Configurar e operar Sophos Firewall Threat Feeds com segurança

Os Sophos Firewall Threat Feeds importam automaticamente endereços IP, domínios e URLs maliciosos conhecidos como Indicators of Compromise (IoCs). Para uma implementação segura, deve observar-se primeiro o feed no modo Monitor, verificar os hits e os efeitos secundários e só depois mudar para Block.

Este artigo aborda sobretudo Third-Party Threat Feeds, como os feeds da Cybora. A funcionalidade foi introduzida com a Sophos Firewall v21.

Configurar um Threat Feed

Os Third-Party Threat Feeds requerem o Xstream Protection Bundle, mas não uma licença Sophos Central adicional. A firewall tem de conseguir aceder ao URL do feed através de DNS e HTTPS.

1. Abrir System services > Log settings.
2. Em Active threat response, ativar pelo menos um destino de log suportado. Para o Log Viewer local, é Local reporting. Os modelos XGS 87/87w e 107/107w não suportam reporting local; nestes modelos deve utilizar-se o Sophos Central ou um servidor syslog.
3. Para ver hits em tráfego DNAT e WAF de entrada, ativar também Remote source match (inbound traffic). Esta opção está desativada por predefinição.
4. Abrir Protect > Active threat response > Third-party threat feeds > Add.
5. Introduzir um nome e uma descrição inequívocos, por exemplo:
   • Projeto-piloto: Name cybora-premium-ipv4-monitor, Description Cybora Premium IPv4 - Pilot
   • Feed de produção já validado: Name cybora-premium-ipv4, Description Cybora Feed - Premium
6. Em Indicator type, selecionar IPv4 address, Domain ou URL. Se uma fonte fornecer vários tipos, cria-se um feed separado para cada tipo.
7. Definir Action como Monitor durante a introdução. Após um período de observação verificado, pode mudar-se para Block.
8. Em External URL, introduzir o endereço adequado da lista de feeds da Avanet ou do próprio fornecedor. O ficheiro tem de conter um indicador por linha.
9. Se necessário, configurar uma API key ou Basic Authentication. As credenciais não devem constar de tickets nem capturas de ecrã.
10. Ativar Validate server certificate. Para um certificado público, a CA emissora tem de estar disponível em Certificates > Certificate authorities; para uma CA privada, importa-se primeiro o respetivo certificado.
11. Selecionar um Polling interval adequado ao intervalo de atualização do fornecedor.
12. Executar Test connection e guardar com Save.

Em seguida, verificar Sync status, Last updated, o número de Threat indicators e a Storage quota disponível. Success confirma a obtenção do feed, mas não que o tráfego esperado seja efetivamente detetado ou bloqueado. Este efeito tem de ser validado separadamente no Log Viewer.

Selecionar corretamente o feed e a ação

Indicadores suportados

Um feed contém exatamente um destes tipos:

• IPv4 address: scanners, botnets, sistemas comprometidos ou servidores C2
• Domain: domínios de malware, phishing ou command-and-control
• URL: caminhos maliciosos específicos ou links de download

O feed tem de ser um ficheiro de texto simples com um indicador por linha. Intervalos IP, endereços IPv6, redes, domínios wildcard e expressões regulares não podem ser utilizados em Third-Party Threat Feeds como substitutos de IoCs individuais suportados.

Uma lista grande não é automaticamente uma boa lista. A origem, atualidade, intervalo de atualização, risco de falsos positivos e os hits no próprio ambiente são mais importantes do que o número total de entradas. Um feed que não oferece utilidade duradoura apenas ocupa armazenamento.

Monitor antes de Block

Monitor regista os hits, mas permite o tráfego. Desta forma, mostra que origens, destinos e serviços seriam afetados. Block regista e descarta o tráfego correspondente.

