Konfigurera och testa malware-skanning i Sophos Firewall

Malware-skanningen i Sophos Firewall kontrollerar filer i webbtrafiken med de integrerade antivirusmotorerna. Det räcker inte att aktivera Web Filtering eller välja en Web Policy: den relevanta brandväggsregeln måste använda Scan HTTP and decrypted HTTPS, och krypterad trafik måste dekrypteras för att innehållet ska kunna kontrolleras.

Den här artikeln fokuserar på nedladdningar via HTTP och HTTPS. För kategorier, URL Groups och användarregler passar Web Protection med webbpolicyer. Okända filer kan dessutom analyseras med Zero-Day Protection; e-posttrafik skyddas separat med Mail Protection.

Klargör omfattning, förutsättningar och licenser

Klassisk malware-skanning är knuten till protokoll och regler. Webbnedladdningar kräver Web Protection; Base License innehåller inte Web Malware Protection. Zero-Day Protection är en separat prenumeration som kompletterar men inte ersätter antivirusskanningen. SMTP, POP3 och IMAP kräver Email Protection. Kontrollera status och utgångsdatum under Administration > Licensing; den nödvändiga modulen ska visa Subscribed eller Evaluating. En internetansluten brandvägg synkroniserar licenserna automatiskt var 24:e timme. Om statusen verkar inaktuell tvingar Administration > Licensing > Synchronize fram en uppdatering.

Dokumentera regeln, Rule ID, positionen och de aktuella skanningsalternativen före ändringen. Bestäm för HTTPS om DPI Engine eller Web Proxy dekrypterar och kontrollera att klienten litar på Signing CA. Identifiera Web Exceptions och SSL/TLS Exclusion Rules, förbered en isolerad testklient, ett pilotfönster och åtkomst till Log Viewer. Skapa även en aktuell backup under Backup and firmware > Backup and restore och anteckna de enskilda berörda värdena så att en fullständig återställning inte behövs i onödan.

FTP och e-post använder separata kontroller. Aktivera Scan FTP for malware i den matchande regeln; den globala gränsen är Web > General settings > Maximum file scan size for FTP. För e-post väljer du längst ner i regeln de protokoll som faktiskt används (IMAP, IMAPS, POP3, POP3S, SMTP och/eller SMTPS); Add ports lägger till standardportar som saknas. MTA- och Legacy-policyer, karantän och åtgärder för bilagor hanteras under Email; den primära motorn finns under Email > General settings > Malware protection. Den fullständiga konfigurationen hör hemma i den länkade Mail Protection-artikeln.

Filtypskontroll bevisar inte heller virusdetektering. En Web Policy kan tillåta eller blockera en nedladdning efter filtyp, och en e-postpolicy kan hantera bilagor. Endast en korrelerad post i Malware-loggen bevisar att antivirusmotorn upptäckte innehållet.

Vad som måste samverka för en effektiv skanning

Resultatet beror på flera lager:

• Rätt brandväggsregel måste faktiskt matcha klienttrafiken.
• Scan HTTP and decrypted HTTPS aktiverar malware-skanning för den här regelvägen.
• Web > General settings bestämmer motor, skanningsbeteende, storleksgränser och hantering av innehåll som inte kan skannas.
• HTTPS-innehåll kontrolleras bara om DPI eller Web Proxy dekrypterar anslutningen.
• Web Exceptions får inte oavsiktligt hoppa över malware-skanningen.
• QUIC måste kontrolleras eftersom QUIC-trafik inte kan skannas på samma sätt som klassisk HTTP- och HTTPS-trafik.

En Web Policy och malware-skanning löser olika uppgifter. En Web Policy beslutar till exempel om kategorier eller filtyper. Antivirusskanningen undersöker filinnehållet efter känd malware och PUAs. I en brandväggsregel kan malware-skanning därför vara aktiv även med Web policy: None. Omvänt innebär en vald Web Policy inte automatiskt att nedladdningar skannas efter malware.

Välja Single eller Dual Engine

Under System services > Malware protection väljer man den primära antivirusmotorn. Sophos Firewall använder Sophos och Avira; vald Primary Engine skannar ensam med Single engine och först med Dual engine. Sophos är Primary Engine som standard.

Det globala valet för webbtrafik finns under:

Web > General settings > Malware and content scanning

• Single engine: använder endast Primary Engine. Det kräver färre resurser och ger bäst prestanda. För Zero-Day Protection måste Sophos vara Primary Engine.
• Dual engine: låter först Primary och därefter den andra motorn skanna. Det ökar detekteringsbredden men kräver mer tid och resurser.

