Configurar e testar o Application Control no Sophos Firewall

O Application Control identifica tráfego de aplicações que não pode ser distinguido adequadamente apenas pelas portas. Assim, um Sophos Firewall pode, por exemplo, permitir ou bloquear de forma específica ferramentas de controlo remoto, aplicações de tunneling, streaming ou armazenamento cloud. A correspondência é registada através da regra de firewall associada; um Application Filter não dispõe de uma ação Log própria.

O processo principal é simples: em Applications > Application filter, cria-se o filtro; em Rules and policies > Firewall rules, atribui-se esse filtro à regra que processa efetivamente o tráfego; e, em seguida, verificam-se a Rule ID, a aplicação e a ação com um cliente real. Uma Filter Policy guardada, por si só, não altera qualquer tráfego.

Definir os pré-requisitos e o objetivo

O Application Control faz parte da Web Protection Subscription. O estado da licença pode ser verificado em Administration > Licensing. Antes da configuração, também devem ser definidos:

• o utilizador ou segmento de rede afetado e os respetivos percursos IPv4/IPv6;
• a aplicação ou o grupo que será inicialmente monitorizado ou bloqueado;
• a regra de firewall que processa atualmente esse tráfego;
• um cliente de teste, uma operação de teste reproduzível e o resultado esperado;
• o Application Filter atualmente atribuído, a posição da regra e a associação NAT existente, como estado inicial para o rollback.

Em Backup & firmware > Pattern updates, verificam-se as atualizações de assinaturas. Por predefinição, são executadas automaticamente; Update pattern now atualiza, quando necessário, todas as definições de padrões, exceto os padrões de firmware de AP e RED. Os estados Ready to install, Downloading, Success e Failed ajudam a diagnosticar o problema. As assinaturas de aplicações continuam disponíveis mesmo sem uma licença IPS ativa, enquanto as assinaturas IPS exigem uma licença adequada e o IPS ativado.

Na regra de teste, deve ativar-se Log firewall traffic. O logging é controlado pela regra de firewall, não pelo Application Filter. Para apenas observar, utiliza-se, portanto, um filtro permissivo e analisa-se o tráfego identificado antes de definir aplicações específicas como Deny.

Se o objetivo real for a priorização ou limitação de largura de banda, Configurar Application Traffic Shaping no Sophos Firewall complementa o filtro. Para rotas SD-WAN baseadas em aplicações, utiliza-se, pelo contrário, um Application Object; o procedimento é explicado em Configurar uma rota SD-WAN no Sophos Firewall com failover de gateway.

Planear e criar o Application Filter

Em Applications > Application list, pode verificar-se se a Sophos disponibiliza uma assinatura específica e a categoria ou o risco a que está atualmente associada. No filtro Name, estão disponíveis contains, is, is not e does not contain. Uma correspondência no catálogo ainda não prova que a aplicação será identificada na rede em causa; isso será validado posteriormente através de um teste com um cliente.

Uma seleção fixa de aplicações individuais é bastante previsível. Em contrapartida, critérios como Risk, Category ou Classification, disponível apenas para aplicações cloud, permanecem dinâmicos: assinaturas novas ou reclassificadas também poderão corresponder no futuro. Estas regras precisam de um responsável documentado e de uma revisão após alterações de padrões ou de classificação.

O percurso completo para uma policy e a respetiva regra é:

Applications > Application filter > Add
Applications > Application filter > Edit policy > Add

1. Em Add, atribua um nome inequívoco, por exemplo Block_File_Transfer_Pilot.
2. Escolha um template. Para um bloqueio específico, Allow All é um ponto de partida compreensível; não se deve presumir que todas as policies novas e vazias funcionam automaticamente dessa forma.
3. Guarde a policy, volte a abri-la e crie uma regra de filtro com Add.
4. Utilize Select Individual Application ou, com Select All, restrinja as correspondências por Application, Category, Risk, Characteristics, Technology, Classification ou Smart Filter.
5. Defina Action como Allow ou Deny.
6. Em Schedule, escolha, por exemplo, All the time ou atribua um horário adequado.
7. Guarde primeiro a regra de filtro e, em seguida, a policy.

Entre outros, o SFOS inclui os templates Allow All, Deny All, Block filter avoidance apps, Block generally unwanted apps, Block high risk (Risk Level 4 and 5) apps, Block peer to peer (P2P) networking apps e Block very high risk (Risk Level 5) apps. Um template é um ponto de partida, não uma configuração padrão pronta a utilizar. Sobretudo as regras baseadas em Risk e Category devem ser comparadas com as aplicações necessárias na própria rede antes de serem aplicadas de forma generalizada.

