Sophos Firewall Spoof Protection e DoS Settings verificam
Spoof Protection e DoS Settings estão entre as funções clássicas de endurecimento de um Sophos Firewall. Os recursos reduzem pacotes simples, barulhentos ou obviamente incorretos antes que se tornem ruídos desnecessários em logs, regras ou serviços publicados. Ao mesmo tempo, essas configurações não são uma proteção mágica contra todo tipo de ataque.
O artigo classifica as funções como proteção básica cuidadosa: primeiro entenda o design da rede e os caminhos de retorno, depois ative, teste e verifique os logs. A distinção é particularmente importante: essas funções complementam a limpeza de regras de firewall, IPS, Threat Feeds, WAF e registro. Eles não substituem esses blocos de construção.
Explicado resumidamente
Spoof Protection verifica se pacotes com um endereço de origem plausível chegam na interface esperada. Por exemplo, se um pacote com um endereço de origem interno aparecer vindo da Internet, isso é suspeito na maioria dos designs. DoS Settings, por outro lado, responde a certos padrões de inundação ou ataque de conexão, por exemplo, quantidades perceptíveis de tráfego SYN, UDP ou ICMP.
O caminho de menu típico, dependendo da versão SFOS, está no intervalo:
Intrusion prevention > DoS & spoof protection
Se a interface for rotulada de maneira um pouco diferente em uma versão mais recente, você deve procurar DoS, proteção contra falsificação ou prevenção contra intrusões. O importante não é o caminho exato do clique, mas sim que a função seja conscientemente planejada, testada e posteriormente registrada.
O que as funções fazem
- Spoof Protection: Descartar pacotes com IP de origem implausível, reduzir tentativas simples de falsificação, tornar visíveis pacotes roteados incorretamente. não substitui zona limpa, interface e planejamento de roteamento.
- DoS Settings: limita padrões simples de inundação, torna perceptíveis ataques barulhentos ou configurações incorretas mais cedo. não substitui a proteção DDoS do provedor, não há WAF e nenhum design upstream dimensionado de forma limpa.
Não misturar tipos de proteção
Na prática, essas funções são particularmente interessantes como proteção básica. O benefício é reduzir o absurdo óbvio. Em ataques DDoS volumétricos reais, a conexão com a Internet geralmente já está lotada antes que o firewall possa responder de forma significativa. Então você precisa de proteção do provedor, depuração upstream ou outra arquitetura.
Quando Spoof Protection faz sentido
Spoof Protection se adapta particularmente bem a redes claramente segmentadas nas quais redes de origem, interfaces e rotas são claramente planejadas. Quanto mais clara for a estrutura da rede, mais fácil será avaliar se um endereço de origem em uma interface é plausível.
Aplicações úteis:
- Internet WAN na qual nenhuma fonte RFC1918 interna deve aparecer.
- DMZ ou zonas de servidor com redes de origem e destino claras.
- Cliente, convidado ou zonas IoT nas quais nenhuma rede interna externa deve aparecer como fonte.
- Locais onde o roteamento, VLANs e zonas estão claramente documentados.
- Ambientes nos quais pacotes são descartados devem ser posteriormente rastreados com Packet Capture e logs.
As coisas ficam mais difíceis com roteamento assimétrico, redes de trânsito complexas, caminhos de migração temporários, VLANs documentados incorretamente ou vários firewalls no mesmo caminho de dados. Um fluxo de dados legítimo pode parecer falsificação, embora o design de roteamento ou o caminho de retorno sejam, na verdade, impuros.
Verifique antes da ativação
Spoof Protection e DoS Settings não devem ser ativados cegamente em um ambiente de produção. Deve ficar claro de antemão quais redes e serviços são afetados.
Pontos de verificação importantes:
- Documente zonas, interfaces, VLANs, pontes e LAGs.
- Verifique rotas estáticas, rotas SD-WAN, rotas VPN e caminhos assimétricos.
- Identifique serviços publicados via DNAT ou WAF.
