Konfigurera Sophos Endpoint Web Control
Sophos Fusion (tidigare Sophos Central) erbjuder två konfigurationsmodeller för Endpoint Web Control. Den aktuella modellen använder återanvändbara Web Filtering Profiles. Classic Web Control är fortsatt relevant för äldre Windows Agents och macOS.
Det säkra arbetsflödet är att inventera enheter och agentversioner, bygga en Web Filtering Profile, tilldela en liten User- eller Device-baserad pilotpolicy, aktivera loggning och testa en tillåten, varnad och blockerad begäran. Utöka tilldelningen först efter godkännande. Globala Website Exclusions ersätter inte riktade Site Lists eller Tags.
Skillnaden är avgörande för driften. En korrekt konfigurerad ny Policy påverkar inte en Mac eller Windows Endpoint med en äldre agent. Omvänt kan Base Policy innehålla båda konfigurationerna och ge en fallback.
Ny profil eller Classic?
Web Profile-modellen kräver Windows Endpoint 2026.1 eller senare och finns bara i Windows, inte i Linux eller macOS. Sophos anger Classic främst för macOS och Windows Endpoint 2025.2.3.8 eller äldre.
En Custom Policy använder antingen den nya profilen eller Classic. Base Policy kan innehålla båda delarna. Agenten använder sedan den variant som passar dess plattform och version.
Om en tilldelad enhet inte stöder Web Filtering Profiles hoppas motsvarande Web Profile-policy över och nästa tillämpliga Web Control-policy används. Det är ett val mellan policyer, inte en växling till Classic inom samma Custom Policy. Den ovan beskrivna Classic-reservlösningen inom Base Policy är en separat mekanism.
Inventera därför operativsystemet, agentversionen och hela ordningen för tillämpliga policyer ända ned till Base Policy före migreringen. För Mac-datorer och äldre Windows-agenter måste det vara klarlagt vilken kompatibel Classic-policy som faktiskt följer och vilka inställningar den innehåller. Ändra tilldelningen först när målgruppen stöder den nya modellen eller dess kompatibla reservlösning har kontrollerats.
Bygg en Web Filtering Profile
Skapa profilen under Global Settings > Protection & Remediation > Web Settings > Web Filtering Profiles; rollen kräver Manage web profiles. Sophos tillåter upp till 20 profiler per tenant. Ett profilfilter kan använda både kategorier och egna Site Lists samtidigt.
Aktuella val är Keep it clean, Optimal productivity, Block generative AI, Conserve bandwidth och Business only. Med Custom väljer du Allow, Warn, Block eller Let me specify för varje grupp; Let me specify visar de enskilda kategorierna. Före valet visar View Details vad respektive nivå faktiskt kontrollerar.
Site Lists har företräde framför beslut om kategorier och filtyper. En lista kan innehålla Domains, URLs, IP Addresses eller CIDR Ranges; bekräfta varje post med Enter eller Tab. Enligt Sophos matchar example.com och *.example.com alla domäner som slutar med example.com, utan http:// eller https://. En Site List innehåller upp till 750 poster och en profil upp till 20 listor. Ordningen uppifrån och ned avgör prioriteten.
I Site Lists visar fliken Category Checker SophosLabs Intelix-kategorin och riskklassningen för varje post. Vid en granskning jämför du klassningen med kategoriåtgärden i profilen, Site List-listans åtgärd och prioritet samt det ursprungliga skälet till undantaget. På så sätt går det att hitta gamla blockeringsposter vars syfte numera redan uppfylls av kategorin, eller tillåtande poster som kan åsidosätta en riskfylld klassning. Visningen i sig bevisar varken att filtreringen fungerar eller att en post kan tas bort utan risk. Kontrollera alla profiler och policyer som använder listan före borttagning, dokumentera den tidigare posten med åtgärd och ordning för återställning och testa ändringen i en snävt avgränsad pilot först; kontrollera därefter nödvändiga åtkomster och motsvarande händelser. Vid oväntad effekt återställer du den dokumenterade posten och kontrollerar igen.