As regras dependentes do tempo requerem um Schedule adequado. O artigo Configurar horários para regras e policies no Sophos Firewall explica como criá-lo e verificá-lo em relação à hora da firewall e às regras de fallback.

Exemplo: bloquear transferências de ficheiros baseadas no browser

O exemplo oficial mantém inalteradas as restantes aplicações de transferência de ficheiros e restringe apenas as transferências baseadas no browser:

1. Crie a policy Block_File_Transfer_Pilot a partir de Allow All e volte a abri-la.
2. Crie uma regra com Add > Select All.
3. Selecione Category: File Transfer, Characteristics: Transfer files e Technology: Browser Based.
4. Defina Action: Deny e Schedule: All the time.
5. Guarde a regra de filtro e a policy.

Esta seleção também pode afetar processos legítimos de upload, colaboração ou backup. Por isso, o cliente piloto deve testar tanto uma transferência que deva ser bloqueada como um serviço empresarial expressamente permitido dentro do mesmo âmbito.

Atribuir o filtro à regra de firewall correta

O Application Control só produz efeitos numa regra de firewall. Para uma regra nova, o percurso atual é:

Rules and policies > Firewall rules
> IPv4 ou IPv6
> Add firewall rule
> New firewall rule
> Other security features
> Identify and control applications (App control)

Numa regra existente, abra diretamente Other security features e selecione o Application Filter preparado. Log firewall traffic deve permanecer ativo durante o piloto e a validação.

A regra tem de corresponder efetivamente a Source Zone, Source Network, Destination Zone, Destination Network, Services e, se aplicável, a Match known users do cliente de teste. As regras de firewall são avaliadas de cima para baixo; a primeira correspondência termina a pesquisa. Por isso, uma regra mais genérica colocada acima é uma causa de problemas mais frequente do que o próprio Application Filter.

Numa regra nova de acesso à Internet, o percurso NAT também tem de estar correto. Os exemplos da Sophos podem criar uma regra MASQ através de Create linked NAT rule. Num ambiente existente, não se cria uma segunda regra NAT por mera suposição; em vez disso, verifica-se a regra SNAT/MASQ que já está ativa e regista-se a respetiva NAT Rule ID.

IPv4 e IPv6 têm percursos de regras próprios. Se o cliente utilizar ambos os protocolos, ambos devem ser testados ou o piloto deve ser deliberadamente limitado a um deles. Os princípios das regras são explicados em Compreender e configurar regras de firewall no Sophos Firewall em segurança.

Comprovar o efeito com Live Connections e Log Viewer

Um teste fiável responde a três perguntas distintas: que regra processa o fluxo, que aplicação o SFOS identifica e que ação é executada?

1. Registe o cliente de teste, o IP de origem, o utilizador, a hora e o destino.
2. Opcionalmente, execute Reset data transfer count nas opções da regra piloto, para facilitar a associação dos novos bytes.
3. Inicie a operação de teste e verifique a ligação ainda aberta em Current activities > Live connections.
4. Compare Application, Source IP, Username, Interfaces, portas de origem/destino, Firewall Rule ID e NAT Rule ID com o percurso planeado.
5. Abra o Log viewer no canto superior direito do WebAdmin e filtre por IP de origem, utilizador, destino, Rule ID e aplicação.
6. Execute um acesso que deva ser bloqueado e um acesso de controlo permitido dentro do mesmo âmbito.

Uma correspondência negada pelo Application Filter aparece como Content Filtering > Application > Denied. O tráfego permitido e identificado aparece no log da firewall em Firewall > Firewall Rule > Allowed. Para a validação, devem ser documentados, no mínimo, Firewall Rule ID, Application Filter, aplicação, categoria, risco, ação, utilizador, origem e destino.

As sessões da firewall aparecem muitas vezes apenas no Connection Destroy event, quando o SFOS fecha a ligação. Por isso, uma sessão de browser ou streaming ainda aberta pode já estar visível em Live connections, embora a respetiva entrada final no log da firewall ainda não exista. As ligações SSL/TLS são registadas após a conclusão do handshake e quando são encerradas.

Em Reports > Dashboards > Traffic dashboard > Allowed policies, também é possível verificar os dados transferidos pelas regras permissivas. Contudo, o relatório não substitui o teste concreto da Rule ID e da aplicação.

