Konfigurera och testa Application Control i Sophos Firewall

Application Control identifierar programtrafik som inte går att skilja åt enbart utifrån portar. En Sophos Firewall kan till exempel uttryckligen tillåta eller blockera fjärrstyrningsverktyg, tunnelprogram, strömningstjänster och molnlagring. Träffen loggas via den tillhörande brandväggsregeln. Ett Application Filter har ingen egen åtgärd Log.

Grundflödet är enkelt: Skapa filtret under Applications > Application filter, tilldela det under Rules and policies > Firewall rules till den regel som trafiken faktiskt matchar och verifiera sedan Rule ID, program och åtgärd med en riktig klient. En sparad filterpolicy påverkar inte trafiken förrän den har tilldelats en regel.

Fastställ förutsättningar och mål

Application Control ingår i Web Protection Subscription. Kontrollera licensstatus under Administration > Licensing. Före konfigurationen bör du även fastställa:

• vilket användar- eller nätverksområde som berörs och dess IPv4-/IPv6-vägar;
• vilket program eller vilken grupp som först ska övervakas eller blockeras;
• vilken brandväggsregel som för närvarande hanterar trafiken;
• en testklient, ett reproducerbart testanrop och det förväntade resultatet;
• aktuellt tilldelat Application Filter, regelns placering och befintlig NAT-tilldelning som utgångsläge för återställning.

Kontrollera signaturuppdateringarna under Backup & firmware > Pattern updates. Som standard körs de automatiskt. Update pattern now uppdaterar vid behov alla mönsterdefinitioner utom firmwaremönster för AP och RED. Statusvärdena Ready to install, Downloading, Success och Failed underlättar felsökningen. Programsignaturer är tillgängliga även utan en aktiv IPS-licens, medan IPS-signaturer kräver både en lämplig licens och aktiverat IPS. Sophos dokumenterar ett undantag för airgap-installationer: IPS- och programsignaturer uppdateras även när IPS-skyddet är avstängt.

Aktivera Log firewall traffic för testregeln. Loggningen styrs av brandväggsregeln, inte av Application Filter. Om du bara vill övervaka trafiken använder du därför ett tillåtande filter och granskar den identifierade trafiken innan du ställer in enskilda program på Deny.

Om målet i stället är prioritering eller bandbreddsbegränsning kompletterar du filtret enligt Konfigurera Application Traffic Shaping i Sophos Firewall. För programbaserade SD-WAN-rutter används däremot ett Application Object. Arbetsflödet beskrivs i Konfigurera en SD-WAN-rutt med gateway-redundans i Sophos Firewall.

Planera och skapa ett Application Filter

Under Applications > Application list ser du om Sophos har en särskild signatur för programmet och vilken kategori respektive risknivå det för närvarande tillhör. För filtrets Name finns alternativen contains, is, is not och does not contain. Att programmet finns i katalogen bevisar inte att det identifieras i det egna nätverket. Det verifieras senare genom klienttestet.

Ett fast urval av enskilda program ger ett förutsägbart resultat. Kriterier som Risk, Category eller Classification, som endast finns för molnprogram, är däremot dynamiska. Nya eller omklassificerade signaturer kan därför börja matcha framöver. Sådana regler behöver en dokumenterad ansvarig och ska granskas efter ändringar av mönster eller klassificeringar.

Den fullständiga sökvägen för en policy och dess regel är:

Applications > Application filter > Add
Applications > Application filter > Edit policy > Add

1. Ange ett unikt namn under Add, till exempel Block_File_Transfer_Pilot.
2. Välj en mall. För en riktad blockering är Allow All en tydlig utgångspunkt. Förutsätt inte att alla nya tomma policyer automatiskt fungerar så.
3. Spara policyn, öppna den igen och skapa en filterregel med Add.
4. Använd antingen Select Individual Application eller Select All och begränsa träffarna efter Application, Category, Risk, Characteristics, Technology, Classification eller Smart Filter.
5. Ställ in Action på Allow eller Deny.
6. Välj exempelvis All the time under Schedule eller tilldela ett lämpligt schema.
7. Spara först filterregeln och därefter policyn.

SFOS levereras bland annat med mallarna Allow All, Deny All, Block filter avoidance apps, Block generally unwanted apps, Block high risk (Risk Level 4 and 5) apps, Block peer to peer (P2P) networking apps och Block very high risk (Risk Level 5) apps. En mall är en utgångspunkt, inte en färdig standard. Jämför framför allt regler baserade på Risk och Category med de program som behövs i det egna nätverket innan de tilldelas brett.

