Como interpretar User & Device Insights no Sophos Firewall

Control Center > User & device insights é uma vista de triagem, não um único estado de alarme. Os blocos usam fontes e períodos diferentes. Um endpoint vermelho, User Threat Quotient (UTQ) elevado, erro TLS e muitas sessões podem estar relacionados, mas não necessariamente.

Sequência segura: registar bloco e período, abrir detalhes, correlacionar utilizador/IP/hostname e hora com logs e a regra realmente aplicada e só depois alterar uma policy ou exceção. Antes da alteração, guardar captura ou exportação, filtros, contagem de erros, destino, responsável e resultado esperado.

O que cada sinal prova — e o que não prova

• Security Heartbeat apresenta o estado enviado pelos endpoints Sophos. Não prova que todas as ligações foram bloqueadas nem que um dispositivo verde está livre de qualquer ameaça.
• Synchronized Application Control mostra aplicações reportadas por dispositivos geridos. Uma entrada prova deteção, não aplicação de policy ou atividade maliciosa.
• Zero-day protection conta ficheiros analisados e deteções. A contagem não prova que todos os downloads eram visíveis ou nocivos.
• UTQ prioriza contas com base em sete dias de navegação. É uma pista de investigação, não prova de culpa ou comprometimento.
• SSL/TLS connections descreve ligações observadas e certos erros de desencriptação. Percentagens não provam a proteção de um fluxo individual.
• Firewall sessions mostra ligações ativas e proximidade da capacidade. Um número elevado não prova, só por si, ataque ou sobrecarga.

Procurar sempre pelo menos duas evidências concordantes, como bloco e log detalhado ou evento do endpoint e Firewall Rule ID. Para fluxos ativos, usar Live Connections e Connection List.

Verificar Security Heartbeat e aplicações

Os estados são At risk (vermelho), malware ativo; Missing (vermelho), há tráfego mas não há estado de saúde; Warning (amarelo), malware inativo ou detetado e removido; Connected (verde), nenhum malware detetado e endpoint saudável.

O bloco conta todos os estados, mas o detalhe lista apenas endpoints vermelhos e amarelos com hostname, IP, utilizador e tempo desde a mudança. Se todos estiverem verdes, fica vazio: não é uma falha nem um inventário completo.

Nesta vista de detalhes do endpoint, é possível filtrar por estado de saúde para analisar, por exemplo, as mensagens Missing vermelhas separadamente das mensagens Warning amarelas.

Se um endpoint sair da rede enquanto o Heartbeat está Missing, esse estado permanece no Control Center e nos relatórios. Só muda quando o endpoint volta a ligar-se. Antes de remover uma entrada obsoleta confirmada, registar o nome do endpoint, a antiguidade do estado, o último utilizador e timestamp conhecidos e o aspeto atual no Control Center e no relatório. Concluir primeiro a análise da causa, abrir depois a CLI e selecionar 4. Device Console. Podem remover-se todas as entradas Missing que tenham atingido ou ultrapassado uma antiguidade especificada de 1 a 90 dias, ou o nome exato de um endpoint:

system synchronized-security missing-endpoints delete days-missing 7
system synchronized-security missing-endpoints delete name endpoint1

7 e endpoint1 são exemplos que devem ser substituídos pela antiguidade aprovada ou pelo nome exato. O comando por antiguidade afeta todas as entradas em Missing há esse número de dias ou mais e pode remover do Control Center e dos relatórios mais dispositivos do que o pretendido; o comando por nome é mais restrito para um único dispositivo retirado conhecido. A eliminação não repara o endpoint nem o Heartbeat e não recupera o histórico removido. Depois, recarregar o Control Center e o relatório afetado, confirmar que só desapareceram as entradas previstas e, para um dispositivo ainda em serviço, verificar a nova ligação e o novo estado Heartbeat.

Para uma entrada vermelha ou amarela, verificar primeiro hora e endpoint no Sophos Fusion (anteriormente Sophos Central) e depois se a regra correspondente inclui condição Heartbeat. Visibilidade não bloqueia tráfego. Ligar Sophos Firewall ao Sophos Fusion explica requisitos e enforcement; analisar Missing Heartbeat cobre estados persistentes.

