Kontrollera Sophos Firewall dagligen: driftchecklista

En Sophos Firewall kan fortfarande vara tekniskt nåbar och samtidigt visa tidiga varningstecken: en WAN-anslutning flappar, diskutrymmet ökar, en tjänst rapporterar ett fel eller misslyckade administratörsinloggningar blir fler. En kort, upprepningsbar driftkontroll gör sådana förändringar synliga innan de leder till ett längre avbrott eller en säkerhetsincident.

Den här processen gäller aktuell drift. Sophos Firewall Health Check bedömer däremot om valda inställningar följer rekommendationerna från Sophos och CIS. De båda kontrollerna kompletterar varandra men ersätter inte varandra.

Tiominuterskontrollen

Ett fast förfarande räcker för den dagliga överblicken:

1. Notera modell, firmwareversion och build i Control Center, öppna nya meddelanden och klicka på statusikonerna för tjänster, WAN, gränssnitt och VPN.
2. Jämför CPU, minne, load average, disk och viktiga gränssnitt med den normala baslinjen under Diagnostics > System graphs.
3. Kontrollera säkerhetsdashboards och de rapporter som används för den senaste fullständigt tillgängliga perioden efter nya IPS-, webb-, applikations-, zero-day- eller Active Threat Response-händelser.
4. Öppna Log Viewer uppe till höger, välj modul och tidsperiod och kontrollera misslyckade administratörsinloggningar, ovanliga källor och berörda tjänster.
5. Ta i HA hänsyn till noden som behandlade trafiken och vid central rapportering till den förväntade datakällan.
6. Dokumentera varje relevant avvikelse med tidpunkt, firmware, nod, källa, berörd tjänst och nästa steg.
7. Starta inte om tjänster, radera inte loggar och bredda inte regler på grund av en enda topp. Korrelera först trend, loggar och faktisk funktion.

Den korta kontrollen ska inte leda till en konfigurationsändring varje morgon. Värdet ligger i att upptäcka förändringar tidigt och tydligt avgöra om observation, diagnos eller eskalering behövs.

Fyra vyer, fyra olika besked

De viktigaste vyerna visar inte samma sak:

• Control Center: aktuell överblick över system, tjänster, WAN, gränssnitt, VPN, uptime och meddelanden som kräver åtgärd.
• System graphs: tidsförlopp för CPU, minne, load average, disk, WAN-överföring och gränssnittsräknare.
• Reports: sammanställd utvärdering av en avslutad period. Vissa widgetar och rapportdata uppdateras inte i realtid.
• Log Viewer: enskilda händelser med tidpunkt, modul, åtgärd, käll- och destinationsinformation samt, beroende på loggtyp, Rule ID eller andra detaljer.

En röd widget är en signal, ännu inte en fullständig diagnos. På samma sätt bevisar en aktuell grön status inte att inget kortvarigt fel inträffade under natten. Först kombinationen av aktuellt tillstånd, tidsförlopp, rapport och enskild händelse ger en tillförlitlig bild.

Kontrollera systemstatus och tillgänglighet

Läs Control Center först

I Control Center börjar kontrollen med nya meddelanden. Sophos visar där bland annat problem med registrering, licens, rapportering, WAN eller uppgradering. Vissa meddelanden försvinner automatiskt efter att problemet har åtgärdats och kan inte bara tas bort manuellt. Varje relevant meddelande behöver därför en ansvarig och ett spårbart nästa steg.

Ett Registration-meddelande visas när Sophos Firewall inte är registrerad. Ett Licenses-meddelande visas när brandväggsmoduler saknar licens.

Vissa widgeträknare i Control Center nollställs efter en omstart av brandväggen. Ett lågt värde efter omstarten bevisar därför inte att inga tidigare händelser inträffade. Korrelera uptime med varaktigt sparade loggar för den berörda perioden, till exempel CSV-exporter eller centrala loggar inom deras lagringstid. Webbadministrationskonsolen visar ingen temperaturinformation.

Messages visar även tiden som gått sedan ett meddelande skapades. Beroende på typ eller allvarlighetsgrad använder widgeten indikatorerna Alert, Warning och Available firmware versions. Dokumentera indikatorn, tiden sedan meddelandet skapades och meddelandetexten tillsammans; antalen för Services och WAN/VPN som beskrivs nedan gäller inte Messages.

