Konfigurera och testa Application Control i Sophos Firewall

Application Control identifierar programtrafik som inte går att skilja åt enbart utifrån portar. En Sophos Firewall kan till exempel uttryckligen tillåta eller blockera fjärrstyrningsverktyg, tunnelprogram, strömningstjänster och molnlagring. Träffen loggas via den tillhörande brandväggsregeln. Ett Application Filter har ingen egen åtgärd Log.

Grundflödet är enkelt: Skapa filtret under Applications > Application filter, tilldela det under Rules and policies > Firewall rules till den regel som trafiken faktiskt matchar och verifiera sedan Rule ID, program och åtgärd med en riktig klient. En sparad filterpolicy påverkar inte trafiken förrän den har tilldelats en regel.

Fastställ förutsättningar och mål

Application Control ingår i Web Protection Subscription. Kontrollera licensstatus under Administration > Licensing. Före konfigurationen bör du även fastställa:

• vilket användar- eller nätverksområde som berörs och dess IPv4-/IPv6-vägar;
• vilket program eller vilken grupp som först ska övervakas eller blockeras;
• vilken brandväggsregel som för närvarande hanterar trafiken;
• en testklient, ett reproducerbart testanrop och det förväntade resultatet;
• aktuellt tilldelat Application Filter, regelns placering och befintlig NAT-tilldelning som utgångsläge för återställning.

Kontrollera signaturuppdateringarna under Backup & firmware > Pattern updates. Som standard körs de automatiskt. Update pattern now uppdaterar vid behov alla mönsterdefinitioner utom firmwaremönster för AP och RED. Statusvärdena Ready to install, Downloading, Success och Failed underlättar felsökningen. Programsignaturer är tillgängliga även utan en aktiv IPS-licens, medan IPS-signaturer kräver både en lämplig licens och aktiverat IPS.

Aktivera Log firewall traffic för testregeln. Loggningen styrs av brandväggsregeln, inte av Application Filter. Om du bara vill övervaka trafiken använder du därför ett tillåtande filter och granskar den identifierade trafiken innan du ställer in enskilda program på Deny.

Om målet i stället är prioritering eller bandbreddsbegränsning kompletterar du filtret enligt Konfigurera Application Traffic Shaping i Sophos Firewall. För programbaserade SD-WAN-rutter används däremot ett Application Object. Arbetsflödet beskrivs i Konfigurera en SD-WAN-rutt med gateway-redundans i Sophos Firewall.

Planera och skapa ett Application Filter

Under Applications > Application list ser du om Sophos har en särskild signatur för programmet och vilken kategori respektive risknivå det för närvarande tillhör. För filtrets Name finns alternativen contains, is, is not och does not contain. Att programmet finns i katalogen bevisar inte att det identifieras i det egna nätverket. Det verifieras senare genom klienttestet.

Ett fast urval av enskilda program ger ett förutsägbart resultat. Kriterier som Risk, Category eller Classification, som endast finns för molnprogram, är däremot dynamiska. Nya eller omklassificerade signaturer kan därför börja matcha framöver. Sådana regler behöver en dokumenterad ansvarig och ska granskas efter ändringar av mönster eller klassificeringar.

Den fullständiga sökvägen för en policy och dess regel är:

Applications > Application filter > Add
Applications > Application filter > Edit policy > Add

1. Ange ett unikt namn under Add, till exempel Block_File_Transfer_Pilot.
2. Välj en mall. För en riktad blockering är Allow All en tydlig utgångspunkt. Förutsätt inte att alla nya tomma policyer automatiskt fungerar så.
3. Spara policyn, öppna den igen och skapa en filterregel med Add.
4. Använd antingen Select Individual Application eller Select All och begränsa träffarna efter Application, Category, Risk, Characteristics, Technology, Classification eller Smart Filter.
5. Ställ in Action på Allow eller Deny.
6. Välj exempelvis All the time under Schedule eller tilldela ett lämpligt schema.
7. Spara först filterregeln och därefter policyn.

SFOS levereras bland annat med mallarna Allow All, Deny All, Block filter avoidance apps, Block generally unwanted apps, Block high risk (Risk Level 4 and 5) apps, Block peer to peer (P2P) networking apps och Block very high risk (Risk Level 5) apps. En mall är en utgångspunkt, inte en färdig standard. Jämför framför allt regler baserade på Risk och Category med de program som behövs i det egna nätverket innan de tilldelas brett.

