Kontrollera globala IPS-inställningar i Sophos Firewall

I SFOS 22 innehåller Sophos Firewalls Device Console under set ips globala inställningar för IPS-motorn. De styr fail-close, skanningsomfång, programidentifiering, SIP-bearbetning, PKI Acceleration och beteende vid signaturuppdateringar. Värdena gäller inte bara en IPS Policy eller brandväggsregel.

Den säkra startpunkten är show ips-settings, som visar konfigurerade värden och aktiva instanser. Ändra en enda parameter när ett reproducerbart symptom pekar på den. Dokumentera ursprungsvärde, förväntad effekt, kontrollflöde och återställning före underhållet.

⚠️ set ips är ingen generell trimningslista. Alternativ kan avvisa nya anslutningar, kringgå Application Control eller Active Threat Response, låta all trafik kringgå IPS under motorrestart eller kräva brandväggsrestart.

Konfigurera och testa IPS i Sophos Firewall behandlar aktivering, policyer, signaturer och false positives. Den här artikeln lägger till det globala CLI-lagret.

Kontrollera först tillgänglighet och skyddsstatus

Globala värden visar inte i sig att IPS skyddar trafiken. IPS protection måste vara på under Intrusion prevention > IPS policies, och brandväggsregeln måste använda avsedd IPS policy. IPS-signaturer kräver en aktiv Network Protection-prenumeration eller trial license. Efter utgång kan reglaget stå kvar på trots att IPS inte längre tillämpas. Om det stängs av manuellt tar Sophos bort alla IPS-signaturer och regler efter 30 dagar; exportera därför IPS-konfigurationen eller skapa en backup först.

Under Backup & firmware > Pattern updates ska IPS-pattern visa aktuell version, rimlig tid och Success. Application Signatures är alltid tillgängliga; en ansluten brandvägg laddar bara ner IPS-signaturer med aktiv licens och IPS-reglage. I HA uppdateras Primary, som automatiskt synkroniserar Auxiliary. Konfigurera och kontrollera Pattern Updates beskriver automatiska, manuella och air-gap-uppdateringar.

Kort och säker arbetsgång

1. Dokumentera anslutning, Firewall Rule ID, IPS Policy, signatur, tid och symptom.
2. Spara show ips-settings och vid behov skrivskyddad show ips_conf.
3. Kontrollera om en smal policy- eller signaturkorrigering undviker global ändring.
4. Ändra ett värde med positivt, negativt och oberoende kontrolltest.
5. Planera Apply och driftpåverkan för failclose eller IPS-instanser.
6. Validera Log Viewer, ips.log, program och resurser och återställ utan tydlig nytta.

Välj efter skyddad SSH-inloggning 4. Device Console. CLI-felsökning för Sophos Firewall beskriver värdnyckel, åtkomst och gränsen mot Advanced Shell.

show ips-settings
show ips_conf

show ips_conf visar en teknisk Snort-konfiguration. Interna nycklar är ingen godkänd mall för egna ändringar.

Förstå fail-close och resursgränser

failclose avgör reaktionen när IPS-motorn når sin anslutnings- eller minnesgräns. Med on avvisas nya anslutningar. Med off tar IPS-tjänsten bort gamla cacheanslutningar för att skapa utrymme.

Sophos dokumenterar standarden efter RAM:

En backuprestore kan överföra ett annat failclose-läge. Kontrollera därför värdet efter restore och härled det inte bara från hårdvaran.

TCP- och UDP-timeout accepterar 1 till 43200 sekunder. Sophos dokumenterar 180 sekunder med failclose off och 600 med failclose on. Kör efter ändring separat set ips failclose apply.

set ips failclose on
set ips failclose timeout tcp 600
set ips failclose timeout udp 600
set ips failclose apply

Exemplet visar sammanhängande syntax för on-standarden, inte en allmän rekommendation. Kontrollera aktuella värden, RAM, nya anslutningar, kritiska program och önskad reaktion vid resursbrist. Återställning återställer sparat läge och timeout och kör failclose apply.

För en anpassad återställning ersätter du platshållarna med sparad status och timeouter och kör även apply:

set ips failclose <PREVIOUS_STATE>
set ips failclose timeout tcp <PREVIOUS_TCP_TIMEOUT>
set ips failclose timeout udp <PREVIOUS_UDP_TIMEOUT>
set ips failclose apply

Kör show ips-settings igen efter varje apply. Efter exemplet ska utdata visa failclose on och båda timeoutvärdena som 600; efter återställning ska de sparade ursprungsvärdena visas. Ändra inget annat globalt värde om utdata avviker.

