Configurar e testar o resumo de quarentena da Sophos Firewall

O resumo de quarentena informa os utilizadores por email sobre mensagens de spam retidas pela Sophos Firewall. No entanto, não é apenas mais uma notificação do sistema: o envio, a atribuição de utilizadores, o link de libertação e o portal do utilizador têm de funcionar em conjunto.

Por isso, o aspeto mais importante para a validação é o percurso completo do utilizador. Um email de teste bem-sucedido ainda não confirma que um utilizador real recebe o seu resumo, consegue iniciar sessão no portal correto e libertar uma mensagem permitida.

⚠️ O link de libertação não liberta diretamente uma mensagem. Encaminha para o portal do utilizador, onde este tem de iniciar sessão e selecionar a mensagem. Por esse motivo, o endereço escolhido tem de estar acessível aos destinatários previstos sem expor indiscriminadamente o portal a outras redes.

Resumo de quarentena em sete passos

Configurar o transporte de email em Administration > Notification settings.
Definir o endereço do portal, o DNS, o certificado e as redes de origem permitidas para o grupo de utilizadores previsto.
Ativar o resumo em Email > Quarantine settings e definir a hora de envio, o remetente e o nome de apresentação.
Selecionar o endereço correto do portal do utilizador em Release link settings, testá-lo com Send test email e guardar com Apply.
Apenas no MTA Mode: definir a área de quarentena e os padrões de endereço que se pretende excluir deliberadamente.
Atribuir o resumo às contas previstas em Authentication > Groups ou Authentication > Users.
Utilizar um email de teste real, colocado em quarentena como spam, para testar de ponta a ponta o resumo, o início de sessão no portal e a libertação.

O que o resumo faz e o que não faz

O resumo inclui uma lista de mensagens de spam em quarentena, com a hora de receção, o remetente, o destinatário e o assunto. Proporciona assim uma vista prática ao utilizador, mas não substitui a quarentena administrativa em Email > SMTP quarantine, nem a análise técnica da política, dos mail logs e dos logs MTA.

As definições gerais do resumo estão disponíveis no MTA Mode e no Legacy Mode. Em contrapartida, o SFOS só apresenta Quarantine area e Skip address patterns no MTA Mode. Por isso, os administradores que utilizam o Legacy Mode configuram apenas o envio, o link de libertação e a atribuição de utilizadores.

Apenas os utilizadores que se tenham autenticado pelo menos uma vez na firewall recebem um resumo de quarentena. Esta condição é frequentemente ignorada quando as contas foram importadas do Active Directory, mas ainda nunca iniciaram sessão no portal do utilizador, no captive portal ou noutro serviço adequado.

Segundo a ajuda atual do SFOS 22, o resumo de quarentena não está disponível nos modelos XGS 87 e XGS 87w. Este limite dos modelos aplica-se ao resumo e não deve ser confundido com o limite separado do MTA Mode. Configurar o Mail Protection em MTA Mode explica o fluxo de email, a política SMTP e a quarentena administrativa.

Preparar o envio de email e o endereço do portal

O envio utiliza as definições em Administration > Notification settings. O servidor de email, o remetente, o destinatário, o DNS, a rota, a autenticação e o TLS têm de funcionar primeiro nesse local. O teste completo do transporte é descrito em Configurar notificações por email da Sophos Firewall.

Existem duas opções para o link de libertação:

Reference user portal IP: o SFOS utiliza o endereço da interface selecionada juntamente com a porta do portal do utilizador.
IP address or hostname: o SFOS utiliza o endereço configurado em Administration > Admin and user settings > Admin console and end-user interaction.

Um FQDN é geralmente mais fácil de compreender e pode ser devidamente protegido com um certificado adequado. No entanto, tem de resolver para o endereço correto da firewall e estar acessível a partir das redes dos destinatários. Um IP de interface privada no resumo é normalmente inútil para utilizadores externos ou móveis. Por outro lado, um endereço público não justifica disponibilizar o portal do utilizador indiscriminadamente a todas as redes WAN. A finalidade do portal e o Device Access são explicados separadamente em Visão geral dos portais da Sophos Firewall.

O portal do utilizador é um serviço local. O seu acesso é controlado em Administration > Device access, e não através de uma regra de firewall normal. Para restringir o acesso a determinados hosts ou redes, utilizam-se Local service ACL exception rules. É também necessário verificar o proxy Web: o SFOS trata como internos os pedidos HTTP e HTTPS efetuados através do proxy da firewall. Por conseguinte, o portal do utilizador pode estar acessível mesmo que o acesso esteja desativado para a zona de origem. A utilização e as regras do proxy devem, portanto, fazer parte do mesmo teste de acesso.