För Zero-Day Protection väljer man Single engine med Sophos som Primary Engine eller Dual engine.

För normala klientnätverk är Single engine med Sophos som Primary Engine en rimlig utgångspunkt när throughput och latency är viktiga. Dual engine passar när maximal detekteringsbredd prioriteras högre och appliance klarar den extra belastningen under verklig last. Beslutet bör inte enbart bygga på värden i databladet: en pilot med typiska nedladdningar, videokonferenser och programvarudistribution visar den faktiska påverkan bättre.

⚠️ Ett byte av Primary Engine eller från Single till Dual påverkar globalt alla relevanta skanningsvägar. Före en ändring måste befintliga webb-, FTP- och e-postpolicyer samt Zero-Day Protection beaktas, och en återgångsväg dokumenteras. Ett byte av den globala primära antivirusmotorn kan också ändra en lokalt angiven antivirusmotor. Kontrollera de lokala motorvalen efter ändringen.

Styra scanmotorns machine learning-detektering

SFOS 22 kan aktivera machine learning, eller ML, globalt för Sophos scanmotor och sedan separat för olika funktionsgrupper. ML söker efter misstänkta mönster som kanske ännu inte finns i signaturdatabasen. Det utökar detekteringen av nya eller snabbt spridande hot, men ökar också risken för falska positiva resultat.

Kommandona i det här avsnittet körs i Device Console (alternativ 4 i CLI-huvudmenyn), inte i Advanced Shell eller testklientens terminal. Registrera först det aktuella tillståndet med kommandot som bara läser:

show scanengine

De dokumenterade standardvärdena är globalt ml_scan on, ml_web_detection off för Web Proxy och DPI Engine, ml_email_detection on för Email samt ml_legacy_detection off för WAF och FTP Proxy. När global ml_scan är off kan ML inte aktiveras effektivt för de enskilda funktionsgrupperna. Funktionsväxlarna avgör om en ML-detektering kan utlösa en blockering där.

Följande rader visar syntaxen för kommandon som ändrar inställningar, inte en lista att köra ordagrant. Dokumentera de tidigare värdena och berörda funktionsgrupperna före en ändring. Ersätt <on|off> med exakt on eller off, och <1-128|default> med ett tillåtet tal eller default. Skriv inte in platshållarna ordagrant:

set scanengine ml_scan <on|off>
set scanengine ml_web_detection <on|off>
set scanengine ml_email_detection <on|off>
set scanengine ml_legacy_detection <on|off>
set scanengine thread_count <1-128|default>

thread_count gäller per scanmotor. Intervallet är 1 till 128; default beräknar antalet dynamiskt utifrån tillgängliga processorer. Ett fast antal trådar bör inte användas som generell prestandajustering. Det kräver reproducerbar scannerbelastning, CPU- och minnesmätningar, ett genomströmningstest och normalt en konkret anvisning från support. Det äldre alternativet max_buffer_size är föråldrat och ska inte längre ändras.

⚠️ ML kan felaktigt blockera legitima filer eller trafik, och ML-detekteringar genererar telemetri för Sophos Labs. Aktivering, integritet, berörda datavägar och processen för falska positiva resultat måste därför klargöras före utrullningen. Att globalt stänga av ML vid en misstanke är inte en bättre lösning än ett overifierat undantag.

Piloten börjar med exakt en funktionsgrupp och ett kontrollerat klient- eller e-postflöde. Jämför show scanengine, policy, blockeringsåtgärd, Log Viewer, applikationsresultat, CPU och skanningstid före och efter. EICAR bekräftar normal malware-skanning men bevisar inte ML-detektering av ett nytt mönster. Återställningen använder värdena som registrerats med show scanengine och ersätter dem inte blint med produktens standardvärden.

Fastställa skanningsbeteendet

Under Web > General settings görs förutom valet av motor även andra skyddsrelaterade val.

Innehåll som inte kan skannas

Action on malware scan failure bestämmer vad som händer med innehåll som inte kan kontrolleras fullständigt. Det kan inträffa med krypterade eller skadade arkiv samt filer som är för djupt nästlade. Sophos Firewall skannar arkiv upp till 16 komprimeringsnivåer.