Tidsberoende regler kräver ett lämpligt schema. Hur du skapar ett schema och kontrollerar det mot brandväggens tid och reservregler beskrivs i Konfigurera scheman för regler och policyer i Sophos Firewall.

Exempel: Blockera webbläsarbaserade filöverföringar

Det officiella exemplet lämnar andra filöverföringsprogram orörda och begränsar enbart webbläsarbaserade överföringar:

1. Skapa policyn Block_File_Transfer_Pilot från Allow All och öppna den igen.
2. Skapa en regel med Add > Select All.
3. Välj Category: File Transfer, Characteristics: Transfer files och Technology: Browser Based.
4. Ställ in Action: Deny och Schedule: All the time.
5. Spara filterregeln och policyn.

Även detta urval kan påverka legitima arbetsflöden för uppladdning, samarbete eller säkerhetskopiering. Pilotklienten bör därför testa både en överföring som ska blockeras och en uttryckligen tillåten verksamhetstjänst inom samma tillämpningsområde.

Tilldela filtret till rätt brandväggsregel

Application Control får effekt först när filtret används i en brandväggsregel. Den aktuella sökvägen för en ny regel är:

Rules and policies > Firewall rules
> IPv4 eller IPv6
> Add firewall rule
> New firewall rule
> Other security features
> Identify and control applications (App control)

För en befintlig regel öppnar du Other security features direkt och väljer det förberedda Application Filter. Låt Log firewall traffic vara aktiverat under pilotfas och godkännandetest.

Regeln måste faktiskt matcha testklientens Source Zone, Source Network, Destination Zone, Destination Network, Services och, i förekommande fall, Match known users. Brandväggsregler utvärderas uppifrån och ned och den första träffen avslutar sökningen. En mer generell regel högre upp är därför en vanligare felorsak än själva Application Filter.

För en ny internetregel måste även NAT-vägen vara korrekt. Sophos exempel kan skapa en MASQ-regel med Create linked NAT rule. Skapa inte en andra NAT-regel på måfå i en befintlig miljö. Kontrollera i stället den SNAT-/MASQ-regel som redan används och notera dess NAT Rule ID.

IPv4 och IPv6 har separata regelvägar. Om klienten använder båda protokollen måste båda testas, alternativt ska pilotprojektet uttryckligen begränsas till ett av dem. Grunderna för regler förklaras i Förstå och konfigurera Sophos Firewall-regler säkert.

Verifiera effekten med Live Connections och Log Viewer

Ett tillförlitligt test besvarar tre separata frågor: Vilken regel hanterar flödet, vilket program identifierar SFOS och vilken åtgärd utförs?

1. Notera testklient, käll-IP, användare, tidpunkt och mål.
2. Du kan välja att köra Reset data transfer count bland pilotregelns alternativ så att nya byte blir lättare att hänföra till testet.
3. Starta testanropet och kontrollera den ännu öppna anslutningen under Current activities > Live connections.
4. Jämför Application, Source IP, Username, Interfaces, käll- och målportar, Firewall Rule ID och NAT Rule ID med den planerade vägen.
5. Öppna Log viewer uppe till höger i WebAdmin och filtrera efter käll-IP, användare, mål, Rule ID och program.
6. Genomför både en förväntad blockering och ett tillåtet kontrollanrop inom samma tillämpningsområde.

En nekad träff i Application Filter visas som Content Filtering > Application > Denied. Tillåten, identifierad trafik visas i brandväggsloggen under Firewall > Firewall Rule > Allowed. Dokumentera minst Firewall Rule ID, Application Filter, program, kategori, risk, åtgärd, användare, källa och mål inför godkännandet.

Brandväggssessioner visas ofta först vid Connection Destroy event, när SFOS stänger anslutningen. En öppen webbläsar- eller strömningssession kan därför redan synas under Live connections trots att den avslutande posten ännu saknas i brandväggsloggen. SSL/TLS-anslutningar loggas efter slutförd handskakning och när de stängs.

Under Reports > Dashboards > Traffic dashboard > Allowed policies kan du även kontrollera överförd datamängd för tillåtande regler. Rapporten ersätter dock inte ett konkret test av Rule ID och program.