Färgen ska alltid läsas tillsammans med detaljerna. För Services betyder Warning att minst en tjänst har stoppats, medan Alert betyder att minst en tjänst inte kunde starta. För WAN och VPN betyder Warning att upp till hälften av de konfigurerade anslutningarna är nere och Alert att fler än hälften är nere. Dessa antal tar inte hänsyn till verksamhetsbetydelsen. En enda avbruten huvudtunnel kan därför vara mer akut än flera avsiktligt inaktiva anslutningar. Klicka på motsvarande ikon för att se berörda poster.

Därefter jämförs de tjänster, WAN-anslutningar, gränssnitt och VPN som faktiskt används med det förväntade tillståndet. Ett rött gränssnitt innebär inte automatiskt ett avbrott: en oanvänd port utan IP-adress eller ett fysiskt parent-gränssnitt för ett VLAN kan förväntas visas rött. Det relevanta är avvikelsen från den dokumenterade designen.

Om LAG används, öppna ikonen Interfaces i SFOS 23 och kontrollera även de enskilda LAG-medlemmarna för urkopplade kablar. Hjälpen för SFOS 23 nämner uttryckligen denna detaljvy; motsvarande hjälp för SFOS 22 gör inte det. Ur ett driftperspektiv gäller följande: Att ett aggregat fortfarande är nåbart bevisar inte att alla medlemmar, och därmed den avsedda redundansen och kapaciteten, är tillgängliga. Dokumentera den berörda medlemmen och avvikelsen från det avsedda tillståndet i ärendet.

Om RED-tunnlar och Wireless APs används, jämför widgetarna för anslutningsstatus med det avsedda tillståndet: RED räknar etablerade tunnlar i förhållande till konfigurerade tunnlar, medan Wireless APs räknar aktiva accesspunkter i förhållande till konfigurerade accesspunkter. Väntande AP:er visas dessutom inom röda parenteser och ska inte räknas som aktiva AP:er. RED öppnar tunnellistan, medan Wireless APs leder till Wireless > Access points. Connected remote users räknar användare som är anslutna via SSL VPN och öppnar Current activities > Remote users; Live users räknar däremot alla aktuella användare och öppnar Current activities > Live users. Dessa användarantal ersätter inte en tillgänglighetskontroll av RED eller AP:er.

Om DNS Protection ska användas, kontrollera dess konfigurationsstatus i System-widgeten. Hjälpen för SFOS 22 anger fem tillstånd: Not subscribed innebär att licens saknas; Xstream Protection krävs. Not configured hänvisar till att ange IP-adresserna för DNS Protection. Vid Unrecognized source, kontrollera brandväggens offentliga IP-adress och dess koppling till en Location i Sophos Fusion. Active anger att DNS Protection är aktivt; en informationsikon indikerar att Fusion-registrering saknas. Vid IP address conflict, kontrollera den IP-adress som har angetts i Location och eskalera en konflikt som inte kan lösas till Sophos Support.

Hjälpen för SFOS 23 anger Not subscribed, Not configured och Active och hänvisar till Configure DNS servers när konfiguration saknas; för informationsikonen vid Active nämner den registrering i Sophos Central. Detta innebär inte att de två ytterligare tillstånd som dokumenteras i SFOS 22 har tagits bort vid körning. Den versionsanpassade vägen för konfiguration och felsökning beskrivs i Konfigurera DNS Protection med Sophos Firewall: överför inte Traditional-DNS-/Location-vägen från SFOS 22 oförändrad till den integrerade SFOS 23-vägen.

För DNS Protection-händelser, välj modulen System i Log Viewer och filtrera på DNS Protection. Spara version, widgetstatus och relevanta loggrader i ärendet. Denna konfigurations- och händelsekontroll ersätter varken funktionskontrollen av namnuppslagning och filtreringseffekt eller DNS Protection-rapporterna; enbart allmänna säkerhetsrapporter styrker inte att DNS Protection är driftklart.