Block ger starkare skydd men kan stoppa legitima lösenordsskyddade eller skadade filer. Allow bevarar verksamhetsprocessen men släpper igenom okontrollerat innehåll. I normala klientnätverk är Block den säkrare utgångspunkten. Om en verksamhetsapplikation slutar fungera bör den konkreta filvägen undersökas innan den globala inställningen lättas upp.

Filstorlekar och streaming

Do not scan files larger than anger den största filstorleken som ska skannas för HTTP och HTTPS i MB. Större filer skannas inte. För komprimerade filer räknas arkivets storlek, inte den möjliga storleken efter uppackning. För FTP finns en separat gräns i MB i Maximum file scan size for FTP. FTP-filer som överskrider den gränsen skannas inte heller.

En låg gräns förbättrar inte automatiskt säkerheten utan kan låta stora installationsprogram eller arkiv passera utan skanning. Ett mycket högt värde kan däremot öka nedladdningstiden och resursförbrukningen. Värdet måste därför passa programvarudistribution, uppdateringspaket och appliance-prestanda.

Öppna Advanced settings under Web > General settings för att komma åt Scan audio and video files. Scan audio and video files utökar skanningen till medieinnehåll men kan påverka streaming. Alternativet bör bara aktiveras när skyddsbehovet motiverar den extra belastningen och möjliga avbrott. Klicka på Apply efter att ha valt önskade inställningar för webbskanning för att spara ändringarna.

Hantera PUAs

Block potentially unwanted applications förhindrar nedladdning av potentiellt oönskade program (PUAs). Dessa program är inte nödvändigtvis malware men kan till exempel innehålla adware, oönskad fjärrstyrning eller riskfyllda systemändringar. PUAs som listas under Authorized PUAs är undantagna från denna PUA-blockering. En post under Authorized PUAs bör endast skapas efter kontroll av fil, källa, användningsområde och Owner. Ett generellt godkännande försvagar skyddet för alla relevanta skanningsvägar.

XML-API: mappa skanningsvärden säkert

Vid automatisering måste man skilja mellan globalt motorval, webbskyddsvärden och proxydrift. Följande mappningar beskriver XML-strukturen i API-dokumentationen för SFOS-22/23, inte testade anrop. De ersätter varken brandväggsregeln eller HTTPS-dekrypteringen. Före implementering kontrolleras API-hjälpen för den firmware som används och de aktuella sparade värdena; dokumenterade standardvärden är varken rekommendationer för utrullning eller mål för återställning.

Motor, webbskydd och protokollgränser

• Global motor: MalwareProtection innehåller PrimaryAntiVirusEngine. Dokumentationen anger Sophos som standard och visar Sophos/Avira som val i exemplet, inte som ett kombinerat värde som ska skickas ordagrant. Detta är det globala valet av primär motor, inte Single-/Dual-reglaget i den globala inställningen för webbskanning. Som beskrivits ovan kan ändringen även påverka lokala motorval; webb-, FTP- och e-postpolicyer kontrolleras därefter.
• HTTP/HTTPS-konfiguration: AntiVirusHTTPsConfiguration innehåller direkt ScanMode, FileSizeThreshold, AudioVideoFileScanning och PUADetection. Den nästlade föräldranoden HTTPSConfigurations innehåller däremot HTTPSScanningCA, DenyUnknownProtocol, AllowInvalidCertificate och NoHttpsNotification. Dessa barnnoder hör inte hemma direkt under AntiVirusHTTPsConfiguration. Parametertabellen markerar ScanMode, FileSizeThreshold, AudioVideoFileScanning och HTTPSScanningCA som obligatoriska fält. För ScanMode anges RealTime och BatchMode; mappningen gäller proxyns skanningsläge som förklaras i HTTPS-avsnittet, inte någon möjlighet att ställa om DPI till batchläge.
• Bredare webbskyddskonfiguration: WebFilterProtectionSettings visar HTTPS-fälten direkt under denna föräldranod, utan HTTPSConfigurations. Exemplet innehåller dessutom FTPFileSizeThreshold, PharmingProtection, Scanning, BlockUnscannableContent och PUAWhitelist med upprepningsbara PUA-poster. Scanning väljer Single eller Dual, inte den primära motorn; de dokumenterade värdena är Single Anti-Virus (Maximum Performance) och Dual Anti-Virus (Maximum Security). BlockUnscannableContent motsvarar hanteringen av innehåll som inte kan skannas; tabellen anger Allow och Block (Best Protection). PUA-listan innehåller tillåtna PUA:er när PUA-detektering är aktiv. De båda föräldranoderna för webb är därför inte utbytbara omslutande noder för samma anrop.
• Storleksgränser: FileSizeThreshold gäller för HTTP/HTTPS, medan FTPFileSizeThreshold gäller separat för FTP. API:et dokumenterar båda i KB, inte i de MB som används i det ovan beskrivna användargränssnittet. För båda anges heltal från 1 till 1572864 och det dokumenterade standardvärdet 1024. Det egna målvärdet förs över med korrekt enhet, inte genom okontrollerad kopiering från användargränssnittet. Den separata FTP-operationen använder AntiVirusFTP med det obligatoriska fältet FileSize, också i KB och med samma dokumenterade intervall och standardvärde. Filer som överskrider respektive protokollgräns skannas inte; inget av dessa storleksvärden aktiverar Scan FTP for malware i en regel.