För Syslog och SIEM varierar fältnamnen beroende på utdataformat. Central Reporting Format använder bland annat fw_rule_id, app_filter_policy_id, app_name, app_category, app_risk, app_resolved_by, qualifier och status. I Device Standard Format (Legacy) heter motsvarande fält exempelvis application_filter_policy, application_name, application_category, application_risk och appresolvedby. app_resolved_by respektive appresolvedby skiljer bland annat mellan Signature, Proxy och Synchronized Application Control (EAC).

Tekniska händelser för Application Filter och DPI hamnar i ips.log. sig_upgrade.log och sigmigration.log hjälper vid signaturuppdateringar. Loggarnas koppling till tjänster beskrivs i Felsöka Sophos Firewall: tjänster och loggar. Packet Capture kan bekräfta IP-adresser, portar, gränssnitt och paketväg, men bevisar inte programklassificeringen. Det kombinerade diagnostikflödet beskrivs i Testa en Sophos Firewall-regel med Log Viewer, Policy Test och Packet Capture.

Bedöm HTTPS, QUIC och webbundantag

SFOS kan identifiera många signaturbaserade program utan fullständig dekryptering. URL-baserade Micro Apps, exempelvis filöverföringar i Dropbox eller Gmail, kräver dock åtkomst till den dekrypterade URL:en när trafiken är krypterad. För DPI-vägen behövs därför en lämplig regel under Rules and policies > SSL/TLS inspection rules. Scan HTTP and decrypted HTTPS aktiverar skanning efter skadlig kod för HTTPS-trafik som redan har dekrypterats, men aktiverar inte själva dekrypteringen.

I webbproxyvägen ansvarar Decrypt HTTPS during web proxy filtering för dekrypteringen. En befintlig Web Policy bevisar varken att HTTPS dekrypteras eller att samma DPI-regel används. Den kontrollerade driftsättningen beskrivs i Inför TLS Inspection korrekt i Sophos Firewall.

Block QUIC protocol kasserar utgående UDP-paket till port 80 och 443 inom brandväggsregelns tillämpningsområde så att klienterna faller tillbaka till en TCP-väg som går att inspektera. SFOS väljer alternativet som standard när en Web Policy väljs eller Scan HTTP and decrypted HTTPS aktiveras. QUIC kan inte skannas av webbfiltret, men det innebär inte att alla andra brandväggskontroller kringgås. Blockera QUIC och HTTP/3 korrekt i Sophos Firewall beskriver positiva och negativa tester.

Kontrollera även Web > Exceptions vid oväntad identifiering. Beroende på valen kan ett webbundantag hoppa över Decryption, Malware-/Content-Scanning och Policy Checks och gälla både DPI- och proxyvägen. Ett brett undantag kan därför ta bort den förväntade programkontexten.

En brandväggslogg med Allowed bevisar inte automatiskt att användaråtkomsten tillåts när trafiken går via webbproxyn. Brandväggen kan först lämna över anslutningen till proxyn, varefter Web Filter loggar den som Blocked. I sådana fall måste brandväggs- och webbloggen läsas tillsammans.

Klassificera molnprogram

Under Applications > Cloud applications visar SFOS endast tillåten trafik och endast program som det finns trafik för. Vyn kan filtreras efter datum, Classification, Category och överförda byte. Expand visar detaljer. En post som saknas utesluter därför inte att ett försök har blockerats.

Nya molnprogram har först Classification new. Efter granskning tilldelar du sanctioned, unsanctioned eller tolerated med Classify. Den nya Classification gäller för ny trafik och varken tillåter eller blockerar något på egen hand. Det är först när ett Application Filter använder kriteriet och tilldelas en matchande brandväggsregel som önskad åtgärd verkställs.

Grundläggande användnings- och byteuppgifter kräver brandväggsloggning. Räknare för uppladdning och nedladdning samt information om filtyper kräver HTTPS-Decryption. En Web Policy som inte är None förbättrar enligt Sophos dessutom precisionen och detaljnivån. Vissa program använder egna överföringsmekanismer, vilket innebär att enskilda detaljfält ändå kan förbli tomma.

Via Traffic shaping kan ett identifierat molnprogram tilldelas en förberedd bandbreddspolicy. Tilldelningen ersätter varken Application Filter eller brandväggsregeln.