Tidsberoende regler kräver ett lämpligt schema. Hur du skapar ett schema och kontrollerar det mot brandväggens tid och reservregler beskrivs i Konfigurera scheman för regler och policyer i Sophos Firewall.

Exempel: Blockera webbläsarbaserade filöverföringar

Det officiella exemplet lämnar andra filöverföringsprogram orörda och begränsar enbart webbläsarbaserade överföringar:

1. Skapa policyn Block_File_Transfer_Pilot från Allow All och öppna den igen.
2. Skapa en regel med Add > Select All.
3. Välj Category: File Transfer, Characteristics: Transfer files och Technology: Browser Based.
4. Ställ in Action: Deny och Schedule: All the time.
5. Spara filterregeln och policyn.

Även detta urval kan påverka legitima arbetsflöden för uppladdning, samarbete eller säkerhetskopiering. Pilotklienten bör därför testa både en överföring som ska blockeras och en uttryckligen tillåten verksamhetstjänst inom samma tillämpningsområde.

Tilldela filtret till rätt brandväggsregel

Application Control får effekt först när filtret används i en brandväggsregel. Den aktuella sökvägen för en ny regel är:

Rules and policies > Firewall rules
> IPv4 eller IPv6
> Add firewall rule
> New firewall rule
> Other security features
> Identify and control applications (App control)

För en befintlig regel öppnar du Other security features direkt och väljer det förberedda Application Filter. Låt Log firewall traffic vara aktiverat under pilotfas och godkännandetest.

Regeln måste faktiskt matcha testklientens Source Zone, Source Network, Destination Zone, Destination Network, Services och, i förekommande fall, Match known users. Brandväggsregler utvärderas uppifrån och ned och den första träffen avslutar sökningen. En mer generell regel högre upp är därför en vanligare felorsak än själva Application Filter.

För en ny internetregel måste även NAT-vägen vara korrekt. Sophos exempel kan skapa en MASQ-regel med Create linked NAT rule. Skapa inte en andra NAT-regel på måfå i en befintlig miljö. Kontrollera i stället den SNAT-/MASQ-regel som redan används och notera dess NAT Rule ID.

IPv4 och IPv6 har separata regelvägar. Om klienten använder båda protokollen måste båda testas, alternativt ska pilotprojektet uttryckligen begränsas till ett av dem. Grunderna för regler förklaras i Förstå och konfigurera Sophos Firewall-regler säkert.

Verifiera effekten med Live Connections och Log Viewer

Ett tillförlitligt test besvarar tre separata frågor: Vilken regel hanterar flödet, vilket program identifierar SFOS och vilken åtgärd utförs?

1. Notera testklient, käll-IP, användare, tidpunkt och mål.
2. Du kan välja att köra Reset data transfer count bland pilotregelns alternativ så att nya byte blir lättare att hänföra till testet.
3. Starta testanropet och kontrollera den ännu öppna anslutningen under Current activities > Live connections.
4. Jämför Application, Source IP, Username, Interfaces, käll- och målportar, Firewall Rule ID och NAT Rule ID med den planerade vägen.
5. Öppna Log viewer uppe till höger i WebAdmin och filtrera efter käll-IP, användare, mål, Rule ID och program.
6. Genomför både en förväntad blockering och ett tillåtet kontrollanrop inom samma tillämpningsområde.

En nekad träff i Application Filter visas som Content Filtering > Application > Denied. Tillåten, identifierad trafik visas i brandväggsloggen under Firewall > Firewall Rule > Allowed. Dokumentera minst Firewall Rule ID, Application Filter, program, kategori, risk, åtgärd, användare, källa och mål inför godkännandet.

Brandväggssessioner visas ofta först vid Connection Destroy event, när SFOS stänger anslutningen. En öppen webbläsar- eller strömningssession kan därför redan synas under Live connections trots att den avslutande posten ännu saknas i brandväggsloggen. SSL/TLS-anslutningar loggas efter slutförd handskakning och när de stängs.

Under Reports > Dashboards > Traffic dashboard > Allowed policies kan du även kontrollera överförd datamängd för tillåtande regler. Rapporten ersätter dock inte ett konkret test av Rule ID och program. Lokala rapporter är inte tillgängliga på XGS 87/87w och XGS 88/88w; använd logg- och anslutningskontrollerna på dessa modeller.