Återgå endast till dokumenterad standard efter RAM-kontroll: till och med 8 GB off och 180 sekunder, över 8 GB on och 600 sekunder. Skriv inte över en återställd eller anpassad konfiguration.

Bestäm skanningsomfång medvetet

Förtroende eller allt innehåll

inspect untrusted-content granskar bara innehåll som SophosLabs inte litar på. Det är dokumenterad standard med bäst prestanda. inspect all-content granskar allt och ger enligt Sophos bäst säkerhet.

Ändringen är global. Testa webb, överföringar, publicerade servrar, VPN-program, CPU, minne och throughput under jämförbar last. Tolka prestandamätvärden i Sophos Firewall beskriver metoden.

Skanna dekrypterad trafik oberoende av port

scan_decrypted_port_agnostic on är aktivt som standard. IPS kan då skanna dekrypterad trafik även om en signatur förväntar HTTP men flödet använder en annan port.

Avstängning minskar skyddet i hela brandväggen och är ingen permanent lösning för en false positive. Ett riktat test kräver signatur-ID, mål, port, SSL/TLS Inspection-regel och IPS Policy. Välj därefter ett smalt undantag och återställ det globala värdet. Flödet finns i Rulla ut TLS Inspection stegvis.

HTTP-svar och paketantal

http_response_scan_limit accepterar 0 till 262144; Sophos kräver 0 för full skanning. Kopiera inte ett annat värde utan bevis, eftersom det ändrar detektionsdjup och resurser.

maxpkts anger hur många paket Application Filter policies skannar från klient och server i nya eller uppdaterade anslutningar. Standard är 8. Sophos rekommenderar 80 för komplexa proxy-, P2P- och tunnelprogram men varnar för lägre anslutningshastighet vid för höga värden.

Den dokumenterade inmatningsformen är set ips maxpkts [numeric value more than 8|all|default]: Ett explicit numeriskt värde måste vara större än 8; all och default är alternativa inmatningar, inte en kommandosekvens. Standardvärdet 8 är därför inget exempel på en explicit numerisk inställning. Paketantalet begränsar programklassificeringen separat i varje riktning, inte den fortsatta IPS-granskningen: Med 9 används klientens första nio paket och serverns första nio paket för klassificering; IPS-skanningen fortsätter. Välj exakt en inmatning för ett motiverat test och spara det aktuella värdet i förväg. Återställningen ska återge exakt det tidigare tillståndet; default är endast lämpligt för en bekräftad standardbaslinje, inte som ersättning för en kundanpassad konfiguration. Om det tidigare tillståndet inte kan läsas av entydigt eller återställas i en dokumenterad form ska Sophos Support involveras före testet. Efter ändring och återställning läses inställningarna av igen och klassificering, kontrolltrafik och prestanda jämförs. Ingen ytterligare betydelse av all vid körning härleds från denna referens.

80 är ingen generell IPS-prestandainställning. Bevisa först bristande klassificering med standarden och jämför därefter detektion, etablering, throughput och kontrolltrafik.

Programidentifiering och ATR-undantag

enable_appsignatures on aktiverar programsignaturer och är standard. Globalt off minskar identifiering av skadliga program och löser inte en enskild felklassificering på ett bra sätt.

ac_atr exception fwrules undantar ett eller flera Firewall Rule IDs från Application Classification och Active Threat Response. Separera flera ID med kommatecken; none tar bort undantaget.

Före ändringen sparas de befintliga undantags-ID:na från show ips-settings och hela den nödvändiga mållistan fastställs. Om baslinjen eller den exakta återställningsvägen är oklar görs ingen ändring; i stället involveras Sophos Support. 12,27 är exempel-ID:n för den medvetet valda listan; detta innebär ingen dokumenterad semantik för tillägg eller sammanslagning.

Vald ändring: Ange endast den kontrollerade mållistan, med rätt regel-ID:n i stället för exempel-ID:na:

set ips ac_atr exception fwrules 12,27

Alternativ borttagning, som inte ska köras efteråt: Välj none endast om inga undantag faktiskt ska finnas kvar. Som återställning är detta endast lämpligt vid en bekräftad tom baslinje; annars ska exakt den sparade listan anges igen, utan att den först tas bort:

set ips ac_atr exception fwrules none

Undantaget tillåter eller blockerar inte reglerna själva. Det tar deras trafik ur två extra vägar. Använd bara bevisade ID med ägare, slutdatum och negativt test. Kontrollera först Threat Feed, regelmatchning och Active Threat Response-konfiguration.