Specialfall: molnlagring och Facebook-videor

Det officiella Google Drive-exemplet kombinerar Application Filter Block_GoogleDrive med Web Policy BlockPersonalStorage. Filtret skapas från Allow All, söker efter google drive med Smart Filter och ställer in de valda programmen på Deny och All the time. Under Web > Policies avmarkerar du All web traffic för den avgränsade lagringsregeln, söker efter personal via Add new item > Web category och ställer in relevanta kategorier på Block HTTP och Block HTTPS. Båda policyerna måste tilldelas samma brandväggsregel som trafiken faktiskt matchar. Konfigurera Web Protection i Sophos Firewall förklarar hur policyerna fungerar.

I exemplet med Facebook-videor väljer du träffarna för Facebook videos via Select Individual Application i Application Filter. Sophos anger dessutom för närvarande facebook.com/watch, facebook.com/reel, gateway.facebook.com, facebook.com/ajax och facebook.com/stories samt nyckelorden watch, reel, gateway, ajax och videos för en anpassad kategori. Värdena är en versionsberoende utgångspunkt och ska kontrolleras före användning, eftersom breda nyckelord även kan matcha andra sökvägar. Kategorin måste ingå i en Web Policy-regel med en blockerande åtgärd. Den aktuella Facebook-proceduren namnger inte åtgärden lika uttryckligt som exemplet för lagring.

Sophos exempel använder webbproxyn, dekrypterar HTTPS och blockerar QUIC. Klienterna måste därför lita på Sophos Firewall CA. En befintlig DPI-miljö ska inte ställas om enbart för detta specialfall. Använd där i stället en lämplig SSL/TLS Inspection Rule. Hur du skapar egna kategorier beskrivs i Skapa webbkategorier i Sophos Firewall och CA-distributionen i Distribuera Sophos Firewall CA-certifikat för HTTPS-skanning.

Använd Synchronized Application Control målinriktat

Synchronized Application Control kompletterar nätverksidentifieringen med data från hanterade Sophos Endpoints. Utöver Web Protection Subscription krävs Security Heartbeat, en Network Protection Subscription, ett Sophos Fusion-konto (tidigare Sophos Central) och en hanterad Endpoint med testlicens eller fullständig licens.

Registreringen görs under:

System > Sophos Central > Sophos Central registration > Register

Efter en lyckad registrering aktiverar SFOS automatiskt Security Heartbeat och Synchronized Application Control. Om Security Heartbeat inaktiveras stängs även Synchronized Application Control av. Det är därför inte en avgränsad återställningsmetod för ett enskilt program.

Vid första användningen efter registreringen kontrollerar du i Sophos Fusion (tidigare Sophos Central) att Synchronized Application Control är aktiverat och aktiverar det vid behov. Domänen som skapats på brandväggen måste vara samma som domänen som valts på Endpoint.

Under Applications > Synchronized Application Control söker du efter namn, sökväg, kategori eller Endpoint och expanderar posten för att se förekomsterna. Sophos stöder upp till 15'000 program. Sedan SFOS 20.0 MR1 lagrar SFOS bara de fem senaste förekomsterna av varje program per Endpoint.

Vid migrering till SFOS 21.0 eller senare aktiverar SFOS automatisk rensning endast om Synchronized Application Control (SAC) är aktiverat. Standardperioden för lagring är tolv månader. Om en egen period hade konfigurerats tidigare behålls den. Om SAC är avstängt förblir både SAC och den automatiska rensningen avstängda. Rensningen tar även bort individuellt tillagda program från Application Filter. Vid migrering till SFOS 20.0 MR1 eller senare raderar SFOS äldre förekomster. Om den automatiska rensningen misslyckas på grund av otillräckligt lagringsutrymme hänvisar Sophos till supporten.

New markerar nya poster, Mapped automatiskt mappade program och Customized manuellt anpassade poster. Under Manage > More options finns följande åtgärder:

• Customize: ange ett lättbegripligt namn och en lämplig kategori och välj sedan Apply;
• Acknowledge: ändra etiketten från New till Customized utan att ändra namn eller kategori;
• Hide och Show: dölj respektive visa posten igen;
• Delete: radera programmet och ta samtidigt bort det från de Application Filter där det används.

Efter Customize eller Acknowledge läggs den granskade applikationen till i ett nytt eller befintligt Application Filter. Filtret tilldelas sedan den brandväggsregel som faktiskt tillämpades. Därefter körs ett reproducerbart testflöde, och förväntad Rule ID, applikationsnamnet och åtgärden verifieras i Log Viewer. Först efter denna pilotfas omvandlas detekteringen till en Allow- eller Deny-regel för produktion.