För Syslog och SIEM varierar fältnamnen beroende på utdataformat. Central Reporting Format använder bland annat fw_rule_id, app_filter_policy_id, app_name, app_category, app_risk, app_resolved_by, qualifier och status. I Device Standard Format (Legacy) heter motsvarande fält exempelvis application_filter_policy, application_name, application_category, application_risk och appresolvedby. app_resolved_by respektive appresolvedby skiljer bland annat mellan Signature, Proxy och Synchronized Application Control (EAC).

Tekniska händelser för Application Filter och DPI hamnar i ips.log. sig_upgrade.log och sigmigration.log hjälper vid signaturuppdateringar. Loggarnas koppling till tjänster beskrivs i Felsöka Sophos Firewall: tjänster och loggar. Packet Capture kan bekräfta IP-adresser, portar, gränssnitt och paketväg, men bevisar inte programklassificeringen. Det kombinerade diagnostikflödet beskrivs i Testa en Sophos Firewall-regel med Log Viewer, Policy Test och Packet Capture.

Bedöm HTTPS, QUIC och webbundantag

SFOS kan identifiera många signaturbaserade program utan fullständig dekryptering. URL-baserade Micro Apps, exempelvis filöverföringar i Dropbox eller Gmail, kräver dock åtkomst till den dekrypterade URL:en när trafiken är krypterad. För DPI-vägen behövs därför en lämplig regel under Rules and policies > SSL/TLS inspection rules. Scan HTTP and decrypted HTTPS aktiverar skanning efter skadlig kod för HTTPS-trafik som redan har dekrypterats, men aktiverar inte själva dekrypteringen.

I webbproxyvägen ansvarar Decrypt HTTPS during web proxy filtering för dekrypteringen. En befintlig Web Policy bevisar varken att HTTPS dekrypteras eller att samma DPI-regel används. Den kontrollerade driftsättningen beskrivs i Inför TLS Inspection korrekt i Sophos Firewall.

Block QUIC protocol kasserar utgående UDP-paket till port 80 och 443 inom brandväggsregelns tillämpningsområde så att klienterna faller tillbaka till en TCP-väg som går att inspektera. SFOS väljer alternativet som standard när en Web Policy väljs eller Scan HTTP and decrypted HTTPS aktiveras. QUIC kan inte skannas av webbfiltret, men det innebär inte att alla andra brandväggskontroller kringgås. Blockera QUIC och HTTP/3 korrekt i Sophos Firewall beskriver positiva och negativa tester.

Kontrollera även Web > Exceptions vid oväntad identifiering. Beroende på valen kan ett webbundantag hoppa över Decryption, Malware-/Content-Scanning och Policy Checks och gälla både DPI- och proxyvägen. Ett brett undantag kan därför ta bort den förväntade programkontexten.

En brandväggslogg med Allowed bevisar inte automatiskt att användaråtkomsten tillåts när trafiken går via webbproxyn. Brandväggen kan först lämna över anslutningen till proxyn, varefter Web Filter loggar den som Blocked. I sådana fall måste brandväggs- och webbloggen läsas tillsammans.

Klassificera molnprogram

Under Applications > Cloud applications visar SFOS endast tillåten trafik och endast program som det finns trafik för. Vyn kan filtreras efter datum, Classification, Category och överförda byte. Expand visar detaljer. En post som saknas utesluter därför inte att ett försök har blockerats.

Nya molnprogram har först Classification new. Efter granskning tilldelar du sanctioned, unsanctioned eller tolerated med Classify. Den nya Classification gäller för ny trafik och varken tillåter eller blockerar något på egen hand. Det är först när ett Application Filter använder kriteriet och tilldelas en matchande brandväggsregel som önskad åtgärd verkställs.

Grundläggande användnings- och byteuppgifter kräver brandväggsloggning. Räknare för uppladdning och nedladdning samt information om filtyper kräver HTTPS-Decryption. En Web Policy som inte är None förbättrar enligt Sophos dessutom precisionen och detaljnivån. Vissa program använder egna överföringsmekanismer, vilket innebär att enskilda detaljfält ändå kan förbli tomma.

Via Traffic shaping kan ett identifierat molnprogram tilldelas en förberedd bandbreddspolicy. Tilldelningen ersätter varken Application Filter eller brandväggsregeln.

