Inspecionar portas não padrão com o Sophos Firewall

O Sophos Firewall inspeciona HTTP, HTTPS, FTP, SMTP/S, POP e IMAP nas respetivas portas padrão. Quando uma aplicação utiliza um destes protocolos noutra porta, service-param pode alargar a inspeção do protocolo a essa porta.

O comando não abre uma porta de forma geral. Não cria um objeto de serviço nem uma regra de firewall e não ativa uma policy web, TLS ou de e-mail. Para o tráfego ser inspecionado, a correspondência da regra, a porta de destino permitida e o caminho de inspeção responsável têm de estar alinhados. Para regras web novas, determina-se primeiro se o fluxo é processado pelo DPI Engine ou Web Proxy.

⚠️ service-param é uma atribuição global. Uma porta adicional não afeta apenas um host ou uma regra de firewall. Antes da alteração, documentam-se as utilizações existentes da porta, as policies afetadas e uma reversão executável.

Escolher primeiro o caminho de inspeção

Uma porta de destino adicional e a inspeção desse fluxo são duas decisões distintas. Em Hosts and services > Services, um objeto de serviço TCP define a porta de destino que corresponde a uma regra de firewall. Ao criá-lo em Hosts and services > Services > Add, normalmente mantém-se Source port em 1:65535, porque as aplicações escolhem dinamicamente a porta de origem. O objeto, por si só, não ativa a inspeção de conteúdos.

Para tráfego web, service-param geralmente não é o primeiro passo no SFOS 22:

• O DPI Engine deteta HTTP e SSL/TLS em todas as portas. Por isso, um portal HTTPS em TCP 8443 precisa de um serviço correspondente na regra de firewall, da web policy prevista e das definições de análise adequadas. Se for necessária desencriptação, também tem de corresponder uma regra em Rules and policies > SSL/TLS inspection rules. Estas regras detetam TLS em qualquer porta TCP e avaliam em conjunto origem, destino, utilizador, serviço e critérios de sites.
• Com Use web proxy instead of DPI engine, o Transparent Web Proxy só processa HTTP na porta 80 e HTTPS na porta 443. O tráfego HTTP e TLS noutras portas permanece no DPI Engine. Portanto, service-param não é uma forma de alargar genericamente o proxy transparente a portas adicionais.
• Com o Direct Web Proxy, o cliente liga-se ao listener configurado em Web > General settings > Web proxy configuration. Este caminho de proxy explícito funciona independentemente de Use web proxy instead of DPI engine estar selecionado numa regra de firewall.

O IPS também é um caminho separado. Intrusion prevention > IPS policies tem de estar ativado globalmente, requer uma subscrição Network Protection ativa ou uma licença de avaliação e a policy IPS pretendida tem de estar definida na regra de firewall correspondente. service-param não ativa o IPS nem mostra se uma assinatura reconheceu o fluxo. Para o verificar, correlacionam-se Firewall Rule ID e o evento IPS no Log Viewer.

Assim, service-param é sobretudo uma opção quando o serviço específico do protocolo documentado pela Sophos precisa de processar uma porta adicional, por exemplo FTP ou um protocolo de e-mail. Para apenas inspeção web ou TLS por DPI, configura-se corretamente o caminho das regras.

Quando service-param é adequado

O comando é adequado quando uma aplicação conhecida utiliza realmente HTTP, HTTPS, FTP, SMTP, SMTPS, POP ou IMAP numa porta TCP não padrão, a verificação do caminho de inspeção ainda não conduziu à solução DPI e o serviço específico do protocolo tem de processar esse tráfego. Exemplos típicos são FTP em TCP 2121 ou uma configuração SMTP acordada em TCP 2525.

Uma porta TCP aberta não prova a utilização do protocolo esperado. Se na porta 8443 existir tráfego binário proprietário, atribuí-la a HTTPS pode interromper ligações em vez de acrescentar proteção. Para tráfego web, verifica-se também se o DPI Engine já deteta o protocolo ou se é realmente necessário adicionar uma porta de serviço ao proxy. Para e-mail, distingue-se SMTP com STARTTLS de SMTPS com TLS desde o início da ligação. Se for utilizado Mail Protection em modo MTA, o tráfego segue um caminho diferente encaminhado pelo MTA.

service-param não é adequado quando uma regra de firewall apenas precisa de permitir uma porta de destino adicional. Em Hosts and services > Services, cria-se um objeto de serviço TCP adequado e utiliza-se na regra. A atribuição de inspeção só é adicionada quando o proxy ou serviço de e-mail responsável também precisa de processar a porta não padrão.

Registar o estado inicial na Device Console

O comando é executado através de 4. Device Console. Antes de qualquer alteração, o comando seguinte mostra as portas de serviço existentes e outros valores globais:

show service-param

Regista-se a saída completa com o build SFOS, a hora e a referência da alteração. É especialmente importante verificar se a porta pretendida já está atribuída a outro serviço. A mesma porta não é atribuída por suspeita simultaneamente a HTTP, HTTPS, SMTP e SMTPS.