Widgeten Messages ska behandlas som en åtgärdslista, inte som ett allmänt händelseflöde. Skapa Secure Storage Master Key när meddelandet begär det, så att känsliga uppgifter som lösenord får det extra skyddet. Ett meddelande om WAN access innebär att WebAdmin (HTTPS) och CLI (SSH) kan nås från WAN-zonen: om fjärradministration krävs ska ett VPN eller ett Local Service ACL Exception som är strikt begränsat till specifika hanteringsvärdar eller -nät användas i stället för bred WAN-åtkomst. Vid ett meddelande om rapportdisken måste användningen minskas under det lägre tröskelvärdet; det räcker inte att bara komma under det högre. Meddelanden som är knutna till ett krav försvinner när kravet är uppfyllt och kan inte raderas manuellt.

Vid ett meddelande om en misslyckad uppgradering på programvarubaserade, virtuella och molnbaserade brandväggar, kontrollera först om brandväggen har kopplats till kontot i Sophos Central med Claim. Detta är ett krav före uppgraderingen, inte bara en åtgärd efter ett misslyckande. Dokumentationen för SFOS 22 kallar portalen ”Sophos Fusion (previously Sophos Central)”, medan dokumentationen för SFOS 23 använder ”Sophos Central”; kravet är oförändrat. Dokumentera Claim-status och felmeddelande i ärendet innan ett nytt försök planeras enligt firmwarerunbooken.

Läs Active threat response per feed och åtgärd. MDR och Sophos X-Ops visar antalet blockerade hot, NDR Essentials visar övervakade hot och tredjepartsfeeds visar både synkroniseringsstatus och blockerade hot. Configure öppnar skyddskonfigurationen, Reports den tillhörande rapporten och More details expanderar widgeten. Reports-åtgärden saknas på modeller utan lokal rapportering. Ett övervakat hot är inte samma sak som ett blockerat hot, och ett synkroniseringsproblem för en tredjepartsfeed måste bedömas separat från antalet hot.

Widgeten Reports är en genväg till upp till fem kritiska rapporter som väljs utifrån prenumererade moduler, inte en fullständig live-lista över händelser. Mappningen är:

• High-risk applications — Web Protection
• Objectionable websites — Web Protection
• Web users — Web Protection
• Intrusion attacks — Network Protection
• Web server protection — Web Server Protection
• Email usage — Email Protection
• Email protection — Email Protection
• Traffic dashboard — Web Protection eller Network Protection
• Security dashboard — Web Protection eller Network Protection

High-risk applications, Objectionable websites, Intrusion attacks, Web server protection och Email protection avser gårdagen; Web users rangordnar de tio användare som överförde flest webb-byte under gårdagen. Email usage visar överförda e-post-byte, medan Traffic dashboard och Security dashboard sammanfattar trafikkategorier respektive nekad aktivitet. En saknad panel kan därför bero på prenumerationen och inte på noll aktivitet. Klicka på rapportnamnet för att granska innehållet eller på nedladdningsikonen för att spara rapporten. För separata tidsperioder och drill-downs för endpoint-, användar-, Zero-day-, TLS- och sessionssignaler, se Tolka User & Device Insights korrekt.

Traffic insight sammanfattar trafik som bearbetats under de senaste 24 timmarna. Web activity visar trenden samt genomsnittligt och maximalt antal överförda byte; Cloud applications visar identifierade appar och inkommande och utgående byte, med statusarna New, Sanctioned, Unsanctioned och Tolerated vid hovring. Övriga grafer rangordnar de fem främsta tillåtna applikations- och webbkategorierna efter byte, blockerade applikationskategorier efter hits och värdar som nekats nätverksåtkomst på grund av sin säkerhetsstatus. Klicka på en molngraf eller kategoristapel för att öppna motsvarande Cloud applications-sida eller filtrerade rapport; gör denna drill-down innan en topp eller en topp-fem-post behandlas som en incident.

En daglig kontroll omfattar minst:

• oväntat stoppade eller degraderade tjänster;
• WAN-länkar som är down eller upprepade gånger ändrar status;
• produktionsgränssnitt med nya errors, drops eller collisions;
• viktiga VPN-anslutningar som är frånkopplade i strid med driftplanen;
• en oväntad omstart eller ovanligt kort uptime;
• nya meddelanden som ännu inte har någon ansvarig eller ticket.