⚠️ Exemplen är inte nyttolaster som kan kopieras och användas direkt: För AudioVideoFileScanning visar båda webbexemplen Enable/Disable, medan parametertabellerna anger on/off. Även för andra reglage skiljer sig exemplen och tabellerna åt; exempelvis visar BlockUnscannableContent värdet Enable/Disable i exemplet, men de ovan angivna åtgärdsvärdena i tabellen. För PUADetection förekommer de olösta symbolerna $ANTIVIRUS{PUA_DETECTION_ENABLE} och $ANTIVIRUS{PUA_DETECTION_DISABLE}. Utifrån detta härleds varken alias eller saknade Disable-värden. Före en skrivning i produktionsmiljön måste det giltiga skrivsättet för den aktuella firmwaren vara klarlagt. Att tillåta ogiltiga certifikat globalt är ingen lösning på ett problem med tillit till en CA.

DenyUnknownProtocol ska enligt källbeskrivningen blockera ogiltig trafik via HTTPS-porten. I AntiVirusHTTPsConfiguration ligger fältet under HTTPSConfigurations: Exemplet visar Enable/Disable och tabellen anger standardvärdet Disable, men listar endast on som tillåtet värde; ett skrivsätt för Disable saknas. I WebFilterProtectionSettings ligger fältet direkt under föräldranoden: Även här visar exemplet Enable/Disable och tabellen standardvärdet Disable, men de tillåtna värdena anges som on och den olösta symbolen $ANTIVIRUS{DENY_PROTOCOL_DISABLE}. Därmed är inget användbart skrivsätt för Disable klarlagt för någon av de båda operationerna. Varken off, Disable eller andra alias härleds ur detta som giltiga värden att skriva; detta är inte testade nyttolaster.

AllowInvalidCertificate gäller enligt källbeskrivningen tillåtelse att besöka webbplatser med ogiltigt SSL-certifikat. Både i AntiVirusHTTPsConfiguration under HTTPSConfigurations och direkt under WebFilterProtectionSettings visar exemplet Enable/Disable, medan tabellen anger on/off som tillåtna värden och Enable som dokumenterat standardvärde. De motstridiga uppgifterna förblir olösta: Ur detta härleds varken en bekräftad likvärdighet eller ett giltigt skrivsätt för firmwaren, och inte heller någon rekommendation att tillåta ogiltiga certifikat. Det dokumenterade standardvärdet säger inget om enhetens aktuella tillstånd.

Ändra proxydriften endast vid behov

WebFilterAdvancedSettings är en separat föräldranod för proxyns driftvärden, inte ett extra reglage för skanning efter skadlig kod:

• WebCaching styr cachen för webbinnehåll med de dokumenterade värdena Enable och Disable. Cachelagring bedöms endast för den proxyväg som faktiskt används, inte som generell optimering av DPI eller skanning.
• WebProxyPort är lyssnarporten när brandväggen fungerar som Web Proxy Server. API:et anger 1 till 65535 och det dokumenterade standardvärdet 3128. En ändring kan störa befintliga klient- eller PAC-konfigurationer; den är inget generellt tips för högre genomströmning. Klientomställning och återställning planeras med hjälp av Direct Web Proxy.
• WebProxyMinimumTLSVersion anger minimiversionen för Web Proxy och Captive Portal, inte för alla DPI-anslutningar. API-tabellen anger TLS 1.0, TLS 1.1, TLS 1.2 och det dokumenterade standardvärdet TLS 1.1; denna uppräkning är ingen rekommendation att tillåta gamla TLS-versioner. Före en ändring kontrolleras firmwarestöd, säkerhetskrav och berörda klienter.
• TrustedPorts innehåller upprepningsbara Port-poster för åtkomst till webbplatser på icke-standardportar. Det handlar inte om ytterligare lyssnarportar eller ett generellt tillåtande av brandväggstjänster. Endast målportar som faktiskt behövs tas med, med motivering.

