Configurar e testar o resumo de quarentena da Sophos Firewall

O resumo de quarentena informa os utilizadores por email sobre mensagens de spam retidas pela Sophos Firewall. No entanto, não é apenas mais uma notificação do sistema: o envio, a atribuição de utilizadores, o link de libertação e o portal do utilizador têm de funcionar em conjunto.

Por isso, o aspeto mais importante para a validação é o percurso completo do utilizador. Um email de teste bem-sucedido ainda não confirma que um utilizador real recebe o seu resumo, consegue iniciar sessão no portal correto e libertar uma mensagem permitida.

⚠️ O link de libertação não liberta diretamente uma mensagem. Encaminha para o portal do utilizador, onde este tem de iniciar sessão e selecionar a mensagem. Por esse motivo, o endereço escolhido tem de estar acessível aos destinatários previstos sem expor indiscriminadamente o portal a outras redes.

Resumo de quarentena em sete passos

1. Configurar o transporte de email em Administration > Notification settings.
2. Definir o endereço do portal, o DNS, o certificado e as redes de origem permitidas para o grupo de utilizadores previsto.
3. Ativar o resumo em Email > Quarantine settings e definir a hora de envio, o remetente e o nome de apresentação.
4. Selecionar o endereço correto do portal do utilizador em Release link settings, testá-lo com Send test email e guardar com Apply.
5. Apenas no MTA Mode: definir a área de quarentena e os padrões de endereço que se pretende excluir deliberadamente.
6. Atribuir o resumo às contas previstas em Authentication > Groups ou Authentication > Users.
7. Utilizar um email de teste real, colocado em quarentena como spam, para testar de ponta a ponta o resumo, o início de sessão no portal e a libertação.

O que o resumo faz e o que não faz

O resumo inclui uma lista de mensagens de spam em quarentena, com a hora de receção, o remetente, o destinatário e o assunto. Proporciona assim uma vista prática ao utilizador, mas não substitui a quarentena administrativa em Email > SMTP quarantine, nem a análise técnica da política, dos mail logs e dos logs MTA.

As definições gerais do resumo estão disponíveis no MTA Mode e no Legacy Mode. Em contrapartida, o SFOS só apresenta Quarantine area e Skip address patterns no MTA Mode. Por isso, os administradores que utilizam o Legacy Mode configuram apenas o envio, o link de libertação e a atribuição de utilizadores.

Apenas os utilizadores que se tenham autenticado pelo menos uma vez na firewall recebem um resumo de quarentena. Esta condição é frequentemente ignorada quando as contas foram importadas do Active Directory, mas ainda nunca iniciaram sessão no portal do utilizador, no captive portal ou noutro serviço adequado.

Segundo a ajuda do SFOS 22/23, o resumo de quarentena não está disponível nos modelos XGS 87 e XGS 87w. Este limite dos modelos aplica-se ao resumo e não deve ser confundido com o limite separado do MTA Mode. Configurar o Mail Protection em MTA Mode explica o fluxo de email, a política SMTP e a quarentena administrativa.

Preparar o envio de email e o endereço do portal

O envio utiliza as definições em Administration > Notification settings. O servidor de email, o remetente, o destinatário, o DNS, a rota, a autenticação e o TLS têm de funcionar primeiro nesse local. O teste completo do transporte é descrito em Configurar notificações por email da Sophos Firewall.

Existem duas opções para o link de libertação:

• Reference user portal IP: o SFOS utiliza o endereço da interface selecionada juntamente com a porta do portal do utilizador.
• IP address or hostname: o SFOS utiliza o endereço configurado em Administration > Admin and user settings > Admin console and end-user interaction.

A ajuda de quarentena do SFOS 22/23 utiliza um nome diferente para esta área: Administration > Admin settings. O que importa é o campo em Admin console and end-user interaction, não apenas o nome do menu. Comparar a interface instalada com o link no resumo recebido; as diferenças de designação não implicam uma função adicional de libertação.

Um FQDN é geralmente mais fácil de compreender e pode ser devidamente protegido com um certificado adequado. No entanto, tem de resolver para o endereço correto da firewall e estar acessível a partir das redes dos destinatários. Um IP de interface privada no resumo é normalmente inútil para utilizadores externos ou móveis. Por outro lado, um endereço público não justifica disponibilizar o portal do utilizador indiscriminadamente a todas as redes WAN. A finalidade do portal e o Device Access são explicados separadamente em Visão geral dos portais da Sophos Firewall.

