Utilizar categorias da web e alertas instantâneos no Sophos Firewall

As categorias da web controlam os sites que os usuários podem acessar. Os alertas instantâneos acrescentam notificações por e-mail para um pequeno conjunto de categorias monitoradas de forma consciente. Para que tudo funcione, categoria, política da web, regra de firewall, registro e envio de e-mail devem estar alinhados.

Isso é particularmente útil em escolas, áreas empresariais sensíveis ou ambientes onde certos acessos à web não devem passar despercebidos até o relatório mensal.

Uma categoria isolada não altera o tráfego. Uma política da web deve associá-la a uma ação e ser atribuída a uma regra de firewall correspondente. Inspeção TLS, tratamento de QUIC e registro também determinam o que o firewall consegue identificar e relatar depois.

Para o planejamento geral de políticas da web, comece com Configurar proteção da web no Sophos Firewall com políticas da web. Para a base de regras, consulte Compreender e configurar corretamente regras do Sophos Firewall. Este artigo foca na parte operacional da web: categorias, grupos de URLs, alertas instantâneos, avaliação e reação.

Orientação

Primeiro, esclareça que tarefa corresponde a cada função Web. Assim, evita confundir categorias, URL Groups, Web Policies e Instant Alerts.

Separar termos claramente

A Sophos utiliza vários objetos da web que podem ser facilmente confundidos no dia a dia.

• Categoria da web: Agrupa domínios, URLs ou palavras-chave. Muitas categorias vêm da Sophos, mas também é possível criar categorias personalizadas. Permite bloquear, permitir, limitar ou relatar acessos à web com base no risco ou conteúdo.
• Grupo de URLs: É uma lista de domínios que pode ser usada em políticas da web ou exceções TLS. Serve para listas explícitas de permissão ou bloqueio quando domínios específicos são mais importantes que categorias.
• Política da web: Reúne regras para usuários, grupos, categorias, grupos de URLs, tipos de arquivos, filtros de conteúdo e ações. Controla os acessos à web quando é atribuída a uma regra de firewall.
• Alertas instantâneos: Enviam notificações rápidas por e-mail sobre acessos a categorias monitoradas, particularmente sensíveis ou de alto risco.
• Visualizador de logs e relatórios: Permite avaliar a decisão real e verificar se a categoria, a política, o usuário e a regra de firewall estão funcionando conforme esperado.

Uma política da web só tem efeito quando é selecionada em uma regra de firewall apropriada sob Security features > Web filtering. A política da web, por si só, não constitui uma regra de firewall que processa tráfego de produção.

Quando as categorias da web são úteis

As categorias da web são especialmente úteis quando os acessos à web não devem ser apenas permitidos ou bloqueados de forma geral. Cenários típicos:

• Bloquear categorias de malware, phishing e fraude.
• Restringir serviços de anonimização, proxies e serviços de evasão.
• Monitorar especialmente categorias de comando e controle ou spyware.
• Bloquear categorias como conteúdo adulto, jogos de azar ou substâncias controladas, dependendo do ambiente.
• Permitir aplicações críticas de nuvem empresarial, mas restringir serviços de nuvem privada ou compartilhamento de arquivos.
• Em escolas ou ambientes supervisionados, monitorar categorias particularmente sensíveis com alertas instantâneos.
• Limitar a largura de banda para certas categorias da web através de modelagem de tráfego.

As categorias não devem ser configuradas aleatoriamente para bloqueio ou alerta. Isso geraria muitos acertos que ninguém poderia revisar de forma eficaz. É melhor ter um conjunto pequeno e claro com responsável, caminho de reação e revisão.

Pré-requisitos

Antes da configuração, os seguintes pontos devem ser esclarecidos:

• A proteção da web ou um pacote Sophos Firewall apropriado está licenciado.
• Existe uma regra de cliente ou usuário que deve usar o filtro da web.
• O emparelhamento de usuários ou grupos está planejado, caso as políticas devam ser aplicadas com base no usuário.
• Log firewall traffic está ativo na regra de firewall relevante.
• Em System services > Log settings, pelo menos Content filtering está selecionado para Local reporting. Para Central Reporting ou Syslog, selecione o mesmo tipo de log na coluna de destino correspondente.
• As notificações por e-mail funcionam, se os alertas instantâneos forem usados.
• O modelo utilizado suporta alertas instantâneos; XGS 87 e XGS 88 não suportam esta função.
• Para avaliação a longo prazo, o Central Firewall Reporting ou Syslog está planejado.
• Foi tomada uma decisão consciente sobre o tratamento de QUIC e o uso da inspeção TLS.

Para avaliação central, consulte Ativar Central Firewall Reporting. Se os logs forem enviados para um SIEM próprio, o artigo Enviar Syslog do Sophos Firewall para SIEM é mais adequado.

Planejar a estrutura da política

Antes da configuração técnica, defina que categorias serão efetivamente controladas, quais gerarão apenas notificações e quem reagirá aos alertas. Um desenho de políticas pequeno e claro é geralmente preferível a um catálogo máximo.