Para um feed novo, recomenda-se o seguinte procedimento:

1. Colocar o feed no topo da lista Third-Party.
2. Começar com Monitor.
3. Verificar os hits e possíveis falsos positivos durante um período representativo.
4. Documentar a pessoa responsável e o processo de exceções.
5. Só depois mudar para Block.

Um feed IPv4 bem selecionado para serviços muito expostos pode entrar em produção mais rapidamente do que um feed de domínios ou URLs. Estes últimos correspondem com maior frequência a infraestrutura partilhada, CDNs ou redirecionamentos e, por isso, exigem uma análise particularmente cuidadosa.

Ordem e nomes

O Active Threat Response processa os módulos pela seguinte ordem: MDR, NDR Essentials, Sophos X-Ops e depois Third-Party Threat Feeds. Com Log and drop, um hit num módulo anterior termina a verificação posterior. Com Log only ou Monitor, por outro lado, a firewall regista eventos individuais para MDR, X-Ops e Third-Party Threat Feeds.

Dentro de Third-Party Threat Feeds, a firewall avalia separadamente as listas Block e Monitor pela ordem apresentada. Regista o primeiro hit de cada lista e bloqueia com base no primeiro hit da lista Block. Por esse motivo, feeds de produção, feeds piloto e listas de incidentes temporárias devem ser claramente identificados e ordenados:

• cybora-premium-ipv4-block
• cybora-standard-domain-monitor
• incident-2026-06-c2-ipv4

Um bom nome indica o fornecedor ou a finalidade, o tipo de indicador e a ação. Isto poupa tempo durante a análise de logs e as revisões.

Distinguir os módulos de Threat Feed

Em Active threat response encontram-se várias funcionalidades com tarefas e requisitos de licença diferentes:

• Sophos X-Ops Threat Feeds: indicadores da Sophos; requerem Network Protection e, para aplicação, também Web Protection. Ambos estão incluídos nos bundles Standard ou Xstream ou podem ser licenciados individualmente.
• MDR Threat Feeds: IoCs do Sophos MDR; requerem o Xstream Protection Bundle e MDR Essentials ou MDR Complete no Sophos Central. O guia específico explica a integração Central, a ação local, Audit ID, Task Queue e a validação do incidente.
• Third-Party Threat Feeds: listas externas de IPv4, domínios ou URLs; requerem o Xstream Protection Bundle.
• NDR Essentials: analisa o tráfego com machine learning e requer o Xstream Appliance Bundle.
• NDR Active Threat Intelligence: regista padrões NDR selecionados pela Sophos, requer o Xstream Protection Bundle e tem de ser ativado em cada regra de firewall através de Scan with NDR Active threat intelligence. Os modelos XGS 87/87w e 88/88w não são suportados.

Para NDR, consultar a instrução separada Operar Sophos Firewall NDR e Active Threat Response.

Compreender o efeito sobre o tráfego

Tráfego IPv4, de domínios e URLs

O tráfego IPv4 reencaminhado requer uma regra de firewall que processe o tráfego em causa. O tráfego direcionado para o sistema e destinado a serviços em Administration > Device access, como WebAdmin, VPN Portal e VPN, é comparado separadamente com indicadores de IP de origem e não passa por uma regra de firewall de trânsito.

Para tráfego reencaminhado, os feeds de domínios requerem adicionalmente Application Classification ou uma política IPS na regra de firewall.

No caso de URLs HTTPS completos, a firewall também tem de ver o caminho. Para isso, é necessário Web Proxy com desencriptação HTTPS ou DPI com uma regra de inspeção SSL/TLS adequada. Sem desencriptação, a firewall vê apenas o domínio através de SNI, e não o caminho URL completo.

DNAT e WAF a partir do SFOS 22

Desde o SFOS 22, a firewall pode comparar o IP de origem do tráfego de entrada reencaminhado para DNAT e WAF com os MDR, NDR e Third-Party Threat Feeds. Isto permite reconhecer scanners e botnets conhecidos antes de alcançarem serviços publicados.