- Observe serviços críticos como VoIP, monitoramento, backup, varreduras, VPN e conexões de site.
- Prepare o registro e a avaliação central se os eventos precisarem ser rastreados posteriormente.
- Define janela de manutenção ou área piloto para primeira ativação.
Se as regras normais do firewall forem difíceis de entender, a regra e o status do roteamento devem ser limpos primeiro. Para conexões de teste individuais, Testar regra de firewall com Log Viewer, Teste de política e Packet Capture é um começo melhor.
Spoof Protection ative com cuidado
Uma abordagem passo a passo faz sentido para Spoof Protection. Você deve proteger primeiro as áreas mais limpas, e não todas as zonas especiais imediatamente.
Processo prático:
- Salve a configuração atual ou pelo menos documente as configurações afetadas.
- Comece com uma zona ou interface limpa, por exemplo WAN ou uma zona de cliente claramente separada.
- Salvar ativação.
- Execute conexões de teste planejadas: acesso à Internet, VPN, serviços publicados, servidores centrais, monitoramento.
- Verifique Log Viewer e Packet Capture para quedas inesperadas.
- Não lide imediatamente com quedas legítimas visíveis com amplas exceções, mas primeiro verifique o roteamento, o IP de origem e a interface.
Um erro comum é tratar Spoof Protection como um puro gancho de segurança. Na realidade, a função testa uma suposição sobre o design da rede. Se esta suposição não estiver correta, Spoof Protection não precisa necessariamente estar errado. Muitas vezes uma interface, uma rota, um VLAN ou uma rota de retorno não são construídas conforme o esperado.
Compreender corretamente IP, MAC e pares IP-MAC
Sophos distingue vários tipos de verificação. IP spoofing descarta tráfego quando o IP de origem não corresponde à tabela de routing ou a uma sub-rede diretamente ligada. MAC filter trabalha com endereços MAC de confiança; para isso deve existir pelo menos uma Trusted MAC Address mantida. O MAC filter não é aplicado a pacotes DHCP. IP-MAC pair filter verifica se a combinação recebida de endereço IP e endereço MAC corresponde a um par conhecido.
Isto é útil em redes estáticas e claramente controladas, mas em ambientes dinâmicos pode criar rapidamente esforço de manutenção. DHCP, roaming Wi-Fi, máquinas virtuais, hypervisors, clusters, NAC, docking stations ou substituição de dispositivos podem criar alterações MAC/IP legítimas. Nessas redes, convém observar primeiro e criar bindings apenas onde a realidade operacional seja suficientemente estável.
A expectativa é importante: um IP-MAC pair filter ativo sem Trusted MAC ou pares IP-MAC mantidos não protege automaticamente. Se não existirem entradas correspondentes, o tráfego não é bloqueado, mas permitido. A proteção só surge com bindings mantidos e testados.
A opção Restrict unknown IP on trusted MAC é especialmente rigorosa: pacotes de uma Trusted MAC sem binding IP correspondente podem ser descartados se o IP for desconhecido do ponto de vista da firewall. É um ganho de segurança em redes controladas, mas um ponto sensível com DHCP, migrações e alterações temporárias de IP.
DoS Settings plano
DoS Settings deve se adequar ao ambiente. Raramente faz sentido adotar valores de outro exemplo sem verificar. Um site com poucos usuários, VoIP e um pequeno WAN se comporta de maneira diferente de um data center, uma rede escolar ou um site com varreduras e monitoramento regulares.
Antes de adaptar, responda a estas perguntas:
- Quais serviços públicos estão expostos?
- Existem picos de carga, varreduras, monitoramento ou verificações de integridade legítimos?
- VoIP, VPN, WAF, DNAT ou transferências de arquivos grandes são usadas?
- Quais eventos devem ser apenas registrados e quais realmente devem ser bloqueados?
- Quem verifica os logs após a ativação?