Em Syslog ou SIEM, os nomes dos campos variam consoante o formato de saída. O Central Reporting Format utiliza, entre outros, fw_rule_id, app_filter_policy_id, app_name, app_category, app_risk, app_resolved_by, qualifier e status. No Device Standard Format (Legacy), os campos equivalentes incluem, por exemplo, application_filter_policy, application_name, application_category, application_risk e appresolvedby. app_resolved_by ou appresolvedby distingue, entre outros, Signature, Proxy e Synchronized Application Control (EAC).

Os eventos técnicos do Application Filter e de DPI são registados em ips.log; sig_upgrade.log e sigmigration.log ajudam a diagnosticar atualizações de assinaturas. A correspondência entre serviços e logs é descrita em Resolução de problemas no Sophos Firewall: serviços e logs. O Packet Capture pode confirmar IPs, portas, a interface e o percurso dos pacotes, mas não comprova a classificação da aplicação. O procedimento de diagnóstico combinado é apresentado em Testar uma regra do Sophos Firewall com Log Viewer, Policy Test e Packet Capture.

Interpretar HTTPS, QUIC e exceções web

O SFOS identifica muitas aplicações baseadas em assinaturas mesmo sem desencriptação completa. No entanto, as Micro Apps baseadas em URL, como transferências de ficheiros no Dropbox ou Gmail, requerem o URL desencriptado em tráfego cifrado. No percurso DPI, é necessária uma regra adequada em Rules and policies > SSL/TLS inspection rules. Scan HTTP and decrypted HTTPS ativa a análise de malware para tráfego HTTPS já desencriptado, mas não ativa a desencriptação propriamente dita.

No percurso do web proxy, Decrypt HTTPS during web proxy filtering efetua a desencriptação. A existência de uma Web Policy não prova que o tráfego HTTPS é desencriptado nem que a mesma regra DPI é aplicada. A implementação controlada é explicada em Implementar corretamente a inspeção TLS no Sophos Firewall.

Block QUIC protocol descarta, no âmbito da regra de firewall, pacotes UDP de saída destinados às portas 80 e 443, para que os clientes utilizem como fallback um percurso TCP que possa ser inspecionado. O SFOS seleciona esta opção por predefinição assim que é escolhida uma Web Policy ou ativada a opção Scan HTTP and decrypted HTTPS. O QUIC não pode ser analisado pelo filtro web; isso não significa, contudo, que contorne todos os outros controlos da firewall. Bloquear corretamente QUIC e HTTP/3 no Sophos Firewall descreve os testes positivo e negativo.

Em caso de identificação inesperada, também se deve verificar Web > Exceptions. Uma Web Exception pode ignorar Decryption, Malware-/Content-Scanning e Policy Checks e, consoante a seleção, aplica-se tanto ao percurso DPI como ao percurso de proxy. Uma exceção demasiado abrangente pode, portanto, remover o contexto de aplicação esperado.

Num fluxo processado pelo web proxy, uma entrada Allowed no log da firewall não comprova automaticamente que o acesso do utilizador foi permitido: a firewall pode primeiro encaminhar a ligação para o proxy, enquanto o Web Filter a regista posteriormente como Blocked. Nestes casos, os logs da firewall e da web devem ser analisados em conjunto.

Classificar aplicações cloud

Em Applications > Cloud applications, o SFOS apresenta apenas tráfego permitido e apenas aplicações para as quais existe tráfego. A vista pode ser filtrada por data, Classification, Category e bytes transferidos; Expand abre os detalhes. Por isso, a ausência de uma entrada não exclui uma tentativa bloqueada.

As aplicações cloud novas recebem inicialmente a Classification new. Após a verificação, utilize Classify para atribuir sanctioned, unsanctioned ou tolerated. A nova Classification aplica-se ao tráfego novo e, por si só, não permite nem bloqueia nada. Apenas um Application Filter que utilize este critério e esteja atribuído a uma regra de firewall correspondente implementa a ação pretendida.

Os dados básicos de utilização e de bytes requerem logging da firewall. Os contadores de upload/download e os detalhes do tipo de ficheiro requerem HTTPS Decryption; segundo a Sophos, uma Web Policy diferente de None também melhora a exatidão e o nível de detalhe. Algumas aplicações utilizam mecanismos de transferência próprios, pelo que certos campos de detalhe podem permanecer vazios.

Em Traffic shaping, é possível atribuir uma policy de largura de banda previamente preparada a uma aplicação cloud identificada. Esta atribuição não substitui o Application Filter nem a regra de firewall.