Planejar categorias e grupos de URLs

Para os administradores, é importante saber quando uma categoria da web personalizada ou um grupo de URLs é mais adequado.

Uma categoria da web personalizada é útil quando:

• Domínios ou palavras-chave devem ser usados como categoria em várias políticas da web.
• A categoria deve ser visível em relatórios e logs.
• Um conceito de modelagem de tráfego por categoria está planejado.
• Uma categoria monitorada para alertas instantâneos deve ser criada.

Um grupo de URLs é geralmente melhor quando:

• Apenas domínios específicos são coletados.
• É necessária uma pequena lista de permissão ou bloqueio.
• A lista também deve ser usada para exceções TLS.
• O emparelhamento de palavras-chave deve ser evitado.

Para correspondências apenas de domínios, grupos de URLs são mais diretos e fáceis de verificar do que categorias com palavras-chave. Usar estas categorias apenas em regras de bloqueio, não de permissão: os parâmetros de consulta podem forçar acesso indesejado.

Um grupo de URLs contém domínios válidos. Expressões regulares não são permitidas; as entradas são avaliadas com OR, portanto uma correspondência é suficiente. A ajuda atual do SFOS 22 não especifica um máximo fixo. Isso não garante listas ilimitadas. Para listas grandes ou mantidas dinamicamente, deve-se verificar se um banco de dados de categorias importado ou um threat feed é mais adequado.

Criar e utilizar URL Groups de forma segura apresenta todo o processo de criação, Web Policy, TLS e testes.

Distinguir categorias fixas, dinâmicas e ausentes

A maioria das categorias integradas se baseia em uma consulta de URL. ActiveX, Applets, Cookies e HTTPUpload são categorias dinâmicas: o firewall as atribui por meio da inspeção do conteúdo. Uma consulta de URL, por si só, não confirma se uma regra desse tipo corresponde a uma solicitação real. ALLWebTraffic significa todo o tráfego HTTP, não apenas sites ainda desconhecidos.

None e Uncategorized são resultados diferentes. Com None, a consulta foi bem-sucedida, mas a base de URLs não contém informação de categoria. Com Uncategorized, a consulta falhou. Antes de criar uma exceção, distinguir a falta de classificação de um problema de categorização; nenhum dos resultados prova que um site é seguro.

Escolher categorias pelo seu significado

Uma categoria não é um parecer geral de segurança sobre todos os conteúdos de um serviço. Estas diferenças importam na escolha das ações da política:

• CRL and OCSP refere-se a verificações de revogação de certificados; Software updates, a atualizações de software comum. Esses acessos são normalmente necessários. Download freeware & shareware exclui expressamente os sites de atualização de sistemas operacionais, antivírus e outros programas críticos. Um bloqueio de downloads não deve impedir atualizações por acidente.
• Content delivery abrange geralmente conteúdos secundários ou incorporados de outros sites. Um bloqueio geral pode afetar sites aprovados; verifique o host de destino real e o site principal nos registros antes de conceder uma exceção.
• Command & control identifica servidores conhecidos de comando e controle usados por malware; Spyware & malware, sites com conteúdo malicioso; e Phishing & fraud, entre outros, sites fraudulentos e de phishing. Newly registered websites e Parked Domain são sinais de risco, não provas de malware.
• Business cloud apps, Personal cloud apps e Personal network storage distinguem aplicativos empresariais, serviços pessoais em nuvem e armazenamento pessoal em rede. Decida com base no risco de vazamento de dados e na necessidade de negócio, não apenas na palavra “cloud”.
• Anonymizers e Translators podem contornar o filtro; Image search, Portal sites e motores de pesquisa podem expor conteúdos de outras categorias. Permitir o site principal não significa permitir todos os destinos incorporados.
• Live audio, Live video, Video hosting, Surveillance e Voice & video calls distinguem streaming, vídeo sob demanda, vigilância e comunicação. A escolha entre modelagem de tráfego e bloqueio depende do serviço necessário. Sites de cassinos, hotéis e resorts pertencem a Travel quando não oferecem nem jogos de azar online nem dicas de apostas ou jogos. O nome do hotel, por si só, não comprova a classificação.