DoS Settings pode ajudar a limitar padrões simples de inundação. No entanto, limites demasiado rigorosos também podem afetar o tráfego legítimo. Deve-se ter cuidado especial com VoIP, sistemas de monitoramento, tarefas de backup, verificações de vulnerabilidades e serviços publicados muito utilizados.
No ecrã não contam apenas floods clássicos. Existem também flags como Dropped source routed packets, Disable ICMP/ICMPv6 redirect packet e ARP hardening. Estas opções são um hardening básico útil, porque podem reduzir manipulações de routing ou do comportamento ARP. Mesmo assim, devem ser testadas após a ativação, especialmente em redes com routers downstream, segmentos antigos ou designs Layer 2 invulgares.
Para os limites, dois conceitos são importantes:
- Packet rate: número de pacotes que um host pode enviar ou receber por minuto antes de o tráfego ser descartado.
- Burst rate: pico curto acima do Packet Rate permitido sem ser imediatamente tratado como flood persistente.
A Apply flag decide se o limite configurado é realmente aplicado ao protocolo correspondente. Valores demasiado altos fazem pouco. Valores demasiado baixos bloqueiam picos legítimos. Por isso, os valores devem ser alinhados com o tráfego real, serviços publicados e janelas de manutenção conhecidas.
Caso especial: segundo a Sophos, a configuração IP flood não está disponível na interface web, apenas via CLI. Estas definições não devem ser alteradas de passagem, mas com change, documentação e plano de rollback.
Usar DoS bypass rules apenas de forma restrita
As DoS bypass rules são úteis quando um fluxo claramente conhecido é, de outra forma, atingido erradamente de forma fiável. A exceção deve ser o mais precisa possível: origem específica, destino específico, protocolo adequado e intervalo de portas estreito.
Regras largas com redes grandes, lógica any ou intervalos de portas genéricos são perigosas. Tornam a inspeção DoS cega exatamente onde ela pode ser necessária mais tarde.
A ordem é importante: Sophos Firewall verifica primeiro se uma DoS bypass rule corresponde e só aplica DoS Protection ao tráfego restante. Uma regra de bypass demasiado ampla pode tornar ineficaz até uma boa configuração DoS. Em regras bypass, source, destination, protocol, source port e destination port devem ser definidos conscientemente, em vez de usar * por conveniência.
O que essas configurações não resolvem
Spoof Protection e DoS Settings são blocos de construção importantes, mas não resolvem todos os problemas de segurança.
- O servidor é atacado por meio de solicitações HTTP permitidas: Verifique WAF regra e proteção do servidor web.
- Ataques de IP de origem maliciosa conhecida: Threat Feeds ou Verifique o bloqueio de país/IP.
- Tentativa de exploração contra um serviço: Ativar IPS-Policy de acordo com a regra.
- A linha da Internet está cheia devido a DDoS: Incluir provedor, limpeza ou proteção DDoS upstream.
- A regra de firewall permite muito: Regras de limpeza, NAT e modelo de objeto.
- Drops são incompreensíveis: Melhorar o registro, Packet Capture, syslog ou relatório central.
O artigo Publicar servidor com DNAT em Sophos Firewall também é relevante para servidores acessíveis publicamente. É sobre NAT, regras de firewall e erros típicos de publicação.
Logs e verificação de acompanhamento
Após a ativação, você não deve apenas verificar se o acesso normal à Internet ainda funciona. O que é importante é se o firewall mostra claramente os eventos esperados e inesperados.
Verifique:
- Log Viewer filtro para firewall e eventos de segurança relevantes.
- Acione o tráfego de teste com IP de origem, IP de destino e serviço claros.
- Use Packet Capture para quedas pouco claras.
- Para armazenamento mais longo, planeje syslog para SIEM ou servidor de log.
- Ao executar o Sophos Central, verifique se Central Firewall Reporting torna os eventos desejados visíveis.
Se um pacote for descartado, mas o motivo não estiver claro, a análise sistemática de descarte em Sophos Firewall descarta pacotes: verificar causas ajuda. Também descreve por que Log Viewer e Packet Capture respondem a perguntas diferentes.