O bloco Synchronized Application Control apresenta New, Categorized e total e abre Applications > Synchronized Application Control. Avaliar a aplicação por dispositivo, utilizador e hora, categorizá-la e só depois controlá-la com um Application Filter. Limpeza direta da base não é triagem; para problemas de recolha ou espaço, seguir o procedimento seguro. A atribuição de regras está em Application Control.

Interpretar contadores Zero-day e UTQ

O bloco Zero-day requer uma subscrição Zero-Day Protection ativa. Em Administration > Licensing, o módulo deve apresentar Subscribed ou Evaluating; sem subscrição, a ligação no Control Center permite iniciar uma avaliação gratuita de 30 dias.

Quando Zero-Day Protection está configurada para esse efeito, a firewall envia as transferências suspeitas para a cloud para análise. Os ficheiros são executados aí para detetar ransomware e outras ameaças avançadas, em vez de serem executados no dispositivo local do utilizador para esta análise. Se a funcionalidade estiver ativada, a firewall retém as transferências que correspondem aos critérios configurados até a análise estar concluída. Isto explica os tempos de espera nas transferências afetadas, mas não garante que todos os dispositivos ou todos os ficheiros estejam livres de ameaças.

Os períodos diferem: Recent são novos relatórios malicious, suspicious ou PUA dos últimos sete dias; Incidents conta todos estes ficheiros e conserva relatórios até seis meses, configurável em Report settings > Data management; Scanned inclui todo o tráfego detetado, incluindo ficheiros limpos, conforme a retenção da base de dados.

A ajuda de SFOS 22 indica expressamente que os contadores Zero-day Protection não podem ser reiniciados. A ajuda disponível de SFOS 23 omite esta nota; essa omissão não comprova que o reinício dos contadores seja suportado. Reset ‘Failed’ count aplica-se apenas ao contador separado de falhas SSL/TLS, não ao Zero-day Protection. Conservar os valores dos contadores e os logs para a investigação: reiniciar o equipamento, eliminar dados, alterar a retenção ou usar um reset pela CLI não são métodos recomendados para reiniciar estes contadores, nem no SFOS 23.

Não subtrair os contadores. Abrir Zero-day protection > Downloads and attachments e correlacionar ficheiro, veredito, utilizador/IP, hora e percurso web ou email. A falta de resultados também pode dever-se a licença, policy, tráfego não desencriptado ou retenção. Consultar o guia Zero-day Protection.

UTQ avalia sete dias de navegação. Indica que não há utilizadores de risco ou o número de utilizadores responsáveis por 80% do risco da rede. Em Reports > Dashboards, verificar utilizadores, Threat Score, categorias, destinos, horas e qualidade da identidade. Contas partilhadas, NAT ou falta de autenticação distorcem a atribuição; uma pontuação elevada não justifica automaticamente um bloqueio.

Analisar SSL/TLS connections com segurança

Os detalhes atualizam a cada cinco minutos. Se faltarem no Control Center e Log Viewer, verificar SSL/TLS inspection em Rules and policies > SSL/TLS inspection rules e Enabled em SSL/TLS inspection settings > Advanced settings > SSL/TLS engine.

Of traffic é a percentagem SSL/TLS do tráfego total; Decrypted, a percentagem desencriptada das ligações SSL/TLS; Failed, o número de falhas. O contador Failed é reiniciado automaticamente à meia-noite e pode ser reiniciado manualmente com Reset ‘Failed’ count. O reset manual é irreversível e não recupera o valor anterior. Registar valor, hora e teste; depois repetir o fluxo, aguardar um ciclo e consultar logs. O reset não corrige a causa.

O detalhe mostra sessões das últimas 24 horas e erros dos últimos 7 dias. Ambos excluem ligações pelo web proxy. Top websites e Top users ou IP ajudam a delimitar; clicar no número abre logs filtrados com o destino em Server name. Só inclui erros potencialmente resolvidos por uma regra SSL/TLS ou indicativos de falta de confiança em CA/aplicação no cliente, não bloqueios de Web Policy ou outras Security Policies.