Sophos desaconselha permitir o acesso ao User Portal a partir da zona WAN. Os utilizadores externos devem, por isso, estabelecer primeiro uma ligação segura, por exemplo através de VPN; o resumo, por si só, não justifica o acesso pela WAN. Para contas autenticadas externamente, incluir no teste piloto o primeiro início de sessão exigido no Captive Portal antes da primeira utilização do User Portal.

O portal do utilizador é um serviço local. O seu acesso é controlado em Administration > Device access, e não através de uma regra de firewall normal. Para restringir o acesso a determinados hosts ou redes, utilizam-se Local service ACL exception rules. É também necessário verificar o proxy Web: o SFOS trata como internos os pedidos HTTP e HTTPS efetuados através do proxy da firewall. Por conseguinte, o portal do utilizador pode estar acessível mesmo que o acesso esteja desativado para a zona de origem. A utilização e as regras do proxy devem, portanto, fazer parte do mesmo teste de acesso.

Configurar o resumo

Em Email > Quarantine settings, ativar Enable quarantine digest. Em seguida, definir a frequência de envio, a hora e, se necessário, o dia da semana. From email address deve conter um endereço de remetente válido; Display name deve deixar claro aos utilizadores que o remetente representa o serviço de quarentena da firewall.

Em Release link settings, selecionar depois o endereço do portal previamente preparado. Enviar uma mensagem de teste com Send test email e, após a sua receção, guardar as definições com Apply. Esta mensagem não é suficiente para validar a utilização: só o percurso completo com um utilizador piloto ao qual o resumo esteja atribuído confirma o horário, a atribuição, o início de sessão no portal e a libertação.

Exemplo piloto com valores adaptáveis

Um exemplo adaptável para o piloto é Email frequency: Daily às 10:00, From email address: firewall@example.com e Display name: Firewall Quarantine. Daily e os nomes dos campos são valores da interface; escolher a hora, o remetente e o nome de apresentação para o ambiente local. 10:00 permite verificar durante o horário de trabalho, mas não é um requisito do produto. Substituir o domínio de exemplo por um domínio de remetente autorizado. No MTA Mode, pode adicionar-se sales@example.com com + em Skip address patterns se esse alias partilhado tiver de ser deliberadamente excluído do resumo. Depois, verificar se as suas mensagens continuam em SMTP quarantine, mas não aparecem no resumo.

Interpretar corretamente o horário XML e as listas de utilizadores

Na automatização XML, AntiSpamQuarantineDigestSettings separa a configuração global em SpamDigestSettings das atribuições de utilizadores em SpamDigestUsers. EmailFrequency utiliza Hourly, Day ou Week; o valor Daily do exemplo da interface corresponde a Day. Os campos em SpamDigestSettings > SendEmailAt dependem desta escolha:

• Hourly: segundo a referência, Hour descreve o intervalo em horas, não uma hora de envio diária.
• Day: Hour e Minute definem a hora de envio diária. O exemplo piloto 10:00 corresponde a Hour = 10 e Minute = 0.
• Week: Hour e Minute definem a hora de envio, enquanto as entradas Days repetidas indicam os dias da semana selecionados.

A referência indica o intervalo 0–23 para Hour e 0–59 para Minute. As linhas Hour/Minute repetidas e marcadas como obrigatórias descrevem diferentes contextos de frequência: não exigem que todas as variantes sejam introduzidas em simultâneo. O intervalo documentado, por si só, também não estabelece um significado verificado para um intervalo horário de 0.

⚠️ As referências XML do SFOS 22/23 contradizem-se quanto ao sábado na mesma página: o exemplo contém Saturday, mas a lista de valores Days permitidos omite-o. Isto não comprova nem o suporte nem a proibição do sábado. Se for necessário um envio ao sábado, esclarecer o suporte no build SFOS instalado com a Sophos Support, em vez de copiar o valor do exemplo sem o verificar ou adivinhar um equivalente numérico. Não implementar um horário de produção para sábado através de XML enquanto este ponto não estiver esclarecido.