Configurar o resumo

Em Email > Quarantine settings, ativar Enable quarantine digest. Em seguida, definir a frequência de envio, a hora e, se necessário, o dia da semana. From email address deve conter um endereço de remetente válido; Display name deve deixar claro aos utilizadores que o remetente representa o serviço de quarentena da firewall.

Em Release link settings, selecionar depois o endereço do portal previamente preparado. Enviar uma mensagem de teste com Send test email e, após a sua receção, guardar as definições com Apply. Esta mensagem não é suficiente para validar a utilização: só o percurso completo com um utilizador piloto ao qual o resumo esteja atribuído confirma o horário, a atribuição, o início de sessão no portal e a libertação.

Área de quarentena e limpeza automática

No MTA Mode, selecionar o tamanho da área de quarentena local em Quarantine area. O SFOS verifica a utilização a cada cinco minutos. Se esta atingir pelo menos 90 por cento do tamanho selecionado, as mensagens mais antigas são eliminadas até a utilização descer para 60 por cento.

Esta limpeza automática não constitui um arquivo. Uma área demasiado pequena pode reduzir o tempo disponível para análise e libertação; uma área grande consome armazenamento local. Total utilization, em Email > SMTP quarantine, mostra a utilização. Verificar o espaço de armazenamento e os relatórios da Sophos Firewall ajuda a contextualizar o estado geral do armazenamento.

Skip address patterns no MTA Mode

No MTA Mode, em Skip address patterns, introduzir cada endereço de email de destinatário cujas mensagens em quarentena se pretende excluir do resumo de quarentena e, em seguida, clicar no botão de mais + para adicionar esse endereço à lista. Os endereços em Skip address patterns são excluídos do resumo de quarentena. Isto é útil, por exemplo, para aliases partilhados cujo spam não deva ser distribuído a muitos utilizadores. No entanto, esta definição não elimina mensagens nem cria uma exceção às verificações de spam, malware ou proteção de dados.

Atribuir a utilizadores e grupos

A configuração global do resumo, por si só, ainda não ativa o envio para todos os utilizadores. Em Authentication > Groups ou Authentication > Users, definir Quarantine digest como Enable para as contas previstas e guardar com Apply. Em alternativa, a atribuição pode ser feita diretamente em Email > Quarantine settings > Change user’s quarantine digest settings. Uma definição ao nível do utilizador prevalece sobre a definição do grupo; perante um resultado inesperado, devem verificar-se ambos os níveis.

Para uma atribuição em lote, abrir Email > Quarantine settings > Change user’s quarantine digest settings, filtrar por Group, se necessário, e selecionar os utilizadores previstos. Se for necessário corrigir o endereço de email de um utilizador individual, alterá-lo através de Edit e guardar com Save. Em seguida, concluir a atribuição com Apply. Depois, conferir o endereço principal e os aliases deliberadamente atribuídos com a conta do utilizador em causa.

Há dois limites importantes para os endereços de alias. Por predefinição, o SFOS não aplica automaticamente a definição do resumo aos aliases; estes têm de ser guardados no utilizador juntamente com o endereço de email principal ou atribuídos especificamente. O resumo pode então listar spam enviado para os endereços principal e de alias. No entanto, segundo a Sophos, as mensagens em quarentena enviadas para aliases continuam a não ser apresentadas no portal do utilizador. Por isso, estes endereços exigem um processo administrativo claro de libertação em Email > SMTP quarantine.

Controlar as exceções de remetentes dos utilizadores

Em Exception, no portal do utilizador, um utilizador autorizado pode permitir ou bloquear endereços individuais de remetentes ou wildcards como *@example.com. Os remetentes permitidos não são marcados como spam nem movidos para a quarentena de spam, mas a análise antivírus permanece ativa. Se o mesmo endereço constar de ambas as listas, a lista de bloqueio prevalece e a mensagem é colocada em quarentena. Por isso, estas exceções específicas do utilizador devem fazer parte dos testes piloto e de suporte e não devem ser confundidas com os Skip address patterns globais do resumo.