Läs System graphs mot en baslinje

Under Diagnostics > System graphs söks mönster, inte bara enskilda toppar. CPU, minne och load average bedöms tillsammans med antalet kärnor, trafiken och den berörda perioden. En kort topp under säkerhetskopiering, rapportering eller pattern-uppdatering har en annan betydelse än permanent hög belastning vid normal trafik.

För Disk Usage är trenden viktigast. En enstaka hög användning och stadig tillväxt är olika problembilder. För gränssnitt hjälper traffic, errors, drops och collisions till att skilja brandväggsbelastning från problem med länk, duplex, kabel eller switch.

För jämförbara bevis ska graftyp och tidsperiod dokumenteras och samma period användas i ärendet. Gränssnittsgrafer visar bara en separat graf för VLAN i WAN-zonen. SFOS slår ihop data för VLAN i andra zoner med grafen för deras fysiska parent-gränssnitt. En separat, lugn LAN-VLAN-graf kan därför inte förväntas när SFOS inte tillhandahåller en sådan.

Den detaljerade förklaringen av load average, offloading, TLS Inspection och System graphs finns i Tolka Sophos Firewall-prestanda korrekt. För lagringsgränser och on-box-rapportering passar Kontrollera lagring och rapporter i Sophos Firewall.

⚠️ Ett enskilt högt mätvärde är ännu inte ett skäl att starta om en tjänst. Tidpunkt, varaktighet, återkommande mönster, berörd trafik och loggar måste först stämma överens. Före en omstart säkras relevanta loggar och vid en incident en CTR.

Kontrollera säkerhetshändelser och administratörsinloggningar

Läs rapporter efter förändringar

Den dagliga säkerhetsgranskningen fokuserar på nya eller tydligt förändrade mönster. Beroende på aktiverade funktioner är följande områden särskilt relevanta:

• Reports > Dashboards > Security dashboard för den sammanställda överblicken;
• Reports > Network & threats > Intrusion attacks för IPS-händelser;
• Reports > Network & threats > Active threat response för blockerade IoC:er;
• Reports > Applications & web för riskfylld, oönskad eller blockerad webb- och applikationsanvändning;
• zero-day-, Security Heartbeat- eller Wireless-rapporter om dessa funktioner används i produktion.

I den valda rapporten ställer du först in datumintervallet och klickar sedan på Generate. Med Filter begränsas resultaten till relevant källa, åtgärd eller regel. Tillgängliga nedladdningsformat bevarar visade data som underlag i ärendet. Dokumentera tidsperiod och tidszon tillsammans med exporten så att en senare jämförelse inte använder två olika fönster.

Alla händelser är inte incidenter. Källa, destination, användare, regel, åtgärd, frekvens och tidsmässigt samband är avgörande. Ett enskilt åtkomstförsök från ett land motiverar inte en generell blockering av landet. Upprepade attacker mot en exponerad tjänst eller ny tillåten högrisktrafik kräver däremot en konkret undersökning.

För en säker bedömning av källor och länder hjälper Blockera skadliga IP-adresser och länder. Om ett paket har kasserats leder Analysera kasserade paket på Sophos Firewall från Log Viewer och Rule ID till den verkliga orsaken till kasseringen.

Bedöm misslyckade administratörsinloggningar

Misslyckade administratörsinloggningar granskas efter tidpunkt, käll-IP, måltjänst, användarnamn och upprepning. Ett skrivfel från hanteringsnätet ska behandlas annorlunda än distribuerade försök från internet eller upprepade inloggningar till ett avaktiverat konto.

Log Viewer öppnas uppe till höger på valfri WebAdmin-sida och visas i ett nytt helskärmsfönster. Välj rätt modul, ställ in perioden med Timer filter och ange fält, villkor och värde med Add filter. Fritextsökning är användbar för IP-adress, användarnamn, port eller regel. Spara de filtrerade posterna som CSV med Export innan ytterligare ändringar; Reset tar sedan bort alla filter. En saknad sessionspost bevisar inte alltid att ingen trafik fanns, eftersom brandväggsregler normalt loggar sessioner först när brandväggen tar emot händelsen om att anslutningen avslutas.