Em SpamDigestUsers, EnableUsers contém entradas EnableUser repetidas para ativar o resumo e DisableUsers entradas DisableUser repetidas para o desativar nas contas indicadas. Os valores são nomes de utilizador, não padrões de endereços de destinatários; estas listas não são, portanto, Skip address patterns. Para o piloto, registar as atribuições existentes, evitar entradas contraditórias para a mesma conta e verificar depois as definições guardadas dos utilizadores e do horário, bem como o envio efetivo do resumo. A referência não esclarece todos os detalhes do tratamento de listas sobrepostas ou omitidas; não deduzir do exemplo regras de prioridade ou substituição. Esta correspondência explica os campos XML; confirmar a operação e todos os valores antes de construir um pedido.

Área de quarentena e limpeza automática

No MTA Mode, selecionar o tamanho da área de quarentena local em Quarantine area. O SFOS verifica a utilização a cada cinco minutos. Se esta atingir pelo menos 90 por cento do tamanho selecionado, as mensagens mais antigas são eliminadas até a utilização descer para 60 por cento.

Esta limpeza automática não constitui um arquivo. Uma área demasiado pequena pode reduzir o tempo disponível para análise e libertação; uma área grande consome armazenamento local. Total utilization, em Email > SMTP quarantine, mostra a utilização. Verificar o espaço de armazenamento e os relatórios da Sophos Firewall ajuda a contextualizar o estado geral do armazenamento.

10 GB é um possível exemplo de configuração, não um valor predefinido nem um período de retenção garantido. Escolher o tamanho segundo o volume de email, o espaço livre e o tempo necessário para verificação e observar a utilização durante o piloto. Aumentar depois o tamanho não recupera mensagens já removidas automaticamente ou eliminadas com Delete.

Skip address patterns no MTA Mode

No MTA Mode, em Skip address patterns, introduzir cada endereço de email de destinatário cujas mensagens em quarentena se pretende excluir do resumo de quarentena e, em seguida, clicar no botão de mais + para adicionar esse endereço à lista. Os endereços em Skip address patterns são excluídos do resumo de quarentena. Isto é útil, por exemplo, para aliases partilhados cujo spam não deva ser distribuído a muitos utilizadores. No entanto, esta definição não elimina mensagens nem cria uma exceção às verificações de spam, malware ou proteção de dados.

Atribuir a utilizadores e grupos

A configuração global do resumo, por si só, ainda não ativa o envio para todos os utilizadores. Em Authentication > Groups ou Authentication > Users, definir Quarantine digest como Enable para as contas previstas e guardar com Save. Em alternativa, a atribuição pode ser feita diretamente em Email > Quarantine settings > Change user’s quarantine digest settings. Uma definição ao nível do utilizador prevalece sobre a definição do grupo; perante um resultado inesperado, devem verificar-se ambos os níveis.

Para uma atribuição em lote, abrir Email > Quarantine settings > Change user’s quarantine digest settings, filtrar por Group, se necessário, e selecionar os utilizadores previstos. Se for necessário corrigir o endereço de email de um utilizador individual, alterá-lo através de Edit e guardar com Save. Em seguida, concluir a atribuição com Apply. Depois, conferir o endereço principal e os aliases deliberadamente atribuídos com a conta do utilizador em causa.

Há dois limites importantes para os endereços de alias. Por predefinição, o SFOS não aplica automaticamente a definição do resumo aos aliases; estes têm de ser guardados no utilizador juntamente com o endereço de email principal ou atribuídos especificamente. O resumo pode então listar spam enviado para os endereços principal e de alias. No entanto, segundo a Sophos, as mensagens em quarentena enviadas para aliases continuam a não ser apresentadas no portal do utilizador. Por isso, estes endereços exigem um processo administrativo claro de libertação em Email > SMTP quarantine.

Gerir mensagens no User Portal

Depois de seguir o link do resumo, o utilizador inicia sessão no User Portal e abre Quarantine, que contém a quarentena SMTP. O link, por si só, não liberta nada. Nesse local, só são visíveis as mensagens enviadas para o próprio endereço de email principal, não para aliases ou caixas de correio de terceiros.

1. Localizar a mensagem pretendida pelo intervalo de datas, remetente e assunto e, se necessário, utilizar os filtros disponíveis.
2. Para uma única mensagem de spam, selecionar Release na mensagem. Para várias mensagens, selecionar as linhas pretendidas, escolher Release nas ações e clicar em Go.
3. Perante um falso positivo confirmado da classificação Spam ou Probable Spam, libertar a mensagem e comunicá-la à SophosLabs através de Release and report. Em alternativa, uma mensagem indesejada pode ser eliminada com Delete. Antes de qualquer uma destas duas ações, verificar o destinatário e a mensagem.