Specialfall: molnlagring och Facebook-videor

Det officiella Google Drive-exemplet kombinerar Application Filter Block_GoogleDrive med Web Policy BlockPersonalStorage. Filtret skapas från Allow All, söker efter google drive med Smart Filter och ställer in de valda programmen på Deny och All the time. Under Web > Policies avmarkerar du All web traffic för den avgränsade lagringsregeln, söker efter personal via Add new item > Web category och ställer in relevanta kategorier på Block HTTP och Block HTTPS. Båda policyerna måste tilldelas samma brandväggsregel som trafiken faktiskt matchar. Konfigurera Web Protection i Sophos Firewall förklarar hur policyerna fungerar.

I exemplet med Facebook-videor väljer du träffarna för Facebook videos via Select Individual Application i Application Filter. Sophos anger dessutom för närvarande facebook.com/watch, facebook.com/reel, gateway.facebook.com, facebook.com/ajax och facebook.com/stories samt nyckelorden watch, reel, gateway, ajax och videos för en anpassad kategori. Värdena är en versionsberoende utgångspunkt och ska kontrolleras före användning, eftersom breda nyckelord även kan matcha andra sökvägar. Kategorin måste ingå i en Web Policy-regel med en blockerande åtgärd. Den aktuella Facebook-proceduren namnger inte åtgärden lika uttryckligt som exemplet för lagring.

Sophos exempel använder webbproxyn, dekrypterar HTTPS och blockerar QUIC. Klienterna måste därför lita på Sophos Firewall CA. En befintlig DPI-miljö ska inte ställas om enbart för detta specialfall. Proxyförfarandet bevisar inte likvärdig blockering av Facebook-videor via DPI; validera en separat DPI-lösning med Sophos Support och klienttester innan du förlitar dig på den. Hur du skapar egna kategorier beskrivs i Skapa webbkategorier i Sophos Firewall och CA-distributionen i Distribuera Sophos Firewall CA-certifikat för HTTPS-skanning.

Använd Synchronized Application Control målinriktat

Synchronized Application Control kompletterar nätverksidentifieringen med data från hanterade Sophos Endpoints. Utöver Web Protection Subscription krävs Security Heartbeat, en Network Protection Subscription, ett Sophos Fusion-konto (tidigare Sophos Central) och en hanterad Endpoint med testlicens eller fullständig licens.

Registreringen görs under:

System > Sophos Central > Sophos Central registration > Register

Efter en lyckad registrering aktiverar SFOS automatiskt Security Heartbeat och Synchronized Application Control. Om Security Heartbeat inaktiveras stängs även Synchronized Application Control av. Det är därför inte en avgränsad återställningsmetod för ett enskilt program.

Vid första användningen efter registreringen kontrollerar du i Sophos Fusion att Synchronized Application Control är aktiverat och aktiverar det vid behov. Domänen som skapats på brandväggen måste vara samma som domänen som valts på Endpoint.

Under Applications > Synchronized Application Control söker du efter namn, sökväg, kategori eller Endpoint och expanderar posten för att se förekomsterna. Sophos stöder upp till 15'000 program. Sedan SFOS 20.0 MR1 lagrar SFOS bara de fem senaste förekomsterna av varje program per Endpoint.

Vid migrering till SFOS 21.0 eller senare aktiverar SFOS automatisk rensning endast om Synchronized Application Control (SAC) är aktiverat. Standardperioden för lagring är tolv månader. Om en egen period hade konfigurerats tidigare behålls den. Om SAC är avstängt förblir både SAC och den automatiska rensningen avstängda. Rensningen tar även bort individuellt tillagda program från Application Filter. Vid migrering till SFOS 20.0 MR1 eller senare raderar SFOS äldre förekomster. Om den automatiska rensningen misslyckas på grund av otillräckligt lagringsutrymme hänvisar Sophos till supporten.

New markerar nya poster, Mapped automatiskt mappade program och Customized manuellt anpassade poster. Under Manage > More options finns följande åtgärder:

• Customize: ange ett lättbegripligt namn och en lämplig kategori och välj sedan Apply;
• Acknowledge: ändra etiketten från New till Customized utan att ändra namn eller kategori;
• Hide och Show: dölj respektive visa posten igen;
• Delete: radera programmet och ta samtidigt bort det från de Application Filter där det används.

Efter Customize eller Acknowledge läggs den granskade applikationen till i ett nytt eller befintligt Application Filter. Filtret tilldelas sedan den brandväggsregel som faktiskt tillämpades. Därefter körs ett reproducerbart testflöde, och förväntad Rule ID, applikationsnamnet och åtgärden verifieras i Log Viewer. Först efter denna pilotfas omvandlas detekteringen till en Allow- eller Deny-regel för produktion.