Para que estes hits apareçam no log do Active Threat Response, a opção Remote source match (inbound traffic) tem de estar ativada em System services > Log settings > Active threat response. Está desativada por predefinição. Sem esta definição, o bloqueio pode funcionar sem que os eventos DNAT ou WAF esperados apareçam no Log Viewer.

Casos de utilização típicos

Os Threat Feeds não ajudam apenas no tráfego de saída dos clientes. Sobretudo os serviços acessíveis publicamente são muitas vezes alvo de scans automatizados num curto espaço de tempo.

• DNAT para servidores internos: um feed IPv4 pode bloquear origens maliciosas conhecidas antes de estas chegarem ao servidor publicado.
• Publicações WAF: os dados de reputação complementam as regras WAF contra tráfego de bots, scans de CVE, sondagens a CMS e credential stuffing.
• VPN Portal, User Portal e WebAdmin: estes serviços são protegidos primeiro com MFA, redes de origem e Device Access e Local Service ACL. Os Threat Feeds reduzem adicionalmente origens de ataque conhecidas.
• Tráfego de saída dos clientes: feeds de domínios e URLs podem bloquear destinos conhecidos de malware, phishing e C2.
• Endereços WAN alvo de scans intensivos: um bom feed IPv4 reduz o ruído automatizado e alivia a firewall e os logs.

Os Threat Feeds complementam o hardening básico, mas não o substituem. Os serviços publicados continuam a precisar de regras DNAT ou WAF restritivas, apenas das portas necessárias, de limitações adequadas por origem ou país, IPS ou WAF e logging ativado. Um feed não dá carta branca para regras Any abrangentes. O processo geral encontra-se no Sophos Firewall Hardening Hub.

Verificar sincronização e operação

Testar separadamente a obtenção do feed e o efeito no tráfego

Uma ligação bem-sucedida e Sync status: Success apenas comprovam que a firewall conseguiu obter e ler a lista. Uma verificação completa requer três níveis:

1. Obtenção: Test connection, Sync status, Last updated e Storage quota são plausíveis.
2. Conteúdo: existe um IoC esperado em Threat indicators.
3. Efeito: tráfego de teste controlado gera um hit em Log viewer > Active threat response ou no destino Central ou syslog configurado. Dependendo da correspondência, é possível rastrear o nome do feed, Log/Drop, a direção da correspondência, origem e destino ou URL, protocolo e portas.

Para um teste reproduzível, pode utilizar-se um feed piloto próprio e curto num servidor HTTPS controlado. Este contém o endereço IPv4 de um destino de teste também controlado. O feed permanece em Monitor, um cliente de laboratório estabelece uma ligação ao destino de teste e o administrador verifica a entrada no log. Não se deve aceder a destinos de malware ativos nem a sistemas de terceiros para realizar testes.

Sincronização e Storage Quota

Os seguintes valores da vista geral de feeds são importantes para a operação contínua:

• Success, Fetching ou Disabled em Sync status
• o timestamp esperado em Last updated
• um número plausível de Threat indicators
• uma Storage quota livre suficiente
• uma atualização manual bem-sucedida através de Synchronize now

Em caso de Authentication error, verificar a API key ou as credenciais; em caso de Connection error, verificar DNS, acesso à Internet, estado HTTP e o servidor do feed. Um SSL/TLS error indica um problema com o certificado ou a cadeia de certificados, enquanto Failed indica frequentemente o formato do feed ou indicadores inválidos.

Se o armazenamento estiver cheio, deve verificar-se o âmbito, a qualidade e a prioridade dos feeds em vez de adicionar mais listas. Nos modelos XGS 87/87w, 88/88w e 107/107w, apenas estão disponíveis os intervalos de polling 24h, 7d e 30d para Third-Party Threat Feeds. Um feed do fornecedor atualizado com maior frequência não elimina esta limitação do equipamento.