En ny profil har ingen automatiskt lämplig organisatorisk baseline. Kategorier, Site Lists och åtgärder väljs medvetet och används sedan i en Web Control Policy.
Skapa och tilldela policyn
- Klicka på Add policy under My Products > Endpoint > Policies.
- Välj Web Control som Feature och User eller Device som Type, beroende på målet. Att tilldela andra objekt senare ersätter inte valet av rätt typ.
- Ange ett tydligt namn, till exempel
WC-Pilot-Windows-Profile, och tilldela endast pilotgruppen under Users eller Computers. - Välj policytypen Web profile under Settings och välj den förberedda profilen. Olika profiler kan vid behov gälla vid olika tider.
- Konfigurera Risky File Types medvetet. Recommended är en säker utgångspunkt; Allow, Warn, Block eller Let me specify kräver en dokumenterad verksamhetsmässig motivering. Egna filtyper kan inte läggas till.
- Aktivera Log web control events och spara policyn. Utan detta alternativ loggar Sophos endast åtkomst till infekterade webbplatser, inte alla blockerade försök och varningar.
En Custom Policy innehåller Web profile eller Classic settings, aldrig båda. Bara Base Policy kan innehålla båda och använda Classic som fallback. Base Policy faller tillbaka på Classic när Web Profile inte kan tillämpas på en enhet.
Använd Website Management korrekt
Website Management löser två andra uppgifter: egna Tags för webbplatser och en tenantomfattande kategorikorrigering. En Domain-post omfattar underdomäner utan Wildcard. Upp till 5 000 Tags kan skapas. Under Global Settings > Protection & Remediation > Web Settings > Website Management > Add kan en post innehålla enskilda URL:er, hela domäner, IP-adresser, CIDR-intervall eller toppdomäner. En kommentar med ansvarig och ärendenummer underlättar senare granskningar.
Website Management-taggar hör till arbetsflödet för Classic Web Control. I den nya Web Profile-modellen styrs egna destinationer i stället med Site Lists i Web Filtering Profile:
- Gå till Global Settings > Protection & Remediation > Web Settings > Website Management > Add, ange destinationerna, välj en ny eller befintlig tagg under Add tags och klicka på Save.
- Gå till My Products > Endpoint > Policies > Web Control, öppna en Policy som använder Classic settings och välj Settings.
- Under Control sites tagged in Website Management > Add New väljer du taggen, ställer in Action på Allow, Warn eller Block och klickar på Save i dialogrutan och sedan i policyn.
En Category Override kan inte tillåta en sida som Sophos klassificerar som Malware, Phishing, Hacking eller Command-and-Control. Om Sophos-kategorin är fel rekommenderar Sophos att du öppnar ett supportärende för omklassificering. En Website Exclusion kringgår Web Control-kontroller och får betydligt större säkerhetseffekt. En Category override ändrar Sophos-kategorin för hela tenanten. En Tag grupperar destinationer så att en policy kan styra dem specifikt. IP-baserade Website Management-poster styr endast webbläsaråtkomst, inte andra program eller lokala brandväggsregler.
Webbaserade JavaScript-kryptominerare blockeras via kategorin Hacking. Det blockerar hela kategorin, inte bara miningkod; ändringen ska därför först testas i en pilotpolicy. Om en enskild webbplats måste vara tillgänglig av ett motiverat verksamhetsskäl får den en egen tagg i Website Management, som tillåts specifikt i berörd Web Control-policy. Sophos klassificerar sådana kryptominerare som parasitär skadlig programvara; en tillåtelse förblir ett dokumenterat undantag och är ingen rekommenderad grundinställning.
HTTPS och varningssidor
Varningar i den nya Web Profile-modellen kräver HTTPS Decryption, aktiverat i effektiv Threat Protection Policy. HTTPS Decryption är avstängt som standard för Endpoints. Aktiveringen görs under My Products > Endpoint > Policies i den effektiva Threat Protection-policyn med SSL/TLS decryption of HTTPS websites.