En raderad post visas igen om en Endpoint rapporterar den på nytt. Kontrollera därför berörda filter före Delete. Kör därefter ett nytt testflöde och kontrollera förväntad Rule ID. För generativ AI innehåller Identifiera och styr generativ AI med Sophos Firewall ett separat pilotflöde.

Kontrollera urval och exempelkonfiguration fullständigt

Katalog, mallar och riktade blockeringar

Öppna Filter bredvid aktuellt fält i katalogen; för alla fält utom Name väljer du ett värde ur listan. Smart Filter söker i namn och beskrivningar. Alla befintliga Application Filter Policy, även egna, kan användas som mall. Kontrollera regler och scheman innan du kopierar dem.

Kategorier beskriver olika användningsområden, inte automatiskt en säkerhetsbedömning:

• File transfer: överföringar och uppladdningar; Download applications: nedladdningar, fildelning, lagring och acceleratorer; Storage and backup: fillagring, samarbete och lösenordslagring.
• Gaming: spel och tävlingar; Streaming media: ljud, video och direktsändningar; Social networking: sociala nätverk; E-commerce: handelsprogram.
• Instant messenger: chatt; VoIP: IP-telefoni; Conferencing: virtuella möten; Web mail: e-post i webbläsaren; Desktop mail: e-postklienter.
• General internet: bland annat nyheter, sökning, webbläsare, shopping och arbetsytor; General business: bland annat hosting, samarbete, bokföring och säkerhetskopiering; Mobile applications: appar för mobila operativsystem; Software update: system- och programuppdateringar.
• Infrastructure: exempelvis DNS, DHCP, SMTP, MySQL, QUIC och TLS på andra portar; Network services: routing, uppstart, QoS och FTPS; P2P: peer-to-peer-fildelning; Proxy and tunnel: proxyservrar och VPN; Remote access: fjärråtkomst och fjärrskrivbord; Industrial control system: kommunikation för byggnader, fjärrstyrning och processer.
• SyncAppCtl discovered: okända program upptäckta via SAC; Sophos applications: Sophos-program mappade av SAC; System applications: systemtjänster mappade av SAC, exempelvis Windows eller Linux; Generative AI: AI-program och -tjänster.

Allow All tillåter och Deny All kasserar alla program. Block filter avoidance apps blockerar tunnlar, proxyservrar och program som kringgår policyer; Block generally unwanted apps omfattar bland annat filöverföring, proxy/tunnel, riskfyllda och P2P-program. P2P kan sprida skadlig kod; blockering är rimlig om det inte finns ett godkänt verksamhetsbehov. Högriskmallarna avser nivåerna 4/5 eller endast 5.

För en enskild blockering filtrerar du Facebook Games under Select Individual Application > Name, väljer programmet och sparar med Action: Deny, Schedule: All the time. Samma förfarande fungerar för WhatsApp, Skype, LinkedIn eller Internet Download Manager. För grupper använder du Category: Generative AI eller Category: P2P. UltraVPN-exemplet använder Category: Proxy and Tunnel och PPTP Protocol; det garanterar inte identifiering av alla VPN-tunnlar.

För Block_High_Risk_Apps, efter att du sparat och öppnat igen, väljer du Add > Select All > Risk, markerar High och Very High, bekräftar med OK och anger Deny och All the time. Spara regel och policy och tilldela policyn till brandväggsregeln Block_High_Risk_Apps_Rule. Nya matchande signaturer inkluderas också efter mönsteruppdateringar. Äldre exempel beskriver en tom tillåtande policy och avsnittet Advanced; för SFOS 22/23 använder du uttryckligen Allow All och kontrollerar tilldelningen under Other security features, i stället för att överföra äldre detaljer utan kontroll.

Gemensamma brandväggs- och webbinställningar

Exemplen för filöverföring och lagring använder en Accept-brandväggsregel från LAN till WAN, Log firewall traffic, Rule group: None, During scheduled time: All the time och Rule position: Top. Källnätverk, målnätverk och tjänster anges som Any; högriskexemplet använder även Any för båda zonerna. Dessa breda värden är inte en pilotrekommendation: begränsa källan till testklienten, anpassa zoner och tjänster till den verkliga vägen och välj medvetet en placering ovanför den regel som annars skulle matcha. Utan Match known users gäller regeln för matchande nätverkstrafik oavsett användare; med alternativet väljer du exempelvis Marketing för lagring eller Open Group för filöverföring under User or groups > Add new item. Ersätt gruppnamnen med din godkända grupp; testloggen måste visa rätt användarkoppling.