De två exemplen är alternativ, inte en testsekvens. Efter ändring och återställning läses listan av igen med show ips-settings och jämförs med den valda mållistan respektive den sparade baslinjen. Därefter måste både en tidigare undantagen regel och en orelaterad regel kontrolleras igen avseende Application Classification och ATR.

Motor, CPU och hårdvaruacceleration

Flytta inte IPS-instanser som snabb optimering

Sophos dokumenterar under set ips argumentstrukturen ips-instance [add|clear] IPS cpu <0-maximum CPUs in the device> och ett CPU-intervall från 0 till enhetens maximala antal CPU:er. Dokumentationen för SFOS 22/23 är motsägelsefull när det gäller Apply: Syntaxlistan anger ips-instance apply under set ips, medan förklaringstexten anger set ips-instance apply. Här härleds därför inget körbart Apply-anrop och ingen CPU-numrering gissas. Före en ändring måste Sophos Support bekräfta giltiga CPU-ID:n, exakt Add-/Clear-/Apply-syntax och exakt återställning av den tidigare tilldelningen för den installerade builden. De aktiva instanserna dokumenteras och sparas med show ips-settings; utan entydig baslinje och bekräftad återställningsväg görs ingen ändring. Enligt källan följs Apply av en obligatorisk omstart av brandväggen; utan omstart tillämpas inte den nya konfigurationen. Efter ändring och återställning läses de aktiva instanserna av igen efter den planerade omstarten och jämförs med måltillståndet respektive baslinjen.

Manuell CPU-tilldelning är inte livetrimning. Den hör till underhåll med plattform, aktuella instanser, Sophos-rekommendation och last före/efter dokumenterade.

Låt föråldrade omkopplare vara oförändrade

ips_mmap och packet-streaming är enligt Sophos föråldrade sedan SFOS 18.0; för båda anger referensen on som standard, inte som ett uppmätt aktuellt värde på apparaten. De används därför inte som optimeringsparametrar i SFOS 22. Särskilt packet-streaming off är riskabelt: Utan reassembly kan skadligt innehåll som delas upp över protokoll som Telnet, POP3, SMTP eller HTTP undgå signaturgranskningen.

Klassificera PKI Acceleration rätt

pki-acceleration enable är standard. På stödda XGS Appliance-modeller kan Xstream Flow Processor avlasta omsignering av X.509-certifikat för SSL/TLS-flöden som DPI Engine granskar.

show ips-settings visar status. Icke stödda versioner eller modeller visar disabled; med PKI Acceleration på och Firewall Acceleration av visas enabled (inactive). Bedöm inte PKI Acceleration isolerat. Sophos anger att en ändring av kravet Firewall Acceleration orsakar ett avbrott; den hör hemma i ett planerat servicefönster och är inte ett felsökningssteg i den här artikeln.

Gissa inte sökmetoden

Sophos dokumenterar ac-bnfa med låg minnesåtgång och hög prestanda, ac-q med hög minnesåtgång och bäst prestanda samt hyperscan med låg minnesåtgång och bäst prestanda. hyperscan är standard.

Etiketterna motiverar inte ett intuitivt byte. Plattform, minne, reproducerbar last och detektionsresultat måste passa. Behåll metoden utan specifik Sophos-rekommendation.

SIP och särskilt TCP-beteende

sip_preproc enable skannar SIP-sessioner efter attacker och är aktivt som standard. sip_ignore_call_channel enable undantar som standard ljud- och videokanaler från IPS-skanning. Båda är globala.

Separera först signalering, media, riktning, NAT, helper, IPS- och VPN-event. Bara ett reproducerbart samtal motiverar en tillfällig CLI-jämförelse. Optimera och testa VoIP i Sophos Firewall beskriver flödet.

tcp urgent-flag remove tar bort och återställer TCP urgent flag och pointer och är standard. allow vidarebefordrar dem oförändrade. En uppluckring kräver Packet Capture och ett specifikt legacyprogram.

Tillämpa patternomfång och signaturuppdateringar säkert

Full Signature Pack endast från 32 GB RAM

system ips full-signature-pack styr om Pattern Updates laddar ner hela IPS-paketet. Sophos kräver minst 32 GB RAM och varnar för möjlig prestandapåverkan. Eftersom CLI-dokumentationen inte anger något standardvärde läser du först status:

system ips full-signature-pack show

Före ändring sparas RAM, IPS-patternversion och tid, CPU och minne. enable eller disable påverkar nedladdning vid Pattern Updates. Efter nästa kontrollerade uppdatering kontrolleras Success, version och show igen. Vid fel eller relevant resursändring återställs sparad status med ett enda kommando och nästa cykel observeras:

system ips full-signature-pack enable
system ips full-signature-pack disable

Testaktivera inte under 32 GB. Fler signaturer ersätter inte en lämplig IPS policy. SFOS 22.0 MR2 levererar exempelvis nya PQC-patterns med åtgärden Disabled; användning kräver en medvetet skapad IPS-regel och vald åtgärd.