Glossário compacto para diagnóstico e ambientes sensíveis

• Gambling abrange sites de jogos de azar ou loterias com dinheiro real ou virtual; informações e conselhos sobre apostas, participação em loterias e esquemas de apostas em números; cassinos virtuais e operações de jogos de azar no exterior; palpites esportivos e bolões; e esportes virtuais e ligas de fantasia com grandes recompensas ou apostas significativas. Games abrange sites para jogar ou baixar jogos, hospedar jogos ou competições, obter dicas e códigos de trapaça, além de jornais e revistas dedicados a jogos online. Não confundir jogos em geral com jogos de azar ao selecionar a ação da política.
• HTTPUpload se refere a restrições de upload por HTTP e é dinâmica; IPAddress se refere a sites acessados por endereços IP. São casos distintos de regras, não sinônimos de classificação ausente.
• Pro-suicide & self-harm abrange sites que promovem suicídio ou automutilação. Escolas podem monitorar possíveis riscos aos alunos com essa categoria. Páginas de saúde mental, ajuda e apoio não pertencem a ela apenas pelo assunto. Uma ocorrência exige análise humana, não uma conclusão automática de incidente.
• Sex education abrange imagens ou textos sobre o uso correto de contraceptivos, como pílula e DIU, e conversas com o parceiro sobre doenças, gravidez e respeito aos limites pessoais. Exclui sites comerciais de produtos sexuais, normalmente classificados como Sexually explicit.
• Sexually explicit abrange produtos e serviços para adultos, como brinquedos sexuais, CD-ROMs, vídeos, videoconferência, acompanhantes e clubes de striptease; material de abuso sexual infantil (pornografia infantil) e pedofilia, incluindo a lista da IWF; relatos eróticos, descrições de atos sexuais, desenhos e animações explícitos e grupos ou fóruns de conteúdo sexual explícito. Também inclui nudez total ou parcial em contextos sexuais ou eróticos, representações de atos sexuais, inclusive com animais ou objetos, exploração ou violência sexual em textos ou imagens, bondage, fetiches, piercing genital, sites naturistas com nudez e fotografia erótica ou fetichista com nudez. Exclui sites sobre saúde sexual, câncer de mama e infecções sexualmente transmissíveis, exceto aqueles com exemplos gráficos.
• Intolerance & hate abrange sites que defendem ou incitam a degradação ou o ataque a populações ou instituições por religião, raça, nacionalidade, gênero, idade, deficiência ou orientação sexual; agendas políticas ou sociais supremacistas que excluem pessoas por raça, religião, nacionalidade, gênero, idade, deficiência ou orientação sexual; negacionismo do Holocausto e revisionismo que incentive o ódio; coerção ou recrutamento para gangues ou seitas; militância e extremismo; e material flagrantemente insensível ou ofensivo, incluindo desrespeito a opiniões e crenças divergentes. Nesse contexto, gangue é um grupo com nome, sinal ou símbolo comum cuja atividade principal é cometer crimes graves e cujos membros, individual ou coletivamente, cometem crimes em nome do grupo. Seita é um grupo que recruta e retém seguidores por engano, manipulação e influência indevida, altera sua personalidade e comportamento, tem liderança todo-poderosa e ideologia totalizante, subordina a vontade individual ao grupo e se coloca à margem da sociedade. Notícias, material histórico e relatos da imprensa são excluídos, exceto exemplos gráficos. Relatar não significa automaticamente apoiar.
• Radio & audio hosting abrange áudio e música legítimos sob demanda, como os serviços exemplificados por Spotify e Pandora, ao contrário das transmissões ao vivo de eventos ou programas em Live audio. Esses exemplos descrevem o tipo de serviço, não confirmam a classificação atual de uma URL. Online Chat abrange chat na web e mensagens instantâneas; Voice & video calls se refere a telefonia pela Internet e videochamadas. Selecionar conforme a forma de comunicação necessária.
• Unauthorized software stores abrange a distribuição de software e aplicativos de legitimidade duvidosa para computadores e dispositivos móveis, com downloads potencialmente maliciosos ou contendo trojans. Nem toda loja não aprovada é comprovadamente maliciosa. Distinguir essa categoria das Software updates necessárias e aprovadas para produtos comuns.

Para categorias sensíveis, usar apenas casos de teste inofensivos e aprovados e recursos de teste controlados; nunca visitar material ilegal ou perturbador. Uma pessoa deve revisar categoria, contexto e possíveis erros de classificação antes de escalar. As definições temáticas comuns do catálogo e os exemplos históricos de serviços são omitidos por razões editoriais; não são mera navegação nem são apresentados como uma taxonomia totalmente traduzida.

Antes de alterações amplas, salvar a política e usar destinos inofensivos e aprovados para testar tanto a correspondência pretendida quanto as atualizações necessárias e as verificações de revogação. Se houver falhas, restaurar a ação da categoria afetada e repetir os testes em vez de desativar toda a filtragem da web.

Generative AI como categoria da web no SFOS 23.0

O SFOS 23.0 documenta Generative AI como categoria da web integrada para sites e serviços que permitem criar ou transformar conteúdo por meio de prompts. São expressamente excluídos os sites cuja finalidade principal não é a IA generativa. Uma função adicional de IA em outro serviço não basta, portanto, para presumir que esse serviço pertence à categoria. A categoria não garante a detecção de todo uso de IA.

Essa classificação de URLs da Sophos é utilizada por meio de uma Web Policy. É distinta das assinaturas de aplicativos e da categoria de aplicativos Generative AI do Application Control. Uma categoria da web personalizada com o mesmo nome não se sincroniza automaticamente com o catálogo de aplicativos. Uma lista de domínios mantida pelo administrador em um grupo de URLs ou em uma categoria personalizada também continua sendo um objeto separado, com responsável e data de revisão próprios, e não a categoria integrada.