O utilizador só pode libertar spam colocado em quarentena. As mensagens infetadas por vírus não podem ser libertadas nem descarregadas. A firewall volta a analisar as mensagens libertadas e entrega-as em seguida; para mensagens enviadas para aliases e outros motivos de quarentena, continua a aplicar-se o processo de verificação administrativa descrito abaixo.

Controlar as exceções de remetentes dos utilizadores

Em Exception, no portal do utilizador, um utilizador autorizado pode permitir ou bloquear endereços individuais de remetentes ou wildcards como *@example.com. Os remetentes permitidos não são marcados como spam nem movidos para a quarentena de spam, mas a análise antivírus permanece ativa. Se o mesmo endereço constar de ambas as listas, a lista de bloqueio prevalece e a mensagem é colocada em quarentena. Por isso, estas exceções específicas do utilizador devem fazer parte dos testes piloto e de suporte e não devem ser confundidas com os Skip address patterns globais do resumo.

Um endereço de remetente individual tem um âmbito mais limitado do que *@example.com. Antes de acrescentar uma exceção, registar as entradas existentes e analisar o falso positivo. Depois, verificar uma mensagem de teste correspondente e outra não correspondente. Para reverter, restaurar as listas registadas e confirmar novamente a classificação de spam prevista; isso não recolhe mensagens já entregues.

Testar todo o percurso de libertação

Para a validação, utilizar um utilizador piloto que já se tenha autenticado pelo menos uma vez na firewall. Uma mensagem controlada tem de ser colocada em quarentena como spam pela política SMTP prevista. Em seguida, verificar os seguintes estados:

1. A mensagem aparece em Email > SMTP quarantine com o destinatário, o assunto e o motivo esperados.
2. O utilizador piloto recebe o resumo à hora configurada.
3. O remetente, o nome de apresentação, o assunto e os metadados estão em conformidade com os requisitos de privacidade e operação.
4. O link de libertação abre o FQDN previsto do portal do utilizador com uma cadeia de certificados válida.
5. O início de sessão funciona a partir de uma rede permitida e falha a partir de uma rede não prevista. Se for utilizado um proxy Web explícito, repetir o teste negativo uma vez sem o proxy e outra vez com o proxy.
6. A mensagem de teste permitida pode ser libertada após o início de sessão e é efetivamente entregue.
7. Um utilizador sem atribuição do resumo não recebe qualquer relatório.

No portal do utilizador, cada utilizador vê as mensagens em quarentena enviadas para o seu endereço de email principal, mas só pode libertar spam. O SFOS volta a analisar uma mensagem libertada antes de a entregar. Para endereços de alias e outros motivos de quarentena, utiliza-se o processo administrativo em Email > SMTP quarantine. Nesse local, é possível libertar ou eliminar mensagens filtradas e, em caso de Spam ou Probable spam, comunicar um falso positivo à SophosLabs através de Release and report. As mensagens infetadas por vírus e os emails que o Zero-Day Protection classificou como maliciosos não podem ser libertados, nem mesmo por um administrador.

Diagnosticar erros de forma sistemática

Filtrar com precisão a quarentena administrativa

Para mensagens de aliases ou uma verificação administrativa, abrir Email > SMTP quarantine. Delimitar o período de processamento com Start and end dates e introduzir palavras-chave adequadas em Sender/Recipient/Subject. Verificar destinatário, assunto e motivo antes de aplicar Release, Release and report ou Delete às mensagens filtradas. Um filtro demasiado amplo pode incluir outras mensagens involuntariamente.

Filter by varia consoante o modo de email:

• MTA Mode: Blocked by RBL, Spam, Analyzed by Zero-day protection, Infected, Unscannable content or protected attachment, DKIM verification, Other.
• Legacy Mode: Blocked source IP, Blocked destination IP, Unscannable content or protected attachment, Oversized message, Blocked header, Blocked by RBL, Blocked by data protection, Spam, Infected, Other.