För automatisering via XML-API använder IPSFullSignaturePack det obligatoriska fältet Status med värdena enable, disable eller show i gemener: de aktiverar fullständig nedladdning, inaktiverar den respektive läser av status. API-parametertabellen anger disable som standard; det fastställer inte ett universellt ursprungsvärde för CLI eller apparaten. Konfigurationsexemplet dokumenterar ingen generell Get-operation. Även automatisering kräver kontrollerna av RAM, licens, uppdatering och återställning som beskrivs ovan.

Behåll reload och undvik att kringgå skyddet

set ips engine_update_mode reload är dokumenterad standard. Vid reload kan vissa paket kasseras medan konfigurationen laddas om. restart startar om motorn; all inkommande och utgående trafik kringgår IPS under restart.

Sophos avråder starkt från ändring av säkerhetsskäl. Spara vid reproducerbar störning tid, patternversion, flöden och loggar för Sophos Support.

Kontrollera först att show ips_conf visar config update_mode reload. Bara om Sophos Support undantagsvis begär en jämförelse planeras fönstret och status återställs direkt:

set ips engine_update_mode restart
set ips engine_update_mode reload

Det andra kommandot är standardåterställningen. Därefter ska show ips_conf åter visa config update_mode reload. Om det inte gör det ska restart inte upprepas; dokumentera avvikelsen för Sophos Support. Om restart redan var dokumenterad anpassad baslinje ska exemplet inte köras och avvikelsen först klargöras med Support. Spara tid, patternversion, flöden, bypass-tid och loggar.

Om IPS-tjänsten förblir Dead i SFOS 22 samtidigt som uppdateringar av IPS-patterns misslyckas ska engine_update_mode restart inte användas som motåtgärd. Spara tjänstestatus, ips.log, sig_upgrade.log, web-policykonfiguration och HA-nod. Buildavgränsning, diagnos och supportväg för NC-181971 finns under IPS-tjänsten står på DEAD i Konfigurera och testa IPS säkert. Planera ett versionsbyte separat med SFOS 22-uppgraderingskontrollen.

Behåll set ips_conf hos Sophos Support

set ips_conf kan lägga till, ändra eller ta bort interna key-valuepar i Snort. Sophos varnar uttryckligen att bara Sophos Support-tekniker ska köra kommandona.

Skrivskyddad show ips_conf kan vara supportbaslinje. Härled inga add, update eller del. En felaktig nyckel kan påverka skydd, stabilitet och support utan säker återställning.

Validera och återställ en ändring

Skapa före och efter en ny anslutning med samma källa, mål och regel. Ett oberoende kontrollflöde måste behålla förväntad IPS Policy och åtgärd. Bedöm Log Viewer, ips.log, CPU, minne, etablering och programresultat tillsammans.

Återställningen använder det ursprungsvärde som dokumenterats med show ips-settings. För failclose följer därefter åter set ips failclose apply; vid en instansändring gäller kraven på Apply och omstart även för återställningen. Även återställning av IPS-instanserna kräver det ovan beskrivna klargörandet med Sophos Support för aktuell build av den motsägelsefulla Apply-syntaxen. Föråldrade eller supportinterna parametrar ändras inte på försök.

Om Log Viewer saknar väntade händelser kontrolleras först licens, IPS-reglage, pattern, Firewall Rule ID och tilldelad policy. En utebliven händelse motiverar inte restart eller globalt minskad skanning. Om en uppdatering förblir Failed efter ett dokumenterat manuellt försök skickas version, tid, build och loggar till Sophos Support.

Driftchecklista

• show ips-settings, SFOS-build, modell, tid och ansvarig dokumenterade.
• Specifik parameter och trafikväg isolerade.
• Smal policy- eller signaturkorrigering kontrollerad före global ändring.
• RAM-beroende failclose-status och restoreeffekt beaktade.
• Licens, IPS-reglage, tilldelad policy och patternstatus kontrollerade.
• Full Signature Pack bedömt endast från 32 GB och med sparad startstatus.
• Apply-, restart- och bypassrisker klarlagda.
• Positivt, negativt och kontrollflöde testade.
• Verkligt ursprungsvärde förberett för återställning.
• Ingen egen set ips_conf-ändring utförd.

FAQ