Vid en ändring väljs exakt en grupp värden, som säkerhetskopieras i förväg. Efter att värdena har sparats läses de sparade värdena tillbaka och jämförs med målvärdena; ett lyckat API-svar bevisar i sig varken att skanningen fungerar eller att klienterna kan ansluta. Därefter utförs en normal nedladdning, det isolerade EICAR-test som beskrivs nedan och, vid proxyändringar, dessutom kontroller av klient-/PAC-konfigurationen och Captive Portal. Vid fel kontrolleras först det faktiska sparade tillståndet, i stället för att blint skriva igen eller samtidigt ändra motor, lyssnarport och skyddspolicy. Vid återställning återförs endast de berörda värden som säkerhetskopierats.

Aktivera malware-skanning i brandväggsregeln

Regeln finns under:

Rules and policies > Firewall rules

För en typisk klientregel för internetåtkomst kontrolleras följande under Web filtering:

1. Source zone och Source networks motsvarar klientnätverket.
2. Destination zone är WAN, och Services omfattar den avsedda webbtrafiken.
3. Log firewall traffic är aktiverat.
4. Scan HTTP and decrypted HTTPS är aktiverat.
5. Block QUIC protocol är aktiverat om webbtrafiken ska gå via den kontrollerade TCP-vägen.
6. DPI eller Web Proxy har valts medvetet.
7. Use Zero-day protection aktiveras bara som tillägg om okända filer ska analyseras.

Ett kompakt regelexempel:

Rule name: LAN_USERS_WEB
Source zones: LAN
Source networks and devices: LAN_CLIENTS
Destination zones: WAN
Destination networks: Any
Services: HTTP, HTTPS
Web policy: LAN_STANDARD_WEB
Scan HTTP and decrypted HTTPS: On
Block QUIC protocol: On
Use web proxy instead of DPI engine: Off
Log firewall traffic: On

Exemplet använder DPI Engine. LAN_USERS_WEB, LAN_CLIENTS och LAN_STANDARD_WEB är exempelnamn som ska ersättas med de egna objekten. För enbart malware-skanning kan Web policy vara None. Begränsa Services till nödvändiga protokoll; Any är för brett här. En högre regel kan matcha först, därför ingår Rule ID och regelordning i acceptanstestet. Grunderna förklaras i Förstå och bygg brandväggsregler på ett tydligt sätt.

HTTPS: komplettera DPI eller Web Proxy korrekt

Scan HTTP and decrypted HTTPS dekrypterar inte HTTPS på egen hand. Alternativet skannar endast okrypterad HTTP och HTTPS-innehåll som redan har dekrypterats av en annan del av konfigurationen.

DPI Engine

Med DPI Engine sker dekrypteringen via:

Rules and policies > SSL/TLS inspection rules

En lämplig SSL/TLS inspection rule måste matcha testklienten och målet och använda Action: Decrypt. Klienterna måste lita på den Signing CA som används. Planering, pilot och undantag beskrivs i Inför TLS Inspection stegvis; certifikatdistributionen finns under Installera CA-certifikat för HTTPS Scanning.

Web Proxy

För proxyvägen aktiveras Use web proxy instead of DPI engine i brandväggsregeln och dessutom Decrypt HTTPS during web proxy filtering för HTTPS. Under Web > General settings kan proxyn därefter skanna i två lägen:

• Batch: laddar först ner hela filen till brandväggen och skickar den vidare först efter skanningen. Det ger en striktare kontroll men kan märkbart fördröja nedladdningar.
• Real-time: skickar delar av nedladdningen vidare men slutför överföringen först när innehållet har bedömts som rent.