Vid behov skapar Create linked NAT rule en regel med Translated source (SNAT): MASQ; även den placeras på Top i exemplet. Spara först NAT-regeln, sedan brandväggsregeln. I befintliga nätverk är den tidigare verifierade NAT-tilldelningen fortsatt avgörande.

För lagring aktiverar du webbregeln under Status efter att ha angett Block HTTP/Block HTTPS och sparar. I proxyvägen blockerar du också QUIC, aktiverar Scan HTTP and decrypted HTTPS och Decrypt HTTPS during web proxy filtering och distribuerar CA före testet.

För Facebook sparar du den egna kategorin under Web > Categories > Add med Classification: Unproductive och de Domain- och Keyword-värden som anges ovan. Under Web > Policies > Add policy > Add rule tar du bort All web traffic från Activities, väljer kategorin via Add new item > Web category, väljer Apply selected items, kontrollerar blockeringsåtgärderna för HTTP/HTTPS och aktiverad status, sedan Save och vid behov Skip this step. Spara alla träffar för Facebook videos i Application Filter med Deny och All the time. Det fullständiga proxyexemplet aktiverar även Use web proxy instead of DPI engine, Scan HTTP and decrypted HTTPS, Scan FTP for malware, Decrypt HTTPS during web proxy filtering och Block QUIC protocol. FTP-skanning är extra skydd, inte ett bevis för videoblockeringen. En liknande benämnd inställning bevisar inte i sig att DPI-vägen har testats som likvärdig; vid utebliven blockering använder du diagnostik- och supportvägen som beskrivs ovan.

Slutför moln- och SAC-åtgärder

Efter Classify bekräftar du med Apply; efter Traffic shaping väljer du en befintlig policy och Save. Granska exempelvis sociala nätverksprogram märkta unsanctioned under en viss period eller begränsa videoströmning.

Okända SAC-program hamnar först i SyncAppCtl discovered; kända kategoriseras automatiskt. Begränsa sökområdet exempelvis till System applications. Efter Hide visas poster endast under Hidden applications; återställ dem med Show. Customize är tillgängligt även senare och sätter etiketten till Customized.

Clean up application database kräver registrering hos Sophos Fusion. Efter en daglig kontroll raderar SFOS gamla program i omgångar om 100 var femte minut, inklusive poster som lagts till individuellt i policyer. Kontrollera användningen innan du ändrar perioden; en kortare period är ingen riskfri lagringsåtgärd. Utan en giltig Web Protection Subscription kan SAC konfigureras men inte användas.

Automatisera Application Control via XML API

XML-referenserna för SFOS 22/23 beskriver olika objekt med liknande namn. En molnklassificering är varken en filterregel eller den globala Device Console-inställningen. Före ett skrivande anrop säkerhetskopieras det befintliga tillståndet och de policyer som använder det. Åtkomst, svarstolkning och säkra återförsök förklaras i Säkra åtkomsten till Sophos Firewall XML API. Följande strukturer är inte en färdig begäran för brandväggen.

Enskilda och flera molnklassificeringar

ApplicationClassificationAssignment uppdaterar exakt en tilldelning: De två obligatoriska fälten Application och Classification är strängar. Referensexemplet anger Facebook Website och New. Detta är inte en fullständig katalog över tillåtna klassificeringar; UI-värden och användning av stora och små bokstäver betraktas inte automatiskt som API-enumvärden.

ApplicationClassificationBatchAssignment använder däremot ClassAssignmentList med upprepade ClassAssignment-objekt. Varje objekt innehåller fälten app och class med små bokstäver, inte Application och Classification. Den dokumenterade strukturen ser exempelvis ut så här:

<ApplicationClassificationBatchAssignment>
  <ClassAssignmentList>
    <ClassAssignment>
      <app>iCloud</app>
      <class>New</class>
    </ClassAssignment>
    <ClassAssignment>
      <app>iPlay Website</app>
      <class>New</class>
    </ClassAssignment>
  </ClassAssignmentList>
</ApplicationClassificationBatchAssignment>

Namnen är referensexempel och ersätts med applikationer som faktiskt finns. Parametertabellen beskriver ClassAssignmentList som en valfri array av objekt med flera värden. Detta innebär varken att en tom batchoperation är meningsfull eller att atomär bearbetning, rollback eller en status per post garanteras. Efter en ändring ska varje begärd tilldelning läsas tillbaka separat, och effekten av ett Classification-filter ska kontrolleras först med ny trafik. För batchoperationen anger referensen 200 med Operation Successful. och 500 med Operation Fail.; för den enskilda operationen anges 200 och 500 med de oupplösta symbolerna Message.AppClassificationUpdateSuccess respektive Message.AppClassificationUpdateFail.

