Saltar para o conteudo
Avanet

Utilizar corretamente IP hosts, Services e grupos na Sophos Firewall

Sophos Firewall

Os IP hosts e Services atribuem nomes compreensíveis a endereços, redes e portas. Assim, uma regra de firewall mostra diretamente que origem pode comunicar com que destino e Service.

A decisão importante é o âmbito adequado: um único endereço é criado como IP, uma sub-rede como Network, um intervalo contínuo de endereços como IP range e um pequeno conjunto de endereços individuais como IP list. Em TCP e UDP, um Service descreve normalmente o Destination Port fixo; o Source Port dinâmico permanece inalterado.

Escolher o objeto de host adequado

Em Hosts and services > IP host estão disponíveis quatro tipos:

  • IP: exatamente um endereço IPv4 ou IPv6, por exemplo um servidor, uma impressora ou um sistema de administração.
  • Network: uma sub-rede completa com a respetiva máscara, por exemplo 198.51.100.0/24.
  • IP range: um intervalo contínuo, por exemplo de 203.0.113.10 a 203.0.113.20.
  • IP list: vários endereços individuais não contíguos. Uma lista suporta no máximo 800 endereços IP e não pode pertencer a um IP Host Group.

Um FQDN Host é mais adequado quando o endereço de destino muda e existe um nome DNS estável. A resolução, os wildcards e os limites são explicados em Utilizar corretamente FQDN Hosts e Wildcard FQDNs.

Como regra geral, deve ser utilizado o menor objeto estável que descreva completamente o tráfego necessário. Um objeto do tipo IP abrange apenas um endereço e é demasiado restrito para uma sub-rede completa; uma rede /24 seria desnecessariamente abrangente para um único servidor.

Criar um IP host passo a passo

O exemplo seguinte representa um único servidor de teste:

  1. Abrir Hosts and services > IP host e selecionar Add.
  2. Introduzir host_test_web como Name.
  3. Definir IP version como IPv4.
  4. Selecionar IP como Type.
  5. Introduzir 192.0.2.10 em IP address.
  6. Guardar com Save.

Os endereços seguintes das redes 192.0.2.0/24, 198.51.100.0/24 e 203.0.113.0/24 estão reservados para exemplos de documentação. Numa configuração de produção, todos os nomes, endereços e tamanhos de rede devem ser substituídos pelos valores da rede real.

Network, range e IP list

Os campos mudam consoante o tipo selecionado:

  • Network: net_test_branch com 198.51.100.0 e /24 representa toda a rede de teste. Deve ser introduzido o endereço de rede, não o endereço do gateway.
  • IP range: range_test_admins de 203.0.113.10 a 203.0.113.20 representa um conjunto contínuo.
  • IP list: list_test_hosts pode conter, por exemplo, 192.0.2.10,198.51.100.20. A lista é adequada para alguns endereços individuais fixos, não para Indicators of Compromise que mudam continuamente.

Para endereços IP, domínios ou URLs maliciosos mantidos dinamicamente, a função mais adequada são os Threat Feeds na Sophos Firewall. Uma IP list manual não é atualizada automaticamente.

IP Host Groups

Em Hosts and services > IP host group, podem ser agrupados hosts com a mesma finalidade funcional. Um grupo pode, por exemplo, conter todos os sistemas de administração permitidos e ser depois utilizado em várias regras.

Aplicam-se três limites importantes:

  • Hosts IPv4 e IPv6 não podem estar no mesmo IP Host Group.
  • Um host normal pode pertencer a vários grupos.
  • Um objeto do tipo IP list não pode ser adicionado a um IP Host Group.

Os grupos devem ter um significado comum. Um grupo que reúna servidores, clientes e exceções temporárias pode poupar cliques, mas mais tarde dificulta a compreensão do motivo pelo qual uma regra permite o acesso.

Compreender os hosts de sistema e de interface

O SFOS cria automaticamente vários objetos de host. Estes objetos não devem ser recriados como Custom Hosts normais nem alterados no local errado:

  • Os Interface Hosts seguem a configuração IP em Network > Interfaces e são alterados nessa página. Zonas e interfaces na Sophos Firewall explica a relação entre ligação, zona e regra.
  • ##WWAN1 é mantido dinamicamente para a interface Cellular WAN.
  • ##ALL_SSLVPN_RW, ##ALL_SSLVPN_RW6, ##ALL_IPSEC_RW e ##ALL_RW representam hosts dinâmicos de Remote Access.
  • Outros System Hosts não podem ser alterados ou eliminados como objetos próprios.

Os hosts dinâmicos de Remote Access não podem ser adicionados a outro IP Host Group. Os Physical Interface Hosts não estão disponíveis em determinados campos NAT, incluindo Translated source e Translated destination. Nesse caso, pode ser necessário um IP host separado com o mesmo endereço. O nome deve mostrar claramente a relação com a interface para que não pareça um endereço independente.

Criar um Service com o Destination Port correto

Antes de criar um novo Service, deve verificar-se se já existe um serviço padrão adequado, como HTTP, HTTPS, DNS ou NTP. Um Custom Service é útil quando uma aplicação necessita de outra porta ou de uma combinação especial de protocolos.