Med Batch kan den föregående nedladdningen till brandväggen använda hela bandbredden och påverka andra webbförfrågningar. På den allmänna proxyskanningsvägen tillämpas Traffic Shaping när innehållet skickas till webbläsaren, både med Batch och Real-time; detta garanterar inte en begränsning av den föregående Batch-nedladdningen. För Direct Web Proxy gäller ett uttryckligt undantag: en Traffic Shaping Policy tillämpas inte på den vägen. Dokumentera det tidigare värdet före byte av skanningsläge; jämför WAN-belastning, klientens nedladdningstid, skanningsresultat och Rule ID med samma representativa nedladdningar. Vid en regression återställs det tidigare skanningsläget i stället för att engine eller policy ändras samtidigt.

DPI Engine arbetar alltid i Real-time mode. Proxy och DPI bör inte bytas enbart på grund av ett enskilt fel, eftersom funktionsomfång, portar, loggar och användarbeteende skiljer sig åt.

Valet mellan Real-time DPI, Batch- eller Real-time-proxyskanning och ett säkert pilotbyte beskrivs i Välj DPI Engine eller Web Proxy korrekt.

Kontrollera undantag och QUIC

En Web Exception kan hoppa över Malware and content scanning. I så fall hoppas även Zero-Day-analysen automatiskt över för den matchande trafiken. Undantag bör därför ha en snäv host- eller URL-avgränsning, en tydlig Owner och ett granskningsdatum.

QUIC, eller HTTP/3, använder oftast UDP 443. Sophos Firewall kan inte skanna denna trafik som klassisk webbtrafik. Block QUIC protocol blockerar utgående UDP på port 80 och 443 i den berörda brandväggsregeln, så att kompatibla klienter faller tillbaka till TCP och HTTPS. Bakgrund och tester finns i Blockera QUIC och HTTP/3 korrekt.

Kontrollera funktionen med ett säkert test

Ett grönt Policy Test eller en aktiverad kryssruta bevisar ännu inte att innehållet kontrolleras. Testet måste utgå från en klient bakom den berörda brandväggsregeln; en nedladdning direkt från brandväggen testar en annan trafikväg.

För att kontrollera Sophos Firewalls webbväg används specifikt åtgärden Anti-virus EICAR test på SophosTest-sidan för Web Security. För att testa transporten av den standardiserade testfilen oberoende av denna testsida används i stället en variant av EICAR Anti-Malware-testfilen. EICAR är inte riktig malware men känns av antivirusprodukter avsiktligt igen som malware. Använd aldrig riktig skadlig kod i ett produktionsnätverk och öppna eller kör inte testfilen.

Praktiskt förfarande:

1. Ange en isolerad testklient och förväntat Firewall Rule ID. Ett tillfälligt Allow-undantag behövs inte. Om Endpoint-skyddet reagerar först ska det inte stängas av; betrakta i stället resultatet som otillräckligt för att bekräfta brandväggen.
2. Notera tidpunkt, klient-IP, vald test-URL och förväntad skanningsväg.
3. Öppna modulerna Firewall, SSL/TLS inspection, Web filter och Malware i Log Viewer.
4. Kontrollera för HTTPS att anslutningen faktiskt behandlas med Decrypt.
5. Kör Anti-virus EICAR test på SophosTest eller ladda ner exakt en EICAR-variant. Brandväggen förväntas avbryta överföringen innan nedladdningen är klar.
6. Kontrollera att Malware-loggen visar en antivirusdetektering för samma klient, samma Rule ID, samma URL och samma tidpunkt.
7. Stäng testsidan och ta bort eventuella del- eller testfiler och artefakter i webbläsarens cache enligt Endpoint-rutinen; återställ eller kör inte ett objekt i karantän. Återställ tillfälliga testinställningar och bekräfta med en normal nedladdning att webbåtkomsten fortfarande fungerar.

En block page räcker inte som bevis. En Web Policy, en filtypsregel, en Endpoint-produkt eller redan testwebbplatsens kategori kan också blockera. Avgörande är den korrelerade Malware-posten från brandväggen. I Syslog visas en webbmalwareträff med log_type="Anti-Virus"; komponenterna är beroende på protokoll HTTP eller HTTPS, och Subtype vid en detektering är Virus.

Om Log Viewer inte förklarar om den lokala antivirustjänsten fungerar kan serviceloggen dessutom följas i Advanced Shell under ett kontrollerat test:

tail -f /log/avd.log

Visningen avslutas med Ctrl+C. avd.log hjälper vid tjänst- och motorfel men ersätter inte policy- och anslutningsdata i Log Viewer. En inaktiv fil bevisar inte heller att skanningen är avstängd. Loggtilldelningen förklaras i Sophos Firewall Services och Logs.