Antes de aplicar um bloqueio abrangente, verificar o efeito na versão instalada por meio de um piloto limitado:

1. Verificar a categoria em Web > Categories e utilizar Diagnostics > URL category lookup para um URL de teste autorizado e inofensivo. A consulta mostra apenas a classificação, não a decisão efetiva da política; uma categoria personalizada pode determinar o resultado apresentado.
2. Em Web > Policies, verificar a categoria, as ações HTTP/HTTPS e a ordem das regras. A política deve estar selecionada na regra de firewall correspondente, em Security features > Web filtering. Verificar Enable logging and reporting, Log firewall traffic e Content filtering em System services > Log settings > Local reporting.
3. Complementar o Policy tester com uma solicitação real e controlada de um cliente e verificar no Log Viewer a categoria utilizada, a Web Policy, a regra de firewall e a ação. Avaliar separadamente as decisões do Application Control. Se houver diferenças, verificar primeiro categorias personalizadas, ordem das regras, exceções e caminho TLS/QUIC, sem presumir uma detecção completa da IA.

Controlar a IA generativa explica a escolha entre categoria da web, Application Filter e lista de domínios complementar, bem como o procedimento piloto.

Bloquear, alertar ou apenas relatar?

Nem toda categoria precisa do mesmo tratamento. Um bom design de proteção da web separa decisões de segurança rigorosas de avisos e avaliação pura.

• Bloquear: Use para malware, phishing, serviços de evasão conhecidos e categorias claramente proibidas. Um site legítimo pode ser bloqueado se a categoria estiver errada.
• Avisar: Use para áreas cinzentas, ambientes de treinamento e categorias conscientemente permitidas. Os usuários podem se acostumar com os avisos e clicar automaticamente para continuar.
• Alerta instantâneo: Use para poucas categorias que exigem uma reação concreta. Muitos alertas levam à fadiga de alerta.
• Apenas relatório: Use para análise de tendências, relatórios de uso e sinais fracos. As ocorrências só ficam visíveis mais tarde.

Para ambientes produtivos, muitas vezes uma seleção pequena e clara é melhor do que um catálogo máximo. Se ninguém avaliar um alerta, a categoria não deve ser configurada como alerta instantâneo. Se uma categoria deve ser sempre bloqueada, um alerta adicional só é útil se resultar em um acompanhamento concreto.

Um limite fixo do sistema se aplica a sites classificados pela Sophos como atividade criminosa particularmente grave: o firewall os bloqueia independentemente da política da web ou de uma exceção e oculta o domínio nos logs e relatórios. Nesse caso, a ausência do domínio não é um erro de registro.

Configuração

A configuração tem quatro componentes: categoria ou URL Group, Web Policy, regra de firewall e, opcionalmente, Instant Alerts. Só quando estes componentes estão alinhados é possível observar o efeito no tráfego de produção.

Criar ou ajustar uma categoria da web

O caminho do menu é:

Web > Categories

Procedimento básico:

1. Editar uma categoria existente ou escolher Add.
2. Atribuir um nome.
3. Selecionar a classificação.
4. Opcionalmente, selecionar uma política de modelagem de tráfego.
5. Escolher o tipo de configuração.
6. Adicionar domínios ou palavras-chave.
7. Opcionalmente, ativar Instant alerts.
8. Salvar.

Para categorias personalizadas, o nome deve descrever claramente o propósito. Nomes como Custom1 ou Blocklist não ajudam muito mais tarde. Nomes como Alert_Self_Harm, Block_Proxy_Anonymizer ou Allow_Business_Cloud_Exceptions são melhores.

Os domínios são verificados em relação ao nome de domínio na URL e incluem automaticamente subdomínios. As palavras-chave, por outro lado, são verificadas em relação à URL completa, incluindo caminho e consulta. Isso pode ser útil, mas gera mais facilmente falsos positivos.

Se um banco de dados de URLs externo for usado, o firewall verifica essa lista a cada 48 horas para atualizações. Este intervalo não pode ser alterado. Para listas de bloqueio públicas, ainda deve-se verificar se Configurar e operar com segurança Sophos Firewall Threat Feeds é mais adequado tecnicamente.

Uma categoria personalizada não substitui a categoria padrão da Sophos para uma URL. Uma URL pode pertencer a várias categorias. O firewall avalia as categorias na ordem da lista; os registros e relatórios mostram a categoria usada na decisão da política. Por isso, depois de alterar as entradas ou sua ordem, deve-se repetir uma solicitação real.

Com Local database, são permitidas no máximo 2,000 entradas. Um arquivo .txt local contém uma entrada por linha, enquanto um arquivo .csv contém as entradas separadas por vírgulas em uma única linha. External URL database aceita arquivos de texto .txt, arquivos .csv e arquivos de empacotamento ou compressão .tar, .gz ou .bz2 acessíveis por HTTP ou FTP, mas não suporta autenticação no servidor de origem. Esses arquivos de empacotamento ou compressão devem conter arquivos de texto. As entradas inválidas são ignoradas.

O tamanho do cache externo depende da memória RAM do firewall. A Sophos indica que a maioria dos modelos com mais de 4 GB de RAM consegue armazenar até 122,880 entradas em cache. Antes de usar uma lista grande em produção, verifique o limite realmente disponível em /log/nSXLd.log.

