Configurar e testar a análise de malware no Sophos Firewall

A análise de malware do Sophos Firewall verifica ficheiros no tráfego web com os motores antivírus integrados. Ativar Web Filtering ou selecionar uma Web Policy não é suficiente: a regra de firewall adequada tem de utilizar Scan HTTP and decrypted HTTPS, e o tráfego encriptado tem de ser desencriptado para permitir a análise do conteúdo.

Este artigo concentra-se nos downloads através de HTTP e HTTPS. Para categorias, URL Groups e regras de utilizadores, consultar Web Protection com Web Policies. Os ficheiros desconhecidos podem ser analisados adicionalmente pelo Zero-Day Protection; o tráfego de e-mail é protegido separadamente pelo Mail Protection.

O que tem de funcionar em conjunto para uma análise eficaz

O resultado depende de várias camadas:

• A regra de firewall correta tem de corresponder efetivamente ao tráfego do cliente.
• Scan HTTP and decrypted HTTPS ativa a análise de malware para este caminho de regra.
• Web > General settings define o motor, o comportamento da análise, os limites de tamanho e o tratamento de conteúdos que não podem ser analisados.
• O conteúdo HTTPS só é verificado se o DPI ou o Web Proxy desencriptar a ligação.
• As Web Exceptions não podem ignorar involuntariamente a análise de malware.
• O QUIC tem de ser controlado, porque o tráfego QUIC não pode ser analisado como o HTTP e HTTPS clássicos.

Uma Web Policy e a análise de malware têm funções diferentes. A Web Policy decide, por exemplo, sobre categorias ou tipos de ficheiro. A análise antivírus examina o conteúdo dos ficheiros à procura de malware conhecido e PUAs. Por isso, a análise de malware também pode estar ativa numa regra de firewall com Web policy: None. Inversamente, selecionar uma Web Policy não significa automaticamente que os downloads sejam analisados à procura de malware.

Escolher Single ou Dual Engine

Em System services > Malware protection define-se o motor antivírus primário. O Sophos Firewall utiliza Sophos e Avira; o Primary Engine selecionado analisa sozinho com Single engine e em primeiro lugar com Dual engine.

A seleção global para o tráfego web encontra-se em:

Web > General settings > Malware and content scanning

• Single engine: utiliza apenas o Primary Engine. Requer menos recursos e oferece o melhor desempenho. Para o Zero-Day Protection, o Sophos tem de ser o Primary Engine.
• Dual engine: utiliza primeiro o Primary Engine e depois o segundo motor. Aumenta a abrangência da deteção, mas requer mais tempo e recursos.

Para redes de clientes normais, Single engine com Sophos como Primary Engine é um ponto de partida compreensível quando o débito e a latência são importantes. Dual engine é adequado quando a máxima abrangência da deteção tem prioridade e a appliance consegue suportar a carga adicional em condições reais. A decisão não deve basear-se apenas nos valores da ficha técnica: um piloto com downloads típicos, videoconferências e distribuição de software mostra melhor o impacto efetivo.

⚠️ Uma alteração do Primary Engine ou de Single para Dual afeta globalmente os caminhos de análise correspondentes. Antes da alteração, devem ser consideradas as políticas web, FTP e de e-mail existentes, bem como o Zero-Day Protection, e deve ser documentado um caminho de reversão.

Definir o comportamento da análise

Além do motor, em Web > General settings são tomadas outras decisões de proteção.

Conteúdos que não podem ser analisados

Action on malware scan failure define o que acontece aos conteúdos que não podem ser verificados na totalidade. Isto pode ocorrer com arquivos encriptados ou danificados e com ficheiros demasiado aninhados. O Sophos Firewall analisa arquivos até 16 níveis de compressão.

Block oferece a proteção mais forte, mas pode impedir ficheiros legítimos protegidos por palavra-passe ou danificados. Allow mantém o processo empresarial, mas deixa passar conteúdo não verificado. Em redes de clientes normais, Block é o ponto de partida mais seguro. Se uma aplicação empresarial deixar de funcionar, deve analisar-se primeiro o caminho concreto do ficheiro antes de flexibilizar a definição global.

Tamanhos de ficheiro e streaming

Do not scan files larger than define o tamanho máximo de análise para HTTP e HTTPS. Os ficheiros maiores não são analisados. Nos ficheiros comprimidos, conta o tamanho do arquivo, não o possível tamanho depois de descomprimido. Para FTP existe um limite separado, Maximum file scan size for FTP.

Um limite reduzido não melhora automaticamente a segurança; pode permitir que instaladores ou arquivos grandes passem sem análise. Um valor muito elevado pode, por outro lado, aumentar o tempo de download e o consumo de recursos. O valor tem, por isso, de ser adequado à distribuição de software, aos pacotes de atualização e ao desempenho da appliance.