Filterpolicy: Template eller egna regler

För ApplicationFilterPolicy har Template företräde: Om det skickas med ignorerar det dokumenterade kontraktet DefaultAction och RuleList. En begäran med Template och en egen Deny-regel är därför ingen tillförlitlig kombination av de båda varianterna. Utan Template beskriver referensen DefaultAction med Allow eller Deny och RuleList/Rule för egna regler. Den samtidigt angivna maximala längden på ett tecken motsäger dessa ord; inget förkortat enteckensvärde härleds därav. XML-exemplet anger AllowAll, medan UI visar Allow All. Använd inte UI-texten som API-token utan att kontrollera den.

Inom Rule finns SelectAllRule, urvalscontainrar samt Action och Schedule. Containrarna är CategoryList/Category, RiskList/Risk, CharacteristicsList/Characteristics, TechnologyList/Technology, ClassificationList/Classification och ApplicationList/Application. SelectAllRule använder Enable/Disable i exemplet; detta är en omkopplare och inte listvärdet för en kategori. De första fem listorna visar SelectALL, medan applikationslistan visar SelectAll. Kommentarerna i exemplet anger att ett val av alla gör att ytterligare poster i samma lista ignoreras. Normalisera inte stavningen och härled inte något odokumenterat företräde mellan olika kriterier ur detta. Parametertabellen anger dessutom Search som söksträng; förväxla inte denna med SmartFilter i ett Application Object.

Policynamnet är obligatoriskt och tillåter UTF-8, men inga kommatecken och högst 60 tecken; Description tillåter högst 1000 tecken. MicroAppSupport anger True och False, men bevisar inte att HTTPS-dekryptering är aktiverad. Tabellen anger Action och Schedule som arrayer vars dubbletter inte ignoreras, medan XML-exemplet visar dem per regel. Ta därför inte bort dubbletter eller ändra ordningen i listorna på eget initiativ. Efter att policyn har sparats ska standardåtgärd, ordning, urval och Schedule läsas tillbaka; först tilldelningen till rätt brandväggsregel och klienttestet bekräftar den önskade blockeringen.

Skilj mellan kategori-QoS och SD-WAN-objekt

ApplicationFilterCategory identifierar den befintliga kategorin via det obligatoriska Name; detta kategorinamn kan inte ändras. Det obligatoriska QoSPolicy på kategorinivå ska skiljas från ApplicationSettings/Application/QoSPolicy: Det senare hör till applikationen vars Name finns i respektive underobjekt. Exemplet visar dessutom BandwidthUsageType med Individual/Shared. Detta synliggör sammanhanget för bandbreddsdelningen, men bevisar ingen fullständig prioritetsregel mellan kategori- och applikationstilldelning. Kontrollera befintliga QoS-tilldelningar och den önskade gemensamma eller individuella användningen före ändringen; arbetsgången förklaras i Application Traffic Shaping.

ApplicationObject tillhandahåller ett applikationsurval för applikationsbaserade SD-WAN-rutter, inte en ApplicationFilterPolicy med Allow-/Deny-regler. Dess obligatoriska fält är Name och SelectAllRule (Enable eller Disable); namnet tillåter UTF-8, inga kommatecken och högst 80 tecken. XML-exemplet använder samma sex urvalscontainrar som ovan och dessutom SmartFilter som söksträng. Även här visar det SelectALL för kriterier och SelectAll för applikationer. Det synliga applikationsurvalet är inte det namngivna objektets identitet: Läs tillbaka det avsedda objektet vid en uppdatering; för Delete utgör denna Add-/Edit-sida inget belägg för identitetskontraktet.