Verificar entradas e importações

Classification permite filtrar e gerenciar categorias. Traffic shaping policy define limites de uso e largura de banda de upload e download; mantenha None se não quiser aplicar limites. Configuration type começa como Local. Insira uma entrada em Search/Add e selecione Add, ou importe um arquivo local com Browse. Para um banco de dados externo, adicione a URL de origem em Search/Add e selecione Add.

As entradas de domínio podem incluir um caminho ou uma consulta, como example.com/research ou example.com/search?q=report; um prefixo de protocolo como https:// não pertence à entrada. São exemplos de sintaxe, não destinos de teste aprovados. As palavras-chave devem começar com uma letra, um algarismo ou _. Caracteres inválidos, domínios inválidos e linhas vazias são descartados. Se um arquivo local exceder 2,000 entradas, apenas as primeiras 2,000 são importadas. Os arquivos de empacotamento ou compressão de bancos de dados externos devem conter arquivos de texto. O banco de dados externo não tem um limite fixo de entradas; isso não torna ilimitado seu cache, que depende da RAM.

Não criar uma lista de permissões por palavras-chave: estas verificações são menos eficientes e abrangem os parâmetros de consulta. Uma categoria permitida com a palavra-chave research pode corresponder a blocked.example/?tag=research, embora o domínio deva continuar bloqueado. Usar categorias com palavras-chave apenas em regras de bloqueio, não para conceder acesso. Um grupo de URLs é mais adequado para exceções apenas por domínio. Documentar as entradas e a política antes da importação; depois, verificar a lista salva, um caso que deve corresponder e outro que não deve corresponder. Se os resultados estiverem errados, restaurar as entradas anteriores em vez de relaxar os bloqueios de forma ampla.

Página de bloqueio específica da categoria

Em Advanced settings > Override default notification page, uma mensagem personalizada pode substituir a mensagem padrão quando essa categoria bloqueia um site. Os marcadores {category}, {user} e {url} mostram a categoria, o nome de usuário e a URL bloqueada. Inclua apenas os dados necessários: usuários e URLs podem revelar informações sensíveis. Salve a mensagem e a configuração anteriores e depois verifique o resultado com um destino inofensivo bloqueado em um teste controlado. Se a apresentação não for adequada, restaure o texto anterior ou a página padrão; alterar a mensagem não permite o acesso ao site.

Configurar política da web

O caminho do menu é:

Web > Policies

Uma política da web contém regras para usuários, grupos, atividades, categorias, grupos de URLs, tipos de arquivos, filtros de conteúdo, ações e cronogramas.

Procedimento básico:

1. Criar uma nova política da web ou editar uma política existente.
2. Adicionar uma regra.
3. Selecionar usuários ou grupos, se a política for baseada em usuários.
4. Selecionar categorias ou grupos de URLs.
5. Definir a ação para HTTP.
6. Verificar ação separada para HTTPS.
7. Definir cronograma, se necessário.
8. Em Advanced settings, ativar Enable logging and reporting se a política deve aparecer nos logs e relatórios.
9. Ativar o status da regra.
10. Verificar a posição da regra.
11. Salvar.

Enable logging and reporting na política da web e Log firewall traffic na regra de firewall têm funções diferentes. Para uma avaliação rastreável, verifique conscientemente as duas opções.

A ordem dentro da política da web é crucial. As regras são avaliadas de cima para baixo. Uma regra de permissão ampla acima de uma regra de bloqueio específica pode fazer com que a regra de bloqueio nunca seja aplicada.

Se os usuários estiverem configurados na regra de firewall e na política da web, é necessário testar conscientemente o efeito. Usuários em regras de firewall podem ter prioridade sobre usuários em políticas da web. Em caso de acertos incertos, deve-se verificar não apenas a política da web, mas também a regra de firewall.

Ativar política da web na regra de firewall

O caminho do menu é:

Rules and policies > Firewall rules > [Rule] > Security features > Web filtering

Procedimento básico:

1. Abrir a regra de cliente ou servidor relevante.
2. Verificar zona de origem, rede de origem, zona de destino e serviços.
3. Ativar Log firewall traffic.
4. Em Web filtering, selecionar a política da web desejada.
5. Ativar conscientemente Block QUIC protocol ou justificar a sua desativação.
6. Verificar configurações de varredura de malware e varredura HTTPS.
7. Salvar.
8. Testar com o Policy tester, Log Viewer e tráfego real de clientes.

QUIC é um fator de interferência comum para filtragem da web. Quando navegadores se comunicam via UDP 443, a lógica e a visibilidade nem sempre correspondem à expectativa de HTTPS clássico via TCP. Para detalhes, consulte Bloquear corretamente QUIC e HTTP/3 no Sophos Firewall.

Se conteúdos HTTPS ou caminhos completos de URL forem relevantes, a categorização da web por si só pode não ser suficiente. Nesse caso, a inspeção TLS deve ser planejada. Isso não deve ser feito de forma casual, pois envolve certificados, exceções, privacidade, desempenho e processos de suporte. A implementação está descrita em Introduzir corretamente a inspeção TLS no Sophos Firewall.