Scan audio and video files alarga a análise a conteúdos multimédia, mas pode afetar o streaming. A opção só deve ser ativada quando a necessidade de proteção justificar a carga adicional e as possíveis interrupções.

Tratar PUAs

Block potentially unwanted applications deteta programas que não são necessariamente malware, mas podem incluir, por exemplo, adware, controlo remoto indesejado ou alterações arriscadas ao sistema. Uma entrada em Authorized PUAs só deve ser criada depois de verificar o ficheiro, a origem, a finalidade e o Owner. Uma autorização genérica enfraquece a proteção de todos os caminhos de análise correspondentes.

Ativar a análise de malware na regra de firewall

A regra encontra-se em:

Rules and policies > Firewall rules

Numa regra típica de acesso à Internet para clientes, verifica-se o seguinte em Web filtering:

1. Source zone e Source networks correspondem à rede dos clientes.
2. Destination zone é WAN, e os Services abrangem o tráfego web previsto.
3. Log firewall traffic está ativado.
4. Scan HTTP and decrypted HTTPS está ativado.
5. Block QUIC protocol está ativado quando o tráfego web deve passar pelo caminho TCP controlado.
6. DPI ou Web Proxy foi escolhido conscientemente.
7. Use Zero-day protection só é ativado adicionalmente quando se pretende analisar ficheiros desconhecidos.

Um exemplo compacto de regra:

Rule name: LAN_USERS_WEB
Source zones: LAN
Source networks and devices: LAN_CLIENTS
Destination zones: WAN
Destination networks: Any
Services: Any
Web policy: LAN_STANDARD_WEB
Scan HTTP and decrypted HTTPS: On
Block QUIC protocol: On
Use web proxy instead of DPI engine: Off
Log firewall traffic: On

O exemplo utiliza o DPI Engine. Os nomes e as redes têm de ser adaptados ao ambiente. Uma regra mais genérica acima de LAN_USERS_WEB pode processar o tráfego primeiro; por isso, Rule ID e a ordem das regras fazem sempre parte do teste de aceitação. Os princípios são explicados em Compreender e estruturar corretamente regras de firewall.

HTTPS: complementar corretamente DPI ou Web Proxy

Scan HTTP and decrypted HTTPS não desencripta HTTPS por si só. A opção analisa apenas HTTP não encriptado e conteúdo HTTPS que já tenha sido desencriptado por outra parte da configuração.

DPI Engine

No DPI Engine, a desencriptação é feita através de:

Rules and policies > SSL/TLS inspection rules

Uma SSL/TLS inspection rule adequada tem de corresponder ao cliente de teste e ao destino e utilizar Action: Decrypt. Os clientes têm de confiar na Signing CA utilizada. O planeamento, o piloto e as exceções são descritos em Implementar TLS Inspection passo a passo; a distribuição do certificado encontra-se em Instalar o certificado CA para HTTPS Scanning.

Web Proxy

No caminho de proxy, são ativadas na regra de firewall as opções Use web proxy instead of DPI engine e, adicionalmente para HTTPS, Decrypt HTTPS during web proxy filtering. Depois, em Web > General settings, o proxy pode analisar em dois modos:

• Batch: transfere primeiro o ficheiro completo para a firewall e só o entrega depois da análise. Oferece uma verificação mais rigorosa, mas pode atrasar os downloads de forma percetível.
• Real-time: entrega partes do download, mas só conclui a transferência depois de o conteúdo ser considerado seguro.

O DPI Engine funciona sempre no modo Real-time. Não se deve mudar entre Proxy e DPI apenas por causa de um erro isolado, porque o conjunto de funções, as portas, os logs e o comportamento dos utilizadores são diferentes.

A escolha entre DPI Real-time, análise proxy Batch ou Real-time e a mudança piloto segura está em Escolher corretamente entre DPI Engine e Web Proxy.

Controlar exceções e QUIC

Uma Web Exception pode ignorar Malware and content scanning. Nesse caso, a análise Zero-Day também é automaticamente ignorada para o tráfego correspondente. Por isso, as exceções devem ter um âmbito restrito de host ou URL, um Owner claro e uma data de revisão.

O QUIC, ou HTTP/3, utiliza normalmente UDP 443. O Sophos Firewall não consegue analisar este tráfego como o tráfego web clássico. Block QUIC protocol bloqueia UDP de saída nas portas 80 e 443 na regra de firewall em causa, para que os clientes compatíveis regressem a TCP e HTTPS. Os fundamentos e os testes encontram-se em Bloquear corretamente QUIC e HTTP/3.