Os dados dos erros são atualizados a cada cinco minutos. Top websites mostra o número de erros e de utilizadores afetados por website; Top users mostra o número de erros por utilizador. Através de Fix errors, abrir SSL/TLS errors in the past 7 days e selecionar a vista adequada:

• Em Top websites, procurar um website através da barra de pesquisa e selecioná-lo. Os detalhes mostram os tipos de erro, bem como os utilizadores e endereços IP afetados.
• Em Top users, pesquisar por utilizador ou endereço IP e selecionar a entrada. Aqui são apresentados os tipos de erro e os websites afetados.
• Em Errors, clicar no número correspondente, incluindo para um tipo de erro individual ou um par afetado. Isto abre uma janela pop-up de logs que contém apenas as entradas correspondentes; o website é indicado em Server name.

Assim, é possível distinguir se um destino afeta muitos utilizadores ou se os erros ocorrem num único cliente. Verificar a causa com base nos logs e efetuar as alterações de política necessárias em Rules and policies > SSL/TLS inspection rules, e não apenas com base na classificação.

Em Fix errors, Hide oculta site, utilizador ou IP sem alterar a desencriptação; Show hidden e Unhide revertem a vista. Registar o filtro para não confundir uma entrada oculta com um erro resolvido.

Exclude from decryption é uma alteração de segurança. Add domain ou Add subdomain adiciona o destino ao grupo Local TLS exclusion list, editável em Web > URL groups. Antes, registar FQDN exato, clientes, Error ID, responsável, validade e testes positivo/negativo. Preferir o subdomínio mais específico se só um host falhar. Confirmar depois o funcionamento, que o fluxo já não é desencriptado e que outros domínios continuam na regra TLS prevista. Ver a implementação faseada de TLS Inspection.

As listas de exclusão também devem ser verificadas em Rules and policies > SSL/TLS inspection rules. Os websites excluídos só desaparecem da tabela de erros após o fim da janela de sete dias; os erros anteriores permanecem inicialmente visíveis. Nem o seu desaparecimento posterior nem Hide comprovam que um problema de certificado ou de confiança foi resolvido. Uma exceção contorna a desencriptação no seu âmbito e, por isso, deve continuar a ser verificada.

Para reverter, remover apenas a entrada exata adicionada e só após confirmar responsável e uso atual. Repetir o teste e vigiar novos erros trust/TLS. Nunca eliminar uma exceção partilhada ou preexistente como suposto rollback.

Sessões firewall e capacidade de desencriptação

O gráfico oferece Live, 24h, 48h, Week, Month e Year. Live atualiza a cada 30 segundos; os restantes períodos, a cada cinco minutos. Categorias: Other traffic, Undecrypted SSL/TLS e Decrypted SSL/TLS.

As categorias significam:

• Other traffic: tráfego não encriptado.
• Undecrypted SSL/TLS: ligações SSL/TLS que não foram desencriptadas no período selecionado. Para as contextualizar, verificar as listas de exclusão e os Decryption Profiles em Rules and policies > SSL/TLS inspection rules; esta categoria, por si só, não comprova a existência de um erro.
• Decrypted SSL/TLS: número de ligações desencriptadas no período selecionado.

Para obter valores concretos de tráfego, mover o ponteiro do rato sobre o gráfico. Isto também se aplica ao gráfico de sessões de 24 horas na vista detalhada de TLS, que é atualizado a cada cinco minutos e mostra as mesmas categorias de tráfego.

Decryption peak é o máximo de ligações desencriptadas simultâneas no período e só aparece quando o tráfego se aproxima ou supera esse nível. Decryption limit é a capacidade do modelo e também só aparece na proximidade. Uma linha ausente não significa capacidade ilimitada. Um pico breve não prova sobrecarga: comparar períodos e recorrência com latência, recursos, drops e erros de utilizadores.

Validar e reverter alterações

1. Guardar valor inicial, período, filtros, utilizador/IP/hostname, Error ID e Rule ID.
2. Testar uma hipótese com a alteração mais restrita possível.
3. Repetir o teste positivo idêntico; para exceções, executar também teste negativo fora do âmbito.
4. Respeitar o intervalo de atualização e comparar logs detalhados, não apenas percentagens.
5. Sem melhoria, reverter e rever fonte, período, web proxy, autenticação e regra aplicada.

Hide/Unhide é totalmente reversível. Uma nova exceção TLS é revertida removendo exatamente essa entrada, se mais ninguém a utilizar. Um contador Failed reiniciado manualmente não pode ser restaurado; o registo anterior é a única referência histórica fiável.