A Sophos documenta estes nomes de serviço para o SFOS 22:

FTP
HTTP
HTTPS
IMAP
POP
SMTP
SMTPS
IM_MSN
IM_YAHOO

IM_MSN e IM_YAHOO são designações legacy na CLI. Não constituem um ponto de partida para um novo design de mensagens instantâneas. As aplicações novas são protegidas por regras de firewall, Application Control, TLS Inspection e a deteção de protocolos efetivamente suportada.

Adicionar uma porta adicional

A sintaxe básica documentada para os serviços suportados é:

set service-param <service> add port <portID>
set service-param <service> delete port <portID>

Para uma ligação SMTP confirmada em TCP 2525, um piloto controlado tem, por exemplo, este aspeto:

show service-param
set service-param SMTP add port 2525
show service-param

Este exemplo aplica-se à inspeção pelo proxy de e-mail transparente em Legacy mode. A regra de firewall também precisa de um serviço que permita TCP 2525 como porta de destino; selecione SMTP em Scan email content e configure uma policy de e-mail adequada. Antes da alteração, confirma-se que a porta transporta SMTP e se utiliza STARTTLS. Uma ligação TCP ou entrega de e-mail bem-sucedida, por si só, não prova a inspeção de conteúdos. Em MTA mode, não altere para este piloto a regra de firewall MTA criada automaticamente.

O marcador portID na sintaxe Sophos é utilizado na Device Console com o valor concreto da porta. A porta só é adicionada depois de um Packet Capture ou a documentação da aplicação confirmar o protocolo e a porta de destino.

Não misturar opções globais com o teste da porta

Para HTTPS, a Sophos indica adicionalmente deny_unknown_proto on|off e invalid-certificate allow|block. SMTPS também dispõe de invalid-certificate allow|block. SMTP oferece outras opções globais para Failure Notifications, Fast ISP Mode, Notification Port e Strict Protocol Check.

Estes valores resolvem um problema diferente de add port e não são alterados no mesmo piloto. Em particular, invalid-certificate allow pode tolerar globalmente erros de certificado, enquanto deny_unknown_proto e strict-protocol-check alteram o tratamento de ligações não conformes. Uma ligação bem-sucedida após várias alterações simultâneas seria difícil de atribuir e poderia reduzir silenciosamente a proteção.

A sintaxe oficial também inclui:

set service-param HTTPS deny_unknown_proto <on|off>
set service-param HTTPS invalid-certificate <allow|block>
set service-param SMTPS invalid-certificate <allow|block>
set service-param SMTP failure_notification <on|off>
set service-param SMTP fast-isp-mode <on|off>
set service-param SMTP notification-port add port <portID>
set service-param SMTP strict-protocol-check <on|off>

Antes de uma destas alterações globais, avaliam-se separadamente a saída atual exata, os remetentes ou aplicações web afetados, o impacto na segurança e as indicações do suporte. Por isso, o artigo não apresenta estes comandos como valores padrão recomendados.

Validar o efeito com um fluxo real

O teste começa com exatamente uma origem piloto e uma regra de firewall com logging. Antes e depois da alteração, utilizam-se o mesmo destino, a mesma porta de destino e uma ligação nova. No Log Viewer, Firewall Rule ID, a ação web ou de e-mail e a hora têm de corresponder ao piloto.

Para HTTPS, verificam-se também o emissor do certificado, o handshake TLS e a ação Block ou Allow esperada. Se a análise de malware fizer parte do design, executa-se um teste EICAR controlado exatamente através dessa porta. O EICAR só confirma o caminho antivírus normal, não todas as funções TLS, de policy ou ML. Para SMTP, SMTPS, POP e IMAP, utiliza-se uma mensagem de teste claramente identificável e acompanha-se em Mail Logs, Quarantine e, quando aplicável, Mail Spool.

Um Packet Capture confirma que o cliente utiliza realmente a porta de destino prevista. Se apenas o Firewall Log mostrar Allow, ainda não existe prova de que o proxy ou serviço de e-mail seguinte tenha inspecionado o conteúdo. Testar regras Sophos Firewall de forma controlada combina a correspondência de regras, Log Viewer e Packet Capture.

Reverter a atribuição da porta

A reversão remove do serviço correto apenas a porta adicionada pela alteração:

set service-param SMTP delete port 2525
show service-param

Depois, estabelece-se novamente o mesmo fluxo de teste. A conectividade tem de regressar ao estado inicial documentado. As permissões temporárias do serviço de firewall, regras piloto e exceções são removidas separadamente; delete port não elimina estes objetos.

Se a adição da porta falhar, registam-se o erro e show service-param. Com estes dados, determina-se se a porta já é tratada como padrão ou está atribuída a outro serviço. Uma entrada existente não é eliminada sem verificação, pois outro caminho de inspeção pode depender dela.

Checklist operacional

• A aplicação, o protocolo e a porta de destino real estão confirmados.
• show service-param e o build SFOS estão registados antes da alteração.
• Serviço de firewall, correspondência da regra e atribuição de inspeção são tratados separadamente.
• A porta não está já atribuída a um serviço incompatível.
• No piloto muda apenas add port, não uma opção global de certificado ou protocolo.
• Teste positivo, teste negativo, log de inspeção e Packet Capture estão preparados.
• O comando delete port correspondente e o caminho de retorno inalterado estão prontos.

FAQ