Exemplo: permitir categorias apenas a um grupo de pesquisa

Uma exceção limitada a um grupo é mais segura do que uma regra de permissão geral. Primeiro, documente a política, a posição da regra de firewall e as configurações do grupo e confirme a identificação dos usuários de teste. Research, Web categories e Web research group são nomes de exemplo livremente escolhidos.

1. Criar Research em Authentication > Groups > Add. Escolher deliberadamente Surfing quota e Access time e selecionar Save. Unlimited internet access e Allowed all the time são valores possíveis, não pré-requisitos para uma exceção de categoria: uso ilimitado e acesso permanente precisam de aprovação separada.
2. Em Web > Policies > Add policy, criar Web categories e selecionar Add rule. A nova regra está no topo, inicialmente desativada, e suas configurações iniciais bloqueariam todo o tráfego HTTP para todos os usuários. Alterar a seleção antes de ativá-la.
3. Em Activities, abrir All web traffic > Add new item, desmarcar All web traffic e selecionar apenas as categorias aprovadas em Show only > Web category. Confirmar com Apply selected items.
4. Em Action, escolher Allow HTTP, verificar deliberadamente a ação HTTPS separada, ativar Status e salvar. Não omitir acidentalmente o registro de tráfego nem as demais regras.
5. Em Rules and policies > Firewall rules, escolher IPv4 ou IPv6 e Add firewall rule. Limitar Web research group às redes de origem, zonas, destinos e serviços necessários. No seletor de usuários/grupos, usar Add new item, desmarcar Any, escolher Research e selecionar Apply selected items. Atribuir a política em Security features > Web filtering.
6. Depois de salvar com Save, arrastar a regra para antes da regra geral do ambiente de trabalho, sem colocá-la indiscriminadamente acima de outras regras de segurança. Testar com um membro e um não membro: só o grupo aprovado deve acessar a categoria autorizada; outras categorias e usuários devem continuar seguindo a política de base prevista. Confirmar o ID da regra, a categoria e a ação no Log Viewer.

Se houver acesso permitido inesperado, desativar a nova regra de exceção e restaurar a ordem ou a atribuição de política documentadas. Repetir os testes com os dois usuários. Fazer parte do grupo, por si só, não prova que a regra de firewall correta foi aplicada.

O exemplo documentado usa Identity para a atribuição dos usuários e Advanced para a seleção da política. Os nomes das seções podem variar entre interfaces. O essencial é a seleção restrita de usuários/grupos e a atribuição da Web Policy em Web filtering na versão instalada; não ativar a exceção se a atribuição não estiver clara.

Ativar alertas instantâneos

Os alertas instantâneos são ativados no nível da categoria. Estão desativados por padrão em todas as categorias. O ícone de filtro ao lado de Instant alerts em Web > Categories permite mostrar e verificar as categorias monitoradas.

O caminho do menu é:

Web > Categories

Procedimento básico:

1. Editar a categoria.
2. Selecionar conscientemente a categoria para monitoramento.
3. Ativar Instant alerts.
4. Salvar.
5. Abrir System services > Notifications list.
6. Ativar Email notifications no topo da página.
7. Procurar Web – Instant alerts.
8. Marcar a caixa em Email.
9. Verificar o servidor de e-mail, o remetente e os destinatários em Administration > Notification settings.
10. Gerar um pedido de teste e verificar o próximo lote de notificações, enviado a cada cinco minutos.

O firewall envia notificações por e-mail para categorias monitoradas em lotes a cada cinco minutos. Este intervalo não pode ser alterado. Um alerta, portanto, não é um alarme em tempo real com precisão de segundos, mas uma notificação rápida por e-mail em comparação com relatórios consultados apenas posteriormente.

Os alertas instantâneos não estão disponíveis em XGS 87 e XGS 88. Se a função não aparecer em um desses modelos, a configuração de e-mail ou notificações não está necessariamente incorreta.

Os alertas instantâneos devem ser ativados apenas para categorias em que um destinatário definido possa realmente reagir. Uma grande lista de alertas sem responsabilidade geralmente leva à fadiga de alerta.

Análise e operação

Depois da ativação, não basta que a política funcione tecnicamente. É também essencial definir quem vê as correspondências, como os alertas são avaliados e se os logs estão disponíveis para uma análise posterior.

Privacidade e responsabilidade interna

Alertas de categorias da web podem conter informações sobre usuários, IP de origem, horário, categoria e, dependendo da visibilidade, também informações de destino. Isso é útil para segurança e operação, mas pode levantar questões trabalhistas ou de privacidade, dependendo da organização.

Antes do uso produtivo, deve-se esclarecer:

• Quem pode ver os alertas da web?
• Quais acertos são apenas verificados tecnicamente e quais são tratados como casos de segurança?
• Por quanto tempo os e-mails de alerta, relatórios ou eventos SIEM são mantidos?
• A avaliação é coordenada com RH, privacidade ou políticas internas?
• Como evitar que acertos inofensivos sejam superinterpretados?

Tecnicamente, a configuração é ativada rapidamente. Operacionalmente, deve ser tratada como um pequeno processo de monitoramento: destinatário, propósito, caminho de reação e retenção devem estar alinhados.