Vid misstänkta försök kontrolleras först exponering och identitet:

1. Ska WebAdmin, SSH, User Portal eller VPN Portal vara nåbart från den berörda zonen?
2. Kommer källan från ett godkänt hanteringsnät eller ett riktat Local Service ACL Exception?
3. Är MFA aktivt för den berörda administrativa åtkomsten?
4. Fungerar CAPTCHA, Session Timeout och Block login som planerat?
5. Finns samtidiga konfigurationsändringar eller lyckade inloggningar med samma konto?

Nätverksåtkomsten kontrolleras under Sophos Firewall Device Access och Local Service ACL. För konton, profiler och offboarding passar Lokala administratörer och device access-profiler, och för den andra faktorn Aktivera MFA på Sophos Firewall.

⚠️ Block login kan efter misslyckade försök blockera käll-IP:n för flera tjänster. Skärp inte värden aggressivt under en incident så länge det inte finns en testad alternativ administratörs- och återställningsväg.

Förstå gränser för HA, rapportering och modeller

I ett HA-kluster lagrar varje nod endast loggar och rapporter för den trafik som den själv har behandlat. För en händelse identifieras därför noden som var aktiv eller behandlade trafiken vid tidpunkten. En tom lokal rapport på en nod bevisar inte att ingen händelse inträffade i klustret.

Central Firewall Reporting i Sophos Fusion (tidigare Sophos Central) kan ge en sammanställd vy och längre lagring. Den lokala och centrala vyn behandlas dock inte som identiska realtidskällor. Aktivera och använda Central Firewall Reporting förklarar loggval, mottagning och lagring.

Ytterligare gränser:

• Control Center-rapporter uppdateras periodiskt och är ingen händelsevy i realtid.
• Efter en uppgradering från SFOS 20.0 eller tidigare till SFOS 21.0 eller senare kan widgeten Reports visa noll eller ett lägre värde fram till nästa 24-timmarsuppdatering, eftersom Sophos lagrar rapporter före och efter uppgraderingen i separata databaser.
• XGS 87/87w och XGS 88/88w stöder inte on-appliance-rapporter. Centrala loggar, SIEM och övervakning blir därför viktigare på dessa modeller.
• Saknade data kan bero på logging, rapportperiod, licens, lagringstid, disk watermark eller fel HA-nod. De bevisar inte automatiskt att ingen trafik fanns.

Jämför firmwarebuild med kända problem

När observationen inte motsvarar det förväntade tillståndet ska Avanets runbook för firmwarebeslut följas. Jämför exakt installerad build och det konkreta symtomet, inte bara huvudversionen. Dokumentera problem-ID, berörda och korrigerade builds samt eventuell workaround i ärendet och korrelera resultatet med Control Center-detaljer, System graphs, loggar och ett funktionstest innan systemet ändras. Exempel för den dagliga kontrollen:

• NC-181971: på SFOS 22.0 GA och senare kan IPS-tjänsten i sällsynta fall få status Dead och inte gå att starta igen. Sophos publicerar ingen självhjälpslösning utan hänvisar till Support för att tillämpa lösningen.
• NC-181748: på SFOS 22.0 GA Build 411 genereras inga Web Instant Alert-mejl för kategorier som blockeras av webbpolicyer. På denna build bevisar en utebliven varning därför inte att ingen blockering skedde.
• NC-180066, NC-180110, NC-178745 och NC-172912: versionsinformationen listar korrigeringar i SFOS 22.0 MR2 Build 546 för stoppade antivirustjänster, failsafe-läge orsakat av loggningsdaemonen, HA-omstarter på grund av minnesbrist och flimrande System graphs. Om symtomet stämmer på en äldre build dokumenteras issue-ID och uppgraderingsväg i ärendet. Firmware uppdateras endast i ett godkänt underhållsfönster med backup och rollbackväg.

Kända problem kan ändras oberoende av den här artikeln. Öppna posten på nytt och spara dess aktuella status före eskalering. Ett matchande issue-ID kan förklara ett symtom men ersätter inte konsekvensbedömning eller funktionskontroll.