Casos especiais: armazenamento online e vídeos do Facebook

O exemplo oficial do Google Drive combina o Application Filter Block_GoogleDrive com a Web Policy BlockPersonalStorage. O filtro é criado a partir de Allow All, procura google drive com o Smart Filter e define as aplicações selecionadas como Deny e All the time. Em Web > Policies, desative All web traffic para a regra de armazenamento restrita, procure personal através de Add new item > Web category e defina as categorias adequadas como Block HTTP e Block HTTPS. Ambas as policies têm de ser atribuídas à mesma regra de firewall que processa efetivamente o tráfego. Configurar a Web Protection no Sophos Firewall explica o funcionamento das policies.

No exemplo dos vídeos do Facebook, selecione no Application Filter, através de Select Individual Application, as correspondências para Facebook videos. Além disso, a Sophos indica atualmente, para uma categoria personalizada, facebook.com/watch, facebook.com/reel, gateway.facebook.com, facebook.com/ajax e facebook.com/stories, bem como as palavras-chave watch, reel, gateway, ajax e videos. Estes valores constituem um ponto de partida dependente da versão e devem ser verificados antes da utilização, porque palavras-chave abrangentes também podem corresponder a outros percursos. A categoria tem de estar incluída numa regra de Web Policy com uma ação de bloqueio; o procedimento atual para o Facebook não especifica essa ação tão explicitamente como o exemplo de armazenamento.

O exemplo da Sophos utiliza o Web Proxy, desencripta HTTPS e bloqueia QUIC. Para isso, os clientes têm de confiar na CA do Sophos Firewall. Um ambiente DPI existente não deve ser alterado apenas para este caso específico. O procedimento proxy não demonstra um bloqueio equivalente de vídeos do Facebook através de DPI; valide um desenho DPI separado com Sophos Support e testes de cliente antes de confiar nele. O artigo Criar categorias web no Sophos Firewall explica como criar categorias próprias, e Distribuir o certificado CA do Sophos Firewall para análise HTTPS descreve a distribuição da CA.

Utilizar o Synchronized Application Control de forma direcionada

O Synchronized Application Control complementa a identificação na rede com dados de Sophos Endpoints geridos. Além da Web Protection Subscription, requer Security Heartbeat, uma Network Protection Subscription, uma conta Sophos Fusion (anteriormente Sophos Central) e um Endpoint gerido com uma licença de teste ou completa.

O registo é efetuado em:

System > Sophos Central > Sophos Central registration > Register

Após o registo bem-sucedido, o SFOS ativa automaticamente o Security Heartbeat e o Synchronized Application Control. Se o Security Heartbeat for desativado, o Synchronized Application Control também será desativado; por isso, esta não é uma opção de rollback restrita a uma única aplicação.

Na primeira utilização, após o registo, confirme no Sophos Fusion (anteriormente Sophos Central) que o Synchronized Application Control está ativado e ative-o se necessário. O domínio criado na firewall deve corresponder ao domínio selecionado no Endpoint.

Em Applications > Synchronized Application Control, pode pesquisar por nome, percurso, categoria ou Endpoint e expandir a entrada para ver as ocorrências. A Sophos suporta até 15'000 aplicações. Desde o SFOS 20.0 MR1, o SFOS guarda apenas as cinco ocorrências mais recentes de cada aplicação por Endpoint.

Ao migrar para o SFOS 21.0 ou posterior, o SFOS ativa a limpeza automática apenas se o Synchronized Application Control (SAC) estiver ativado. O período de retenção predefinido é de doze meses. Se já tiver sido configurado um período personalizado, este é mantido. Se o SAC estiver desativado, tanto o SAC como a limpeza automática permanecem desativados. A limpeza também remove dos Application Filters as aplicações adicionadas individualmente. Numa migração para o SFOS 20.0 MR1 ou posterior, o SFOS elimina as ocorrências mais antigas; se a limpeza automática falhar por falta de espaço, a Sophos recomenda contactar o suporte.

New identifica entradas novas, Mapped aplicações associadas automaticamente e Customized entradas ajustadas manualmente. Em Manage > More options, estão disponíveis as seguintes ações:

• Customize: atribuir um nome claro e uma categoria adequada e, em seguida, selecionar Apply;
• Acknowledge: alterar o rótulo de New para Customized sem modificar o nome ou a categoria;
• Hide e Show: ocultar a entrada ou voltar a apresentá-la;
• Delete: eliminar a aplicação e removê-la simultaneamente dos Application Filters que a utilizem.