En raderad post visas igen om en Endpoint rapporterar den på nytt. Kontrollera därför berörda filter före Delete. Kör därefter ett nytt testflöde och kontrollera förväntad Rule ID. För generativ AI innehåller Identifiera och styr generativ AI med Sophos Firewall ett separat pilotflöde.

Felsök utifrån symtom

• Förväntad Rule ID saknas: Kontrollera regelordning, Source/Destination, Service, användarmatchning samt IPv4-/IPv6-väg. Application Filter är inte orsaken så länge flödet matchar en annan regel.
• Ingen avslutande post i brandväggsloggen: Leta först efter den öppna sessionen under Current activities > Live connections och avsluta den kontrollerat. Kontrollera loggning och filterintervall i Log Viewer.
• Programmet förblir unknown eller generiskt: Kontrollera mönsterstatus, Application list, HTTPS-Decryption, QUIC och Web Exceptions. Packet Capture ska endast användas för att bekräfta nätverksvägen.
• Blockeringen påverkar för många tjänster: Begränsa regeln för Risk, Category, Classification eller Smart Filter till enskilda program eller en mindre grupp. Upprepa därefter blockerings- och kontrollanropet.
• Mer blockeras efter en mönsteruppdatering: Kontrollera vilken ny signatur som uppfyller ett dynamiskt kriterium. Undanta ett program som behövs så snävt som möjligt i stället för att inaktivera hela filtret.
• Log Viewer visar Allowed för brandväggen men webbläsaren visar en blockeringssida: Läs även webbloggen om trafiken behandlas av proxyn.
• Detaljer för molnprogram saknas: Kontrollera brandväggsloggning, HTTPS-Decryption och Web Policy separat. Alla överföringsmetoder tillhandahåller inte samtliga detaljfält.
• Facebook-videor är fortfarande åtkomliga trots en fullständig konfigurationsväg: Kontrollera Rule ID, Application Filter, Web Policy, aktuella kategoriposter, QUIC, Decryption, klientens CA-förtroende och Web Exceptions. Om testet fortfarande går att reproducera anger Sophos supporten som nästa eskaleringspunkt.

Återställning och löpande drift

Dokumentera Application Filter, Web Policy, regelstatus, regelplacering, NAT-tilldelning, TLS-väg och undantag före pilotdriften. Återställ i följande ordning:

1. Inaktivera en separat pilotregel eller välj åter tidigare Application Filter respektive None i den befintliga regeln.
2. Återställ den dokumenterade regelplaceringen och endast den NAT-tilldelning som entydigt hör till pilotkonfigurationen.
3. Använd kontrollklienten för att verifiera att nya anslutningar åter använder tidigare Rule ID och beter sig som förväntat.
4. Ta först därefter bort pilotfilter eller objekt som inte längre behövs. Radera inte delade filter, NAT-regler eller poster i Synchronized Application Control utan föregående kontroll.

Dokumentera syfte, tilldelade brandväggsregler, dynamiska kriterier, tillåtna undantag, ansvarig, senaste ändring och granskningsdatum för den löpande driften. För central analys passar Aktivera Central Firewall Reporting och Konfigurera Syslog och SIEM för Sophos Firewall.

Ändra global klassificering endast med Sophos Support

Ett Application Filter i en brandväggsregel är inte samma sak som den globala Application Classification i Device Console. Sophos avråder från att ändra dessa växlar utan anvisning från supporten. Börja med att endast läsa av tillståndet:

system application_classification show
system application_classification microapp-discovery show

Den globala klassificeringen är som standard on och microapp-discovery är som standard off. Om Sophos Support föreskriver en ändring ska du dokumentera utgångsläget och ärendenumret. De dokumenterade växlarna är:

system application_classification on
system application_classification off
system application_classification microapp-discovery on
system application_classification microapp-discovery off

När microapp-discovery aktiveras startas tjänster om och trafiken avbryts. Efter en godkänd ändring kontrollerar du båda show-utdata, ett verkligt programflöde och loggarna. Vid återställning ska exakt föregående tillstånd återställas: Ett tidigare on ställs in med on, ett tidigare off med off och därefter verifieras tillståndet åter med show. För domänbaserade IoC:er påverkar den globala klassificeringen även sammanhanget för Hotinformationsflöden från tredje part.

Vanliga frågor