Dokumentera och eskalera avvikelser

En daglig kontroll är inte klar förrän relevanta avvikelser har ett nästa steg. För ett ticket eller en driftjournal räcker oftast följande fält:

• datum, tidpunkt och tidszon;
• brandväggsnamn, modell, SFOS-version och build;
• vid HA: nod, roll och senaste statusändring;
• berörd funktion, zon, gränssnitt, VPN eller regel;
• observerat tillstånd och förväntat tillstånd;
• skärmbild, rapportperiod, loggfilter eller Rule ID;
• påverkan på användare eller tjänster;
• ansvarig, prioritet, nästa kontroll och eskaleringsväg.

Före en åtgärd som ändrar tillståndet sparas detaljstatusen från Control Center, grafen med synlig tidsperiod och de filtrerade loggraderna eller CSV-exporten. För ett supportärende går det att skapa en CTR med System snapshot och nödvändiga loggfiler under Diagnostics > Tools > Consolidated troubleshooting report: ange orsak, välj Generate och hämta den krypterade filen när den är klar. Debugläge och rensning av loggar hör inte till den dagliga kontrollen: de ändrar diagnostikläget eller förstör bevis och används bara avsiktligt enligt anvisning från Support.

Omedelbar eskalering är lämplig när en produktions-WAN-länk eller kritisk VPN-väg oväntat slutar fungera, en skyddstjänst har stoppats, diskutrymmet fortsätter att växa, belastningen förblir hög, upprepade administratörsattacker korrelerar med en lyckad inloggning eller en ny säkerhetshändelse motsvarar tillåten skadlig trafik.

Observation räcker snarare vid en kort förklarlig topp, ett avsiktligt oanvänt gränssnitt eller en känd händelse med en dokumenterad ansvarig och stabil funktionskontroll.

Välj en lämplig kontrollfrekvens

Sophos föreskriver inte en universell daglig rytm för varje vy. Frekvensen följer därför risk, drifttid och befintlig övervakning:

• Dagligen eller per skift: nya meddelanden, stoppade tjänster, WAN/VPN/HA, uptime, kritiska säkerhetshändelser och misslyckade administratörsinloggningar.
• Varje vecka: graftrender, gränssnittsfel, disktillväxt, rapportmönster, återkommande källor och öppna tickets.
• Efter ändringar, uppgraderingar eller failover: kontrollera berörd funktion, loggar, rapporter, larmväg och faktisk trafik på nytt.
• Regelbundet utanför kortkontrollen: Health Check, regelgranskning, återställningstest av backup, utgångsdatum för licenser och certifikat samt kapacitetsplanering.

E-postmeddelanden eller övervakning förkortar reaktionstiden men ersätter inte granskningen. En larmväg är tillförlitlig först när transport, händelseval, mottagare och reaktion har testats. Hela processen finns i Konfigurera och testa e-postmeddelanden från Sophos Firewall.

Driftchecklista

• Kontrollera Control Center efter nya meddelanden och oväntade statusändringar.
• Jämför tjänster, produktions-WAN-länkar, gränssnitt, VPN och uptime med det förväntade tillståndet.
• Läs CPU, minne, load average, disk och viktiga gränssnittsräknare mot baslinjen.
• Kontrollera säkerhetsrapporter för den senaste fullständigt tillgängliga perioden.
• Ställ in rapportperioden, välj Generate och exportera relevanta resultat vid behov.
• Välj modul, Timer filter och Add filter i Log Viewer; korrelera källa, destination, användare, åtgärd och Rule ID och spara relevanta rader som CSV.
• Bedöm misslyckade administratörsinloggningar efter källa, tjänst och upprepning.
• Ta i HA hänsyn till noden som behandlade trafiken och nodlokala loggar.
• Jämför build och matchande symtom med aktuell versionsinformation och kända problem; dokumentera issue-ID i ärendet.
• Utlös inte omstarter, loggradering eller breda regeländringar utan att säkra bevis och ha en återställningsväg.
• Dokumentera varje relevant avvikelse med ansvarig, prioritet och nästa steg.
• Testa efter en korrigering inte bara status utan även den faktiska funktionen på nytt.

FAQ