Após Customize ou Acknowledge, a aplicação verificada é adicionada a um Application Filter novo ou existente. Em seguida, esse filtro é atribuído à regra de firewall que foi efetivamente aplicada. Depois, inicia-se um fluxo de teste reproduzível e confirmam-se no Log Viewer a Rule ID esperada, o nome da aplicação e a ação. Só após esta fase-piloto a deteção é convertida numa regra Allow ou Deny de produção.

Uma entrada eliminada reaparece se um Endpoint voltar a comunicá-la. Por isso, antes de utilizar Delete, devem verificar-se os filtros que a utilizam; depois, deve executar-se um novo fluxo de teste e confirmar a Rule ID esperada. Para IA generativa, Identificar e controlar IA generativa com o Sophos Firewall apresenta um processo piloto específico.

Verificar integralmente a seleção e a configuração de exemplo

Catálogo, templates e bloqueios específicos

No catálogo, abra Filter junto ao campo relevante; exceto em Name, escolha um valor da lista. Smart Filter pesquisa nomes e descrições. Qualquer Application Filter Policy existente, incluindo uma personalizada, pode servir de template. Verifique as regras e os horários antes de a copiar.

As categorias descrevem finalidades diferentes, não uma avaliação automática de segurança:

• File transfer: transferências e uploads; Download applications: downloads, partilha de ficheiros, armazenamento e aceleradores; Storage and backup: armazenamento de ficheiros, colaboração e armazenamento de palavras-passe.
• Gaming: jogos e concursos; Streaming media: áudio, vídeo e transmissões em direto; Social networking: redes sociais; E-commerce: aplicações comerciais.
• Instant messenger: chat; VoIP: telefonia IP; Conferencing: reuniões virtuais; Web mail: correio no browser; Desktop mail: clientes de correio.
• General internet: entre outros, notícias, pesquisa, browsers, compras e espaços de trabalho; General business: alojamento, colaboração, contabilidade e backup; Mobile applications: aplicações de sistemas operativos móveis; Software update: atualizações de sistemas e aplicações.
• Infrastructure: por exemplo DNS, DHCP, SMTP, MySQL, QUIC e TLS noutras portas; Network services: encaminhamento, arranque, QoS e FTPS; P2P: partilha de ficheiros peer-to-peer; Proxy and tunnel: proxies e VPN; Remote access: acesso e ambiente de trabalho remotos; Industrial control system: comunicações de edifícios, telecontrolo e processos.
• SyncAppCtl discovered: aplicações desconhecidas detetadas pelo SAC; Sophos applications: aplicações Sophos associadas pelo SAC; System applications: serviços de sistema associados pelo SAC, como Windows ou Linux; Generative AI: aplicações e serviços de IA.

Allow All permite e Deny All descarta todas as aplicações. Block filter avoidance apps bloqueia túneis, proxies e aplicações que contornam policies; Block generally unwanted apps inclui transferências de ficheiros, proxy/túnel, aplicações de risco e P2P. O P2P pode distribuir malware; bloqueá-lo faz sentido salvo necessidade empresarial aprovada. Os templates de alto risco abrangem os níveis 4/5 ou apenas o 5.

Para um bloqueio individual, filtre Facebook Games em Select Individual Application > Name, selecione-o e guarde com Action: Deny, Schedule: All the time. O mesmo procedimento serve para WhatsApp, Skype, LinkedIn ou Internet Download Manager. Para grupos, utilize Category: Generative AI ou Category: P2P. O exemplo UltraVPN utiliza Category: Proxy and Tunnel e PPTP Protocol; não garante a deteção de todos os túneis VPN.

Para Block_High_Risk_Apps, depois de guardar e reabrir, escolha Add > Select All > Risk, selecione High e Very High, confirme com OK e defina Deny e All the time. Guarde a regra e a policy e atribua-a à regra de firewall Block_High_Risk_Apps_Rule. Novas assinaturas correspondentes também são incluídas após atualizações de padrões. Exemplos antigos descrevem uma policy vazia permissiva e a secção Advanced; para SFOS 22/23, utilize explicitamente Allow All e verifique a atribuição em Other security features, sem transpor esses detalhes antigos sem revisão.

Definições comuns de firewall e web

Os exemplos de transferência e armazenamento utilizam uma regra de firewall Accept de LAN para WAN, Log firewall traffic, Rule group: None, During scheduled time: All the time e Rule position: Top. As redes de origem, destino e serviços são Any; o exemplo de alto risco utiliza mesmo Any para ambas as zonas. Estes valores amplos não são uma recomendação para o piloto: limite a origem ao cliente de teste, adapte zonas e serviços ao percurso real e escolha deliberadamente uma posição acima da regra que corresponderia de outra forma. Sem Match known users, a regra aplica-se ao tráfego de rede correspondente independentemente do utilizador; com esta opção, selecione, por exemplo, Marketing para armazenamento ou Open Group para transferência em User or groups > Add new item. Substitua estes nomes pelo seu grupo aprovado; o log de teste deve mostrar a associação correta do utilizador.