O motivo do filtro não autoriza a libertação: mensagens infetadas por vírus ou classificadas como maliciosas pelo Zero-Day Protection continuam a não poder ser libertadas. Para eliminar mensagens colocadas em quarentena pela análise Zero-Day Protection, o perfil de administrador necessita de permissões de leitura e escrita para Zero-day protection activity. Se faltar uma ação, verificar primeiro o motivo e o perfil em vez de desativar a proteção. Após uma libertação permitida, confirmar a entrega efetiva; Delete não é um teste reversível.

O email de teste não chega

Verificar primeiro Administration > Notification settings. Send test email falha antes da função de quarentena propriamente dita se o DNS, a rota, o servidor de email, a autenticação, o TLS, o remetente ou o destinatário estiverem incorretos. Não faz sentido alterar as atribuições de utilizadores ou o tamanho da quarentena enquanto o transporte de email não funcionar.

O email de teste chega, mas o resumo do utilizador não

Verificar se Enable quarantine digest está ativo, se a alteração foi guardada com Apply, se o horário e o fuso horário estão corretos e se a conta em causa foi ativada em Groups, Users ou Change user’s quarantine digest settings. Uma definição do utilizador pode sobrepor-se à seleção do grupo. O utilizador tem de se ter autenticado pelo menos uma vez na firewall. Além disso, tem de existir efetivamente na quarentena, durante o período selecionado, uma mensagem de spam correspondente para esse destinatário.

O link de libertação aponta para o endereço errado

Comparar Release link settings, a interface selecionada, a porta do portal do utilizador e Admin console and end-user interaction. Em seguida, testar a resolução DNS, o nome do certificado e a acessibilidade a partir da rede real do utilizador. O endereço não é corrigido através do envio repetido do email de teste; é necessário corrigir primeiro a referência subjacente do portal.

As mensagens libertadas permanecem na fila de correio

A libertação não comprova a entrega. Comparar a mensagem e a hora em Email > Mail spool e Email > Mail logs. Se uma nova regra acima da regra SMTP prevista já corresponder ao tráfego SMTP, o SFOS deixa de avaliar a regra inferior. Podem causar este problema regras IPsec ou hotspot criadas automaticamente e regras manuais com Rule position: Top.

Antes de alterar a configuração, registar a ordem das regras e as ligações afetadas. Em Rules and policies > Firewall rules, mover para baixo apenas a nova regra sobreposta confirmada como causa, até a regra SMTP prevista voltar a ser avaliada; não editar a regra MTA automática. Depois, acompanhar uma mensagem controlada até à entrega efetiva, verificar a fila e testar as outras ligações afetadas. Perante efeitos indesejados, restaurar a ordem registada. Sem uma correspondência SMTP confirmada, não mover regras às cegas; verificar servidor de destino, DNS, rota e TLS segundo o guia MTA ligado e transmitir os resultados ao suporte se a falha persistir.

Faltam mensagens de alias no portal

Isto não é necessariamente um erro do resumo. A Sophos documenta expressamente que as mensagens em quarentena enviadas para endereços de alias não aparecem no portal do utilizador. Por isso, o endereço principal, a atribuição do alias, o conteúdo do resumo e a quarentena SMTP administrativa devem ser verificados separadamente.

Operação e reversão

Os emails de resumo contêm metadados de comunicação e podem permanecer fora da firewall em caixas de correio, arquivos ou tickets. O grupo de destinatários deve ser reduzido, a retenção da caixa de correio deve ser adequada às necessidades de proteção e um alias partilhado só deve constar dos relatórios de forma deliberada.

Antes da reversão, documentar o estado global do resumo, o horário, o link de libertação, as atribuições de utilizadores e grupos, bem como as definições partilhadas do portal e das notificações. Para a verificação, enviar uma mensagem de spam controlada ao utilizador piloto e outra a um utilizador de controlo que continue ativo, e verificar a presença de ambas em Email > SMTP quarantine. Em seguida, desativar Enable quarantine digest ou remover a atribuição do utilizador piloto e guardar a respetiva alteração com Apply (Email) / Save (Authentication).

Após a próxima execução agendada do resumo, o utilizador piloto não deve receber nenhum relatório. Se apenas a sua atribuição tiver sido removida, o resumo do utilizador de controlo confirma que a execução ocorreu. As definições do portal ou das notificações só devem ser repostas se nenhum outro serviço as utilizar. A quarentena propriamente dita permanece independente do resumo e não é eliminada como parte da reversão.