Testar todo o percurso de libertação

Para a validação, utilizar um utilizador piloto que já se tenha autenticado pelo menos uma vez na firewall. Uma mensagem controlada tem de ser colocada em quarentena como spam pela política SMTP prevista. Em seguida, verificar os seguintes estados:

A mensagem aparece em Email > SMTP quarantine com o destinatário, o assunto e o motivo esperados.
O utilizador piloto recebe o resumo à hora configurada.
O remetente, o nome de apresentação, o assunto e os metadados estão em conformidade com os requisitos de privacidade e operação.
O link de libertação abre o FQDN previsto do portal do utilizador com uma cadeia de certificados válida.
O início de sessão funciona a partir de uma rede permitida e falha a partir de uma rede não prevista. Se for utilizado um proxy Web explícito, repetir o teste negativo uma vez sem o proxy e outra vez com o proxy.
A mensagem de teste permitida pode ser libertada após o início de sessão e é efetivamente entregue.
Um utilizador sem atribuição do resumo não recebe qualquer relatório.

No portal do utilizador, cada utilizador vê as mensagens em quarentena enviadas para o seu endereço de email principal, mas só pode libertar spam. O SFOS volta a analisar uma mensagem libertada antes de a entregar. Para endereços de alias e outros motivos de quarentena, utiliza-se o processo administrativo em Email > SMTP quarantine. Nesse local, é possível libertar ou eliminar mensagens filtradas e, em caso de Spam ou Probable spam, comunicar um falso positivo à SophosLabs através de Release and report. As mensagens infetadas por vírus e os emails que o Zero-Day Protection classificou como maliciosos não podem ser libertados, nem mesmo por um administrador.

Diagnosticar erros de forma sistemática

O email de teste não chega

Verificar primeiro Administration > Notification settings. Send test email falha antes da função de quarentena propriamente dita se o DNS, a rota, o servidor de email, a autenticação, o TLS, o remetente ou o destinatário estiverem incorretos. Não faz sentido alterar as atribuições de utilizadores ou o tamanho da quarentena enquanto o transporte de email não funcionar.

O email de teste chega, mas o resumo do utilizador não

Verificar se Enable quarantine digest está ativo, se a alteração foi guardada com Apply, se o horário e o fuso horário estão corretos e se a conta em causa foi ativada em Groups, Users ou Change user’s quarantine digest settings. Uma definição do utilizador pode sobrepor-se à seleção do grupo. O utilizador tem de se ter autenticado pelo menos uma vez na firewall. Além disso, tem de existir efetivamente na quarentena, durante o período selecionado, uma mensagem de spam correspondente para esse destinatário.

O link de libertação aponta para o endereço errado

Comparar Release link settings, a interface selecionada, a porta do portal do utilizador e Admin console and end-user interaction. Em seguida, testar a resolução DNS, o nome do certificado e a acessibilidade a partir da rede real do utilizador. O endereço não é corrigido através do envio repetido do email de teste; é necessário corrigir primeiro a referência subjacente do portal.

Faltam mensagens de alias no portal

Isto não é necessariamente um erro do resumo. A Sophos documenta expressamente que as mensagens em quarentena enviadas para endereços de alias não aparecem no portal do utilizador. Por isso, o endereço principal, a atribuição do alias, o conteúdo do resumo e a quarentena SMTP administrativa devem ser verificados separadamente.

Operação e reversão

Os emails de resumo contêm metadados de comunicação e podem permanecer fora da firewall em caixas de correio, arquivos ou tickets. O grupo de destinatários deve ser reduzido, a retenção da caixa de correio deve ser adequada às necessidades de proteção e um alias partilhado só deve constar dos relatórios de forma deliberada.

Antes da reversão, documentar o estado global do resumo, o horário, o link de libertação, as atribuições de utilizadores e grupos, bem como as definições partilhadas do portal e das notificações. Para a verificação, enviar uma mensagem de spam controlada ao utilizador piloto e outra a um utilizador de controlo que continue ativo, e verificar a presença de ambas em Email > SMTP quarantine. Em seguida, desativar Enable quarantine digest ou remover a atribuição do utilizador piloto e guardar a respetiva alteração com Apply.

Após a próxima execução agendada do resumo, o utilizador piloto não deve receber nenhum relatório. Se apenas a sua atribuição tiver sido removida, o resumo do utilizador de controlo confirma que a execução ocorreu. As definições do portal ou das notificações só devem ser repostas se nenhum outro serviço as utilizar. A quarentena propriamente dita permanece independente do resumo e não é eliminada como parte da reversão.