Se não aparecerem hits

Ordem de verificação recomendada:

1. Feed ativo, Sync status: Success e IoC esperado em Threat indicators
2. uma deteção MDR, NDR ou X-Ops com prioridade superior para o mesmo IoC
3. logging do Active Threat Response e, para DNAT/WAF, Remote source match
4. a regra de firewall correspondente e o respetivo logging
5. para domínios, Application Classification ou uma política IPS
6. para URLs, Web Proxy ou DPI e SSL/TLS Inspection
7. Threat Exclusions, Web Exclusions e SSL/TLS Exclusion Lists

Se um feed não gerar hits relevantes durante um período de observação representativo, deve reavaliar-se a sua utilidade.

Tratar falsos positivos

Em caso de bloqueio incorreto, abrir primeiro a entrada no log e documentar o nome do feed, Log/Drop, a direção da correspondência, origem e destino ou URL, protocolo e portas. Em seguida, confirmar que o tráfego é legítimo, comunicar o indicador afetado ao fornecedor do feed e criar apenas a exceção mais restrita possível, com motivo, responsável e data de revisão.

Uma exceção abrangente para redes inteiras não é uma solução adequada. Em hits de domínio ou URL, podem estar igualmente envolvidos TLS Inspection, uma Web Policy, DNS Protection ou outra funcionalidade de segurança.

Backup e restore

Um backup da firewall contém a configuração dos Third-Party Threat Feeds, mas não as listas descarregadas. Após um restore, a firewall volta a obter imediatamente as fontes e aplica a ação configurada. Por isso, DNS, acesso à Internet, validação de certificados e credenciais têm de funcionar logo após o restauro.

As configurações de Threat Feed não podem ser importadas ou exportadas separadamente; as Threat Exclusions, por outro lado, podem. Após um restore, devem verificar-se novamente a obtenção do feed, o número de IoCs e o efeito no tráfego.

Cybora Threat Feeds para Sophos Firewall

A Cybora fornece feeds selecionados para que os administradores não tenham de recolher, normalizar e verificar continuamente várias listas OSINT. Os dados provêm, entre outras fontes, da comunidade e de OSINT, Threat Intelligence comercial, honeypots e logs anonimizados de ataques e anomalias de ambientes Sophos Firewall geridos.

A Avanet testou vários fornecedores de Threat Feeds em ambientes firewall reais. Para a Sophos Firewall, consideramos que a Cybora oferece atualmente a melhor relação qualidade-preço. Foram avaliados a qualidade dos feeds, a cobertura, os intervalos de atualização e os custos. Mesmo um feed deste tipo deve ser validado primeiro num projeto-piloto próprio em modo Monitor.

Comparar planos

Free (Basic) é adequado para utilizadores domésticos, proof of concept e testes de compatibilidade. Standard acrescenta ao feed IPv4 domínios de malware e phishing. Premium amplia a cobertura com domínios e URLs atualizados de hora a hora. Ultimate, com atualizações a cada 15 minutos, destina-se a infraestruturas críticas e perímetros de alto risco.

Além do número e do preço, são importantes a atualidade, os tipos de indicadores suportados, a qualidade das fontes, o intervalo de atualização, o risco de falsos positivos e a rastreabilidade no Log Viewer. O feed adequado é aquele que gera hits relevantes com efeitos secundários aceitáveis no próprio ambiente.

Avanet Firewall Network

Uma parte do feed Premium provém de uma rede distribuída de firewalls. Esta perspetiva ajuda a identificar padrões de ataque que são quase impercetíveis numa única firewall.

Em ataques de brute force distribuídos, cada bot realiza apenas algumas tentativas de início de sessão falhadas e permanece frequentemente abaixo de um limiar local. A combinação de sinais anonimizados revela endereços IP que atacam deliberadamente infraestruturas em vários sistemas. Deste modo, surge um Threat Intelligence Feed continuamente atualizado para defesa automática.