Resolução de problemas após a ativação
Depois de uma alteração, os sintomas não devem ser interpretados demasiado cedo como ataque. A análise mais rápida costuma comparar expectativa, observação e próximo teste.
- Uma única rede perde acesso: a rede de origem pode estar a chegar por uma interface diferente da esperada. Comparar route, VLAN, SD-WAN Route e Packet Capture.
- Muitos clientes atrás de NAT chamam a atenção: o limiar DoS conta o tráfego a partir de uma origem partilhada. Verificar limiar, caminho NAT e pico de carga legítimo.
- VoIP, monitoring ou scanner gera drops: taxas regulares de pacotes podem parecer flooding. Verificar janela de teste curta, Log Viewer e, se necessário, regra de bypass precisa.
- Dispositivos deixam de funcionar após alteração DHCP: binding IP-MAC ou lógica Trusted MAC pode já não corresponder. Controlar lease, endereço MAC e binding.
- Só falta tráfego de retorno: é provável um caminho assimétrico ou gateway errado. Verificar ida e volta separadamente com Packet Capture.
- Alteração ARP ou ICMP cria efeitos secundários: ARP hardening, source-routed packets ou ICMP redirect podem afetar designs de rede invulgares. Verificar routers downstream, segmentos Layer 2 e caminho de routing.
Erros típicos
- Spoof Protection ativar sem compreensão de roteamento: tráfego legítimo pode ser bloqueado. Verificar zonas, interfaces, rotas e caminhos de retorno antecipadamente.
- Aplicar limites de DoS sem verificar: VoIP, monitoramento, varreduras ou serviços publicados podem ser interrompidos. Planejar linha de base e fase de teste.
- Confundir Packet Rate e Burst Rate: taxa sustentada e pico curto são controlos diferentes. Ambos devem corresponder ao serviço.
- Resolva cada anomalia com uma ampla exceção: O endurecimento se torna ineficaz e confuso. Limite a causa e documente de perto as exceções.
- Criar uma DoS bypass rule demasiado ampla: o bypass é avaliado antes de DoS Protection e pode contornar completamente a inspeção. Manter source, destination, protocol e portas restritos.
- Deixar IP-MAC pair filter vazio: sem entradas mantidas não existe binding eficaz. Após a ativação, testar sempre com um cliente conhecido.
- Venda DoS Settings como proteção DDoS: falsas expectativas para ataques de largura de banda. Planeje o provedor e a proteção upstream separadamente.
- Não verifique logs: Blocos ou ataques incorretos permanecem invisíveis. Definir Log Viewer, relatório central ou syslog como ponto operacional.
- Interpretar spoofing drops como um ataque puro: Roteamento ou VLAN erros são ignorados. Compare IP de origem, interface, rota e Packet Capture.
Lista de verificação operacional
Antes da ativação:
- zonas, interfaces e roteamento compreendidos.
- Serviços críticos e casos de teste definidos.
- Packet Rate, Burst Rate e flags ativadas avaliados tecnicamente.
- Documentação de backup ou alteração disponível.
- Registro e avaliação preparados.
- Área piloto ou conjunto de janelas de manutenção.
Após ativação:
- Internet, VPN, WAF, DNAT, VoIP e monitoramento testado.
- Log Viewer verificado se há quedas inesperadas.
- Packet Capture usado para pelo menos um caso de teste claro quando ocorrem quedas.
- As exceções são feitas de forma restrita e fundamentada.
- DoS bypass rules verificadas por source, destination, protocol e portas.
- Resultado registrado na documentação operacional.
Regularmente:
- Verifique DoS e eventos de falsificação.
- Verifique as exceções quanto à necessidade.
- Teste novamente após modificações de rede, alterações de VPN ou novos VLANs. Correlacione registros
- com IPS, feed de ameaças, WAF e eventos de regras de firewall.