Kontrollera Sophos Firewall Missing Heartbeat Alerts korrekt

Saknade Heartbeat Alerts på Sophos Firewall eller Sophos Central betyder inte automatiskt att en slutpunkt äventyras. Varningen betyder först: Brandväggen ser nätverkstrafik från en enhet, men tar inte emot ett lämpligt säkerhetspulsslag. Detta är en viktig skillnad. Ett uteblivet hjärtslag kan vara ett reellt skyddsproblem, till exempel om Sophos Endpoint inte körs eller en enhet inte är korrekt ansluten till Sophos Central. I praktiken uppstår dock många meddelanden från nätverksförändringar, DNS-design, enheter utanför brandväggsvägen eller brandväggsregler som upprätthåller säkerhetspulsen för brett. Artikeln klassificerar Missing Heartbeat Alerts som en kontrollpunkt: slutpunktsstatus, trafikväg, DNS-design, brandväggsregel och Sophos Central-hälsa måste beaktas tillsammans.

Kort svar

En missad hjärtslagsvarning bör kontrolleras, men inte blint behandlas som ett skadlig program. Först klargör du:

Är Sophos Endpoint installerad och aktiv på den berörda enheten? – Går trafiken verkligen genom samma Sophos-brandvägg som förväntar sig hjärtslag?
Bytte enheten precis mellan LAN, WLAN, VPN eller ett externt nätverk?
Använder enheten externa DNS-lösare trots att brandväggen ser DNS-trafiken?
Genomför en brandväggsregel Security Heartbeat för enheter som inte kan skicka ett hjärtslag alls? När flera varningar inträffar kort efter nätverksbyten, dockningsstationsbyten eller Wi-Fi/LAN-switchar ligger fokus vanligtvis på design och timing, inte en enda infekterad klient.

Vad Missing Heartbeat betyder

Säkerhet Heartbeat är en del av Synchronized Security. Sophos Endpoint och Sophos Firewall rapporterar säkerhetsrelevant statusinformation via Sophos Central. Brandväggen kan använda denna status i regler, till exempel för att begränsa enheter med rött hjärtslag. En missing heartbeat-larm uppstår när brandväggen tilldelar trafik till en enhet men inte ser ett matchande hjärtslag. Detta kan ha flera anledningar: – Endpointen skickar inte ett hjärtslag. – Trafiken kommer från en enhet utan Sophos Endpoint. – Klienten ligger inte bakom samma brandvägg. – Brandväggen ser bara en del av trafiken. – DNS- eller nätverksändringar skapar en ofullständig bild under en kort tid. Den grundläggande funktionen är klassificerad i artikeln Anslut Sophos Firewall till Sophos Central. Om Security Heartbeat används i brandväggsregler passar Skapa och förstå Sophos Firewall-regler också.

Typiska orsaker

Orsakat	Varför larmet kan uppstå	Nästa kontroll
Växla mellan LAN och WLAN	Brandväggen ser fortfarande trafik från en IP medan slutpunkten redan fungerar via ett annat gränssnitt	Jämför tid för varning med förändring av klientnätverk
Anteckningsbok utanför webbplatsen	Slutpunkten är online, men trafiken går inte genom den förväntade brandväggen	Kontrollera om klienten fungerar via VPN, annat WLAN eller externt nätverk
Externa DNS-lösare	Brandväggen ser DNS-trafik eller uppföljningstrafik, men hjärtslaget stämmer inte överens med sökvägen	Kontrollera DNS-servern för klient, DHCP och brandvägg
Enhet utan Sophos Endpoint	Skrivare, IoT, servrar eller tredjepartsskyddade klienter skickar inte Sophos Heartbeat	Kontrollera brandväggsregel och källobjekt
Sophos Endpoint stoppade eller gick sönder	Klienten kan inte ge ett hjärtslag	Kontrollera slutpunktsstatus i Sophos Central och lokala tjänster
Hjärtslagstillstånd för brett	En regel blockerar eller varnar enheter som Heartbeat aldrig har schemalagts för	Kontrollera regeln för användar-, värd- och zonomfång

Varningen missförstås särskilt ofta när Microsoft Defender eller annan EDR-produkt används. Sådana enheter kan vara ordentligt skyddade, men skickar inte ett Sophos-säkerhetshjärtslag. Hjärtslagsbaserade regler bör därför endast gälla där Sophos Endpoint verkligen är ett krav.