Se necessário, Create linked NAT rule cria uma regra com Translated source (SNAT): MASQ; o exemplo também a coloca em Top. Guarde primeiro a regra NAT e depois a regra de firewall. Nas redes existentes, a associação NAT previamente verificada continua a ser determinante.

Para armazenamento, ative a regra web em Status após definir Block HTTP/Block HTTPS e guarde. No percurso proxy, bloqueie também QUIC, ative Scan HTTP and decrypted HTTPS e Decrypt HTTPS during web proxy filtering e distribua a CA antes do teste.

Para Facebook, guarde a categoria personalizada em Web > Categories > Add com Classification: Unproductive e os valores Domain e Keyword indicados acima. Em Web > Policies > Add policy > Add rule, remova All web traffic de Activities, selecione a categoria através de Add new item > Web category, escolha Apply selected items, verifique as ações de bloqueio HTTP/HTTPS e o estado ativo, depois Save e, se aplicável, Skip this step. Guarde todas as correspondências de Facebook videos no Application Filter com Deny e All the time. O exemplo proxy completo ativa também Use web proxy instead of DPI engine, Scan HTTP and decrypted HTTPS, Scan FTP for malware, Decrypt HTTPS during web proxy filtering e Block QUIC protocol. A análise FTP é uma proteção adicional, não uma prova do bloqueio de vídeo. Uma opção com nome semelhante não demonstra, por si só, que o percurso DPI foi testado como equivalente; se o bloqueio falhar, siga o diagnóstico e o recurso ao suporte descritos acima.

Concluir as operações cloud e SAC

Depois de Classify, confirme com Apply; depois de Traffic shaping, selecione uma policy existente e Save. Por exemplo, analise aplicações de redes sociais unsanctioned num período definido ou limite o streaming de vídeo.

As aplicações SAC desconhecidas entram inicialmente em SyncAppCtl discovered; as conhecidas são categorizadas automaticamente. Restrinja a pesquisa, por exemplo, a System applications. Depois de Hide, as entradas aparecem apenas em Hidden applications; restaure-as com Show. Customize continua disponível posteriormente e define o rótulo como Customized.

Clean up application database requer o registo no Sophos Fusion/Sophos Central. Após uma verificação diária, o SFOS elimina aplicações antigas em lotes de 100 a cada cinco minutos, incluindo entradas adicionadas individualmente às policies. Verifique a sua utilização antes de alterar o período; reduzi-lo não é uma solução de armazenamento isenta de riscos. Sem uma Web Protection Subscription válida, o SAC pode ser configurado, mas não utilizado.

Automatizar Application Control através da XML API

As referências XML para SFOS 22/23 descrevem vários objetos com nomes semelhantes. Uma classificação de cloud não é uma regra de filtro nem o interruptor global da Device Console. Antes de uma chamada de escrita, são salvaguardados o estado existente e as políticas que o utilizam. O acesso, a interpretação das respostas e as repetições seguras são explicados em Proteger o acesso à Sophos Firewall XML API. As estruturas seguintes explicam o contrato documentado, não um pedido testado numa firewall.

Classificações de cloud individuais e múltiplas

ApplicationClassificationAssignment atualiza exatamente uma associação: os dois campos obrigatórios Application e Classification são strings. O exemplo de referência indica Facebook Website e New. Não se trata de um catálogo completo das classificações permitidas; os valores da UI e a utilização de maiúsculas/minúsculas não são automaticamente considerados valores de enumeração da API.

ApplicationClassificationBatchAssignment, por sua vez, utiliza ClassAssignmentList com objetos ClassAssignment repetidos. Cada objeto contém os campos em minúsculas app e class, não Application e Classification. A estrutura documentada apresenta, por exemplo, o seguinte formato:

<ApplicationClassificationBatchAssignment>
  <ClassAssignmentList>
    <ClassAssignment>
      <app>iCloud</app>
      <class>New</class>
    </ClassAssignment>
    <ClassAssignment>
      <app>iPlay Website</app>
      <class>New</class>
    </ClassAssignment>
  </ClassAssignmentList>
</ApplicationClassificationBatchAssignment>

Os nomes são exemplos de referência e são substituídos por aplicações efetivamente existentes. A tabela de parâmetros descreve ClassAssignmentList como um array opcional de objetos com vários valores. Daqui não decorre que uma operação em lote vazia tenha utilidade, nem qualquer garantia de processamento atómico, rollback ou estado por entrada. Após uma alteração, consultar separadamente cada associação solicitada e verificar o efeito de um filtro Classification apenas com tráfego novo. Para a operação em lote, a referência indica 200 com Operation Successful. e 500 com Operation Fail.; para a operação individual, apresenta 200 e 500 com os símbolos não resolvidos Message.AppClassificationUpdateSuccess e Message.AppClassificationUpdateFail, respetivamente.