O exemplo seguinte cria o serviço TCP para iPerf3:

  1. Abrir Hosts and services > Services e selecionar Add.
  2. Introduzir svc_iperf3_tcp como Name.
  3. Definir Type como TCP/UDP e Protocol como TCP.
  4. Manter inalterado o Source Port predefinido 1:65535.
  5. Introduzir 5201 como Destination Port.
  6. Guardar com Save.

O cliente escolhe normalmente o Source Port de forma dinâmica. Se o Service também o limitasse a 5201, uma ligação normal deixaria de corresponder. A porta fixa do servidor deve, por isso, ser introduzida em Destination Port. Um Source Port restrito só está correto quando o protocolo o exige expressamente e o tráfego real confirma esse comportamento.

Para um teste UDP do iPerf3, também é criado svc_iperf3_udp com protocolo UDP e Destination Port 5201. Como o iPerf3 continua a utilizar uma ligação de controlo TCP durante o teste UDP, ambos os Services são agrupados:

  1. Abrir Hosts and services > Service group e selecionar Add.
  2. Introduzir grp_iperf3 como Name.
  3. Selecionar svc_iperf3_tcp e svc_iperf3_udp.
  4. Guardar com Save.

O procedimento completo de medição está descrito em Speedtest iPerf3 através da Sophos Firewall.

IP, ICMP e ICMPv6

Além de TCP e UDP, um Custom Service pode descrever um número de protocolo IP ou tipos e códigos ICMP/ICMPv6. Estes tipos destinam-se a protocolos que não utilizam uma porta TCP ou UDP. Os valores devem provir da documentação técnica da aplicação e não ser deduzidos a partir de um único teste falhado.

Utilizar objetos numa regra de firewall

Um objeto de host ou Service não permite tráfego por si só. Só produz efeito quando é utilizado como critério de correspondência numa regra. Um exemplo restritivo poderia ser:

  • Source zones: LAN
  • Source networks and devices: net_test_branch
  • Destination zones: DMZ
  • Destination networks: host_test_web
  • Services: HTTPS
  • Log firewall traffic: ativado

As zonas, os endereços e o Service são adaptados à rede real. O tráfego de resposta de uma ligação stateful permitida é devolvido automaticamente. No entanto, esta regra não permite novas ligações independentes da DMZ para a LAN. Compreender e configurar regras da Sophos Firewall em segurança explica a ordem, as funções de proteção e os testes.

Depois de guardar, deve ser verificada uma tentativa de ligação real no Log Viewer. Devem aparecer o Rule ID, Source IP, Destination IP e Destination Port esperados. Assim, é possível distinguir um objeto mal definido de tráfego processado por outra regra.

Atualizar Object Usage antes de alterações

Um objeto pode ser utilizado em regras de firewall e NAT, VPN, rotas SD-WAN ou outras configurações. Antes de o alterar ou eliminar, devem ser verificadas as respetivas dependências.

A coluna Usage na lista de objetos mostra o número conhecido de referências. Este contador só é atualizado automaticamente uma vez por dia. Antes de uma alteração:

  1. Selecionar Refresh junto a Usage.
  2. Abrir o contador atualizado do objeto afetado.
  3. Expandir as categorias e verificar cada regra ou Policy dependente.
  4. Só depois decidir se o objeto pode ser alterado, substituído ou eliminado.

Nem todas as dependências podem ser alteradas diretamente na vista Usage. Algumas, incluindo WAN gateways e configurações CLI, têm de ser abertas separadamente no local de configuração indicado. Um contador igual a zero só é uma base fiável depois de um Refresh manual.

Evitar erros comuns

  • Host em vez de Network: Um endereço IP individual não abrange automaticamente a sub-rede associada.
  • Endereço de rede ou máscara incorretos: Num objeto Network, o endereço de rede e o prefixo têm de corresponder à segmentação real.
  • Source Port restrito: Em ligações cliente-servidor normais mantém-se 1:65535; limita-se o Destination Port.
  • Demasiado Any: Um objeto de host preciso perde o seu valor de segurança se a origem ou o Service continuarem desnecessariamente abrangentes.
  • Objeto de sistema duplicado: O SFOS mantém os hosts de interface e Remote Access, pelo que não devem ser copiados sem um motivo concreto.
  • IP list como Threat Feed: Uma IP list permanece estática e não substitui indicadores de ameaças atualizados automaticamente.
  • Dependências não atualizadas: Antes de alterar ou eliminar um objeto, selecionar sempre Refresh em Object Usage.

Prefixos descritivos como host_, net_, range_, svc_ e grp_ não são um requisito técnico, mas facilitam a pesquisa e a revisão. Mais importante do que o esquema específico é utilizar de forma consistente os nomes, as finalidades e os âmbitos em todo o conjunto de regras.

O SFOS suporta até 16 000 hosts no conjunto de todos os tipos. Para a operação diária, uma base de objetos menor e compreensível continua a ser mais valiosa do que muitas entradas quase idênticas. Os objetos que já não são necessários devem ser removidos de forma controlada depois de atualizar e verificar o respetivo Usage.