Med dekryptering kan Sophos se fullständiga URL:er och innehåll och vid en detektering skicka prover till SophosLabs. Granska därför dataskydd, interna krav och känsliga kategorier före aktiveringen. Globala HTTPS-undantag skyddar vissa kategorier och webbplatser från dekryptering. De fördefinierade kategorierna kan aktiveras eller inaktiveras, men inte läggas till eller tas bort; enskilda domäner, IP-adresser och intervall kan läggas till. För undantagna destinationer fungerar inte nedladdningsskanning eller Risky File Types-kontroller som kräver dekrypterat innehåll. Kontroller som inte kräver dekryptering är fortfarande möjliga.
På Windows flyttar HTTPS Decryption dataströmmen från Windows Filtering Platform i Kernel till en Sophos-process i User Space. Där dekrypteras, kontrolleras och krypteras den igen. Det kräver CPU, RAM och ytterligare frågor till molntjänsten. Äldre processorer och långsamt minne kan därför tappa oproportionerligt mycket genomströmning. Om störningen bara gäller enskilda webbplatser eller är oförändrad när dekryptering stängs av är denna generella prestandaorsak däremot inte bekräftad.
Firefox använder ett eget certifikatlager och kan använda egen DNS over HTTPS. I Windows måste security.enterprise_roots.enabled vara true så att Firefox litar på Windows certifikatlager. Kontrollera för tillförlitlig SNI-baserad kontroll även att Firefox följer hanterade DNS-krav.
På en intern HTTPS-webbplats med ett självsignerat eller på annat sätt obetrott servercertifikat kan webbläsaren efter aktiverad dekryptering hänvisa till Sophos RSA-rotcertifikat. Det betyder inte automatiskt att Sophos-certifikatet är felaktigt: Sophos upprättar anslutningen på nytt, men behåller ursprungsserverns ogiltiga tillitsstatus. Den korrekta lösningen är att rätta webbplatsens certifikatkedja eller tilliten till den på enheterna. Ett dekrypteringsundantag innebär däremot att medvetet acceptera mindre kontroll och ska användas snävt avgränsat. En bred Website Exclusion skulle dölja problemet och försvaga inspektionen.
Classic Web Control
Classic erbjuder ytterligare Security Options, fördefinierade Acceptable Use Levels och Data Sharing Controls. Scheman är inte tillgängliga i Base Policy. Om ett schema används följer det lokal tid på Endpoint.
Policyn kan vara User- eller Device-baserad. Kontrollera tilldelning, prioritet, version och plattform och bekräfta efter ändringar effektiv Policy i Reports > Events. För en User Policy kontrolleras Central-användarkopplingen och det lokalt inloggade kontot; för en Device Policy kontrolleras datortilldelningen. Prioriteten avgör vilken matchande Custom Policy som faktiskt gäller. Vänta på synkronisering och bekräfta genom händelser, inte bara utifrån den avsedda tilldelningen.
På macOS kan Sophos Endpoint för närvarande inte filtrera eller blockera IPv6-webbtrafik. Ett lyckat IPv4-test bevisar därför inte att samma åtkomst kontrolleras via IPv6.
Pilot och godkännande
En Web Control-pilot kontrollerar en tillåten, varnad och blockerad kategori, en Site List med högre prioritet, en Website Management-tagg, en riskfylld filtyp, en HTTPS-sida och ett medvetet valt dekrypteringsundantag. Testa organisationens webbläsare samt IPv4 och, där det är relevant, IPv6. Schemalagda Policies testas enligt lokal tid på Endpoint. I blandade målgrupper ska du dessutom i varje fall testa en enhet som inte stöder profiler: den förväntade policyn är den nästa kompatibla policy som fastställts i förväg, med dess planerade åtgärd, inte den överhoppade Web Profile-policyn. Kontrollera policynamnet på enheten och effekten separat.
