy piloto acima das Policies de Windows Firewall mais gerais na lista, porque o Sophos Fusion aplica a primeira Policy ativa com um âmbito correspondente. No piloto, alterar e verificar primeiro apenas um perfil que seja realmente utilizado.
3. Validar o efeito
Depois de guardar, confirmar primeiro que a Policy está ativa e atribuída ao dispositivo de teste. Em seguida, abrir My Environment > Computers & Servers > dispositivo de teste > Policies e confirmar que o nome da Policy piloto aparece como a Policy efetivamente aplicada à Windows Firewall. Só depois, para cada perfil ativo, testar as ligações de entrada necessárias, como Remote Support, impressão ou serviços cliente-servidor aprovados. Comunicação com Sophos Fusion, DNS, DHCP, início de sessão, distribuição de software e funcionamento normal do Endpoint também fazem parte da aceitação. Um estado verde, por si só, não prova que todas as ligações funcionam.
4. Regressar com segurança
Antes da alteração, manter um acesso administrativo testado e independente do caminho de rede afetado. Perante bloqueios inesperados, repor a mesma Policy em Monitor Only, guardar, aguardar que o dispositivo receba a alteração e testar novamente. Se a comunicação com Sophos Fusion já estiver interrompida, um rollback remoto pelo mesmo caminho não basta; deve usar-se o acesso alternativo preparado. Disabled não é um rollback rápido, pois desinstala o componente nos computadores Endpoint.
Monitorizar outra firewall registada
Se outra firewall de host estiver registada no Windows Security Center, a Sophos pode monitorizar o seu estado. Isto não significa que o Sophos Fusion possa configurar as respetivas regras. Um estado verde confirma apenas o estado comunicado pelo Windows, não a qualidade de todas as regras.
Resolução de problemas por sintoma
Perante tráfego bloqueado inesperadamente, verificar primeiro o perfil Windows ativo, a Sophos Policy efetivamente aplicada e as regras efetivas da Windows Firewall. Verificar depois o conjunto de políticas resultante (RSoP) das GPO, as definições MDM e os produtos de segurança registados. Prestar especial atenção a regras Block explícitas em conflito e exceções limitadas ao perfil errado.
Se o utilizador já não puder alterar a Windows Firewall no Security Center, é o comportamento esperado em Configure Mode. Se forem necessárias alterações locais, deve adaptar-se o modelo operacional em vez de manipular o Endpoint Agent.
Se o Sophos Fusion mostrar um estado incorreto, verificar o Windows Security Center, a firewall registada, o estado dos serviços, os eventos e a receção da Policy. Após uma alteração de componentes, pode ser necessário reiniciar. Uma exclusão ampla de Threat Protection não corrige a Policy de firewall. Não reutilizar antigos workarounds de Registry ou Audit Policy em agents atuais. Registar a versão instalada do agent e o intervalo temporal do incidente; depois, consultar Sophos Endpoint Updates, Cache e Message Relay para correlacionar o início com alterações de componentes e verificar problemas conhecidos da versão. Se não houver correspondência, escalar o caso para o Sophos Support com a versão exata do agent, os carimbos de data/hora e os logs.
Artigos relacionados
Estruturar corretamente as políticas Sophos Fusion Endpoint explica a atribuição de Policies. O acesso de rede do Agent e os requisitos de proxy são tratados separadamente.