För Application object add och Application object edit anger referensen samma koder för båda:

Dessa symboler är inte utskrivna felmeddelanden, och koderna motsvarar inte automatiskt HTTP-statuskoder med samma betydelse. Dokumentera operationen, koden och det faktiska svaret tillsammans. Före ett återförsök ska det faktiskt sparade objektnamnet och urvalet läsas tillbaka; ett oklart fel får inte leda till ett andra eller bredare objekt. För Policy-Edit anger referensen dessutom 502 med Message.AFPRecordExists utöver 200/Message.AFPUpdateSuccess och 500/Message.AFPUpdateFail. Även här förblir betydelsen av den oupplösta meddelandetexten oklar; en framgångskod ersätter varken tillståndskontrollen eller trafiktestet.

Felsök utifrån symtom

• Förväntad Rule ID saknas: Kontrollera regelordning, Source/Destination, Service, användarmatchning samt IPv4-/IPv6-väg. Application Filter är inte orsaken så länge flödet matchar en annan regel.
• Ingen avslutande post i brandväggsloggen: Leta först efter den öppna sessionen under Current activities > Live connections och avsluta den kontrollerat. Kontrollera loggning och filterintervall i Log Viewer.
• Programmet förblir unknown eller generiskt: Kontrollera mönsterstatus, Application list, HTTPS-Decryption, QUIC och Web Exceptions. Packet Capture ska endast användas för att bekräfta nätverksvägen.
• Blockeringen påverkar för många tjänster: Begränsa regeln för Risk, Category, Classification eller Smart Filter till enskilda program eller en mindre grupp. Upprepa därefter blockerings- och kontrollanropet.
• Mer blockeras efter en mönsteruppdatering: Kontrollera vilken ny signatur som uppfyller ett dynamiskt kriterium. Undanta ett program som behövs så snävt som möjligt i stället för att inaktivera hela filtret.
• Log Viewer visar Allowed för brandväggen men webbläsaren visar en blockeringssida: Läs även webbloggen om trafiken behandlas av proxyn.
• Detaljer för molnprogram saknas: Kontrollera brandväggsloggning, HTTPS-Decryption och Web Policy separat. Alla överföringsmetoder tillhandahåller inte samtliga detaljfält.
• Facebook-videor är fortfarande åtkomliga trots en fullständig konfigurationsväg: Kontrollera Rule ID, Application Filter, Web Policy, aktuella kategoriposter, QUIC, Decryption, klientens CA-förtroende och Web Exceptions. Om testet fortfarande går att reproducera anger Sophos supporten som nästa eskaleringspunkt.

Återställning och löpande drift

Dokumentera Application Filter, Web Policy, regelstatus, regelplacering, NAT-tilldelning, TLS-väg och undantag före pilotdriften. Återställ i följande ordning:

1. Inaktivera en separat pilotregel eller välj åter tidigare Application Filter respektive None i den befintliga regeln.
2. Återställ den dokumenterade regelplaceringen och endast den NAT-tilldelning som entydigt hör till pilotkonfigurationen.
3. Använd kontrollklienten för att verifiera att nya anslutningar åter använder tidigare Rule ID och beter sig som förväntat.
4. Ta först därefter bort pilotfilter eller objekt som inte längre behövs. Radera inte delade filter, NAT-regler eller poster i Synchronized Application Control utan föregående kontroll.

Dokumentera syfte, tilldelade brandväggsregler, dynamiska kriterier, tillåtna undantag, ansvarig, senaste ändring och granskningsdatum för den löpande driften. För central analys passar Aktivera Central Firewall Reporting och Konfigurera Syslog och SIEM för Sophos Firewall.

Ändra global klassificering endast med Sophos Support

Ett Application Filter i en brandväggsregel är inte samma sak som den globala Application Classification i Device Console. Sophos avråder från att ändra dessa växlar utan anvisning från supporten. Börja med att endast läsa av tillståndet:

system application_classification show
system application_classification microapp-discovery show

Den globala klassificeringen är som standard on och microapp-discovery är som standard off. Om Sophos Support föreskriver en ändring ska du dokumentera utgångsläget och ärendenumret. De dokumenterade växlarna är:

system application_classification on
system application_classification off
system application_classification microapp-discovery on
system application_classification microapp-discovery off

När microapp-discovery aktiveras startas tjänster om och trafiken avbryts. Efter en godkänd ändring kontrollerar du båda show-utdata, ett verkligt programflöde och loggarna. Vid återställning ska exakt föregående tillstånd återställas: Ett tidigare on ställs in med on, ett tidigare off med off och därefter verifieras tillståndet åter med show. För domänbaserade IoC:er påverkar den globala klassificeringen även sammanhanget för Hotinformationsflöden från tredje part.

Vanliga frågor