Kontrollera DNS-designen

DNS-trafik är en typisk trigger för missade hjärtslagsvarningar eftersom enheter ofta fortsätter att generera DNS-frågor eller korta bakgrundsanslutningar under nätverksändringar. När klienter använder externa DNS-upplösare kan brandväggen se trafik utan en ren matchning mellan hjärtslag, klientsökväg och policydesign. I miljöer med Security Heartbeat är det därför viktigt att DNS-designen är medveten:

Vilka DNS-servrar tar klienterna emot via DHCP?
Använder hanterade klienter brandväggen, interna DNS-servrar eller externa resolvers?
Körs interna domäner via DNS-begäran?
Finns det VPN-profiler, WLAN eller gästnätverk med olika DNS-servrar?
Finns det webbläsare eller slutpunktsfunktioner som skickar DNS förbi den lokala resolvern? När klienter använder Sophos-brandväggen som DNS-sändare måste interna domäner lösas med hjälp av lämpliga DNS-begäranvägar. Flödet finns i Konfigurera DNS-begäranvägar på Sophos Firewall. Å andra sidan, om klienter använder interna DNS-servrar direkt, är det också legitimt. Men då ska du inte förvänta dig att en DNS-begäranväg på brandväggen påverkar varje klientförfrågan. Det som spelar roll är vilken resolver som faktiskt används ur klientens perspektiv.

Kontrollera brandväggsreglerna med hjärtslag

Säkerhet Heartbeat bör inte vara slumpartat inbyggt i varje klientregel. Ett hjärtslagstillstånd är ett åtkomstkrav. Om det finns enheter utan Sophos Endpoint, blandade slutpunktsstrategier eller speciella nätverk, kommer en regel som är för bred snabbt att leda till falska positiva eller oväntade blockeringar. Användbara frågor för att kontrollera regler:

Vilken regel genererar varningen eller blockerar trafik?
Är Konfigurera Synchronized Security Heartbeat aktivt i den här regeln?
Gäller regeln endast Sophos-hanterade slutpunktsenheter?
Finns det några undantag för skrivare, skannrar, IoT, servrar, gäster eller tredje parts EDR?
Krävs hjärtslag för källa, destination eller båda sidor?
Finns det en separat regel för enheter som inte kan ge hjärtslag? För själva regelanalysen hjälper Testa brandväggsregel med Log Viewer, Policy Test och Packet Capture och Sophos Firewall-regeln fungerar inte: kontrollera orsaker.

Kontrollera loggar och central

För individuella varningar är timingen ofta tillräcklig. För återkommande varningar bör du kontrollera brandväggen, Sophos Central och Endpoint tillsammans. Dessa platser är användbara på brandväggen:

Logg Viewer: Kontrollera trafik, brandväggsregel, webb, DNS och systemhändelser runt varningstiden.
Skydda > Regler och policyer > Brandväggsregler: kontrollera påverkad regel och hjärtslagstillstånd.
System > Sophos Central: Kontrollera central registrering och aktiverade tjänster.
Diagnostik > Packet capture: kontrollera om trafiken verkligen går genom brandväggen.
Advanced Shell: utvärdera heartbeatd.log och hbtrust.log om det behövs. De viktigaste tjänsteloggarna samlas i Hitta och organisera Sophos Firewall-tjänstloggar. I Sophos Central kollar du också:
Är slutpunkten online?
Har ändpunkten grön, gul eller röd status?
Finns det slutpunktshändelser samtidigt?
Är datorn duplicerad, inaktuell eller synlig hos fel hyresgäst?
Har slutpunkten nyligen installerats om, bytt namn, tagits bort eller flyttats? Om brandväggen inte är korrekt ansluten till Sophos Central, bör själva centralanslutningen kontrolleras först. Detta passar Anslut Sophos Firewall till Sophos Central.

Felsökningsflöde

En kompakt process hindrar dig från att omedelbart söka på fel ställe.