Avgränsa typiska fel systematiskt

• Web Policy är aktiv men malware skannas inte: Scan HTTP and decrypted HTTPS saknas i brandväggsregeln som faktiskt matchar.
• HTTP-testet fungerar men inte HTTPS-testet: SSL/TLS inspection rule matchar inte, använder inte Decrypt eller Web Proxy dekrypterar inte HTTPS.
• Webbläsaren använder en annan väg: QUIC är tillåtet eller en annan brandväggsregel matchar först.
• Filen skannas inte trots rätt regel: En Web Exception hoppar över Malware and content scanning eller filen ligger över den konfigurerade storleksgränsen.
• EICAR blockeras men inte av brandväggen: Endpoint-skydd, en filtypsregel eller en webbkategori reagerade tidigare. Kontrollera Rule ID och brandväggens Malware-logg.
• Legitima arkiv blockeras: Kontrollera Action on malware scan failure, kryptering, skada och nästling. Byt inte genast globalt till Allow.
• Dual Engine gör nedladdningar långsammare: Jämför appliance-belastning, filstorlekar, parallellitet och Proxy-/DPI-mode med Single Engine i en kontrollerad pilot.
• Zero-Day Protection visar ingenting: Kontrollera klassisk malware-skanning, HTTPS-dekryptering, filtyp, undantag och Use Zero-day protection separat.
• Ett skanningsalternativ saknas eller kan inte sparas: Kontrollera status och utgångsdatum för Web Protection, Email Protection eller Zero-Day Protection under Administration > Licensing och synkronisera licenserna. Kringgå inte detta med en bredare Allow-regel.
• En FTP-fil skannas inte: Kontrollera matchande Rule ID, Scan FTP for malware, Service och Maximum file scan size for FTP tillsammans. HTTP/HTTPS-alternativet aktiverar inte FTP-skanning.
• En e-postbilaga upptäcks inte: Fastställ först den verkliga e-postvägen: MTA, Legacy SMTP eller POP/IMAP. Korrelera sedan regelns protokoll och portar, e-postpolicy, Single/Dual Antivirus, undantag och Mail- eller Malware-logg.

Vilken brandväggsregel och policy som faktiskt matchar kan fastställas med Log Viewer, Policy Tester och Packet Capture.

Återställ ändringar med bevarat tillstånd

En återställning ändrar bara de värden som ändrades i piloten, i omvänd ordning: SSL/TLS inspection rule och dess position, brandväggsregel med Rule ID och position, Proxy/DPI-val, skannings- och QUIC-alternativ, globalt Single/Dual Engine-val samt värdena från show scanengine. Ta inte bort en regel och stäng inte av skanningen globalt på grund av en enda misslyckad nedladdning.

Spara konfigurationen och upprepa två kontroller: en representativ normal nedladdning ska fungera och det isolerade EICAR-testet ska visa exakt det tidigare beteendet. Om Rule ID, dekrypteringsstatus eller loggåtgärd avviker från utgångsläget är återställningen inte klar. Den fullständiga backupen är nödvägen vid en bredare felkonfiguration, inte den första åtgärden för en kryssruta.

Specialfall vid uppgradering till SFOS 22.0 GA

Under NC-177529 dokumenteras ett snävt avgränsat uppgraderingsfel för SFOS 22.0 GA Respin Build 411. Under denna uppgradering kan meddelanden som Malware Unscannable visas tillfälligt, ofta för www.msftconnecttest.com. I detta läge är Sophos nya skanningsmotor ännu inte tillgänglig om endast den motorn är konfigurerad som Single Engine. I Legacy Web Proxy visas då block pages, och med DPI Engine kan sidladdningar avbrytas. Avbrottet kan pågå ungefär en minut längre. Kontrollera före varje uppgradering även aktuell underhållsversion och stödda uppgraderingsvägar; den länkade uppgraderingskontrollen nedan omfattar denna versionsberoende kontroll.

Den som specifikt uppgraderar till denna GA-version ändrar före uppgraderingen under Web > General settings från Single engine till Dual engine och återgår efter slutförd uppgradering till tidigare använd Single engine. Denna tillfälliga åtgärd är ingen generell rekommendation för MR1, MR2 eller senare releaser. Hela uppgraderingsvägen och ytterligare blockerare beskrivs i SFOS 22 Upgrade Check.

FAQ