Definiera återställningen innan piloten utökas: dokumentera tidigare tilldelning och profil, fastställ avbrottskriterier och ange den ägare som ska ta bort Custom Policy-tilldelningen eller återställa föregående profil. Base Policys automatiska fallback till Classic gäller bara enheter där Web Profile inte kan tillämpas; den återställer inte en olämplig konfiguration på en enhet som stöds.
Verifiera under Reports > Events vilken Policy och åtgärd som faktiskt utlöstes. En synlig webbläsarsida räcker inte: webbläsarens cache, Secure DNS, Proxy och QUIC kan ändra den observerade vägen. Förvänta en Block- eller Warn-händelse, rätt användare eller dator och den planerade policyn.
Om förväntade Events saknas kontrollerar du först Log web control events och sedan Policy-typ, tilldelning, prioritet, agentversion och plattform. Utan loggning registrerar Sophos bara försök att besöka infekterade webbplatser; ett tomt Event-filter bevisar inte att Policyn är inaktiv.
Sophos-testsidan sophostest.com lämpar sig för ett säkert funktionstest. På Windows visar C:\ProgramData\Sophos\Sophos Network Threat Protection\Logs\SophosNetFilter.log vilken URL-kategori och Action som användes och om anslutningen dekrypterades. På macOS finns Web Intelligence Action i /Library/Logs/Sophos Anti-Virus.log.
Utan HTTPS Decryption ser Sophos för HTTPS ofta bara servernamnet via SNI, inte hela sökvägen. En varningssida kan då inte infogas i det krypterade innehållet och webbläsaren kan endast visa ett generellt anslutningsfel. Exakta URL-regler är dessutom skiftlägeskänsliga. Ett test med en fullständig HTTPS-sökväg får därför inte tolkas som en ren domänregel.
Avgränsa andra webbkontroller
Endpoint Web Control är en separat produktmodul. Om DNS Protection for endpoints, Protected Browser, en proxy eller en nätverksbrandvägg också filtrerar kan ett annat lager blockera först; ett tillåtande beslut i Endpoint häver inte den blockeringen. Artikeln konfigurerar bara Endpoint Web Control. Vid Troubleshooting kontrolleras Events och Policies separat för varje lager som faktiskt används.
Vanliga fel
Om en sida oväntat tillåts kontrolleras först Site List Priority, Global Website Exclusions, Category Override och effektiv Policy. Om en varningssida saknas kontrolleras HTTPS Decryption, certifikattillit och webbläsarstöd.
Om endast Firefox berörs kontrolleras dess certifikatlager och DNS over HTTPS. Om endast Mac berörs ska även IPv6 beaktas. En bred Website Exclusion är ingen diagnosmetod eftersom den tar bort just de kontroller som undersöks.
Om riskfyllda filtyper behandlas olika är det inte nödvändigtvis ett Policy-fel. Sophos kan genom Reputation bedöma kända betrodda källor annorlunda än okända källor. För krypterade nedladdningar kräver kontrollen också lämplig HTTPS Decryption. Dess prestandapåverkan mäts på pilotenheter.
Om en tillåten sida bara laddas delvis kommer skript, stilar, bilder eller login ofta från andra domäner. Använd Network Threat Protection-logg och webbläsarverktyg för att identifiera varje mål utan att tillåta bred kategori. Identifiera de förfrågningar som faktiskt misslyckas på fliken Network i webbläsarens utvecklarverktyg. Bedöm och lägg endast till nödvändiga extra destinationer; ett generellt undantag för allt tredjepartsinnehåll på sidan skulle vara onödigt brett.
Om Web Protection kort måste stängas av för diagnos används en separat Policy på få testenheter med ägare och sluttid. Stäng inte Base Policy globalt. Aktivera direkt igen och bevara Events och loggar. Även en global Website Exclusion skulle ta bort flera skyddslager samtidigt och är ingen acceptabel permanent nödlösning.
Relaterade artiklar
HTTPS Decryption ingår i Sophos Endpoint Threat Protection Best Practices. Inför Sophos Endpoint Control Policies praktiskt ger den övergripande utrullningsprocessen.