Notera varningstid, klientnamn, IP-adress, användare och påverkad regel.
Kontrollera i Sophos Central att slutpunkten var online och frisk samtidigt.
På klienten, kontrollera att Sophos Endpoint är installerat, uppdaterat och anslutet.
Kontrollera nätverkssökvägen: LAN, WLAN, VPN, dockningsstation, annat nätverk eller externt nätverk.
Kontrollera klientens DNS-server och jämför den med den förväntade designen.
Kontrollera i brandväggsregeln om Security Heartbeat är inställt medvetet och tillräckligt tätt.
Kontrollera i loggvisaren vilken trafik som utlöste varningen.
Utvärdera paketfångst och hjärtslagsloggar för återkommande fall.
Justera regeln eller DNS-designen om varningen kommer från normal drift. Beställningen är viktig: Förklara först om klienten kan leverera hjärtslag och om trafiken går genom den förväntade brandväggen. Först då är det värt att analysera enskilda loggar i detalj.

Typiska korrigeringar

Fynd	Vettig åtgärd
Varningar endast vid byte av LAN/WLAN	Dokumentera som ett förväntat tidsproblem, kontrollera klientnätverksändringar och DHCP/DNS
Klienter använder externa DNS-lösare	Förena DNS via DHCP, policy eller slutpunktskonfiguration
Interna domäner fungerar bara delvis	Kontrollera rutter för DNS-begäran eller intern DNS-vidarebefordran
Tredjepartsskyddade klienter påverkas	Ta bort hjärtslagstillstånd från regeln eller använd en separat regel
Sophos Endpoint offline eller defekt	Reparera, registrera om slutpunkten eller rensa upp central status
Regeln gäller för många enheter	Begränsa källobjekt, zoner och användargrupper

En korrigering bör passa driftsmodellen. I en ren Sophos-slutpunktsmiljö kan Heartbeat vara vettigt som ett krav på hård åtkomst. I blandade miljöer är Heartbeat mer av ett riktat kontrollverktyg för specifika kundgrupper.

Checklista

Berörda enheter skickar alltid Sophos Security Heartbeat.
Brandvägg och slutpunkt är i rätt Sophos Central-hyresgäst. – Trafiken går genom brandväggen, som förväntar sig hjärtslag.
DNS-servrar och DNS-begäranvägar är dokumenterade.
Brandväggsregler upprätthåller hjärtslag endast för matchande källor.
Enheter utan Sophos Endpoint har sina egna regler eller undantag.
Loggvisare, slutpunktshändelser och larmtid kontrollerades tillsammans.
Återkommande varningar har grupperats efter nätverksändringar, VPN- och DNS-mönster.

Vanliga frågor

Är en varning för saknat hjärtslag automatiskt en säkerhetsincident?

Nej. Varningen visar först att brandväggen ser trafik men inte får ett matchande säkerhetspulsslag. Detta kan vara ett verkligt problem med endpoint, men kan också orsakas av nätverksändringar, DNS-design eller enheter utan Sophos Endpoint.

Varför uppstår ofta varningar om missade hjärtslag på bärbara datorer?

Bärbara datorer växlar ofta mellan LAN, WLAN, VPN och externa nätverk. Under sådana växlar kan DNS-förfrågningar eller bakgrundsanslutningar fortfarande vara synliga även om hjärtslagsvägen redan ser annorlunda ut.

Kan Microsoft Defender skicka ett Sophos Security-hjärtslag?

Nej. Security Heartbeat är en Sophos-funktion mellan Sophos Endpoint, Sophos Central och Sophos Firewall. Enheter med Microsoft Defender eller annan EDR kan vara skyddade, men ger inte Sophos Heartbeat.

Ska du alltid blockera klienter utan hjärtslag?

Bara om det medvetet passar regel- och slutpunktskonceptet. I blandade nätverk skulle även legitima enheter utan Sophos Endpoint påverkas, till exempel skrivare, IoT, gäster, servrar eller klienter med en annan slutpunktslösning.

Vilka loggar hjälper till med hjärtslagsproblem?

Log Viewer, påverkad brandväggsregel och Sophos Central Endpoint Events hjälper först. För djupare felsökning är heartbeatd.log och hbtrust.log särskilt relevanta på brandväggen.