Definir triagem de alertas

Os alertas instantâneos não devem ser tratados todos da mesma forma. Um único acerto de categoria pode ser um clique acidental, um serviço mal classificado, um problema de política ou um verdadeiro caso de segurança. Portanto, deve-se definir antecipadamente quais acertos devem ser verificados imediatamente e quais devem ser revisados normalmente.

Uma triagem simples ajuda a priorizar os alertas:

• Alta: Aplica-se a malware, phishing, comando e controle, categorias de exploração ou spyware. Verifique rapidamente o Log Viewer, o usuário, o status do endpoint e outros logs de segurança.
• Média: Aplica-se a anonimizadores, proxies, compartilhamento de arquivos, armazenamento pessoal em nuvem ou evasão repetida de políticas. Verifique padrões, esclareça o contexto do usuário e ajuste a política.
• Baixa: Aplica-se a áreas cinzentas isoladas, sem repetição. Inclua as ocorrências em relatórios ou na revisão semanal; não as encaminhe imediatamente como incidentes.
• Falso alarme: Aplica-se a um site necessário para os negócios que foi mal classificado. Verifique o grupo de URLs ou o ajuste de categoria; não crie uma regra de permissão ampla.

Esta classificação não deve existir apenas na cabeça de um administrador. É sensato ter uma breve nota operacional: categorias monitoradas, destinatários, tempo de reação, caminho de escalonamento, exceções permitidas e data de revisão. Isso mantém claro se um alerta deve ser apenas documentado, corrigido tecnicamente ou tratado como incidente.

Utilizar URL Category Lookup antes do teste de política

Com uma assinatura Web Protection ativa, Diagnostics > URL category lookup mostra a categoria que a Sophos atribui a uma URL específica. Insira a URL de teste completa em Search URL e clique em Search. O resultado apresenta o nome e a descrição da categoria. Se a URL pertencer simultaneamente a uma categoria personalizada e a uma categoria padrão, a pesquisa mostra a categoria personalizada.

A consulta confirma apenas a categorização. Não comprova qual regra de firewall ou política da web corresponde a um cliente real, se uma exceção é aplicada nem como TLS, QUIC e o caminho efetivo do tráfego se comportam. Após a consulta, use também o Policy tester, uma solicitação controlada no cliente e a análise no Log Viewer.

Testar e avaliar

Após cada alteração, não basta salvar: é necessário verificar o efeito.

Passos de verificação úteis:

1. Abrir Diagnostics > Tools > Pop-out tools > Policy tester. Web > Policies > Policy tester é um atalho alternativo para a mesma ferramenta.
2. Informar URL, usuário, horário, endereço IP de origem e zona de origem; depois testar Firewall, SSL/TLS, and web. Web policy only exclui deliberadamente as regras de firewall.
3. Em um cliente de teste, acessar um site apropriado.
4. Abrir Log viewer.
5. Verificar logs de filtro da web, firewall, inspeção SSL/TLS e controle de aplicativos.
6. Na regra de firewall, verificar se o acerto está na regra esperada.
7. Para alertas instantâneos, verificar a caixa de entrada de e-mail.
8. No Sophos Fusion (anteriormente Sophos Central) ou SIEM, verificar se os eventos estão chegando lá.

O Policy tester modela tráfego web transparente e não considera rotas SD-WAN, portanto não substitui um fluxo real. Se uma regra não corresponder ou TLS/QUIC alterar o caminho, a diferença normalmente só aparece no Log Viewer ou em uma captura de pacotes. Para esses casos, consulte Testar regra de firewall com Log Viewer, Policy Test e Packet Capture.

Para a atribuição dos arquivos de log, consulte Solução de problemas do Sophos Firewall: Serviços e Logs. Lá estão incluídos awarrenhttp.log, webproxy.log e nSXLd.log para questões de web e categorização.

Definir reação a alertas instantâneos

Um alerta instantâneo só é útil se houver clareza sobre o que deve acontecer a seguir. Caso contrário, gera-se tráfego de e-mail adicional, mas não uma segurança melhor. Antes da ativação, deve-se definir um fluxo de reação simples.

Para cada tipo de categoria monitorada, deve-se pelo menos estabelecer:

• Quem recebe o alerta?: Evita listas de distribuição sem responsáveis.
• Com que rapidez deve-se reagir?: Distingue ocorrências críticas das que podem passar por análise posterior de rotina.
• Quais logs serão verificados?: Log Viewer, Central Reporting, Syslog ou logs de serviço fornecem profundidades diferentes.
• Quando um acerto é um incidente?: Nem todo acerto de categoria é automaticamente um incidente de segurança.
• Quem pode liberar uma exceção?: Evita regras de permissão amplas e rápidas sem avaliação de risco.
• Quando a seleção de categorias será revisada?: Reduz fadiga de alerta devido a conjuntos de alertas muito amplos.