Política de filtro: Template ou regras próprias

Em ApplicationFilterPolicy, Template tem prioridade: se for incluído, o contrato documentado ignora DefaultAction e RuleList. Por isso, um pedido com Template e uma regra Deny própria não constitui uma combinação fiável das duas variantes. Sem Template, a referência descreve DefaultAction com Allow ou Deny e RuleList/Rule para regras próprias. O comprimento máximo de um caráter indicado na mesma referência contradiz estas palavras; daí não se deduz um valor abreviado de um único caráter. O exemplo XML escreve AllowAll, enquanto a UI apresenta Allow All. Não utilizar o texto da UI como token da API sem o verificar.

Dentro de Rule encontram-se SelectAllRule, os contentores de seleção, bem como Action e Schedule. Os contentores são CategoryList/Category, RiskList/Risk, CharacteristicsList/Characteristics, TechnologyList/Technology, ClassificationList/Classification e ApplicationList/Application. No exemplo, SelectAllRule utiliza Enable/Disable; trata-se de um interruptor, não do valor de lista para uma categoria. As primeiras cinco listas apresentam SelectALL, enquanto a lista de aplicações apresenta SelectAll. Os comentários do exemplo indicam que uma seleção de todos os elementos ignora as restantes entradas da mesma lista. Não normalizar estas grafias nem deduzir delas uma prioridade não documentada entre critérios diferentes. A tabela de parâmetros inclui ainda Search como string de pesquisa; não o confundir com o SmartFilter de um Application Object.

O nome da política é obrigatório, permite UTF-8, mas não permite vírgulas e tem um máximo de 60 carateres; Description permite um máximo de 1000 carateres. MicroAppSupport indica True e False, mas não comprova que a desencriptação HTTPS esteja ativada. A tabela apresenta Action e Schedule como arrays cujos duplicados não são ignorados, enquanto o exemplo XML os apresenta por regra. Por isso, não eliminar duplicados nem reordenar as listas por iniciativa própria. Após guardar, consultar a ação predefinida, a ordem, a seleção e o Schedule; apenas a atribuição à regra de firewall adequada e o teste no cliente confirmam o bloqueio pretendido.

Distinguir QoS de categoria de objetos SD-WAN

ApplicationFilterCategory identifica a categoria existente através do campo obrigatório Name; este nome de categoria não pode ser alterado. O campo obrigatório QoSPolicy ao nível da categoria deve ser distinguido de ApplicationSettings/Application/QoSPolicy: este último pertence à aplicação cujo Name consta do respetivo subobjeto. O exemplo apresenta ainda BandwidthUsageType com Individual/Shared. Assim, o contexto da partilha de largura de banda fica visível, mas não é comprovada uma regra completa de prioridade entre a atribuição à categoria e à aplicação. Antes da alteração, verificar as atribuições QoS existentes e a utilização partilhada ou individual pretendida; o procedimento operacional é explicado em Application Traffic Shaping.

ApplicationObject disponibiliza uma seleção de aplicações para rotas SD-WAN baseadas em aplicações, não uma ApplicationFilterPolicy com regras Allow/Deny. Os seus campos obrigatórios são Name e SelectAllRule (Enable ou Disable); o nome permite UTF-8, não permite vírgulas e tem um máximo de 80 carateres. O exemplo XML utiliza os mesmos seis contentores de seleção acima e, adicionalmente, SmartFilter como string de pesquisa. Também aqui apresenta SelectALL para critérios e SelectAll para aplicações. A seleção de aplicações visível não é a identidade do objeto nomeado: num Update, consultar o objeto pretendido; para Delete, esta página de Add/Edit não constitui prova do contrato de identidade.