Verificar o funcionamento com um teste seguro

Um Policy Test verde ou uma caixa selecionada ainda não prova que o conteúdo está a ser analisado. O teste tem de partir de um cliente atrás da regra de firewall em causa; um download feito diretamente pela firewall testa outro caminho de tráfego.

Para o teste funcional, pode utilizar-se a página SophosTest para Web Security ou o ficheiro de teste EICAR Anti-Malware. O EICAR não é malware real, mas os produtos antivírus reconhecem-no intencionalmente como malware. Malware real não deve ser introduzido numa rede de produção.

Procedimento prático:

1. Definir um cliente de teste isolado e o Firewall Rule ID esperado.
2. Anotar a hora, o endereço IP do cliente, o URL e o caminho de análise esperado.
3. No Log Viewer, abrir os módulos Firewall, SSL/TLS inspection, Web filter e Malware.
4. Para HTTPS, verificar se a ligação é realmente processada com Decrypt.
5. No SophosTest, executar o Anti-virus EICAR test para Sophos Firewall ou transferir o ficheiro de teste EICAR.
6. Verificar se a firewall bloqueia o download e se o Malware-log mostra uma deteção antivírus para o mesmo cliente, o mesmo Rule ID e a mesma hora.

Uma block page isolada não é suficiente. A Web Policy, uma regra de tipo de ficheiro, um produto Endpoint ou a própria categoria da página de teste também podem bloquear. O fator decisivo é a entrada Malware correlacionada na firewall. No Syslog, uma deteção de malware web aparece com log_type="Anti-Virus"; os componentes são HTTP ou HTTPS, consoante o protocolo, e o Subtype de uma deteção é Virus.

Se o Log Viewer não mostrar se o serviço antivírus local está a funcionar, durante um teste controlado pode observar-se adicionalmente o log do serviço na Advanced Shell:

tail -f /log/avd.log

Termina-se a visualização com Ctrl+C. O avd.log ajuda a analisar erros do serviço e do motor, mas não substitui os dados da policy e da ligação no Log Viewer. Um ficheiro sem atividade também não prova que a análise está inativa. A atribuição dos logs é explicada em Serviços e logs do Sophos Firewall.

Delimitar erros típicos de forma direcionada

• Web Policy ativa, mas sem análise de malware: falta Scan HTTP and decrypted HTTPS na regra de firewall que efetivamente corresponde ao tráfego.
• O teste HTTP funciona, mas o teste HTTPS não: a SSL/TLS inspection rule não corresponde, não utiliza Decrypt ou o Web Proxy não desencripta HTTPS.
• O browser utiliza outro caminho: o QUIC está permitido ou outra regra de firewall corresponde primeiro.
• O ficheiro não é analisado apesar da regra correta: uma Web Exception ignora Malware and content scanning ou o ficheiro está acima do limite de tamanho configurado.
• O EICAR é bloqueado, mas não pela firewall: o Endpoint Protection, uma regra de tipo de ficheiro ou uma categoria web reagiu primeiro. Verificar o Rule ID e o Malware-log da firewall.
• Arquivos legítimos são bloqueados: verificar Action on malware scan failure, encriptação, danos e aninhamento. Não mudar imediatamente a definição global para Allow.
• Dual Engine torna os downloads mais lentos: comparar a carga da appliance, os tamanhos de ficheiro, o paralelismo e o modo Proxy/DPI com Single Engine num piloto controlado.
• Zero-Day Protection não mostra resultados: verificar separadamente a análise clássica de malware, a desencriptação HTTPS, o tipo de ficheiro, as exceções e Use Zero-day protection.

Para determinar qual a regra de firewall e policy que realmente correspondem, utilizar Log Viewer, Policy Tester e Packet Capture.

Caso especial na atualização para o SFOS 22.0 GA

A Sophos identifica com NC-177529 um erro de atualização estritamente limitado ao SFOS 22.0 GA Respin Build 411. Durante esta atualização, podem surgir temporariamente mensagens como Malware Unscannable, muitas vezes para www.msftconnecttest.com. Nesse momento, o novo motor de análise da Sophos ainda não está disponível quando apenas este motor está definido como Single Engine. No Legacy Web Proxy surgem então block pages; no DPI Engine, o carregamento das páginas pode ser interrompido. A interrupção pode durar cerca de mais um minuto.

Quem atualizar especificamente para esta versão GA deve mudar, antes da atualização, de Single engine para Dual engine em Web > General settings e regressar à Single engine utilizada anteriormente depois de concluída a atualização. Esta medida temporária não é uma recomendação geral para MR1, MR2 ou versões posteriores. Todo o caminho de atualização e os restantes bloqueadores são descritos na Verificação de atualização do SFOS 22.

FAQ