Um fluxo pragmático é assim:

1. Registrar alerta com usuário, IP de origem, categoria, URL ou domínio e horário.
2. No Log Viewer, verificar quais regras de firewall e política da web foram aplicadas.
3. Se disponível, usar Central Reporting ou SIEM para contextualização temporal.
4. Determinar se é um caso isolado, padrão repetido ou falso alarme.
5. Em caso de classificação incorreta, trabalhar apenas com grupo de URLs ou ajuste de categoria.
6. Em caso de padrão suspeito, avaliar contexto do usuário, status do endpoint e outros logs de segurança.
7. Documentar decisão: ignorar, observar, bloquear, exceção, incidente.

Para análise técnica detalhada, consulte Solução de problemas do Sophos Firewall: Serviços e Logs, Ativar Central Firewall Reporting e Enviar Syslog do Sophos Firewall para SIEM. Se não estiver claro se a regra de firewall correta foi atingida, consulte Testar regra de firewall com Log Viewer, Policy Test e Packet Capture.

Recomendação operacional

Para ambientes produtivos, um modelo de três etapas é sensato:

1. Bloquear: Bloquear malware, phishing, fraude, comando e controle, serviços de anonimização e outras categorias claramente arriscadas.
2. Monitorar: Aplicar alertas instantâneos a poucas categorias sensíveis.
3. Avaliar: Revisar regularmente relatórios da web, Central Reporting ou SIEM.

A fronteira mais importante é organizacional: um alerta precisa de um destinatário, um tempo de reação e uma decisão sobre o que fazer com os acertos. Caso contrário, os alertas instantâneos se tornam apenas ruído adicional de e-mail.

Lista de verificação

• Licença de proteção da web verificada.
• Regra de firewall relevante identificada.
• Política da web criada ou ajustada.
• Política da web selecionada na regra de firewall.
• Log firewall traffic ativado na regra.
• Block QUIC protocol decidido conscientemente.
• Inspeção TLS planejada conscientemente ou não utilizada conscientemente.
• Categorias críticas definidas.
• Alertas instantâneos ativados apenas para poucas categorias claras.
• System services > Notifications list > Web – Instant alerts ativado por e-mail.
• Teste realizado com Policy tester.
• Teste realizado com tráfego real de clientes.
• Log Viewer verificado.
• Central Reporting ou Syslog verificado, se avaliação central for esperada.
• Proprietário e caminho de reação para alertas documentados.

Reverter alterações com segurança

Antes de alterar a configuração, registre o estado da categoria, a política da web e sua atribuição à regra de firewall. Assim é possível reverter apenas o necessário, sem desativar toda a filtragem web.

1. Para interromper apenas estes alertas, desative Instant alerts para a categoria em Web > Categories. Não desative Email notifications globalmente se outros eventos do sistema usam e-mail.
2. Se as entradas da categoria ou a ordem das regras foram alteradas, restaure as entradas e posições registradas.
3. Se outra política da web foi atribuída à regra de firewall, restaure a anterior em Rules and policies > Firewall rules > [Rule] > Security features > Web filtering.
4. Repita os testes originais no Policy tester e no cliente e confirme a ação esperada no Log Viewer.

Uma notificação gerada antes da reversão ainda pode chegar no próximo lote de cinco minutos. O critério de sucesso é que um novo pedido controlado volte a receber a ação de política registrada. Se Instant alerts tiver sido desativado, o pedido não deve gerar outro e-mail de alerta web.

Troubleshooting

Se as categorias Web ou os Instant Alerts não funcionarem como esperado, verifique a associação entre regra de firewall, Web Policy, identificação do utilizador, QUIC, TLS Inspection e notificações.

Erros comuns

• Política da web não é aplicada: A política não está selecionada na regra de firewall. Verifique a regra de firewall em Web filtering.
• Categoria é permitida, embora devesse ser bloqueada: Uma regra de permissão ampla está acima da regra de bloqueio. Verifique a ordem das regras na política da web e no firewall.
• Nenhum alerta instantâneo: A categoria não está monitorada, Email notifications está desativado globalmente ou a caixa Email do evento não está marcada. Verifique Web > Categories, System services > Notifications list e depois Administration > Notification settings.
• Nenhuma informação de usuário no log: O usuário não é reconhecido ou não corresponde aos critérios de usuário da regra. Verifique a autenticação, o STAS, o portal cativo ou a identificação de usuários sem cliente.
• HTTPS é permitido inesperadamente: Falta uma inspeção TLS apropriada ou a ação HTTPS não está configurada como esperado. Verifique a política da web, as regras de inspeção SSL/TLS e a descriptografia.
• Filtro da web parece incompleto: QUIC ou um caminho de tráfego incorreto pode interferir na filtragem. Verifique Block QUIC protocol, os serviços e o Log Viewer.
• Muitos alertas: A seleção de categorias é ampla demais. Reduza a lista de alertas e defina um responsável.
• Domínio ausente em log/relatório: O domínio pode estar oculto por pertencer a uma categoria particularmente crítica. Verifique a categoria e o comportamento da Sophos.

A Sophos bloqueia sempre os sites da categoria highly objectionable criminal activity e oculta o nome do domínio em logs e relatórios. Se uma entrada nesta área aparecer anonimamente, isso pode ser intencional.

Perguntas frequentes