Para Application object add e Application object edit, a referência atribui os mesmos códigos a cada operação:

Estes símbolos não são mensagens de erro formuladas por extenso, e os códigos não equivalem automaticamente a códigos de estado HTTP. Registar em conjunto a operação, o código e a resposta efetiva. Antes de um Retry, consultar o nome do objeto efetivamente guardado e a seleção; um erro pouco claro não deve levar à criação de um segundo objeto ou de um objeto mais abrangente. Para Policy-Edit, a referência indica ainda 502 com Message.AFPRecordExists, além de 200/Message.AFPUpdateSuccess e 500/Message.AFPUpdateFail. Também aqui, o significado do texto da mensagem não resolvido permanece em aberto; um código de sucesso não substitui a verificação do estado nem o teste de tráfego.

Diagnosticar problemas por sintoma

• A Rule ID esperada não aparece: verifique a ordem das regras, Source/Destination, Service, a correspondência de utilizadores e o percurso IPv4/IPv6. O Application Filter ainda não é a causa enquanto o fluxo corresponder a outra regra.
• Não existe uma entrada final no log da firewall: procure primeiro a sessão aberta em Current activities > Live connections e termine-a de forma controlada. Verifique o logging e o intervalo de filtragem no Log Viewer.
• A aplicação permanece unknown ou genérica: verifique o estado dos padrões, a Application list, HTTPS Decryption, QUIC e Web Exceptions. O Packet Capture serve apenas para confirmar o percurso de rede.
• O bloqueio afeta demasiados serviços: restrinja a regra baseada em Risk, Category, Classification ou Smart Filter a aplicações individuais ou a um grupo mais pequeno. Depois, repita o acesso bloqueado e o acesso de controlo.
• Após uma Pattern Update, é bloqueado mais tráfego: verifique que nova assinatura passou a corresponder a um critério dinâmico. Crie uma exceção restrita para a aplicação necessária, em vez de desativar todo o filtro.
• O Log Viewer mostra Allowed na firewall, mas o browser apresenta uma página de bloqueio: se o tráfego for processado pelo proxy, consulte também o log da web.
• Faltam detalhes da aplicação cloud: verifique separadamente o logging da firewall, HTTPS Decryption e a Web Policy. Nem todos os métodos de transferência fornecem todos os campos de detalhe.
• Os vídeos do Facebook continuam acessíveis apesar de todo o percurso estar configurado: verifique a Rule ID, o Application Filter, a Web Policy, as entradas atuais da categoria, QUIC, Decryption, a CA no cliente e Web Exceptions. Se o teste continuar a ser reproduzível, a Sophos recomenda o suporte como próximo nível de escalamento.

Rollback e operação

Antes do piloto, devem ser registados o Application Filter, a Web Policy, o estado e a posição da regra, a associação NAT, o percurso TLS e as exceções. O rollback deve ser efetuado pela seguinte ordem:

1. Desative uma regra piloto separada ou, na regra existente, volte a selecionar o Application Filter anterior ou None.
2. Reponha a posição documentada da regra e apenas a associação NAT que pertença inequivocamente à configuração piloto.
3. Com o cliente de controlo, verifique em novas ligações a Rule ID anterior e o comportamento esperado.
4. Só depois remova os filtros ou objetos piloto que já não sejam necessários. Application Filters partilhados, regras NAT e entradas do Synchronized Application Control não devem ser eliminados sem verificação.

Durante a operação, devem documentar-se o objetivo, as regras de firewall atribuídas, os critérios dinâmicos, as exceções permitidas, o responsável, a última alteração e a data de revisão. Para a análise centralizada, consulte Ativar o Central Firewall Reporting e Configurar Syslog e SIEM no Sophos Firewall.

Alterar a classificação global apenas com o suporte da Sophos

O Application Filter de uma regra de firewall não é a Application Classification global da Device Console. A Sophos desaconselha a alteração destas opções sem indicação do suporte. Primeiro, consulte apenas o estado:

system application_classification show
system application_classification microapp-discovery show

Por predefinição, a classificação global está on e microapp-discovery está off. Se o suporte da Sophos indicar uma alteração, devem registar-se o estado anterior e o ticket. As opções documentadas são:

system application_classification on
system application_classification off
system application_classification microapp-discovery on
system application_classification microapp-discovery off

Ativar microapp-discovery reinicia serviços e interrompe o tráfego. Após uma alteração autorizada, verifique as duas saídas de show, um fluxo real da aplicação e os logs. O rollback repõe exatamente o estado anterior: um estado anterior on deve ser reposto com on, e um estado anterior off com off; depois, confirme novamente com show. No caso de IoCs de domínio, a classificação global também afeta o contexto dos Third-Party Threat Feeds.

Perguntas frequentes